Wer das lesen sollte: alle, die für das nächste Budget eine Zahl für ISO 27001 nennen sollen, ein Angebot vorliegen haben und vermuten, dass es nicht das ganze Bild zeigt.
Die Vermutung stimmt. Das Angebot einer Zertifizierungsstelle deckt das Audit ab. Das Angebot einer Beratung deckt die Dokumentation ab. Dazwischen und darum herum liegen vier Kostenposten, die in keinem von beiden stehen, und in einem Unternehmen mit 20 bis 250 Beschäftigten übersteigen sie üblicherweise beide Angebote zusammen.
Hier das Ganze, in der Reihenfolge, in der das Geld abfließt.
Die Zertifizierungsstelle: der kleinste Posten und der einzige feste
Das ist der einzige Kostenblock mit einer veröffentlichten Struktur dahinter. Die Auditdauer ist kein Verhandlungsspielraum, sie ergibt sich aus den Akkreditierungsregeln Ihrer Zertifizierungsstelle und skaliert mit der Personalstärke.
| Beschäftigte | Audittage der Zertifizierung | Typisches Honorar zu europäischen Tagessätzen |
|---|---|---|
| 1 bis 10 | 5 | 7.000 bis 9.000 € |
| 11 bis 15 | 6 | 8.500 bis 11.000 € |
| 16 bis 25 | 7 | 10.000 bis 13.000 € |
| 26 bis 45 | 8,5 | 12.000 bis 16.000 € |
| 46 bis 65 | 10 | 14.500 bis 19.000 € |
| 86 bis 125 | 12 | 17.500 bis 22.500 € |
| 176 bis 275 | 14 | 20.500 bis 26.000 € |
Tagessätze für Auditoren liegen in Westeuropa bei etwa 1.200 bis 1.600 € und sind in den letzten zwei Jahren deutlich gestiegen. Stufe 1 beansprucht 20 bis 30 Prozent der Gesamttage, Stufe 2 den Rest.
Aus dieser Tabelle folgen zwei Dinge für Ihre Budgetierung.
Die Personalstärke bestimmt den Preis, nicht der Umsatz. Ein Unternehmen mit vierzig Beschäftigten und zehn Millionen Umsatz zahlt dasselbe Audithonorar wie eines mit vierzig Beschäftigten und zwei Millionen. Wenn Sie im Zertifizierungsjahr einstellen, ist die im Januar angebotene Größenklasse womöglich nicht die auditierte.
Der Anwendungsbereich senkt die Tage. Die Auditdauer errechnet sich aus den Personen innerhalb des ISMS-Anwendungsbereichs, nicht aus dem gesamten Unternehmen. Das ist der größte Hebel, den Sie in der Hand haben, und er wird Monate früher entschieden, beim Ziehen der Grenze. Sich dabei in eine der beiden Richtungen zu irren ist teuer, weshalb Anwendungsbereich und Erklärung zur Anwendbarkeit mehr Aufmerksamkeit verdienen, als sie üblicherweise bekommen.
Budgetieren Sie über drei Jahre, denn das Zertifikat ist ein Dreijahresobjekt
Ein ISO 27001 Zertifikat läuft in einem Dreijahreszyklus. Jahr eins ist das Zertifizierungsaudit. Die Jahre zwei und drei sind Überwachungsaudits mit jeweils etwa einem Drittel des ursprünglichen Honorars. Am Ende des dritten Jahres folgt die Rezertifizierung, die ungefähr so viel kostet wie Jahr eins.
| Jahr | Ereignis | Kosten im Verhältnis zu Jahr eins |
|---|---|---|
| 1 | Stufe 1 und Stufe 2 | 100 % |
| 2 | Überwachung | ~33 % |
| 3 | Überwachung | ~33 % |
| 4 | Rezertifizierung | ~100 % |
Ein Unternehmen mit 50 Beschäftigten, das mit 16.000 € für die Zertifizierung rechnet, blickt in Wahrheit auf rund 27.000 € Honorare der Zertifizierungsstelle über drei Jahre, vor allem Übrigen. Eine Dreijahressumme ist die ehrliche Zahl für eine Geschäftsführung, und sie lässt die jährlichen Kosten vernünftig statt alarmierend wirken.
Was das Beratungsangebot abdeckt
Beratungsunterstützung für ein mittelständisches Programm reicht von etwa 6.000 € für Coaching und Vorlagen bis 45.000 € für eine vollständige Steuerung. Diese Spanne beschreibt vor allem nicht die Qualität, sondern wie viel Arbeit bei Ihnen bleibt.
