Wer nach ISO 27001 Kosten sucht, bekommt meistens eine Zahl fürs Zertifizierungsaudit. Das ist ungefähr so hilfreich, wie beim Hausbau nur die Baubewilligung zu budgetieren. Das Audit ist in unserer Erfahrung der kleinste und am besten planbare Posten im ganzen Vorhaben. Teuer wird ISO 27001 woanders: bei deiner internen Zeit, und noch öfter bei Dingen, die der Standard gar nicht von dir verlangt.
Die vier Posten, aus denen die ISO 27001 Kosten bestehen
Fangen wir bei den Rechnungen an. Es sind vier Positionen, und sie verhalten sich sehr unterschiedlich.
Das Zertifizierungsaudit ist der Posten, den alle googeln, und der langweiligste. Eine akkreditierte Zertifizierungsstelle prüft dein Managementsystem in zwei Stufen, danach folgen jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung. Der Aufwand richtet sich nach Grösse und Geltungsbereich deiner Organisation, und die Offerten verschiedener Stellen liegen erstaunlich nah beieinander. Für ein typisches KMU ist das über den ganzen Dreijahreszyklus ein überschaubarer, gut planbarer Betrag. Hier wirst du nicht arm.
Die externe Begleitung ist die grösste sichtbare Variable. Von «wir coachen euren internen Verantwortlichen ein paar Tage pro Monat» bis «wir bauen euch das komplette ISMS hin» ist alles am Markt, und die Preisspanne dazwischen ist gewaltig. Welche Variante passt, hängt weniger vom Budget ab als davon, wer das System nachher betreiben soll. Ein ISMS, das eine Beratung dir hinstellt und das intern niemand versteht, produziert jedes Jahr aufs Neue Kosten, weil du für jede Anpassung wieder jemanden einkaufen musst.
Werkzeuge sind der Posten mit dem schlechtesten Preis-Leistungs-Verhältnis. Hier lohnt sich ein nüchterner Satz: ISO 27001 verlangt kein einziges Tool. Kein GRC-Portal, keine Compliance-Plattform, keine spezielle Software. Der Standard verlangt ein funktionierendes Managementsystem, und das passt bei einem KMU problemlos in die Werkzeuge, die du schon bezahlst. Die Plattformen können später nützlich sein, wenn das System läuft und wächst. Als Startinvestition sind sie meistens gekaufte Beruhigung.
Und dann ist da die interne Zeit. Der grösste Posten, und der einzige, der in keiner Offerte steht. Risikoanalyse, Interviews, Prozesse beschreiben, Massnahmen umsetzen, Schulungen, das interne Audit: das machen deine Leute, neben ihrem Tagesgeschäft. In unserer Erfahrung übersteigt dieser Aufwand die externen Kosten deutlich, und er ist der Grund, warum ISO-Projekte selten am Geld scheitern und oft an der Luft.
Was gerne vergessen geht: Mit dem Zertifikat hört das Bezahlen nicht auf. Ein ISMS läuft weiter wie die Buchhaltung, still und dauerhaft. Jedes Jahr stehen das Überwachungsaudit, das interne Audit, die Managementbewertung und die Pflege der Dokumente an. Wer nur das erste Jahr budgetiert, erlebt im zweiten eine Überraschung, und zwar genau dann, wenn der Projektschub weg ist und das System zeigen muss, dass es auch ohne Berater atmet. Rechne die Jahre zwei und drei von Anfang an mit, sonst vergleichst du Offerten für die halbe Wahrheit.
Der Kostentreiber, der in keiner Offerte steht
Alle vier Posten hängen an einer einzigen Entscheidung, die ganz am Anfang fällt und über die kaum jemand spricht: dem Geltungsbereich.
ISO 27001 zwingt dich nicht, die ganze Firma zu zertifizieren. Du legst fest, welcher Teil der Organisation ins Managementsystem gehört. Dieser Schnitt bestimmt, wie viele Prozesse du beschreibst, wie viele Risiken du bewertest, wie viele Leute geschult werden und wie viele Audittage die Zertifizierungsstelle verrechnet. Der Geltungsbereich ist der Hebel, an dem jede einzelne Kostenposition hängt.
Ein sinnvoller Schnitt folgt dem Grund, warum du das Zertifikat willst. Verlangt ein Enterprise-Kunde den Nachweis für die Leistungen, die du ihm erbringst, dann gehören genau diese Leistungen in den Geltungsbereich, nicht die Schreinerei im Nebengebäude. Das ist keine Trickserei, sondern der Sinn der Übung. Ein kleiner, ehrlicher Geltungsbereich, der das abdeckt, worauf es deinen Kunden ankommt, ist mehr wert als ein grosser, in dem die Hälfte nur auf dem Papier lebt.
Ein typisches Bild aus der Praxis: Ein Softwarehaus will das Zertifikat, weil die Bank als Kundin danach fragt. Zertifiziert werden muss dann der Betrieb der Plattform, auf der die Bankdaten liegen, samt den Leuten und Prozessen dahinter. Die interne Buchhaltung, das Marketing und der Ausstellungsraum können draussen bleiben. Der Unterschied zwischen diesen beiden Schnitten ist kein Detail. Er entscheidet darüber, wie viele Leute geschult, wie viele Prozesse beschrieben und wie viele Audittage verrechnet werden, und die ISO 27001 Kosten skalieren damit fast linear.
Mal ehrlich: Die wenigsten überdimensionierten ISMS-Projekte entstehen, weil jemand das so entschieden hat. Sie entstehen, weil niemand die Frage gestellt hat.
