Das ist eine der Fragen, die mich am häufigsten erreichen, wenn ein Unternehmen anfängt, die Informationssicherheit ernst zu nehmen: „Gut, aber was wird mich das kosten?“ Und die ehrliche Antwort lautet: Es kommt darauf an. Das ist keine Ausrede. ISO 27001 kauft man nicht wie eine Softwarelizenz mit festem Preis; man führt sie als Managementsystem ein, und anschließend prüft eine unabhängige Stelle sie. Das sind zwei verschiedene Dinge, mit zwei verschiedenen Rechnungen, zu denen noch die Aufrechterhaltung der kommenden Jahre hinzukommt.
In diesem Artikel erkläre ich, wovon der Preis abhängt, die drei realen Blöcke, auf die er sich verteilt, einige Richtwerte je nach Größe Ihres Unternehmens, die Kosten, die Ihnen kaum jemand vorab nennt, und wie Sie die Rechnung senken, ohne zu tricksen. Wenn Sie bei der Norm ganz von vorne anfangen, kann es hilfreich sein, zuerst den vollständigen Leitfaden zu ISO 27001 zu lesen, um sich zu orientieren.
Wovon der Preis abhängt
Bevor wir über Zahlen sprechen, lohnt es sich zu verstehen, was den Ausschlag gibt, denn zwei Unternehmen derselben Branche können sehr Unterschiedliches zahlen. Das sind die Faktoren, die am stärksten ins Gewicht fallen:
- Die Größe des Unternehmens und die Zahl der Mitarbeitenden. Mehr Personen bedeuten mehr Rollen, mehr zu kontrollierende Berechtigungen, mehr Schulung und im Audit mehr Arbeitstage des Auditors. Die akkreditierten Stellen berechnen die Dauer des Audits teils nach der Belegschaft.
- Der Geltungsbereich, den Sie zertifizieren. Einen einzelnen Dienst oder eine Abteilung zu zertifizieren ist nicht dasselbe wie die gesamte Organisation mit mehreren Standorten. Je breiter der Geltungsbereich, desto höher die Kosten in allen Blöcken.
- Der Reifegrad zu Beginn. Wenn Sie bereits Richtlinien, geordnete Sicherungskopien, Zugriffskontrolle und etwas Dokumentation haben, starten Sie mit Vorsprung. Fangen Sie bei null an, dauert die Implementierungsphase länger.
- Die Zahl der Standorte und ob es Telearbeit gibt. Mehrere physische Standorte bedeuten meist mehr Stichproben im Audit.
- Wer die interne Arbeit leistet. Wenn Sie jemanden mit Zeit und Wissen im Haus haben, stützen Sie sich weniger auf externe Beratung. Falls nicht, steigt dieser Anteil.
- Die technologische Komplexität. Ein Unternehmen, das Software entwickelt, sensible Daten verwaltet oder eine kritische Infrastruktur betreibt, muss mehr Maßnahmen begründen als eines mit einem einfacheren Betrieb.
Misstrauen Sie deshalb jedem, der Ihnen am Telefon einen Festpreis nennt, bevor er irgendetwas über Ihr Unternehmen weiß. Ein seriöses Angebot beginnt damit, Ihren Geltungsbereich zu verstehen.
Die drei Kostenblöcke
Die Gesamtkosten der Zertifizierung verteilen sich auf drei Blöcke. Sie getrennt zu betrachten hilft, Überraschungen zu vermeiden und Angebote wirklich zu vergleichen.
1. Beratung und Implementierung
Das ist die Arbeit, das Informationssicherheits-Managementsystem (ISMS) aufzubauen: Risikoanalyse, Erstellung von Richtlinien und Verfahren, Festlegung der Maßnahmen gemäß dem Anhang der Norm, Schulung des Teams und Vorbereitung der Nachweise, die der Auditor verlangen wird. Das kann internes Personal, eine externe Beratung oder eine Mischung aus beidem leisten.
Das ist meist der größte Block, vor allem wenn Sie bei null anfangen, weil sich hier der Großteil der Stunden bündelt. Hier setze ich an: Wenn Sie diesen Teil abgeben möchten, ist genau das der Umfang meiner ISO-Beratung. Und Achtung: Es ist auch der Block, auf den öffentliche Förderungen den größten Einfluss haben; es lohnt sich also, Zuschüsse zu prüfen, bevor Sie etwas unterschreiben.
