Für ein Unternehmen mit 26 bis 125 Beschäftigten kostet die ISO-27001-Zertifizierung rund 50.000 bis 150.000 € im ersten Jahr, alles inklusive. Das Zertifizierungsaudit selbst macht davon 12.000 bis 22.500 € aus, abhängig von der Beschäftigtenzahl. Der Rest entfällt auf Beratung, die Zeit Ihrer eigenen Mitarbeitenden und das Beheben dessen, was die Gap-Analyse findet. Nach dem ersten Jahr kostet das Audit jährlich etwa ein Drittel davon.
Dieser Leitfaden behandelt die Auditkosten nach Unternehmensgröße, den Dreijahreszyklus, die Honorare von Beratern, die vier Kosten, die in keinem Angebot stehen, drei realistische Budgets und Wege, weniger auszugeben.
| Kostenposten | Typische Spanne | Wann Sie zahlen |
|---|---|---|
| Zertifizierungsstelle (Stage-1- und Stage-2-Audit) | 7.000 bis 26.000 €, nach Beschäftigtenzahl | Im ersten Jahr, danach jährlich Überwachung |
| Beratung oder externe Unterstützung | 6.000 bis 45.000 € | Überwiegend im ersten Jahr |
| Ihre eigenen Leute (0,3 bis 0,6 VZÄ) | 25.000 bis 65.000 € | Im ersten Jahr, danach weniger |
| Behebung und Tools | Einige tausend Euro bis 35.000 € und mehr | Im ersten Jahr, danach Lizenzen |
| Internes Audit, falls eingekauft | 4.000 bis 12.000 € | Jedes Jahr |
| Penetrationstest | 4.000 bis 10.000 € | Jedes Jahr |
Wie viel kostet das ISO-27001-Zertifizierungsaudit?
Das Audit ist der einzige Kostenblock mit einer veröffentlichten Struktur. Die Auditdauer ergibt sich aus den Akkreditierungsregeln, nach denen Ihre Zertifizierungsstelle arbeitet (ISO/IEC 27006), und sie steigt mit der Zahl der Personen im Geltungsbereich.
| Beschäftigte im Geltungsbereich | Audittage Zertifizierungsaudit | Typisches Honorar zu europäischen Tagessätzen |
|---|---|---|
| 1 bis 10 | 5 | 7.000 bis 9.000 € |
| 11 bis 15 | 6 | 8.500 bis 11.000 € |
| 16 bis 25 | 7 | 10.000 bis 13.000 € |
| 26 bis 45 | 8,5 | 12.000 bis 16.000 € |
| 46 bis 65 | 10 | 14.500 bis 19.000 € |
| 86 bis 125 | 12 | 17.500 bis 22.500 € |
| 176 bis 275 | 14 | 20.500 bis 26.000 € |
Die Tagessätze von Auditoren liegen in Westeuropa bei etwa 1.200 bis 1.600 € und sind in den letzten zwei Jahren deutlich gestiegen. Das Stage-1-Audit beansprucht 20 bis 30 % der Tage, das Stage-2-Audit den Rest.
Die Beschäftigtenzahl bestimmt den Preis, nicht der Umsatz. Ein Unternehmen mit vierzig Beschäftigten und zehn Millionen Umsatz zahlt dasselbe Audithonorar wie eines mit vierzig Beschäftigten und zwei Millionen. Wenn Sie im Zertifizierungsjahr einstellen, ist die Größenklasse aus dem Angebot vom Januar womöglich nicht die, in der Sie auditiert werden.
Der Geltungsbereich senkt die Audittage. Die Auditdauer berechnet sich aus den Personen innerhalb des ISMS-Geltungsbereichs, nicht aus dem ganzen Unternehmen. Das ist der größte Hebel, den Sie selbst in der Hand haben, und er wird Monate vorher entschieden, wenn Sie die Grenze ziehen. Deshalb verdienen Geltungsbereich und Erklärung zur Anwendbarkeit mehr Aufmerksamkeit, als sie meist bekommen.
