Zwischen 10.000 und 100.000 Euro: Die Spannen, die man zu ISO 27001 findet, helfen bei der Budgetplanung wenig. Diese Aufschlüsselung zeigt, welche Posten tatsächlich anfallen.
Die Frage nach den Kosten einer ISO 27001 Zertifizierung kommt selten aus reinem Interesse. Meistens hat ein Kunde den Nachweis verlangt oder eine Ausschreibung setzt ihn voraus. Und dann braucht jemand eine Zahl, die er intern vertreten kann.
Das Problem: Die Zahlen, die man findet, schwanken zwischen 10.000 und 100.000 Euro, meist ohne dass dazugesagt wird, welche Annahmen dahinterstecken. Dieser Artikel schlüsselt auf, woraus sich die Kosten zusammensetzen, wie die Zertifizierungsstelle ihren Preis überhaupt berechnet und welche Posten in Jahr zwei und drei noch dazukommen.
Alle Beträge in diesem Artikel sind Orientierungswerte für den deutschen Markt. Verbindlich ist immer nur ein konkretes Angebot einer akkreditierten Zertifizierungsstelle für Ihren Geltungsbereich.
Für ein Unternehmen mit rund 50 Mitarbeitern, einem Standort und mittlerer Komplexität liegen die Gesamtkosten im ersten Jahr typischerweise zwischen 25.000 und 60.000 Euro. Davon entfallen nur etwa 20 bis 30 Prozent auf die Zertifizierungsstelle selbst. Der größere Teil steckt in Vorbereitung, Beratung, Tooling und im eigenen Personal.
Die vier Kostenblöcke im Überblick:
| Kostenblock | Anteil an Jahr 1 (Richtwert) | Wer stellt in Rechnung |
|---|---|---|
| Zertifizierungsaudit (Stufe 1 + Stufe 2) | 20–30 % | Zertifizierungsstelle |
| Beratung und externe Unterstützung | 25–40 % | Beratung / externer ISB |
| ISMS-Software oder Plattform | 5–15 % | Softwareanbieter |
| Interner Aufwand (Personentage) | 25–40 % | niemand — taucht in keiner Rechnung auf |
Der letzte Punkt ist der, der Budgets später reißen lässt. Er erscheint auf keiner Rechnung, bindet aber über Monate Kapazität von Menschen, die nebenher ihren eigentlichen Job machen sollen.
Die Zertifizierungsstelle prüft in zwei Stufen. Stufe 1 ist die Dokumentenprüfung und die Bewertung, ob das Managementsystem überhaupt auditfähig ist. Stufe 2 ist das eigentliche Zertifizierungsaudit vor Ort oder remote, in dem die Wirksamkeit geprüft und der Auditbericht erstellt wird.
Abgerechnet wird nach Audittagen. Übliche Tagessätze akkreditierter Zertifizierungsgesellschaften in Deutschland liegen bei etwa 1.400 bis 2.200 Euro, dazu kommen Zertifikatsgebühr und Reisekosten. Für ein mittelständisches Unternehmen mit einem Standort landet man damit meist bei 10.000 bis 20.000 Euro für die Erstzertifizierung. Das sind die reinen Zertifikatskosten — der Betrag, den viele meinen, wenn sie nach ISO 27001 Zertifikat Kosten suchen, und der Grund, warum die Budgetplanung so oft daneben liegt.
Wichtig ist die Akkreditierung: Nur ein Zertifikat einer bei der DAkkS akkreditierten Zertifizierungsstelle wird von Kunden und in Ausschreibungen zuverlässig anerkannt. Nicht akkreditierte Anbieter sind günstiger, und genau deshalb sind sie ein Risiko, wenn das Zertifikat später einem Einkauf oder einem Auditor standhalten soll.
Der zweitgrößte Block. Externe Beratung wird üblicherweise mit 1.200 bis 1.800 Euro pro Tag abgerechnet, ein externer Informationssicherheitsbeauftragter auf Mandatsbasis oft im Monatsmodell.
Der Aufwand hängt fast vollständig davon ab, wie viel bereits dokumentiert ist. Ein Unternehmen, das seine Prozesse ohnehin schriftlich führt und Nachweise sauber ablegt, braucht Begleitung an wenigen Stellen. Ein Unternehmen, das bei null anfängt, kauft 20 bis 40 Beratungstage ein.
Eine Plattform ersetzt keine Arbeit, sie strukturiert sie. Für Risikoregister, Maßnahmenverfolgung, Nachweise und Dokumentenlenkung liegen Lizenzkosten je nach Anbieter und Unternehmensgröße bei etwa 3.000 bis 15.000 Euro pro Jahr.