2. Zertifizierungsaudit
Das sind die Kosten der Zertifizierungsstelle, die unabhängig von demjenigen sein muss, der Ihr System implementiert hat. Die Zertifizierung erfolgt in zwei Stufen: einer ersten Dokumentenprüfung (Stufe 1) und einem gründlichen Audit vor Ort (Stufe 2). Läuft alles gut, stellt die Zertifizierungsstelle das Zertifikat aus.
Ein wichtiger Punkt der Sorgfalt: Damit das Zertifikat in Spanien echten Wert hat, muss die Stelle von ENAC (der spanischen nationalen Akkreditierungsstelle) oder einer gleichwertigen Einrichtung akkreditiert sein. Es gibt günstigere Siegel ohne anerkannte Akkreditierung, die Ihnen in der Praxis nichts nützen, wenn ein Kunde oder eine Behörde sie von Ihnen verlangt. Der Preis dieses Blocks hängt vor allem von den Audit-Tagen ab, die die Zertifizierungsstelle selbst nach Ihrer Größe und Ihrem Geltungsbereich berechnet.
3. Aufrechterhaltung und Rezertifizierung im Dreijahreszyklus
Das ISO-27001-Zertifikat gilt nicht für immer mit einer einmaligen Zahlung. Es hat einen Dreijahreszyklus:
- Jahr 0: Erstzertifizierungsaudit (Stufen 1 und 2).
- Jahre 1 und 2: jährliche Überwachungsaudits, kürzer als das erste, um zu prüfen, dass das System weiterhin gelebt wird.
- Jahr 3: Rezertifizierungsaudit, umfassender, um das Zertifikat für weitere drei Jahre zu erneuern.
Hinzu kommt der Aufwand, das System intern über den gesamten Zyklus aufrechtzuerhalten: die Risikoanalyse überprüfen, interne Audits durchführen, neue Mitarbeitende schulen und Stunden in die kontinuierliche Verbesserung stecken. Das ist eine wiederkehrende Ausgabe, die man von Anfang an einplanen sollte, statt sie im Jahr 1 zu entdecken.
Richtwerte nach Unternehmensgröße
Ich gebe Ihnen Spannen, und ich betone, dass sie Richtwerte sind. Es sind keine Tarife, kein Angebot, und sie schwanken je nach Ihrem Geltungsbereich, Ihrer Belegschaft, Ihrem Reifegrad und der von Ihnen gewählten Zertifizierungsstelle. Sie dienen nur dazu, sich vor dem Einholen eines Angebots eine Vorstellung von der Größenordnung zu machen, mehr nicht.
| Unternehmensgröße | Beratung und Implementierung | Erstaudit (ENAC-Zertifizierungsstelle) | Jährliche Überwachung / Rezertifizierung |
|---|---|---|---|
| Kleinstunternehmen (bis ~10 Mitarbeitende, begrenzter Geltungsbereich) | Niedrige Spanne | Niedrige Spanne | Geringer als das Erstaudit; die Rezertifizierung liegt näher am Erstaudit |
| Kleines KMU (~10-50 Mitarbeitende) | Niedrige bis mittlere Spanne | Niedrige bis mittlere Spanne | Proportional zur Größe |
| Mittleres KMU (~50-250 Mitarbeitende, mehrere Bereiche) | Mittlere bis hohe Spanne | Mittlere Spanne | Wächst mit der Zahl der Standorte und Mitarbeitenden |
| Großunternehmen oder Mehrstandort | Hohe Spanne | Hohe Spanne (mehr Audit-Tage) | Am höchsten, wegen der Stichproben über die Standorte |
Die Faustregel, die ich jedem gebe, der mich fragt: Die Beratung ist im ersten Jahr meist der teuerste Teil, das Audit ist eine kleinere, aber jährlich wiederkehrende Ausgabe, und die interne Aufrechterhaltung ist das Rinnsal, das man vergisst, das es aber immer gibt. Wenn Sie mit einer anderen stark nachgefragten Norm vergleichen möchten, sehen Sie im Artikel darüber, was die Zertifizierung nach ISO 9001 kostet, dass die Logik der drei Blöcke dieselbe ist, auch wenn die Inhalte sich unterscheiden.
