Wat kost ISO 27001 voor een MKB-organisatie?
De vraag komt bijna altijd nadat een klant om het certificaat heeft gevraagd. Hieronder de drie kostenposten, met bedragen, en waar u wel en niet op kunt sturen. Zonder verkooppraatje, want de meeste kosten zitten niet bij ons.
Voor een organisatie tot ongeveer 25 medewerkers ligt de totale investering in het eerste jaar meestal tussen 10.000 en 30.000 euro. Daarvan gaat 4.000 tot 6.000 euro naar de certificerende instelling. De rest is uren: die van uzelf, of die van een consultant. Juist daar zit uw grootste knop om aan te draaien.
Kostenpost 1: de certificerende instelling
Het certificaat komt van een onafhankelijke, geaccrediteerde instelling. Die rekent per auditdag, en het aantal dagen hangt af van uw omvang en de complexiteit van uw scope. Dit is een gereguleerde markt, dus de verschillen tussen aanbieders zijn kleiner dan u zou denken.
| Organisatiegrootte | Auditdagen | Kosten certificering |
|---|---|---|
| 10 tot 25 medewerkers | 3 tot 4 dagen | 4.000 tot 6.000 euro |
| 50 tot 100 medewerkers | 5 tot 7 dagen | 7.000 tot 10.000 euro |
| Groot of complex | Meer | Tot ongeveer 15.000 euro |
Het certificaat is drie jaar geldig. In jaar twee en drie volgen controle-audits die samen ongeveer dertig procent van de initiële auditkosten bedragen. In jaar vier volgt een hercertificering.
Waar u op kunt sturen: de scope. Certificeert u de hele organisatie of alleen de dienst waar uw klant om vraagt? Een smallere scope betekent minder auditdagen. Let wel op dat de scope geloofwaardig blijft, want een certificaat voor een kantoortje dat losstaat van uw eigenlijke dienstverlening overtuigt niemand.
Kostenpost 2: uren
Dit is verreweg de grootste post, en de post waar de bedragen het meest uiteenlopen. Grofweg zijn er drie routes.
Alles uitbesteden aan een consultant
Een externe adviseur bouwt uw managementsysteem op. Reken op 15.000 tot 40.000 euro, afhankelijk van uw uitgangssituatie. U bent er weinig tijd aan kwijt, en dat is precies het probleem: na oplevering vertrekt de consultant met de kennis in zijn hoofd. Bij de eerste controle-audit blijkt dan vaak dat niemand in de organisatie het systeem draaiende heeft gehouden.
Zelf doen in spreadsheets
Geen directe kosten, maar reken op honderd tot tweehonderd uur intern werk, plus het risico dat u zaken mist die een auditor wel ziet. Een spreadsheet houdt geen deadlines bij en heeft geen geschiedenis. Wij hebben dit apart uitgewerkt in ISMS in Excel of in software.
Zelf doen met software
De structuur en het ritme komen uit het systeem, het invullen doet u zelf. Reken op zes weken inrichten bij twee tot vier uur per week, daarna minder dan een dagdeel per week onderhoud. Een consultant kunt u dan nog steeds inhuren, maar gericht en voor minder dagen: bijvoorbeeld voor de risicobeoordeling of een interne audit.
Kostenpost 3: tooling
Compliance-software begint in Nederland rond de 1.800 euro per jaar voor een basispakket en loopt op naarmate u meer frameworks of modules activeert. Veel aanbieders rekenen per framework of per gebruiker, en publiceren hun prijzen niet.
CybearEye Core kost 599 euro per maand, ongeacht uw omvang, dus 7.188 euro per jaar exclusief btw. Daar zitten alle modules en onbeperkt gebruikers in; wetten en normen niet. ISO 27001 activeert u apart voor 149 euro per maand extra, dus 8.988 euro per jaar. Wij publiceren de volledige staffel, zodat u kunt rekenen zonder eerst een gesprek te voeren.
De rekensom in totaal
| Route | Certificering | Uren en tooling | Totaal jaar 1 |
|---|---|---|---|
| Consultant doet alles | 4.000 tot 6.000 | 15.000 tot 40.000 | 19.000 tot 46.000 euro |
| Zelf met software | 4.000 tot 6.000 | 8.988 plus eigen uren | 13.000 tot 15.000 euro |
| Zelf in spreadsheets | 4.000 tot 6.000 | 100 tot 200 eigen uren | 4.000 tot 6.000 euro plus veel tijd |
De onderste rij ziet er goedkoop uit. Reken uw eigen uurtarief er eens doorheen, en tel het risico mee dat u bij de audit terugmoet. Dat gebeurt vaker dan bedrijven achteraf toegeven.
Wat de prijs echt bepaalt
- Uw uitgangssituatie. Heeft u al beleid, een assetlijst en werkende back-ups? Dan is de helft van het werk gedaan. Begint u bij nul, dan telt dat direct door in uren.
- De scope. Eén dienst is goedkoper dan de hele organisatie, maar moet wel dekken waar uw klant naar vraagt.
- Hoeveel u zelf doet. Dit is de enige knop die echt tienduizenden euro's scheelt.
- Uw tempo. Wie onder tijdsdruk begint omdat een contract eraan hangt, betaalt meer. Een traject van zes maanden tot een jaar is normaal.
Wat wij hier niet beweren
Software levert geen certificaat. Dat blijft het oordeel van een onafhankelijke auditor, en geen enkele leverancier kan daar iets aan veranderen. Wat software wel doet is de uren terugbrengen en voorkomen dat u bij de audit met losse bestanden aankomt. De post bij de certificerende instelling verandert er niet door.
Deze bedragen zijn marktindicaties op basis van publieke informatie uit de Nederlandse markt, geen offerte. Vraag altijd meerdere certificerende instellingen om een prijs voor uw eigen scope.