ISO 27001: Kostenbandbreite nach Unternehmensgröße
Berechnet nach dem Mengengerüst für Informationssicherheits-Audits nach ISO/IEC 27006, mit marktüblichen Tagessätzen von 1.000 bis 1.600 Euro für Audits und 900 bis 1.400 Euro für Beratung. Angenommen sind ein Standort, mittlere Komplexität und ein Unternehmen, das bereits teilweise vorbereitet ist. Alle Beträge netto.
| Ausgangslage | Audittage | Erstaudit | Beratung | 3 Jahre gesamt |
|---|---|---|---|---|
| Kleinbetrieb8 Mitarbeitende | 2 | 3.000–4.200 € | 5.400–8.400 € | 11.080–16.888 € |
| Kleines Unternehmen20 Mitarbeitende | 3 | 4.000–5.800 € | 5.400–8.400 € | 13.420–20.632 € |
| Mittelstand60 Mitarbeitende | 5 | 6.000–9.000 € | 5.400–8.400 € | 18.100–28.120 € |
| Größerer Mittelstand150 Mitarbeitende | 8 | 9.000–13.800 € | 5.400–8.400 € | 25.120–39.352 € |
Bei ISO 27001 führt die übliche Kostenfrage in die Irre. Die Auditkosten sind wie überall nach IAF MD 5 bemessen und damit berechenbar. Was den Unterschied macht, sind zwei Größen, die vor dem ersten Angebot festgelegt werden: der Geltungsbereich und der Ausgangszustand der Informationssicherheit.
Der Geltungsbereich als Kostenhebel
Der Geltungsbereich legt fest, welche Organisationseinheiten, Standorte, Prozesse und Systeme das Managementsystem umfasst. Er steht auf dem Zertifikat, und er bestimmt den Auditaufwand.
Ein Beispiel für die Größenordnung: Ein IT-Dienstleister mit 80 Mitarbeitenden kann den Geltungsbereich auf den Betrieb der Rechenzentrumsdienste mit 25 beteiligten Personen begrenzen — oder das gesamte Unternehmen einschließlich Vertrieb, Verwaltung und Entwicklung einbeziehen. Die Audittage unterscheiden sich entsprechend deutlich, ebenso der interne Umsetzungsaufwand.
Der Haken: Ein zu enger Bereich entwertet das Zertifikat. Wenn Ihr Kunde die Sicherheit der Auftragsverarbeitung nachgewiesen sehen will und Ihr Zertifikat nur den Serverbetrieb abdeckt, hilft es ihm nicht. Diese Abstimmung gehört an den Anfang — eine spätere Erweiterung bedeutet zusätzliche Audits und meist eine neue Risikobeurteilung.
Die vier Kostenblöcke
1. Zertifizierungsaudit. Nach IAF MD 5 bemessen, mit ISMS-spezifischen Faktoren wie Komplexität der IT-Landschaft und Zahl der Standorte mit Datenverarbeitung.
2. Vorbereitung und Beratung. Der schwankendste Posten. Er hängt davon ab, wie viel Sicherheitsarbeit bereits geleistet wurde.
3. Technische Umsetzung. Der Posten, den es bei ISO 9001 so nicht gibt. Anhang A verlangt unter anderem Zugriffskontrolle, Protokollierung, Schwachstellenmanagement, Backup und Wiederherstellung, Netztrennung, Verschlüsselung. Fehlt davon Wesentliches, entstehen Investitionen — die allerdings unabhängig von der Zertifizierung fällig gewesen wären.
4. Laufender Betrieb. Risikobeurteilung aktuell halten, Vorfälle bearbeiten, Awareness-Maßnahmen durchführen, Lieferanten bewerten, interne Audits fahren. Das ist bei ISO 27001 aufwendiger als bei den meisten anderen Normen.
