Kosten van een ISO 27701-certificaat

Een auditdag voor ISO 27701 kost €1.000 tot €1.800 exclusief btw. De certificeerder rekent dat tarief maal het aantal auditdagen. Een certificaat geldt drie jaar. Je betaalt in die tijd een eerste audit in twee delen. Elk jaar volgt een controle-audit. Vóór het certificaat verloopt, volgt een hercertificering. Dat zijn vier audits in drie jaar. Elke auditdag meer of minder per audit scheelt in drie jaar €4.000 tot €7.200. Losse posten, zoals reiskosten en je eigen tijd, komen erbij. Hoe die posten in een offerte staan, is bij elke norm gelijk. Dat staat bij kosten van certificeren.

Bij de versie van 2025 rekent een geaccrediteerde certificeerder de audittijd uit met bijlage A van ISO/IEC 27706:2025. Dat is de norm met eisen aan certificeerders van ISO 27701. Bijlage A is voor de certificeerder verplicht. Bijlage B geeft ter informatie rekenmethoden. ISO/IEC 27706 verscheen in oktober 2025. Hij verving ISO/IEC TS 27006-2:2021. In die oude versie stonden de regels voor de audittijd in clausule 9.1.4. Het voorwoord van ISO/IEC 27706 zegt dat de bijlagen A, B en C nieuw zijn.

De Britse accreditatie-instelling UKAS vat het verschil samen. ISO/IEC 27706 geeft eigen regels voor audittijd en toepassingsgebied. Die regels houden rekening met je rol als verwerkingsverantwoordelijke of verwerker. Bijlage A zelf hebben wij niet ingezien. De norm is betaald, en de tabellen die online rondgaan, kunnen we niet controleren. Een tabel met dagen per bedrijfsgrootte kunnen we daarom niet geven. Vraag per certificeerder het aantal dagen, met je aantal medewerkers en je rollen erbij.

Wat wel vaststaat, is waar elke certificeerder naar kijkt. De norm voor elke certificeerder is ISO/IEC 17021-1. Die verplicht hem rekening te houden met onder meer:

De certificeerder moet vastleggen hoeveel tijd hij rekent en waarom. Hij mag dus niet zomaar onder de regels voor audittijd gaan. Rekent een certificeerder minder dagen dan de rest, vraag dan waarom. Een dag meer kan ook betekenen dat hij grondiger toetst.

Je rol bepaalt welke tabellen met maatregelen de auditor toetst. Een verwerkingsverantwoordelijke wordt getoetst op de tabel voor verwerkingsverantwoordelijken en de tabel voor beide rollen. Heb je ook de rol van verwerker, dan komt de tabel voor verwerkers erbij. Meer maatregelen betekent meer te toetsen. Geef in je aanvraag daarom per verwerking je rol op. Geef ook op hoeveel mensen met persoonsgegevens werken en of je bijzondere gegevens verwerkt, zoals gezondheidsgegevens. Dan rekenen alle certificeerders met dezelfde gegevens.

Bij de versie van 2019 had je geen keuze. Een ISO 27701-certificaat hoorde altijd bij een ISO 27001-certificaat. De nationale accreditatie-instantie beschrijft die versie in de accreditaties als "ISO/IEC 27001 & ISO/IEC 27701". De audit voor privacy liep mee in de audit voor informatiebeveiliging.

Bij de versie van 2025 kies je zelf. Haal je ISO 27701 los, dan betaal je een eigen audit. Haal je hem samen met ISO 27001, dan kan de certificeerder beide in één audit doen.

Dat scheelt meestal tijd, want je beleid, je interne audit en je directiebeoordeling zijn dan deels gelijk. De regels daarvoor staan in Global ACI-TECH-3-008 (IAF MD 11). De certificeerder rekent eerst beide normen apart uit en telt ze op. Daarna mag hij hooguit 20% aftrekken.

ISO/IEC 27706 heeft een eigen paragraaf over meerdere managementsystemen. Wat daarin staat, hebben we niet kunnen nalezen. Hoe een gecombineerde audit werkt, staat bij combinatie van normen. Vraag elke certificeerder om beide varianten in zijn offerte. Dan zie je wat de combinatie je echt oplevert.

Twee certificeerders komen met dezelfde gegevens niet altijd op hetzelfde aantal dagen uit. Bij ISO 27701 speelt nog iets mee. Niet elke certificeerder mag al op de versie van 2025 certificeren. Op 24 september 2026 hadden 8 certificeerders in Nederland ISO 27701 in hun accreditatie. Daarvan mochten er 2 de versie van 2025 doen. Een offerte op de versie van 2019 betekent dat je binnen twee jaar ook de overgang naar ISO 27701:2025 moet betalen. Vraag elke certificeerder naar:

Past de berekening van je huidige certificeerder niet meer bij je bedrijf? Dan kun je overstappen zonder opnieuw te beginnen.

Bij CertificeerWijzer gaat één aanvraag naar de certificeerders die ISO 27701 geaccrediteerd mogen doen. Die aanvraag bevat dezelfde antwoorden over je rollen, je mensen en je gegevens. Zo zie je hoe elk van hen jouw situatie inschat, en op welke versie.