Wat kost ISO 27001 certificering

Wat kost ISO 27001 certificering nu eigenlijk

Veel ondernemers stellen deze vraag pas nadat een klant of aanbesteding om certificering vraagt. Dan wil je snel weten waar je aan toe bent. De zichtbare kosten, zoals de factuur van de certificerende instantie, zijn meestal het makkelijkst in te schatten. Voor kleinere organisaties liggen die auditkosten doorgaans tussen de 3.000 en 7.000 euro voor de initiële certificeringsaudit. Maar dat is slechts een deel van het verhaal. De grootste kostenpost blijkt in de praktijk vaak niet de audit zelf, maar de interne tijd die nodig is om alles op orde te krijgen. Reken op enkele uren per week gedurende meerdere maanden voor de persoon die het traject trekt. Wie dit onderschat, komt vaak voor verrassingen te staan halverwege het proces.

Externe kosten en interne kosten lopen sterk uiteen

Bij het opzetten van een information security management system komen twee soorten kosten kijken: externe kosten en interne kosten. Externe kosten omvatten een externe adviseur of consultant, de auditkosten van de certificerende instelling, en eventueel software of tooling om het systeem te onderhouden. Een volledig begeleid traject met een externe adviseur kost al snel tussen de 15.000 en 40.000 euro. Interne kosten zijn minder zichtbaar, maar minstens zo belangrijk. Denk aan de tijd van medewerkers die processen moeten beschrijven, risico analyses uitvoeren en trainingen volgen. Voor middelgrote bedrijven met meerdere vestigingen loopt dit al snel op, simpelweg omdat meerdere teams betrokken zijn. Verborgen kosten, zoals productiviteitsverlies tijdens de implementatie, worden nogal eens over het hoofd gezien in eerste instantie.

Interne audits en de weg naar de initiële audit

Voordat de officiële beoordeling plaatsvindt, voert de organisatie meestal zelf interne audits uit. Dit kost tijd, maar bespaart uiteindelijk geld. Een interne auditor, vaak een medewerker of een ingehuurde specialist, controleert of het beleid daadwerkelijk wordt nageleefd. Zo voorkom je dat de initiële audit misloopt door zaken die je zelf al had kunnen ontdekken. De initiële audit zelf verloopt meestal in twee fasen: eerst een documentatiecontrole, daarna een uitgebreidere beoordeling in de praktijk. Slaag je? Dan volgt jaarlijks een lichtere controle audit, en na drie jaar een hercertificering. Deze opbouw zorgt ervoor dat de kosten niet in één keer neerslaan, maar verspreid worden over de gehele certificeringscyclus.

Technische maatregelen en passende maatregelen bepalen de prijs

Niet elke organisatie heeft dezelfde technische uitgangssituatie, en dat beïnvloedt de kosten flink. Werk je met meerdere cloudomgevingen, verschillende locaties of complexe IT infrastructuur? Dan vraagt de risicoanalyse meer tijd, en zijn er waarschijnlijk meer technische maatregelen nodig om risico’s af te dekken. Denk aan toegangsbeheer, encryptie, en monitoring van systemen. Kleine organisaties met een overzichtelijke IT omgeving komen er doorgaans goedkoper vanaf dan complexe organisaties met meerdere vestigingen en veel verschillende systemen. Het is dus lastig om zonder gedegen risicoanalyse exacte kosten te noemen. Een goede voorbereiding, waarbij je vooraf helder krijgt welke passende maatregelen nodig zijn, voorkomt dat je halverwege het traject alsnog moet bijsturen op techniek.

Aantal medewerkers en aantal locaties spelen een grote rol

De omvang van je organisatie is een van de grootste kostendrijvers. Kleine organisaties tot 25 medewerkers betalen doorgaans het minst, terwijl middelgrote bedrijven met 25 tot 100 medewerkers vaak een complexere structuur hebben, met meer processen en meer belanghebbenden. Heb je meerdere locaties of vestigingen? Dan neemt zowel de auditduur als de interne implementatiekosten toe, simpelweg omdat er meer te beoordelen valt. Een security officer of interne coördinator kan hier veel werk uit handen nemen door het traject centraal te bewaken, maar ook deze rol kost tijd en dus geld. Voor grotere bedrijven met complexe organisatiestructuren is het daarom verstandig om vroeg in het traject een realistische inschatting te maken van de benodigde capaciteit.

ISMS onderhouden kost ook na certificering geld

Een veelgemaakte denkfout is dat de kosten stoppen zodra het certificaat binnen is. Niets is minder waar. Het ISMS onderhouden vraagt om continue aandacht: jaarlijkse interne audits, het bijwerken van risicoanalyses, en het trainen van nieuwe medewerkers. Daarnaast vinden er periodiek tussentijdse controle audits plaats door de certificerende instellingen, gevolgd door hercertificering na drie jaar. Deze doorlopende kosten zijn vaak lager dan de initiële implementatie, maar mogen niet worden vergeten in de totale begroting. Zie het als een vaste post in je bedrijfsvoering, net als verzekeringen of accountancy. De investering die het oplevert, in de vorm van aantoonbare informatiebeveiliging en toegang tot aanbestedingen, weegt voor de meeste organisaties ruimschoots op tegen deze structurele kosten.

Een realistische inschatting voor jouw organisatie

Twijfel je nog wat ISO 27001 certificering voor jouw specifieke situatie gaat kosten? Dat is logisch, want de totale kosten hangen sterk af van jouw organisatie, sector en huidige processen. Bij VMB Consult maken we samen met jou een concrete kosteninschatting, gebaseerd op de omvang, complexiteit en het aantal locaties van jouw bedrijf. Zo weet je vooraf precies waar je aan toe bent, zonder verrassingen achteraf. Benieuwd naar de mogelijkheden en tarieven voor jouw organisatie? Bekijk onze pagina over tarieven ISO 27001 en NEN 7510 of plan direct een gratis adviesgesprek in.

Veelgestelde vragen over de kosten van ISO 27001 certificering