Was den Preis nach oben treibt
| Faktor | Wirkung |
|---|---|
| Weiter Geltungsbereich | Mehr Audittage, mehr Umsetzungsaufwand |
| Mehrere Standorte mit Datenverarbeitung | Zusätzliche Besuche oder Stichprobenverfahren |
| Eigene Softwareentwicklung | Zusätzliche Maßnahmen zur sicheren Entwicklung |
| Viele externe Dienstleister | Lieferantensteuerung wird zum eigenen Arbeitspaket |
| Kein bestehendes Sicherheitsniveau | Technische Umsetzung dominiert die Rechnung |
| Regulatorische Zusatzanforderungen | KRITIS, DORA oder Branchenvorgaben erhöhen die Prüftiefe |
Wo sich sparen lässt
Den Geltungsbereich präzise schneiden — nicht kleiner, als der Markt verlangt, aber auch nicht größer.
Vorhandenes anerkennen. Viele Unternehmen erfüllen einen erheblichen Teil von Anhang A bereits, ohne es dokumentiert zu haben. Eine ehrliche Bestandsaufnahme vor der Beratung senkt die Beratungstage spürbar.
Beratung für die Struktur, nicht für die Fleißarbeit. Externe Unterstützung lohnt bei Risikomethodik, Geltungsbereich und Erklärung zur Anwendbarkeit. Das Zusammentragen von Nachweisen ist intern billiger.
Mehrere Nachweise zusammen planen. Wer absehbar auch TISAX oder einen Prüfbericht nach BSI C5 braucht, sollte das System einmal so bauen, dass es alle trägt.
Beratungsförderung nutzen. Der Beratungsanteil ist häufig förderfähig — Details unter Förderung und Zuschüsse.
Was Stufe 1 bei ISO 27001 anders prüft
Bei den meisten Normen ist Stufe 1 eine Dokumentenprüfung mit Betriebsbesichtigung. Bei ISO 27001 ist sie eine Hürde. Der Auditor sieht sich vor allem drei Ergebnisse an: die Risikobeurteilung samt Methodik, den Risikobehandlungsplan und die Erklärung zur Anwendbarkeit. Fehlen sie oder passen sie nicht zusammen, ist die Auditbereitschaft nicht gegeben — und Stufe 2 wird verschoben.
Das ist der teuerste vermeidbare Fehler in diesem Verfahren, weil er zwei Termine kostet: den verlorenen und den neuen. Dazu kommt, dass Stufe 1 nicht beliebig lange vor Stufe 2 liegen darf. Wird der Abstand zu groß, ist Stufe 1 zu wiederholen. Wer absehen kann, dass die Risikobeurteilung nicht rechtzeitig steht, verschiebt besser Stufe 1 als Stufe 2.
Daraus folgt eine Reihenfolge, die nicht frei ist: erst Geltungsbereich, dann Werte und Risiken, dann Maßnahmenauswahl mit Begründung, dann Umsetzung. Wer mit der technischen Umsetzung beginnt, weil sie greifbarer wirkt, hat am Ende Maßnahmen ohne nachvollziehbare Herleitung — und genau die Herleitung wird geprüft.
Die Feststellungen, die Geld kosten
Fünf Befunde tauchen in ISO-27001-Audits mit großem Abstand am häufigsten auf. Jeder kann eine Nachbewertung auslösen, und jeder ist vorher erkennbar:
- Erklärung zur Anwendbarkeit und Risikobehandlungsplan passen nicht zusammen. In der Erklärung ist eine Maßnahme als angewendet markiert, im Behandlungsplan taucht sie nicht auf, im Betrieb gibt es keinen Nachweis. Das ist die häufigste Feststellung überhaupt.
- Ausschlüsse ohne tragfähige Begründung. Eine Maßnahme wird als nicht anwendbar erklärt, obwohl der zugehörige Sachverhalt im Unternehmen existiert. Typischer Fall: sichere Entwicklung wird ausgeschlossen, obwohl eigene Skripte und Automatisierungen produktiv laufen.
- Das Verzeichnis der Dienstleister ist unvollständig. Fachbereiche buchen Cloud-Dienste direkt. Was nicht über die IT läuft, fehlt im Lieferantenverzeichnis — und der Auditor findet es über die Kreditkartenabrechnung oder das Intranet.
- Protokolle werden erzeugt, aber nicht ausgewertet. Die Systeme schreiben mit, niemand sieht hinein, es gibt keinen definierten Anlass zur Auswertung. Die Maßnahme gilt damit nicht als umgesetzt.
