ISO-27001-Zertifizierung: was kostet das wirklich?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Die Audit-Kosten: wie die Auditzeit entsteht

Akkreditierte Zertifizierungsstellen bestimmen die Auditzeit nach der Norm ISO/IEC 27006-1 (aktuelle Fassung 2024). Ausgangspunkt ist die Zahl der Personen, die unter der Kontrolle der Organisation im Geltungsbereich arbeiten, gerechnet in Vollzeitäquivalenten. Dazu kommen Zu- und Abschläge für die Komplexität. Die European co-operation for Accreditation (EA) betont, dass die Stelle in jedem Fall ausreichend Auditzeit für ein vollständiges und wirksames Audit einplanen muss.

Die Tabellenwerte der aktuellen Norm sind kostenpflichtig. Zur Orientierung dient eine öffentliche Wiedergabe der älteren Fassung ISO/IEC 27006:2011 (Quelle: gimaco). Dort galten für ein Zertifizierungsaudit einschließlich Vor- und Nachbereitung:

Nach derselben Wiedergabe durfte jede Stelle je nach Risiko der Organisation bis zu 30 % auf- oder abschlagen. Überwachungsaudits lagen bei etwa einem Drittel, Rezertifizierungen bei etwa zwei Dritteln dieser Zeit. Ob und wie sich die Werte mit der Fassung 2024 geändert haben, lässt sich nur mit dem Normtext oder über das Angebot einer Stelle klären.

Der Dreijahreszyklus

1. Jahr 1: Erstzertifizierung in zwei Stufen. Stufe 1 prüft Dokumentation und Bereitschaft, Stufe 2 die Umsetzung im Betrieb.
2. Jahr 2 und 3: Überwachungsaudits, deutlich kürzer als das Erstaudit.
3. Nach drei Jahren: Rezertifizierung, kürzer als das Erstaudit, aber länger als ein Überwachungsaudit.

Für die Budgetplanung gehören alle drei Stufen in die Rechnung, jeweils mit Reisekosten.

Der interne Aufwand

Die Norm verlangt ein gelebtes Managementsystem: Risikobeurteilung, Erklärung zur Anwendbarkeit, Richtlinien, internes Audit (Kapitel 9.2), Managementbewertung (Kapitel 9.3) und die Maßnahmen aus Anhang A. Dieser Aufwand fällt intern an und erscheint auf keiner Rechnung. Er lässt sich nur mit eigenen Zahlen schätzen:

Wird die ISB-Rolle nur nebenher besetzt, verlängert sich das Projekt meist. Die interne Arbeit wird dadurch nicht weniger, nur über einen längeren Zeitraum verteilt.

Externe Beratung

Berater unterstützen typischerweise bei Methodik und Vorlagen (Risikomethodik, Erklärung zur Anwendbarkeit, Richtlinien), in Workshops, bei Dokumentationsprüfungen und mit einem Probeaudit vor Stufe 2. Die Kosten ergeben sich aus Beratertagen × Tagessatz. Beides steht im Angebot, belastbare Marktdurchschnitte gibt es nicht. Beim Vergleich zählt der konkrete Leistungsumfang: Wer liefert Vorlagen, wer arbeitet mit, wer übernimmt faktisch die ISB-Rolle?

Eine Einschränkung gilt für Zertifizierungsstellen: Sie dürfen Organisationen, die sie zertifizieren, nicht gleichzeitig beim Aufbau des Managementsystems beraten, weil das ihre Unparteilichkeit gefährdet.

Weitere Kostenblöcke

• Werkzeuge: ISMS- oder GRC-Software, alternativ vorhandene Office- und Wiki-Werkzeuge. Die Norm schreibt kein Werkzeug vor.
• Technische Maßnahmen aus Anhang A, die noch fehlen, etwa Protokollierung, Backup, Zugriffskontrolle oder Schwachstellenmanagement. Anhang A der Fassung 2022 umfasst 93 Maßnahmen. Welche davon umzusetzen sind, ergibt sich aus der eigenen Risikobeurteilung und der Erklärung zur Anwendbarkeit.
• Schulung und Sensibilisierung der Beschäftigten.
• Technische Prüfungen wie Penetrationstests. ISO/IEC 27001 schreibt sie nicht ausdrücklich vor. Sie sind aber ein gängiger Nachweis dafür, dass Maßnahmen wirksam sind.

Rechenbeispiel: so setzen Sie die Posten zusammen

Das folgende Beispiel zeigt nur den Rechenweg. Alle Werte sind Annahmen, keine Marktpreise. Ersetzen Sie sie durch Ihre Angebote und internen Kostensätze.

Die Audittage im Beispiel orientieren sich an der oben wiedergegebenen Tabelle der Fassung 2011 für rund 100 Beschäftigte, mit den dort genannten Anteilen für Überwachung und Rezertifizierung.

FAQ

Geht es ohne externe Beratung?

Ja. Die Norm verlangt keine Beratung. Entscheidend ist, ob intern genug Erfahrung mit Managementsystemen und Risikobeurteilung vorhanden ist. Andernfalls verschiebt sich der Aufwand von der Beratungsrechnung in interne Einarbeitung.

Wie wirken sich mehrere Standorte aus?

Mehrere Standorte erhöhen in der Regel die Auditzeit, weil die Stelle Standorte begutachten muss. Wie viele Standorte stichprobenartig geprüft werden, regeln die Vorgaben für Zertifizierungen mit mehreren Standorten. Die genaue Zahl steht im Angebot.

Lohnt sich ein kleiner Geltungsbereich für den Start?

Ein kleinerer Geltungsbereich senkt die Auditzeit, weil weniger Beschäftigte erfasst sind. Er muss aber zu den Anforderungen der Kunden passen: Wenn Kunden ein Zertifikat für die gesamte Leistung erwarten, hilft ein Teilzertifikat wenig.

Was ist mit ISO 27001 auf Basis von IT-Grundschutz?

Das BSI vergibt selbst ISO-27001-Zertifikate auf Basis von IT-Grundschutz, und zwar auf Grundlage des Auditberichts eines vom BSI zertifizierten ISO-27001-Grundschutz-Auditors. Das Verfahren folgt der BSI-Methodik und eignet sich vor allem für Organisationen, die ohnehin mit IT-Grundschutz arbeiten.

Gibt es Förderungen?

Förderprogramme für IT-Sicherheit in KMU wechseln und unterscheiden sich nach Bundesland. Ein bundesweites Programm speziell für ISO-27001-Zertifizierungen ließ sich für diesen Artikel nicht belegen. Die zuständige IHK oder Förderbank ist der richtige erste Ansprechpartner.