15.000 Euro oder 150.000 Euro. Beide Zahlen sind richtige Antworten auf die Frage, was eine ISO 27001-Zertifizierung kostet, je nachdem, welches Unternehmen dahintersteht. Wer eine einzige Hausnummer sucht, wird an dieser Stelle enttäuscht. Wer verstehen will, woraus sich der Preis zusammensetzt, bekommt hier eine Antwort, mit der sich tatsächlich planen lässt.
Die Übergangsfrist zur überarbeiteten Norm ISO/IEC 27001:2022 ist im Oktober 2025 ausgelaufen. Wer jetzt startet, zertifiziert automatisch nach der aktuellen Fassung. Eine separate Migrationent fällt also, dafür gelten die erweiterten Anforderungen an Themen wie Threat Intelligence oder Cloud-Sicherheit von Anfang an.
Woraus sich die Kosten der ISO 27001-Zertifizierung zusammensetzen
Grob lassen sich vierKostenblöcke unterscheiden, und sie wiegen unterschiedlich schwer:
- Auditgebühren der Zertifizierungsstelle: meist nur 20 bis 30 % der Gesamtkosten.
- Beratung und interner Personalaufwand: 60 bis 75 % – der eigentliche Schwerpunkt, dazu weiter unten mehr.
- Software und technische Maßnahmen: stark abhängig von der eigenen Ausgangslage.
- Laufende Kosten nach der Erstzertifizierung: jährlich etwa 30 bis 40 % der ursprünglichen Auditkosten; ein Posten, den viele Budgets im ersten Jahr schlicht vergessen.
Die Rechnung der Zertifizierungsstelle wirkt auf den ersten Blick am bedrohlichsten, macht aber selten den größten Teil aus.
Was die Zertifizierungsstelle tatsächlich verlangt
Der Zertifizierungsprozess läuft zweistufig: Stage 1 prüft die Dokumentation, also den Geltungsbereich des ISMS (Information Security Management System), die Risikobeurteilung, das Statement of Applicability. Stage 2 die gelebte Praxis vor Ort. Die Zertifizierungsstelle rechnet pro Audittag ab, üblicherweise zwischen 1.200 und 2.000 Euro. Wie viele Tage anfallen, bestimmt nicht die Unternehmensgröße allein, sondern die sogenannte effektive Mitarbeiterzahl im Geltungsbereich, also wie viele Personen tatsächlich innerhalb des ISMS-Scopes arbeiten, zusammen mit der IT-Komplexität und der Anzahl der Standorte.
Für ein kleineres Unternehmen mit klar abgegrenztem Scope sind zwei bis fünf Audittage realistisch, für einen Mittelständler mit mehreren Standorten eher fünf bis zehn. Macht insgesamt zwischen 3.000 und 20.000 Euro allein für den Zertifizierungsakt. Eine Zahl, die im Verhältnis zu den übrigen Positionen schnell klein wirkt.
Ein Detail lohnt einen zweiten Blick, bevor das günstigste Angebot den Zuschlag bekommt: die Akkreditierung. Eine Zertifizierungsstelle mit DAkkS-Akkreditierung (oder einer gleichwertigen ausländischen Akkreditierungsstelle) unterliegt strengeren Vorgaben bei Auditzeit und Auditorenqualifikation als ein nicht-akkreditierter Anbieter und stellt entsprechend höhere Rechnungen. Bei Kunden, Versicherern oder Ausschreibungen zählt aber meist nur das akkreditierte Zertifikat etwas. Wer hier spart, spart womöglich am falschen Ende.
Der eigentliche Kostentreiber sitzt woanders
Nicht das Audit treibt die Kosten, sondern die Vorbereitung. Beratungsleistungen lassen sich grob in drei Stufen einteilen. Eine reine Gap-Analyse, die den Ist-Zustand gegen die Norm spiegelt, kostet zwischen 3.000 und 6.000 Euro. Eine Begleitung im Workshop-Format, bei der das Unternehmen selbst schreibt und das Beratungsteam nur als Sparringspartner zur Seite steht, liegt bei 8.000 bis 15.000 Euro. Eine vollständige Projektbegleitung über zehn bis zwanzig Beratungstage – inklusive Dokumentenerstellung – bewegt sich zwischen 15.000 und 35.000 Euro. Welche Stufe passt, hängt davon ab, wie viel Fachwissen und Kapazität bereits im Hausvorhanden sind.
Hinzu kommt interner Aufwand, der in Angeboten gerne unterschlagen wird, weil er nicht auf einer Rechnung steht: 20 bis über 150 Personentage, verteilt auf Projektleitung, IT und Geschäftsführung. Diese Tage fehlen im Tagesgeschäft – ein Kostenfaktor, den viele Budgets schlicht nicht einplanen.
Ein typisches Szenario: Ein Softwareunternehmen mit rund 80 Mitarbeitenden setzt sich sechs Monate Zeit für den Aufbau des ISMS. Die IT-Leitung investiert etwa zwei Tage pro Woche, die Geschäftsführung deutlich weniger, dafür an entscheidenden Stellen – bei der Freigabe der Risikomethodik etwa, oder der Sicherheitsleitlinie. Rechnet man diese internen Stunden zu marktüblichen Sätzen hoch, übersteigt allein dieser Posten häufig die Beratungsrechnung.