- Die Überprüfung der Zugriffsrechte findet nicht statt. Sie ist im Verfahren beschrieben, aber es fehlt die Aufzeichnung des letzten Durchlaufs. Besonders auffällig bei Beschäftigten, die die Abteilung gewechselt haben und beide Berechtigungssätze behalten haben.
Für die Kalkulation ist das relevant, weil eine Hauptabweichung ein Nachaudit nach sich zieht — mit Anreise und Tagessatz. Der Aufwand, diese fünf Punkte vorher selbst zu prüfen, liegt bei wenigen Tagen interner Arbeit.
Was ISO 27001 nicht abdeckt
Die folgenreichste Verwechslung in diesem Feld betrifft den Datenschutz. Ein Informationssicherheitsmanagementsystem schützt Informationen. Es beantwortet nicht die Fragen der Datenschutz-Grundverordnung nach Rechtsgrundlage, Zweckbindung, Betroffenenrechten und Löschfristen. Wer das Zertifikat als Datenschutznachweis einsetzt, wird von einem informierten Auftraggeber zurückgewiesen. Die passende Erweiterung ist ISO 27701, die ein bestehendes System voraussetzt und den Aufwand zusätzlich erhöht.
Ebenso wenig ersetzt das Zertifikat einen Prüfbericht. Nachweise wie BSI C5 oder ein Bericht nach SOC 2 folgen einer anderen Logik: Sie bewerten, ob Kontrollen in einem Zeitraum wirksam waren, und werden von Prüfern nach eigenen Standards erstellt. Große Auftraggeber verlangen häufig genau diese Form. Klären Sie vor der Beauftragung, welchen Nachweis Ihr Kunde meint — die Verfahren sind nicht austauschbar, und der Umweg über das falsche kostet ein vollständiges zusätzliches Verfahren.
Regulatorische Vorgaben zur Cybersicherheit schließlich verlangen in aller Regel kein Zertifikat, sondern Nachweise über technische und organisatorische Maßnahmen, Meldewege und Verantwortlichkeiten. Ein Managementsystem liefert diese Nachweise, befreit aber nicht von der Anforderung. Wer wegen einer regulatorischen Pflicht zertifiziert, liest zuerst die Pflicht und schneidet danach den Geltungsbereich — nicht umgekehrt.
Der Fassungswechsel als Kostenposten
ISO 27001 wird überarbeitet, und mit jeder Überarbeitung ändert sich der Maßnahmenkatalog im Anhang. Für bereits zertifizierte Unternehmen setzt das Akkreditierungswesen dann eine Übergangsfrist, innerhalb derer ein Umstellungsaudit stattfinden muss. Wer sie verstreichen lässt, verliert das Zertifikat und beginnt von vorn.
Verlässlich sind dabei allein die geltende Bekanntmachung des International Accreditation Forum und die Information Ihrer Zertifizierungsstelle. Für die Budgetplanung folgt daraus: Ein Umstellungsaudit ist kein regulärer Zyklusposten und steht in keinem Erstangebot. Fragen Sie beim Vertragsschluss, wie Ihre Stelle einen Fassungswechsel abrechnet — als Teil des nächsten Überwachungsaudits oder als eigenen Termin. Der Unterschied ist ein Tagessatz plus Anreise.
Dasselbe gilt für Änderungen bei Ihnen: neue Standorte, ausgelagerte Systeme, ein zusätzlicher Cloud-Anbieter für zentrale Prozesse. Solche Änderungen sind der Zertifizierungsstelle zu melden und können den Geltungsbereich berühren. Wer sie erst im Überwachungsaudit erwähnt, bekommt eine Feststellung und im ungünstigen Fall eine Nachberechnung.
Der ehrliche Vergleich
Die Zahlen in der Tabelle oben zeigen die Bandbreite für einen typischen Fall bei mittlerer Komplexität und einem Standort. Sie sind eine Orientierung für die Größenordnung, kein Angebot.
Was sie nicht enthalten: die interne Arbeitszeit und die technische Umsetzung. Genau diese beiden Posten entscheiden bei ISO 27001 über die Gesamtrechnung — und sie unterscheiden sich zwischen zwei gleich großen Unternehmen um ein Vielfaches, je nachdem, wie ernst Informationssicherheit vorher genommen wurde.