Für kleine Organisationen mit klarem Geltungsbereich reichen strukturierte Dokumente und ein Ticketsystem oft aus. Ab etwa 100 Mitarbeitern oder mehreren Standorten wird die Pflege ohne Werkzeug unangenehm, weil die Nachweisführung über den Drei-Jahres-Zyklus sonst an einzelnen Personen hängt.
Der Posten, den fast jede Kalkulation unterschätzt. Realistisch sind 40 bis 120 Personentage verteilt über Projektleitung, IT, Fachbereiche und Geschäftsführung. Bei einem intern gerechneten Tagessatz von 400 bis 600 Euro sind das 16.000 bis 70.000 Euro, die zwar nicht als Rechnung ankommen, aber trotzdem bezahlt werden — in Form von Projekten, die parallel liegenbleiben.
Wer diesen Block in der Vorlage an die Geschäftsführung nicht ausweist, bekommt spätestens im dritten Projektmonat eine unangenehme Diskussion.
Ein ISMS verlangt nachweisbar geschulte Mitarbeiter. Ein Security Awareness Training für die Belegschaft kostet je nach Format 20 bis 60 Euro pro Kopf und Jahr. Dazu kommen Fachausbildungen für die Rollen im ISMS, etwa ISO 27001 Lead Implementer oder Lead Auditor, mit 2.000 bis 3.500 Euro pro Person.
Die Zahl der Audittage ist keine Verhandlungssache. Zertifizierungsstellen müssen sich an die Vorgaben aus ISO/IEC 27006-1 halten, der Norm, die festlegt, welche Anforderungen Stellen erfüllen müssen, die ISMS-Audits anbieten. Die Auditzeit wird dort aus der Zahl der Beschäftigten im Geltungsbereich abgeleitet und anschließend nach Komplexität, Anzahl der Standorte und Risikoprofil angepasst.
Das ist der Grund, warum der Preis der Zertifizierungsstelle relativ vorhersehbar ist — und warum es sich lohnt, den Geltungsbereich sauber zu schneiden, bevor man Angebote einholt.
| Beschäftigte im Geltungsbereich | Audittage Stufe 1 + Stufe 2 (Richtwert) | Auditkosten Erstzertifizierung (Richtwert) |
|---|---|---|
| bis 25 | ca. 5–7 Tage | 8.000–14.000 EUR |
| 26–65 | ca. 7–10 Tage | 11.000–19.000 EUR |
| 66–125 | ca. 10–12 Tage | 15.000–25.000 EUR |
| 126–275 | ca. 12–15 Tage | 19.000–32.000 EUR |
Die Zeitspanne verlängert sich unter anderem bei mehreren Standorten, bei hoher Regulierungsdichte und bei Prozessen, die stark ausgelagert sind. Sie verkürzt sich, wenn ein Multi-Site-Verfahren greift oder Teile remote auditiert werden können.
Nachverhandeln lässt sich hier wenig. Der Hebel liegt eine Stufe früher, beim Zuschnitt des Geltungsbereichs.
Suchen Sie die Spalte, die Ihrer Ausgangslage am nächsten kommt. Alle Werte sind Orientierungswerte für Jahr 1.
| Position | 20 Mitarbeiter, 1 Standort | 80 Mitarbeiter, 1 Standort | 250 Mitarbeiter, 3 Standorte |
|---|---|---|---|
| Zertifizierungsaudit Stufe 1 + 2 | 9.000 EUR | 18.000 EUR | 30.000 EUR (inkl. Multi-Site) |
| Beratung | 14.000 EUR (10 Tage) | 35.000 EUR (25 Tage) | 56.000 EUR (40 Tage) |
| ISMS-Tooling | 3.000 EUR | 8.000 EUR | 15.000 EUR |
| Schulung und Awareness | 1.500 EUR | 4.000 EUR | 12.000 EUR |
| Zahlungswirksam gesamt | 27.500 EUR | 65.000 EUR | 113.000 EUR |
| Interner Aufwand | 18.000 EUR (40 PT) | 37.500 EUR (75 PT) | 66.000 EUR (120 PT) |
| Gesamtkosten Jahr 1 | 45.500 EUR | 102.500 EUR | 179.000 EUR |
Typische Ausgangslage ist ein IT-Dienstleister oder Softwareanbieter, dessen Enterprise-Kunden das Zertifikat verlangen. Der Geltungsbereich ist eng, oft nur Entwicklung und Betrieb der eigenen Plattform. Das drückt die Auditzeit spürbar.