Sind die Kosten für ISO 27001 einmalig?
Nein. Ein Zertifikat läuft in einem Dreijahreszyklus, und die ehrliche Zahl für die Geschäftsführung ist die Summe über drei Jahre.
| Jahr | Audit | Kosten im Verhältnis zum ersten Jahr |
|---|---|---|
| 1 | Stage 1 und Stage 2 | 100 % |
| 2 | Überwachungsaudit | etwa 33 % |
| 3 | Überwachungsaudit | etwa 33 % |
| 4 | Rezertifizierungsaudit | etwa 67 % |
Ein Unternehmen mit 50 Beschäftigten, dem 16.000 € für die Zertifizierung angeboten werden, muss in Wahrheit mit rund 27.000 € Honoraren der Zertifizierungsstelle über die ersten drei Jahre rechnen, dazu rund 10.700 € für die Rezertifizierung im vierten Jahr. Internes Audit und Managementbewertung kommen ebenfalls jedes Jahr wieder, das Programm fällt also nie auf null.
Was kostet ein ISO-27001-Berater?
Beratung für ein KMU reicht von etwa 6.000 € für Coaching und Vorlagen bis 45.000 € für jemanden, der das gesamte Programm steuert. Die Spanne zeigt vor allem, wie viel Arbeit bei Ihnen bleibt, nicht die Qualität.
Ein Beratungsangebot enthält verlässlich die Gap-Analyse, die Methode der Risikobeurteilung, die Erklärung zur Anwendbarkeit (SoA), die Richtlinien und die Auditvorbereitung. Ebenso verlässlich schließt es die Behebung dessen aus, was die Gap-Analyse findet. Deshalb landen Budgets, die auf einem Beratungsangebot aufbauen, bei der Hälfte der tatsächlichen Kosten.
Welche Kosten stehen in keinem ISO-27001-Angebot?
1. Ihre eigenen Leute, der größte Posten
Ein Programm in einem Unternehmen dieser Größe bindet über das Zertifizierungsjahr 0,3 bis 0,6 VZÄ (Vollzeitäquivalente), verteilt auf die ISMS-Verantwortung, Prozessverantwortliche, IT und Geschäftsleitung. Bei Vollkosten von 80.000 bis 110.000 € pro Kopf sind das 25.000 bis 65.000 € interne Zeit.
Diese Zeit taucht auf keiner Rechnung auf und deshalb selten in einem Budget. Sie entscheidet auch darüber, ob das Projekt pünktlich fertig wird, denn sie wird zurückgestellt, sobald im vierten Monat eine Kundeneskalation hereinkommt.
2. Die Behebung, die aus der Gap-Liste folgt
Die Gap-Analyse ist bepreist. Das Schließen der Lücken nicht. In Unternehmen ohne Sicherheitsfunktion kehren dieselben Punkte wieder: Multi-Faktor-Authentifizierung über den zentralen Identitätsanbieter hinaus, zentrale Protokollierung, Endgeräteverwaltung, Backups, deren Wiederherstellung getestet wurde, und ein Ein- und Austrittsprozess, der jedes Mal greift.
Dieser Posten reicht von einigen tausend Euro für Lizenzen bis zu einem ernsthaften Infrastrukturprojekt. Er hat die größte Streuung, also beziffern Sie ihn, bevor Sie irgendetwas unterschreiben. Genau dafür ist ein Security Audit vor dem Programm da.
3. Internes Audit und das Unabhängigkeitsproblem
Abschnitt 9.2 verlangt interne Audits, und Auditoren dürfen nicht ihre eigene Arbeit auditieren. In einem Unternehmen mit vierzig Beschäftigten ist die Person, die das Managementsystem aufgebaut hat, oft die einzige, die es versteht, und damit genau die Person, die es nicht auditieren kann.
Sie können eine zweite Person schulen, eine andere Funktion oder Konzerngesellschaft einbinden oder das Audit einkaufen. Ein extern erbrachtes internes Audit für einen KMU-Geltungsbereich kostet 4.000 bis 12.000 € pro Jahr, und zwar jedes Jahr.