Was ein Beratungsangebot verlässlich enthält: Gap-Analyse, Methode der Risikobeurteilung, Erklärung zur Anwendbarkeit, das Regelwerk, Auditvorbereitung.
Was es ebenso verlässlich ausschließt: das Beheben dessen, was die Gap-Analyse findet.
Diese Unterscheidung ist der Kern der Sache und der Grund, weshalb Budgets, die auf einem Beratungsangebot aufbauen, bei der Hälfte der späteren Kosten landen.
Die vier Posten, die niemand beziffert
1. Ihre eigenen Leute, der größte Posten
Ein ISO 27001 Programm in einem Unternehmen dieser Größe verbraucht im Zertifizierungsjahr zwischen 0,3 und 0,6 Vollzeitäquivalente, verteilt auf eine ISMS-Verantwortung, Prozessverantwortliche, IT und Leitung. Bei Vollkosten von 80.000 bis 110.000 € pro Kopf sind das 25.000 bis 65.000 € interne Zeit.
Sie erscheint auf keiner Rechnung, deshalb selten in einem Budget, und sie ist fast immer die größte Zahl auf dieser Seite. Sie entscheidet auch darüber, ob das Projekt im Zeitplan bleibt, denn sie ist die Position, die still nach hinten rutscht, wenn im vierten Monat eine Kundeneskalation hereinkommt.
2. Die Behebung, die aus der Gap-Liste entsteht
Die Gap-Analyse ist bepreist. Das Schließen der Lücken nicht. Was dabei herauskommt, hängt ganz vom Ausgangspunkt ab, doch die wiederkehrenden Punkte in Unternehmen ohne Sicherheitsfunktion sind stabil: Mehrfaktor-Authentifizierung über den zentralen Identitätsanbieter hinaus, zentrale Protokollierung, wo bisher keine war, Endgeräteverwaltung, eine tatsächlich getestete Prüfung der Sicherungen, ein Ein- und Austrittsprozess, der zuverlässig läuft.
Je nachdem, wie viel davon bereits existiert, reicht dieser Posten von einigen tausend Euro Lizenzkosten bis zu einem ernsthaften Infrastrukturprojekt. Er hat die größte Streuung und lohnt eine Quantifizierung, bevor Sie irgendetwas unterschreiben, wofür ein strukturiertes Audit vor dem Programm gedacht ist.
3. Internes Audit und das Unabhängigkeitsproblem
Abschnitt 9.2 verlangt interne Audits und verlangt, dass Auditoren nicht ihre eigene Arbeit auditieren. In einem Unternehmen mit vierzig Beschäftigten ist die Person, die das Managementsystem aufgebaut hat, die einzige, die es versteht, und damit die einzige, die es nicht auditieren darf.
Bleiben drei Möglichkeiten: eine zweite Person ausbilden, eine andere Funktion oder Konzerngesellschaft einbinden, oder es einkaufen. Ein extern erbrachtes internes Audit für einen mittelständischen Anwendungsbereich kostet 4.000 bis 12.000 € pro Jahr, jedes Jahr, nicht einmalig.
4. Penetrationstests und technische Absicherung
ISO 27001 schreibt keinen Penetrationstest vor. Auditoren fragen nach der technischen Schwachstellenbewertung unter A.8.8, und für die meisten Software- und Dienstleistungsunternehmen ist ein Test die praktische Antwort, zumal Kunden den Bericht ohnehin verlangen. Planen Sie 4.000 bis 10.000 € jährlich ein.
Drei ehrliche Budgetprofile
Jahr eins, alles inklusive, für ein Unternehmen mit 26 bis 125 Beschäftigten:
| Profil | Zertifizierungsstelle | Externe Unterstützung | Interne Zeit | Behebung und Werkzeuge | Summe Jahr eins |
|---|---|---|---|---|---|
| Schlank, guter Ausgangspunkt | 14.000 € | 8.000 € | 25.000 € | 5.000 € | ~52.000 € |
| Typischer Mittelständler | 16.000 € | 22.000 € | 40.000 € | 18.000 € | ~96.000 € |
| Beratungsgeführt, schwacher Ausgangspunkt | 18.000 € | 45.000 € | 55.000 € | 35.000 € | ~153.000 € |
Die Zahl, die man sich für einen mittelgroßen Mittelständler gegenseitig nennt, 50.000 bis 80.000 €, entspricht ungefähr der mittleren Zeile ohne interne Zeit. Ob diese Ausgabe die richtige ist, ist eine andere Frage, behandelt in Sind 50.000 € für ISO 27001 es wert.
