Kostenoverzicht van ISO 27001 certificering

Voor de meeste mkb- en SaaS-organisaties ligt de totale investering tussen € 16.000 en € 28.000, verdeeld over acht fasen: van scopebepaling tot en met de fase 2-audit. In dat bedrag zitten de begeleiding, de interne audit, de kosten van de certificerende instelling en de uren die uw eigen mensen erin steken.

Marktbreed zien we bedragen van rond de € 10.000 voor een kleine, overzichtelijke organisatie tot ver boven de € 50.000 voor bedrijven met meerdere locaties of een complexe IT-omgeving. Waar u uitkomt hangt af van uw scope, uw uitgangssituatie en hoeveel u zelf oppakt.

Reken voor een mkb-organisatie op vier tot negen maanden van scopebepaling tot certificaat. Kleine, cloud-native bedrijven met een smalle scope halen het soms in vier maanden. Grotere organisaties of bedrijven zonder bestaande beveiligingsmaatregelen zitten eerder aan de kant van negen maanden of langer.

De implementatie van de beheersmaatregelen is meestal de fase die het langst duurt en het meest schommelt. Plan de externe audit ook tijdig in, want certificerende instellingen hebben vaak een wachttijd van enkele weken tot maanden.

Op papier wel, in de praktijk vaak niet. Wie zonder begeleiding werkt, betaalt geen adviesuren, maar steekt er veel meer eigen tijd in. De norm doorgronden, alle documenten van nul opbouwen en fouten pas ontdekken bij de externe audit kost een klein bedrijf al snel 200 tot 400 interne uren. Bij een middelgrote organisatie kan dat verdubbelen.

Een heraudit na afwijkingen betekent bovendien extra auditdagen bij de certificerende instelling. Met begeleiding en kant-en-klare templates is het traject meestal korter en weet u vooraf wat het gaat kosten.

Het certificaat is drie jaar geldig. In jaar één en twee komt de certificerende instelling terug voor een surveillance-audit, die ongeveer de helft van de tijd van de eerste audit kost. In jaar drie volgt een hercertificeringsaudit die vergelijkbaar is met de oorspronkelijke fase 2-audit.

Daarnaast vraagt de norm elk jaar een interne audit en een directiebeoordeling, en moet het ISMS actueel blijven. Voor een mkb-organisatie komt dat neer op zo’n € 4.000 tot € 8.000 per jaar aan externe kosten, plus de interne uren.

De certificerende instelling rekent per auditdag. Het aantal dagen volgt uit richtlijnen van het International Accreditation Forum en hangt vooral af van het aantal medewerkers binnen de scope, het aantal locaties en de complexiteit van uw processen en IT. Een organisatie met 25 tot 45 medewerkers zit indicatief op vier tot vijf auditdagen voor fase 1 en 2 samen, tegen een dagtarief van grofweg € 1.000 tot € 1.500.

Vraag altijd offertes op bij meerdere geaccrediteerde instellingen. De tarieven en de aanpak verschillen, en een auditor met ervaring in uw sector begrijpt uw omgeving sneller.

Ja, en dat is vaak de grootste besparing die u kunt doen. U hoeft niet de hele organisatie in één keer te certificeren. Veel bedrijven beginnen met één product, één dienst of één afdeling en breiden later uit. Een kleinere scope betekent minder beheersmaatregelen om in te richten, minder mensen om te interviewen en minder auditdagen.

De scope moet wel logisch en geloofwaardig zijn. Een softwarebedrijf dat alleen zijn marketingafdeling certificeert, krijgt daar vragen over van klanten en auditors. In de scopingfase bepalen we samen met u waar de grens het beste ligt.

Als u al ISO 9001 hebt, of ook NEN 7510, ISO 27701 of ISO 42001 nodig hebt, is combineren bijna altijd voordeliger dan los certificeren. De normen volgen dezelfde structuur, waardoor u de directiebeoordeling, de interne audit, het documentbeheer en het afwijkingenproces maar één keer hoeft in te richten.

Ook de externe audit kan gecombineerd worden. NEN 7510 bovenop ISO 27001 kost bij de meeste instellingen maar een halve tot een hele auditdag extra, en voor een geïntegreerd managementsysteem geven instellingen vaak korting op de gecombineerde audit.