Hier zeigt sich, warum die Zahlen im Netz so weit auseinandergehen. Wer nur die zahlungswirksamen Positionen nennt, kommt auf 65.000 Euro. Wer den internen Aufwand einrechnet, auf über 100.000. Welche Zahl Sie nennen, hängt davon ab, wer sie liest: Der Einkauf braucht die zahlungswirksame Summe, die Geschäftsführung sollte die Gesamtzahl kennen, bevor sie über Kapazitäten entscheidet.
Ab dieser Größe wird die Frage relevant, ob eine eigene Stelle für Informationssicherheit geschaffen wird. Wer die Rolle dauerhaft besetzt, verlagert Kosten von der Beratung ins Personalbudget. Das macht sie planbarer, aber auch dauerhaft.
Der Geltungsbereich ist der größte Hebel. Ob Sie das gesamte Unternehmen zertifizieren oder nur den Bereich, für den Ihre Kunden den Nachweis brauchen, entscheidet über Auditzeit, Dokumentationsaufwand und die Zahl der beteiligten Fachbereiche. Die Frage dahinter ist immer dieselbe: Zu welchem Zweck holen Sie das Zertifikat, und welcher Teil des Unternehmens muss dafür tatsächlich abgedeckt sein?
Standorte und Remote-Anteil. Mehrere Standorte erhöhen die Auditzeit und die Reisekosten. Ein Multi-Site-Verfahren mit Stichproben kann das deutlich dämpfen, muss aber von der Zertifizierungsstelle akzeptiert werden.
Reifegrad der vorhandenen Nachweise. Wer Prozesse bereits dokumentiert, Änderungen nachvollziehbar führt und ein funktionierendes Berechtigungsmanagement hat, kauft weniger Beratung ein. Der Unterschied zwischen einer gut geführten IT und einer gewachsenen Struktur macht in der Beratung schnell 15 Tage aus.
Technische Ausgangslage. Fehlt grundlegende Absicherung, wird sie im Projekt sichtbar und muss finanziert werden. Netzwerksegmentierung, Protokollierung und Backup-Konzepte sind keine ISO-Kosten im engeren Sinn, tauchen aber regelmäßig als Maßnahmen im Risikobehandlungsplan auf.
Branche und Regulierung. Wer ohnehin unter NIS2 fällt, hat einen Teil der Anforderungen bereits auf dem Tisch. Die Pflichten aus NIS2 für Industrie und KMU überschneiden sich erheblich mit den Anforderungen der ISO 27001, was den Zusatzaufwand für die Zertifizierung reduziert.
Welcher Weg passt zu Ihrer Ausgangslage? Nicht jedes Unternehmen braucht dieselbe Variante:
| Weg | Passt, wenn | Kostenwirkung |
|---|---|---|
| ISO 27001 nativ | Kunden, Ausschreibungen oder Konzernmütter verlangen ein international anerkanntes Zertifikat | Referenzfall, Grundlage aller Zahlen in diesem Artikel |
| ISO 27001 auf Basis IT-Grundschutz | Behörden, öffentlicher Sektor oder Kunden aus KRITIS erwarten den BSI-Weg | methodisch stärker vorgegeben, in der Umsetzung aufwendiger |
| ISMS ohne Zertifizierung | niemand verlangt den Nachweis, das Ziel ist reale Risikoreduktion | Auditkosten und ein Teil der Beratung entfallen, interner Aufwand bleibt |
Ein ISO-27001-Zertifikat gilt drei Jahre. In den beiden Jahren dazwischen prüft die Zertifizierungsstelle in Überwachungsaudits, ob das Managementsystem noch gelebt wird. Nach drei Jahren steht die Rezertifizierung an.
| Jahr | Audit | Auditkosten (Beispiel 80 MA) | Betrieb und Pflege | Summe |
|---|---|---|---|---|
| 1 | Erstzertifizierung (Stufe 1 + 2) | 18.000 EUR | Projekt: 47.000 EUR | 65.000 EUR |
| 2 | Überwachungsaudit | 6.000 EUR | 20.000 EUR | 26.000 EUR |
| 3 | Überwachungsaudit | 6.000 EUR | 20.000 EUR | 26.000 EUR |
| 4 | Rezertifizierung | 12.000 EUR | 22.000 EUR | 34.000 EUR |
Die Erstzertifizierung macht damit etwa die Hälfte der Kosten über den vollen Zyklus aus. Wer nur Jahr 1 budgetiert, hat die Hälfte der Rechnung übersehen.
