Was kostet eine ISO-27001-Zertifizierung? Die fünf Kostentreiber

Auf die Frage „Was kostet eine ISO-27001-Zertifizierung?" gibt es keine seriöse Pauschalantwort — aber es gibt eine ehrliche: Es hängt an fünf Größen, die sich vorab bestimmen lassen. Wer sie kennt, kann Angebote vergleichen, statt Zahlen zu raten.

Dieser Beitrag beschreibt, woraus sich die Kosten zusammensetzen, welche Posten in Angeboten regelmäßig fehlen und an welchen Stellen sich am meisten sparen lässt. Ohne eigene Preisliste — die hängt vom konkreten Zuschnitt ab.

Warum eine einzelne Zahl in die Irre führt

Zwei Unternehmen mit je 150 Mitarbeitern können sich im Aufwand um den Faktor drei unterscheiden. Der Grund liegt nie in der Mitarbeiterzahl, sondern in Zuschnitt und Ausgangslage.

Ein Softwarehaus mit einem Standort, einer Cloud-Umgebung und gepflegter Prozessdokumentation startet auf einem völlig anderen Niveau als ein Fertigungsbetrieb mit drei Werken, gewachsener Anlagentechnik und Dokumenten, die zuletzt vor der letzten Systemmigration angefasst wurden.

Die fünf Kostentreiber

Der Geltungsbereich. Die wichtigste einzelne Entscheidung. Ob Sie das gesamte Unternehmen zertifizieren oder eine klar abgegrenzte Organisationseinheit, verändert alles Weitere. Ein enger, sauber begründeter Scope ist kein Trick, sondern gute Praxis — er muss nur zu dem passen, was Ihre Kunden im Zertifikat lesen wollen. Genau daran scheitert es häufig: Ein Zertifikat, das den vom Kunden nachgefragten Bereich nicht abdeckt, ist die teuerste Variante von allen.

Der Ausgangsreifegrad. Wer bereits ein Qualitätsmanagementsystem betreibt, hat Dokumentenlenkung, interne Audits und Management-Review im Einsatz — drei Kapitel der Norm sind damit strukturell vorhanden. Wer aus dem Nichts startet, baut diese Mechanik zuerst auf.

Die Zahl der Standorte und Rechtseinheiten. Jeder zusätzliche Standort bedeutet eigene Erhebung, eigene Begehung im Audit und eigene Nachweise. Bei mehreren Gesellschaften kommt die Frage hinzu, wer eigentlich Zertifikatsinhaber wird.

Die technische Komplexität. Entscheidend ist nicht die Zahl der Server, sondern die Zahl der unterschiedlichen Umgebungen. Ein Betrieb mit Produktionsnetz, Cloud-Diensten und Fernwartung durch Dritte hat drei Welten zu betrachten statt einer.

Der Zustand der Dokumentation. Der am häufigsten unterschätzte Punkt. Vorhandene, aber veraltete Dokumente sind aufwendiger als gar keine, weil zuerst geklärt werden muss, was davon noch gilt.

Die Posten, die in Angeboten fehlen

Vier Positionen tauchen in Beratungsangeboten regelmäßig nicht auf — nicht aus Unredlichkeit, sondern weil sie nicht zur Beratungsleistung gehören. Für Ihr Budget zählen sie trotzdem.

Die Zertifizierungsstelle. Wer berät, darf nicht zertifizieren — das ist eine Anforderung an die Unabhängigkeit, keine Marktkonvention. Die akkreditierte Stelle stellt getrennt in Rechnung, und zwar nicht einmalig: Auf das Zertifizierungsaudit folgen zwei Überwachungsaudits, im dritten Jahr die Rezertifizierung. Rechnen Sie in Dreijahreszyklen, nicht in Projektkosten.

Die technische Umsetzung. Ein Berechtigungskonzept zu schreiben ist etwas anderes, als es auszurollen. Was an Lizenzen, Werkzeugen und interner Arbeitszeit für die tatsächliche Umsetzung anfällt, steht selten im Beratungsangebot.

Der interne Aufwand. Der größte Block, und der einzige, der in keiner Rechnung erscheint. Interviews, Freigaben, Abstimmungen, Umsetzung in den Fachbereichen — diese Zeit fällt an, ob sie geplant wurde oder nicht. Wer sie nicht einplant, verlängert das Projekt.

Der laufende Betrieb. Nach dem Zertifikat beginnt der Zyklus: Maßnahmen nachhalten, interne Audits fahren, Management-Review durchführen, Risiken neu bewerten. Ein ISMS, das zwischen zwei Audits stillsteht, fällt im Überwachungsaudit auf.

Wo sich wirklich sparen lässt

Vor Projektbeginn, nicht während. Der wirksamste Hebel ist eine saubere Scope-Entscheidung. Ein zu weiter Geltungsbereich erzeugt Aufwand, den niemand verlangt hat; ein zu enger führt dazu, dass in zwei Jahren erneut gebaut wird.

Bestehendes nutzen statt danebenstellen. Läuft bereits ein Managementsystem, sollte das ISMS darin aufgehen — gemeinsame Dokumentenlenkung, ein Auditprogramm, ein Management-Review. Zwei parallele Systeme kosten dauerhaft doppelt.

Einen entscheidungsfähigen Ansprechpartner benennen. Wartezeit auf Zuarbeit ist der häufigste Verzögerungsgrund in ISMS-Projekten. Eine Person mit Mandat und freigehaltener Zeit verkürzt Projekte spürbar — und Projektdauer ist bei Tagessatzmodellen unmittelbar Geld.

Förderung vor Beauftragung prüfen. Für kleine und mittlere Unternehmen kommen je nach Konstellation Beratungsförderprogramme in Betracht. Die Reihenfolge ist dabei entscheidend: Anträge sind in aller Regel vor Vertragsschluss zu stellen, eine nachträgliche Förderung ist meist ausgeschlossen.

Was ISO 27001 im NIS2-Kontext wert ist

Wenn Sie ohnehin unter NIS2 fallen, ändert sich die Rechnung. Ein ISMS nach ISO 27001 deckt einen erheblichen Teil der Anforderungen aus § 30 BSIG ab — Risikomanagement, Zugriffskontrolle, Lieferantensteuerung, Vorfallbehandlung und Kontinuität finden sich in beiden Regelwerken.

Die Zertifizierung ist für NIS2 nicht vorgeschrieben. Ihr praktischer Wert liegt darin, dass Sie die Wirksamkeit Ihrer Maßnahmen ohnehin belegen müssen — und ein zertifiziertes ISMS liefert diese Nachweisstruktur, statt sie parallel aufzubauen. Wer beides getrennt betreibt, zahlt zweimal für dieselbe Arbeit.

Die Reihenfolge, die Geld spart

1. Geltungsbereich festlegen — schriftlich, abgestimmt mit dem, was Ihre Kunden im Zertifikat erwarten.
2. Reifegrad erheben, bevor Sie Angebote einholen. Ohne diese Grundlage kalkuliert jeder Anbieter Puffer ein.
3. Angebote auf Vergleichbarkeit prüfen — Leistungsumfang, Zertifizierungskosten und Betriebsphase getrennt ausweisen lassen.
4. Förderung klären, vor der Beauftragung.
5. Interne Kapazität benennen und im Kalender blocken.

Wer diese fünf Schritte vor dem ersten Beratungstag geht, bekommt vergleichbare Angebote statt Hausnummern — und weiß, wofür er bezahlt.