Wo das Geld verpufft
Der Standard ist nicht teuer. Teuer ist das, was Firmen zusätzlich einbauen, weil es nach Sicherheit aussieht.
Das beginnt bei den Vorlagen. Wer sich ein Policy-Paket aus dem Konzernumfeld besorgt, hat schnell einen Ordner mit einigen hundert Seiten, die zur eigenen Firma ungefähr so gut passen wie ein fremder Massanzug. Diese Dokumente muss jemand anpassen, freigeben, schulen und jährlich pflegen. Jede Seite, die niemand liest, kostet trotzdem jedes Jahr Geld. Ein Dokument, das auf zwei Seiten beschreibt, was ihr tatsächlich tut, besteht jedes Audit besser als zwanzig Seiten Wunschdenken.
Es geht weiter bei den Controls. Der Anhang A der aktuellen Norm listet 93 Massnahmen, und der Reflex vieler Projekte ist, alle davon möglichst vollständig umzusetzen. Dabei ist die Anwendbarkeitserklärung genau dafür da, das nicht zu tun: Du begründest, welche Massnahmen für deine Risiken relevant sind und welche nicht. Ein Auditor, der sein Handwerk versteht, will diese Begründung sehen, keine Vollständigkeitsshow. Wer alle 93 Controls auf Maximalniveau baut, bezahlt für Schutz, den sein Risikoprofil nie verlangt hat.
Und es endet bei der Reihenfolge. Zuerst die Plattform kaufen, dann das System hineinbauen, ist die teuerste Variante, die wir kennen. Sie führt dazu, dass sich das ISMS nach der Software richtet statt nach der Firma. Die günstige Reihenfolge ist unspektakulär: zuerst verstehen, was du schützt und wovor, dann dokumentieren, was ihr ohnehin schon tut, und erst dann entscheiden, ob ein Werkzeug fehlt. Wie so ein Aufbau aussieht, ohne dass alle daran verzweifeln, haben wir in einem eigenen Beitrag zum pragmatischen ISMS beschrieben.
Das Muster hinter allen drei Punkten ist dasselbe, das wir bei Sicherheitsbudgets generell sehen: Die Ausgaben wachsen nicht mit dem Risiko, sondern mit der Angst, etwas zu übersehen. Beim ISMS hat diese Angst einen eingebauten Gegenspieler, du musst ihn nur benutzen. Er heisst Risikoanalyse.
Wann sich der Preis lohnt
Bleibt die Frage, warum du das alles überhaupt bezahlen solltest.
Die ehrlichste Antwort ist selten «wegen der Sicherheit». Ein KMU kann sehr sicher arbeiten, ohne je ein Zertifikat zu sehen. Die Investition rechnet sich dort, wo der Nachweis selbst Geld verdient oder Pflichten erfüllt.
Der häufigste Fall ist der Vertrieb. Wenn deine Kunden Konzerne, Banken oder öffentliche Auftraggeber sind, entscheidet deren Einkauf oft nach Aktenlage, und ohne Zertifikat kommst du gar nicht erst in die Auswahl. Diese Deals tauchen in keiner Verlustrechnung auf, weil du sie nie gesehen hast. Gegen diese unsichtbare Filterwirkung ist das Zertifikat ein Türöffner mit messbarem Gegenwert.
Der zweite Fall ist die Regulierung. Für Betreiber kritischer Infrastrukturen führt am ISMS ohnehin kein Weg mehr vorbei, und der Druck wandert über Lieferketten weiter zu den Zulieferern. Wen die Pflicht direkt bindet und wen nur indirekt, haben wir im Beitrag zur ISG ISMS-Pflicht bis Ende 2026 auseinandergenommen.
Wenn keiner der beiden Fälle auf dich zutrifft, ist die günstigste Variante manchmal, gar nicht zu zertifizieren: ein schlankes Managementsystem nach der Logik der Norm zu betreiben, ohne den Auditzyklus zu bezahlen. Auch das ist eine legitime Antwort auf die Kostenfrage, nur spricht sie kaum ein Anbieter aus, der vom Projekt lebt.
Die Zahl, die du vor dem Start verlangen solltest
Wenn du Offerten für ein ISO-27001-Projekt auf dem Tisch hast, steht auf jeder ein Preis für externe Leistungen. Die Zahl, die fehlt, ist fast immer dieselbe: wie viele Stunden deine eigenen Leute investieren werden, und wessen Stunden das sind.
Genau diese Zahl trennt seriöse Anbieter von Verkäufern. Wer dein Umfeld verstanden hat, kann sie schätzen und wird sie mit dir diskutieren, inklusive der unbequemen Folgefrage, wer diese Person entlastet. Wer nur seine eigenen Tage offeriert, verkauft dir ein Projekt, dessen grössten Posten du selbst trägst, ohne ihn je gesehen zu haben.
Unsere Rolle in solchen Projekten ist meistens die des Übersetzers zwischen Norm und Alltag: den Geltungsbereich schneiden, die Anwendbarkeitserklärung ehrlich führen, und verhindern, dass aus einem Managementsystem ein Dokumentenfriedhof wird. Wie wir das aufziehen, steht auf unserer ISMS-Seite. Und wenn du gerade Offerten vergleichst und eine unabhängige zweite Meinung willst, bevor du unterschreibst, ist ein Erstgespräch der billigste Teil des ganzen Projekts.
An einer einzigen Antwort erkennst du übrigens schneller als an jeder Offerte, wie teuer dein Projekt wird: Wüsstest du heute, welcher Teil deiner Firma in den Geltungsbereich gehört, und welcher bewusst nicht?