Wie Software den Aufwand verschiebt
Hier setzt ISMS-Software an, ohne die Zertifizierung selbst günstiger zu machen. Tools wie die Athereon GRC-Plattform übernehmen Risikoinventar, Maßnahmenverfolgung und Nachweisführung, die sonst in Excel-Tabellen und E-Mail-Verläufen versickern. Der Effekt: weniger Personentage bei Projektleitung und IT, dafür laufende Lizenzkosten von rund 2.000 bis 10.000 Euro im ersten Jahr. Ob sich das rechnet, hängt vom eigenenZeitwert ab – bei knappen IT-Ressourcen meistens schon.
Technische Maßnahmen: die Kosten, die im Angebot fehlen
Ein Punkt, der in Beratungsangeboten fast nie auftaucht, weil er nicht zur Kernleistung gehört, ist dass Annex A der Norm konkrete technische und organisatorische Maßnahmen verlangt, und die müssen unabhängig von Beratung und Audit bezahlt werden. Multi-Faktor-Authentifizierung, ein Backup-Konzept, das auch im Ernstfall greift, regelmäßige Schulungen, mitunter ein Penetrationstest zum Nachweis der Wirksamkeit. Je nach Ausgangslage kommen hier weitere 5.000 bis 20.000 Eurozusammen, manchmal deutlich mehr, wenn die IT-Infrastruktur bislang eher gewachsen als geplant wurde.
Wer schon eine solide Sicherheitsarchitektur betreibt, zahlt hier wenig drauf. Wer bei null anfängt, sollte diesen Block nicht als Randnotiz behandeln, sondern von Anfang an einpreisen.
Was nach der Zertifizierung ansteht
Mit dem Zertifikat in der Hand ist die Rechnung nicht beglichen. Jahr eins und zwei bringen Überwachungsaudits, die etwa 30 bis 40 % der ursprünglichen Auditkosten beanspruchen. In Jahr drei folgt die Rezertifizierung, also eine vollständige Neuprüfung, aufwandsseitig fast so umfangreich wie das Erstaudit. Wer nur die Erstzertifizierung budgetiert, wird spätestens im dritten Jahr überrascht.
Dazu kommen laufende Pflichten, die selten in Angeboten auftauchen. Die Norm verlangt jährliche interne Audits, meist extern vergeben, weil interne Prüfende ihre eigene Arbeit nicht unabhängig bewerten können, für 2.500 bis 5.000 Euro pro Durchlauf. Hinzukommen Awareness-Schulungen für die Belegschaft, die Pflege der Risikobeurteilung bei jeder relevanten Veränderung (neues System, neuer Standort, neuer Dienstleister) und die laufende Betreuung durch das Beratungsteam oder eine interne Stelle. Wer das unterschätzt, merkt es spätestens beim Überwachungsaudit, wenn Nachweise fehlen, die eigentlich unterjährig hätten entstehen müssen.
Über den vollen Drei-Jahres-Zyklus gerechnet, liegen diese Folgekosten oft in ähnlicher Größenordnung wie die Erstzertifizierung selbst. Das ist ein Grund mehr, sie von Anfang an in die Budgetplanung aufzunehmen statt sie Jahr für Jahr neu zu verhandeln.
Was das für Ihre Budgetplanung heißt
Wer den Aufwand für die ISO 27001-Zertifizierung realistisch einschätzen will, rechnet nicht in einer Zahl, sondern in drei Jahren. Ein kleines Unternehmen landet dabei meist zwischen 15.000 und 50.000 Euro Gesamtaufwand über den Zyklus, ein Mittelständler eher zwischen 50.000 und 100.000 Euro, größere Organisationen darüber. Die genaue Spanne hängt vor allem an zwei Stellschrauben: dem Scope (je enger abgegrenzt, desto günstiger) und daran, wie viel interne Kapazität tatsächlich vorhanden ist.
Beim Scope lohnt sich genaues Hinsehen. Muss wirklich der gesamte Konzern ins ISMS, oder reicht zunächst der Geschäftsbereich, der tatsächlich mit sensiblen Kundendaten arbeitet? Ein zu weit gefasster Geltungsbereich treibt Audittage, Beratungsaufwand und interne Stunden gleichermaßen nach oben, ohne dass der zusätzliche Schutz in jedem Fall gerechtfertigt wäre. Eine nachträgliche Erweiterung des Scopes ist deutlich einfacher als eine im ersten Anlauf zu große Zertifizierung wieder einzudampfen.
Der nächste sinnvolle Schritt ist entsprechend selten ein fertiges Angebot, sondern eine Gap-Analyse: eine Bestandsaufnahme, die zeigt, wie weit die eigene Organisation von den Anforderungen entfernt ist, welcher Scope tatsächlich sinnvoll ist, und wo die Kosten im eigenen Fall konkret anfallen. Erst danach lässt sich seriös budgetieren – alles davor bleibt Daumenregel.
In einem unverbindlichen Gespräch mit einem Experten oder einer Expertin von Athereon GRC finden Sie heraus, wo Ihr Unternehmen heute steht. Wir ordnen gemeinsam mit Ihnen ein, welcher Scope für Ihre Zertifizierung sinnvoll ist und wie sich Beratungs- und interner Aufwand mit der richtigen Software von Anfang an senken lassen.
Unverbindlichen Termin mit Athereon GRC vereinbaren.