Der laufende Betrieb umfasst interne Audits, die jährliche Managementbewertung, Pflege des Risikoregisters, Nachweisführung, wiederkehrende Schulungen und die Bearbeitung von Abweichungen aus dem letzten Audit. Wenn dafür niemand namentlich zuständig ist, verschiebt sich diese Arbeit erfahrungsgemäß in das Quartal vor dem Überwachungsaudit — und wird dort teurer, weil sie dann unter Zeitdruck extern eingekauft wird.
Sparpotenzial gibt es, aber nicht überall gleich viel.
Der wirksamste Hebel überhaupt. Beginnen Sie mit dem Bereich, für den der Nachweis tatsächlich gebraucht wird. Erweitern kann man später, das ist deutlich günstiger als ein überdimensioniertes Erstprojekt.
Zwei bis drei Beratungstage, die zeigen, wo Sie stehen. Das verhindert, dass Sie Beratungstage für Themen einkaufen, die längst geregelt sind.
Dokumentation, Inventarisierung und Interviews kann das eigene Team übernehmen. Externe Unterstützung lohnt sich bei Risikomethodik, Statement of Applicability und der Auditvorbereitung.
Die Tagessätze akkreditierter Stellen unterscheiden sich spürbar. Achten Sie im Angebot darauf, ob Überwachungsaudits, Reisekosten und Zertifikatsgebühr enthalten sind — sonst vergleichen Sie zwei unterschiedliche Dinge.
Für Beratungsleistungen im Bereich Informationssicherheit existieren je nach Bundesland Zuschussprogramme. Ob eines davon greift, sollte vor Auftragsvergabe geklärt werden, weil eine nachträgliche Beantragung in der Regel nicht möglich ist.
Nicht sparen sollten Sie an der Akkreditierung der Zertifizierungsstelle, an der Auditvorbereitung und am internen Betrieb nach der Zertifizierung. Ein Zertifikat, das im ersten Überwachungsaudit auffällt, weil das ISMS nur auf dem Papier existiert, kostet mehr als die eingesparten Tage: an Nachbesserung und an Glaubwürdigkeit gegenüber dem Kunden, dem man es vorgelegt hat.
Der Nutzen, den man am ehesten rechnen kann, liegt beim Marktzugang. Das Sicherheitsniveau steigt in der Regel mit, lässt sich aber schlechter beziffern.
In vielen Ausschreibungen ist die ISO 27001 Ausschlusskriterium. Ohne Zertifikat wird das Angebot nicht bewertet. Das lässt sich rechnen: Wie viel Auftragsvolumen war im letzten Jahr aus diesem Grund nicht erreichbar?
Wer regelmäßig 80-seitige Fragebögen von Kunden ausfüllt und Kundenaudits begleitet, kann diesen Aufwand mit einem Zertifikat deutlich reduzieren.
Ein funktionierendes ISMS ist die Basis, auf der sich weitere Nachweispflichten abarbeiten lassen. Das gilt insbesondere für Unternehmen, die unter NIS2 reguliert sind.
Ein nachweisbares Managementsystem wirkt sich auf die Verhandlung mit Versicherern aus. Was eine Cyberversicherung kostet und welche Nachweise dafür verlangt werden, hängt direkt am organisatorischen Reifegrad.
Ehrlich bleibt: Wenn niemand den Nachweis verlangt, keine Regulierung greift und das Unternehmen keine sensiblen Kundendaten verarbeitet, dann ist die ISO 27001 teuer für einen Nutzen, den im Moment niemand einfordert. In dem Fall ist das Geld in konkreten Schutzmaßnahmen besser angelegt. Die versteckten Kosten von Sicherheitsvorfällen entstehen unabhängig davon, ob ein Zertifikat an der Wand hängt.
Die inhaltlichen Anforderungen stehen in ISO/IEC 27001:2022. Ein Blick hinein lohnt sich, bevor das erste Angebot eingeholt wird — allein, um die Diskussion über den Geltungsbereich auf einer gemeinsamen Grundlage zu führen. Weitere Einordnungen zu Sicherheitsstrategie, Regulierung und Betrieb finden Sie im Cybersecurity-Bereich des it-dock Logbuchs.
Weil der größte Teil der Kosten beim Aufbau des Managementsystems entsteht, nicht beim Zertifikat. Die Zertifizierungsstelle macht meist nur 20 bis 30 Prozent aus. Der Rest sind Beratung, Tooling und interner Aufwand über sechs bis zwölf Monate Projektlaufzeit.
Nein. Die Zertifizierung selbst kann nur von einer akkreditierten Stelle ausgestellt werden und wird nach Audittagen abgerechnet. Kostenlos verfügbar sind lediglich Hilfsmittel wie das IT-Grundschutz-Kompendium des BSI.