4. Penetrationstests und technische Absicherung
ISO 27001 schreibt keinen Penetrationstest vor. Auditoren fragen aber unter Control A.8.8 nach dem Management technischer Schwachstellen. Für die meisten Software- und Dienstleistungsunternehmen ist ein Test die praktische Antwort, besonders wenn Kunden den Bericht ohnehin verlangen. Planen Sie 4.000 bis 10.000 € pro Jahr ein.
Was kostet ISO 27001 insgesamt?
Erstes Jahr, alles inklusive, für ein Unternehmen mit 26 bis 125 Beschäftigten:
| Budgetprofil | Zertifizierungsstelle | Externe Unterstützung | Interne Zeit | Behebung und Tools | Summe erstes Jahr |
|---|---|---|---|---|---|
| Schlank, starke Ausgangslage | 14.000 € | 8.000 € | 25.000 € | 5.000 € | etwa 52.000 € |
| Typisches KMU | 16.000 € | 22.000 € | 40.000 € | 18.000 € | etwa 96.000 € |
| Beratungsgeführt, schwache Ausgangslage | 18.000 € | 45.000 € | 55.000 € | 35.000 € | etwa 153.000 € |
Internes Audit und Penetrationstest kommen, wenn Sie beides einkaufen, mit 8.000 bis 22.000 € pro Jahr hinzu.
Die Zahl, die man sich für ein mittelgroßes KMU gegenseitig nennt, liegt bei 50.000 bis 80.000 €. Das ist ungefähr die mittlere Zeile ohne interne Zeit. Ob diese Ausgabe die richtige ist, ist eine andere Frage, beantwortet in Lohnen sich 50.000 € für ISO 27001?.
Wie lassen sich die Kosten für ISO 27001 senken?
Die meisten Mehrausgaben gehen auf drei Muster zurück.
- Berater fürs Schreiben bezahlen und dann noch einmal fürs Neuschreiben. Richtlinien, die jemand außerhalb des Unternehmens schreibt, beschreiben ein Unternehmen, das es nicht gibt. Im Stage-2-Audit fragt der Auditor die darin genannten Personen, was sie tun, und die Lücke wird zur Feststellung. Schreiben dauert Stunden. Neuschreiben dauert Monate.
- Den Kalender in der falschen Reihenfolge abarbeiten. Das Managementsystem muss vor dem Stage-2-Audit etwa drei Monate gelaufen sein, damit die Nachweise existieren. Teams, die zuerst die Dokumente polieren und die Nachweisuhr erst danach starten, hängen ein Quartal an. Die Reihenfolge steht in Wie lange ISO 27001 wirklich dauert.
- 93 Controls als 93 Projekte behandeln. Der größte Teil von Anhang A findet bereits teilweise statt und muss aufgezeichnet statt aufgebaut werden. Wer die Controls nach der Art der nötigen Arbeit sortiert, spart Wochen. Die Einteilung steht in Die Controls aus Anhang A, gruppiert nach tatsächlicher Arbeit.
Es gibt auch eine Variante des Programms, die am unteren Ende jeder Spanne landet: ein hart eingegrenzter Geltungsbereich, ein Vorlagensatz, der minimale Nachweiszeitraum, die günstigste akkreditierte Stelle und keine technische Behebung. Das funktioniert, und das Zertifikat ist echt. Zurück bleibt ein Satz von Controls, der dokumentiert ist, aber nicht betrieben wird: Ein monatlicher Scan, den niemand liest, erfüllt A.8.8, Protokolle, die niemand abfragt, erfüllen A.8.15, und eine schriftliche Vorgehensweise kann A.8.16 erfüllen, während nichts überwacht wird. Das Zertifikat beantwortet die Frage des Kunden. Es sagt Ihnen nicht, ob Sie einen Einbruch bemerken würden.
