Kosten van een ISO 27001-certificaat

Een certificeerder rekent het aantal auditdagen maal zijn dagtarief. Dat is meestal €1.000 tot €1.800 exclusief btw per dag. Een certificaat geldt drie jaar. Je betaalt in die tijd een eerste audit. Elk jaar volgt een controle-audit. Vóór het verloopt volgt een hercertificering. Hoeveel dagen elke audit bij ISO 27001 krijgt, staat in ISO/IEC 27006-1:2024. Dat is de norm met eisen aan certificeerders van ISO 27001. Losse posten, zoals reiskosten en je eigen tijd, komen erbij. Hoe die in een offerte zitten, geldt voor elke norm. Dat staat bij kosten van certificeren.

Elke geaccrediteerde certificeerder rekent de audittijd voor ISO 27001 uit met bijlage C van ISO/IEC 27006-1:2024. De tabel voor ISO 9001, 14001 en 45001 geldt hier niet. Die norm is betaald. Ze telt 47 pagina's en kost bij ISO 196 Zwitserse frank. Wij hebben bijlage C niet zelf ingezien. De tabellen die online rondgaan, komen uit samenvattingen of uit de vorige versie van 2015. Die kunnen we niet controleren. Daarom staat hier geen volledige tabel. Eén ijkpunt is er wel. Het Nederlandse schema voor NEN 7510 gebruikt dezelfde rekenmethode. Dat schema rekent een organisatie van 20 fte voor. Vóór de toeslag voor de zorg komt het uit op 4,9 tot 9,1 auditdagen voor de eerste audit. Dat hangt af van de aanpassing voor complexiteit. Dat is ongeveer €4.900 tot €16.400.

Wat wel vaststaat, is waar een certificeerder naar kijkt. De norm voor elke certificeerder is ISO/IEC 17021-1. Die verplicht hem rekening te houden met onder meer de complexiteit van je bedrijf en je technische omgeving. Hij moet ook wetgeving, uitbesteed werk, je locaties en de risico's van je werk meenemen. Ook moet hij vastleggen hoeveel tijd hij rekent en waarom. Daarom kun je ernaar vragen.

Het startpunt is het aantal mensen dat werk doet binnen je ISMS. Als een groep mensen hetzelfde werk doet, mag de certificeerder die groep tellen als de wortel uit het aantal, naar boven afgerond. Die regel staat in C.3.4 van ISO/IEC 27006-1. Hij is nieuw in de versie van 2024.

Neem een IT-dienstverlener met 60 mensen. Van die 60 doen er 49 op de servicedesk hetzelfde werk. De servicedesk telt dan als 7. De certificeerder rekent dus met 11 plus 7, dat is 18 mensen in plaats van 60. European Accreditation is de koepel van Europese accreditatie-instellingen. Die legde in 2024 uit dat de wortel per groep geldt en nooit over het hele bedrijf. Ook geldt hij alleen voor eenvoudig, herhalend werk dat onder leiding van anderen gebeurt. De certificeerder moet onderbouwen welke groepen hij zo telt en wat het risico van hun werk is. Vraag ook of hij ingehuurde mensen en zzp'ers meetelt die binnen je ISMS werken.

Bij ISO 27001 gaan de dagen omhoog of omlaag naar hoe complex je bedrijf en je IT zijn. Daar zit het grootste verschil met ISO 9001. Bij die norm speelt de risicoklasse van je sector die rol. Certificeerders vragen daarvoor in hun intake per onderwerp of het bij jou laag, midden of hoog is. Ze kijken bijvoorbeeld naar deze onderwerpen:

Zo krijgt een softwarebedrijf met eigen ontwikkeling en klanten in de zorg meer dagen. Een adviesbureau van dezelfde grootte met standaard kantoorsoftware krijgt er minder.

Werk dat een leverancier binnen je ISMS voor je doet, telt mee in de audittijd. ISO/IEC 17021-1 laat de certificeerder rekening houden met uitbesteed werk. ISO 27001 eist in clausule 8.1 dat je diensten van buiten beheerst. In de intake van een certificeerder scoort uitbesteding laag als je afspraken met leveranciers duidelijk en gecontroleerd zijn. Hetzelfde geldt als de leverancier zelf een gecertificeerd ISMS heeft. Ook geldt het als er onafhankelijke assurancerapporten zijn. Het wordt hoog bij grote afhankelijkheid van leveranciers. Het wordt ook hoog bij onduidelijke afspraken. En ook als je niet weet hoeveel je uitbesteedt. Vraag je hostingpartij en cloudleveranciers daarom vóór je offertes om hun certificaat of rapport. Dat kan dagen schelen.

Voor ISO 27001 gelden de regels voor meerdere vestigingen uit ISO/IEC 27006-1 zelf. De steekproefregel uit Global ACI-TECH-3-001 (was IAF MD 1) geldt voor ISO 9001. Die regel zegt zelf dat ISO/IEC 27006 dan voorgaat. De versie van 2024 houdt ook rekening met audits op afstand. Ook houdt die rekening met bedrijven die weinig of geen eigen locaties hebben. Werk je vooral in de cloud, vraag dan welk deel van de audit op afstand kan. Dat scheelt reiskosten.

Haal je ISO 27001 samen met een andere norm, zoals ISO 9001 of NEN 7510, dan kan een gecombineerde audit dagen schelen.

Twee certificeerders komen met dezelfde gegevens niet altijd op hetzelfde aantal dagen uit. Ze schatten je complexiteit namelijk anders in. Krijg je twee offertes die 2 dagen verschillen voor de eerste audit? Dat is €2.000 tot €3.600. Vraag dan bij welk onderwerp ze een andere score gaven. Vraag elke certificeerder naar:

Gebruik daarbij ook de stappen voor ISO 27001. Wie zijn risicoanalyse en leveranciersafspraken op orde heeft, vult de intake eerlijker en sneller in. Als je al een certificaat hebt en de berekening van je certificeerder niet meer bij je bedrijf past, kun je overstappen zonder opnieuw te beginnen.

Bij CertificeerWijzer gaat één aanvraag naar meerdere certificeerders. Die aanvraag bevat dezelfde antwoorden over je mensen, je IT en je leveranciers. Zo zie je hoe elk van hen jouw complexiteit inschat.