Wo das Geld tatsächlich verloren geht
Drei Muster erklären den größten Teil der Überschreitungen, die wir sehen.
Beratung fürs Schreiben bezahlen, dann fürs Neuschreiben. Regelwerke, die jemand von außerhalb verfasst, beschreiben ein Unternehmen, das es nicht gibt. In Stufe 2 fragt der Auditor die dort benannten Personen, was sie tun, und die Lücke wird zur Feststellung. Schreiben dauert Stunden. Neuschreiben dauert Monate.
Den Kalender in falscher Reihenfolge abarbeiten. Ihr Managementsystem muss vor Stufe 2 etwa drei Monate in Betrieb gewesen sein, damit die Nachweise existieren. Teams, die zuerst die Dokumentation perfektionieren und danach die Nachweisuhr starten, hängen ein ganzes Quartal an, und ein Quartal bei dieser Ausgabenrate ist echtes Geld. Ausführlicher in Wie lange ISO 27001 wirklich dauert.
93 Maßnahmen als 93 Projekte behandeln. Der größte Teil von Anhang A geschieht bereits teilweise und muss aufgezeichnet statt aufgebaut werden. Die Maßnahmen nach Art der Arbeit zu sortieren statt sie numerisch abzuarbeiten, spart Wochen. Diese Gruppierung steht in Die Maßnahmen aus Anhang A, gruppiert für die tatsächliche Arbeit.
Eine strukturelle Änderung, die man kennen sollte
Jedes gültige ISO 27001 Zertifikat wird inzwischen gegen die Fassung von 2022 ausgestellt. Das Übergangsfenster für Zertifikate nach der Ausgabe 2013 schloss am 31. Oktober 2025. Ein Lieferant, der heute ein 2013er Zertifikat vorlegt, legt ein abgelaufenes vor.
Das ist eher kommerziell als technisch relevant. Wenn ein Kundenfragebogen Ihr Zertifikat verlangt und das eines Wettbewerbers veraltet ist, ist das in diesem Jahr ein echter Unterschied. Es bedeutet auch, dass jede vor 2023 veröffentlichte Umsetzungshilfe einen Maßnahmensatz beschreibt, den es nicht mehr gibt.
Die technische Realität: was der billigste Weg offen lässt
Es gibt eine Variante dieses Programms, die am unteren Ende jeder Spanne landet. Den Anwendungsbereich hart eingrenzen, einen Vorlagensatz kaufen, die Mindestnachweisdauer einhalten, die günstigste akkreditierte Stelle wählen und die technische Behebung auslassen, weil Anhang A keine bestimmte Umsetzungsgüte erzwingt.
Das funktioniert. Sie bekommen das Zertifikat, und es ist echt.
Was bleibt, ist ein Maßnahmensatz, der dokumentiert statt betrieben ist. A.8.8 sagt, technische Schwachstellen seien zu handhaben, und ein monatlicher Scan mit einem Bericht, den niemand liest, erfüllt das. A.8.15 sagt, Protokolle seien zu führen, und Protokolle auf einer Platte, die niemand abfragt, erfüllen das. A.8.16 verlangt Überwachung, und hier ist die Lücke am größten, denn die Maßnahme lässt sich mit einer dokumentierten Vorgehensweise erfüllen, während tatsächlich nichts beobachtet.
Das Zertifikat beantwortet die Frage des Kunden. Es beantwortet nicht, ob Sie einen Einbruch bemerken würden. Das sind zwei verschiedene Fragen, und mehr Geld für die erste beantwortet die zweite nicht.
Der günstigere Weg ist, vor Programmstart zu wissen, welche Lücken Dokumentation sind und welche technisch, die technischen mit Werkzeugen zu schließen, die ihre eigenen Nachweise erzeugen, und das Zertifikat aus Arbeit folgen zu lassen, die ohnehin sinnvoll war. Dann hält das Audit fest, was wirklich läuft, statt zu beschreiben, was aufgeschrieben wurde. Ein vCISO Security Audit erzeugt genau diese Trennung, und das größere Bild ohne Sicherheitsteam steht in ISO 27001 für ein Unternehmen ohne Sicherheitsteam.