Bei bis zu 25 Beschäftigten und engem Geltungsbereich liegen die zahlungswirksamen Kosten im ersten Jahr meist zwischen 20.000 und 35.000 Euro. Dazu kommen etwa 30 bis 50 interne Personentage.
Bei 50 bis 150 Beschäftigten sind 45.000 bis 80.000 Euro zahlungswirksam realistisch, plus 60 bis 100 interne Personentage. Die Spanne hängt fast vollständig am Reifegrad der bestehenden Dokumentation.
Der gesamte Zertifizierungsprozess von Projektstart bis Zertifikat dauert üblicherweise sechs bis zwölf Monate. Zwischen Stufe-1- und Stufe-2-Audit liegen meist vier bis acht Wochen, damit Feststellungen aus Stufe 1 bearbeitet werden können.
Ja, wenn intern Erfahrung mit Managementsystemen vorhanden ist und jemand die Rolle mit ausreichend Zeit besetzt. Der Preis dafür ist eine längere Projektlaufzeit und ein höherer interner Aufwand. Die Norm verlangt keine externe Beratung.
Rechnen Sie mit 60 bis 70 Prozent des Gesamtaufwands für die Phase vor dem Zertifizierungsaudit. Der größte Einzelposten ist die Risikoanalyse mit der daraus abgeleiteten Maßnahmenplanung.
Am wirksamsten über einen eng geschnittenen Geltungsbereich, eine Gap-Analyse vor Projektstart, interne Vorbereitungsarbeit und den Vergleich mehrerer Angebote akkreditierter Stellen. Am Betrieb des ISMS nach der Zertifizierung zu sparen, rächt sich im Überwachungsaudit.
Auditoren akkreditierter Stellen sind meist angestellt; der Tagessatz von 1.400 bis 2.200 Euro ist der Preis der Zertifizierungsstelle, nicht das Honorar des Auditors. Freiberufliche Auditoren bewegen sich bei Tagessätzen zwischen 1.000 und 1.800 Euro.
Akkreditierte Stellen sind an die Vorgaben zur Auditzeit gebunden und dadurch teurer als nicht akkreditierte Anbieter. Nur das akkreditierte Zertifikat wird in Ausschreibungen und von Enterprise-Kunden zuverlässig anerkannt. Welche Stellen akkreditiert sind, lässt sich in der Datenbank der DAkkS prüfen.
Die Hürde liegt weniger im geforderten Sicherheitsniveau als im Aufwand für die Nachweisführung. Die Norm schreibt kein bestimmtes Schutzniveau vor, sie verlangt ein Managementsystem mit dokumentierten und begründeten Entscheidungen. In der Praxis scheitern Unternehmen selten an der Technik, sondern an fehlenden Nachweisen.
Bevor Sie Angebote einholen, lohnt sich eine realistische Einschätzung von Geltungsbereich und Ausgangslage — daran hängt der größte Teil der Kosten. Über den IT-Lotsen von it-dock beschreiben Sie Ihr Vorhaben in eigenen Worten und bekommen in wenigen Minuten eine Shortlist von IT-Dienstleistern und Beratungen, die ISMS-Projekte und ISO-27001-Vorbereitung tatsächlich begleiten. Kostenfrei und ohne Registrierung.
Digital Employee Experience erklärt: So verbessern IT und HR die digitale Mitarbeitererfahrung gezielt.
Satelliteninternet ist kein Nischenthema mehr. Doch Consumer-Lösungen wie Starlink stoßen im Business schnell an Grenzen.
Das Lastenheft ist ein vom Auftraggeber erstelltes Anforderungsdokument, das alle fachlichen und technischen Anforderungen an ein Projekt beschreibt.
AR blendet Infos in die reale Umgebung ein und hilft bei Wartung, Remote Support und Training, um Stillstand zu senken.
Softwarequalität ist Kundenvertrauen: Vermeiden Sie fatale Bugs und sichern Sie Ihren Ruf durch professionelles Testing.
Remote Testing als Erfolgsfaktor: Skalieren Sie Ihre Testkapazitäten flexibel und sichern Sie Ihren Projekterfolg.
Cyber-Abwehr wie Trinkwasser: Einfach, sicher und bezahlbar. Stoppen Sie Angreifer, bevor es Millionen kostet.
Von der Analyse zum Erfolg: Leitfaden für eine nahtlose ITSM-Einführung inklusive Change Management und Automatisierung.
Informiert bleiben
Erhalten Sie wöchentlich die wichtigsten Tech-Trends, exklusive Analysen und Experteninterviews – speziell für IT-Entscheider.
Kommentare (0)
Noch keine Kommentare vorhanden.