Versteckte Kosten, die man vorwegnehmen sollte
Über die drei großen Blöcke hinaus gibt es Ausgaben, die im ersten Angebot nicht auftauchen und später ins Gewicht fallen. Ich weise Sie darauf hin, damit sie Sie nicht überraschen:
- Die Zeit Ihres eigenen Teams. Das ist der unsichtbarste und oft größte Kostenfaktor. Ein ISMS einzuführen verbraucht Stunden von Menschen, die bereits ihre Arbeit haben. Das ist Geld, auch wenn es auf keiner Rechnung erscheint.
- Werkzeuge und technische Maßnahmen. Manchmal bringt die Risikoanalyse ans Licht, dass Sie Sicherungskopien, Zugriffsverwaltung, Verschlüsselung oder Überwachung verbessern müssen. Diese Investitionen kommen zur Zertifizierung hinzu.
- Kontinuierliche Schulung und Sensibilisierung. Ein Vortrag genügt nicht. Man muss das Personal auf dem Laufenden halten, vor allem bei Fluktuation.
- Abweichungen. Stellt das Audit Mängel fest, müssen sie behoben werden, und das kann mehr Stunden und in manchen Fällen ein außerordentliches Audit bedeuten.
- Lebendige Dokumentation. Das System muss das ganze Jahr über aktuell gehalten werden, nicht zwei Wochen vor jedem Audit wiederbelebt werden.
Wie Sie die Zertifizierung günstiger machen
Dass es eine Investition ist, heißt nicht, dass Sie sie vollständig aus eigener Tasche und um jeden Preis bezahlen müssen. Einige echte Wege, die Kosten zu senken:
- Förderungen und Zuschüsse. Für Unternehmen, die die Voraussetzungen erfüllen, ermöglicht das Programm Kit Consulting die Finanzierung von Beratungsleistungen, darunter solche im Bereich Cybersicherheit. Ausführlich erkläre ich das im Artikel über Kit Consulting für Cybersicherheit und ISO 27001. Der Teil, der am meisten von diesen Förderungen profitiert, ist meist die Beratung.
- Den Geltungsbereich gut zuschneiden. Nur das zu zertifizieren, was Sie wirklich brauchen (einen Dienst, einen Standort), statt der gesamten Organisation auf einmal, senkt die Kosten und lässt Ihnen Raum zum späteren Wachsen.
- Nutzen, was Sie bereits haben. Wenn Sie andere Normen erfüllen oder bereits Maßnahmen eingerichtet haben, fangen Sie nicht bei null an.
- Das interne Team einbinden. Je mehr Ihre Leute vom Tagesbetrieb des Systems übernehmen, desto weniger Stunden externer Beratung brauchen Sie.
- Die Zertifizierungsstelle gut wählen. Holen Sie mehrere Angebote ein, verlangen Sie aber immer eine ENAC-Akkreditierung. Billig ohne Akkreditierung wird teuer, wenn es nichts wert ist.
Fehler, die die Kosten in die Höhe treiben
Zum Schluss die Fehltritte, die am teuersten werden und die ich immer wieder sehe:
- Nur nach dem niedrigsten Preis suchen. Ein Siegel ohne anerkannte Akkreditierung kann billig sein und völlig nutzlos, wenn ein Kunde es verlangt.
- Den Geltungsbereich falsch festlegen. Zu breit treibt die Kosten hoch; ihn mitten im Projekt zu ändern zwingt zu Nacharbeit.
- Die Norm als Papierkram behandeln. Schöne Dokumentation aufzubauen, ohne die Maßnahmen wirklich umzusetzen, führt zu Abweichungen, und diese zu beheben kostet mehr, als es beim ersten Mal richtig zu machen.
- Die wiederkehrenden Kosten vergessen. Nur Jahr 0 zu budgetieren und im Jahr 1 zu entdecken, dass es jährliche Überwachungen gibt.
- Das System zwischen den Audits ruhen lassen. Es jedes Jahr in letzter Minute wiederzubeleben kostet mehr Stunden und Nerven, als es aktuell zu halten.
Die Zertifizierung nach ISO 27001 ist eine Investition, kein Geld, das man zum Fenster hinauswirft. Gut angelegt öffnet sie Ihnen Türen im Vertrieb, erspart Ihnen Sicherheitsschrecken und zeigt vor allem Ihren Kunden, dass Sie deren Daten ernst nehmen. Wovon ich abrate, ist, allein nach dem Listenpreis zu entscheiden, denn diesen Listenpreis gibt es nicht.