Günstiger ist es, vor Programmstart Dokumentationslücken von technischen Lücken zu trennen, die technischen mit Tools zu schließen, die ihre eigenen Nachweise erzeugen, und das Audit festhalten zu lassen, was tatsächlich läuft. So setzen wir ISO 27001 um, und die Variante für ein Unternehmen ohne Sicherheitsteam steht in ISO 27001 ohne Sicherheitsteam.
Ändert NIS2 das ISO-27001-Budget?
Nur, wenn Sie beides als zwei Projekte umsetzen. NIS2 verlangt die Risikomanagementmaßnahmen im Bereich der Cybersicherheit nach Artikel 21, und die meisten davon entsprechen Controls aus Anhang A, die Sie für ISO 27001 ohnehin umsetzen. Führen Sie ein Programm, pflegen Sie einen Satz Nachweise, und das zweite Rahmenwerk kostet nur einen Bruchteil des ersten. Die Zuordnung steht in ISO 27001 und NIS2: einmal statt zweimal.
Checkliste für das ISO-27001-Budget
- Zählen Sie die Personen im Geltungsbereich, nicht im ganzen Unternehmen, und ermitteln Sie Ihre Klasse bei den Audittagen.
- Holen Sie mindestens zwei Angebote von Stellen ein, die für ISO/IEC 27001 akkreditiert sind.
- Budgetieren Sie drei Jahre: das Zertifizierungsaudit, zwei Überwachungsaudits zu je etwa einem Drittel, die Rezertifizierung zu etwa zwei Dritteln.
- Beziffern Sie die interne Zeit: 0,3 bis 0,6 VZÄ im Zertifizierungsjahr.
- Bepreisen Sie die Behebung, bevor Sie einen Berater beauftragen, mit einer Gap-Analyse oder einem Sicherheitsaudit.
- Legen Sie fest, wer das interne Audit durchführt, und budgetieren Sie es jedes Jahr.
- Planen Sie einen Penetrationstest ein, wenn Kunden den Bericht verlangen.
- Wenn NIS2 für Sie gilt, planen Sie ein Programm für beides.
Häufige Fragen
Was kostet die ISO-27001-Zertifizierung für ein kleines Unternehmen?
Das Zertifizierungsaudit für ein Unternehmen mit 1 bis 10 Beschäftigten umfasst etwa 5 Audittage, also 7.000 bis 9.000 € zu westeuropäischen Tagessätzen. Die Gesamtkosten hängen weit stärker von der internen Zeit und der Behebung von Lücken ab als vom Audithonorar.
Sind die Kosten für ISO 27001 einmalig?
Nein. Ein Zertifikat läuft in einem Dreijahreszyklus: im ersten Jahr das Zertifizierungsaudit, im zweiten und dritten Jahr je ein Überwachungsaudit mit etwa einem Drittel der ursprünglichen Auditzeit und im vierten Jahr ein Rezertifizierungsaudit mit etwa zwei Dritteln. Internes Audit und Managementbewertung finden jedes Jahr statt.
Was kostet ein ISO-27001-Überwachungsaudit?
Etwa ein Drittel des ursprünglichen Zertifizierungsaudits, weil die Akkreditierungsregeln die Überwachungszeit auf rund ein Drittel der ursprünglichen Auditzeit festlegen. Ein Unternehmen, das 16.000 € für die Zertifizierung gezahlt hat, sollte für jedes Überwachungsjahr rund 5.300 € einplanen.
Verlangt NIS2 eine ISO-27001-Zertifizierung?
Nein. NIS2 verlangt die Risikomanagementmaßnahmen im Bereich der Cybersicherheit nach Artikel 21, kein Zertifikat. ISO 27001 ist der gängigste Weg, diese Maßnahmen umzusetzen und das nachzuweisen. Wer beides angeht, kann deshalb ein Programm statt zwei budgetieren.
Ist ein ISO-27001:2013-Zertifikat noch gültig?
Nein. Die Übergangsfrist für Zertifikate nach der Ausgabe 2013 endete am 31. Oktober 2025. Jedes gültige Zertifikat wird heute nach ISO/IEC 27001:2022 ausgestellt.
