Wat kost een ISO 27001-certificering?

Wat kost een ISO 27001-certificering? €1.000 per auditdag, en zoveel dagen heb je nodig

Een ISO 27001-certificering kost bij ProCertify €1.000 per auditdag (vanaf 2027 €1050 per dag). Hoeveel auditdagen je nodig hebt, hangt vooral af van het aantal medewerkers in scope. Heeft je organisatie 10 tot 100 medewerkers? Dan kom je voor de eerste certificering (fase 1 + fase 2) uit op zo’n 5 tot 13 auditdagen, dus €5.000 tot €13.000. Een standaardprijs voor iedereen bestaat niet, maar je krijgt wél vooraf een vaste prijs. Zodra we je organisatie hebben doorgerekend, liggen het aantal dagen en dus het totaalbedrag vast.

Dat is het korte antwoord. Hieronder lees je waar die dagen vandaan komen, waarom je ze niet kunt wegonderhandelen en hoe je offertes eerlijk vergelijkt.

Wat kost ISO 27001 per organisatiegrootte?

Een certificaat is drie jaar geldig. In die drie jaar krijg je te maken met de eerste certificering, twee jaarlijkse controle-audits en daarna een hercertificering. Globaal ziet dat er zo uit:

10 medewerkers
Eerste certificering: 5 dagen (€5.000). Controle-audit per jaar: 2 dagen (€2.000). Hercertificering: 3,5 dagen (€3.500).

25 medewerkers
Eerste certificering: 8 dagen (€8.000). Controle-audit per jaar: 3 dagen (€3.000). Hercertificering: 5,5 dagen (€5.500).

50 medewerkers
Eerste certificering: 11 dagen (€11.000). Controle-audit per jaar: 4 dagen (€4.000). Hercertificering: 7,5 dagen (€7.500).

100 medewerkers
Eerste certificering: 13 dagen (€13.000). Controle-audit per jaar: 4,5 dagen (€4.500). Hercertificering: 9 dagen (€9.000).

Dit is een indicatie op basis van €1.000 per auditdag, exclusief btw. Het definitieve aantal dagen hangt af van de complexiteit van je organisatie en staat vast in je offerte.

Waarom je auditdagen niet kunt wegonderhandelen

Hier gaat het in de praktijk vaak mis. Het aantal auditdagen is geen commerciële keuze van een certificerende instelling. Het wordt berekend met vaste rekenregels uit ISO/IEC 27006-1 en IAF MD 5. De Raad voor Accreditatie (RvA) controleert of een geaccrediteerde instelling zich daaraan houdt. Het startpunt is het aantal medewerkers in scope. Daarna mag de audittijd binnen grenzen omhoog of omlaag, afhankelijk van de complexiteit.

Valt een offerte opvallend veel lager uit? Kijk dan eerst naar het aantal dagen, niet naar het dagtarief. Te weinig audittijd betekent een audit die niet diep genoeg gaat. En dan heeft je klant minder aan je certificaat dan je denkt.

Wat maakt jouw audit langer of korter?

Twee organisaties met 40 medewerkers kunnen toch een verschillend aantal auditdagen krijgen. Dit zijn de factoren die het verschil maken:

• Aantal locaties. Heb je meerdere vestigingen in scope? Dan kost de audit vaak extra tijd, omdat de auditor moet zien dat het ISMS overal werkt.
• Cloud en uitbestede processen. Draait je dienstverlening op externe hosting of bij leveranciers? Dan moet de auditor beoordelen hoe je die risico’s beheerst.
• Gevoeligheid van je informatie. Verwerk je veel persoonsgegevens, zorgdata of klantgegevens? Dan scoort je organisatie hoger op complexiteit.
• Scope. Met een scherpe, goed afgebakende scope voorkom je dat onderdelen worden meegeteld die er niet in horen.

Hoe mooi je documentatie eruitziet, telt níet mee in die rekensom. Een volwassen ISMS levert je wel iets anders op: minder afwijkingen. Dat betekent minder herstelwerk en geen extra bezoek van de auditor na fase 2.

Wat zit er in de prijs, en wat niet?

Wel inbegrepen:

• Beoordeling van je aanvraag en vaststellen van de scope voor de offerte
• De fase 1-audit: is je ISMS klaar voor de echte audit?
• De fase 2-audit: werkt het ook in de praktijk?
• Rapportage, certificatiebesluit en het certificaat

Niet inbegrepen:

• Je eigen tijd. Interviews, documenten aanleveren, interne audits en de directiebeoordeling kosten uren van je team. Houd daar realistisch rekening mee.
• Het opzetten van je ISMS. Dat doe je zelf of met een externe partij. Een certificerende instelling mag dat niet voor je doen, omdat dat haar onafhankelijkheid ondermijnt.
• De jaarlijkse controle-audits en de hercertificering. Die staan los op de offerte, maar horen wél in je begroting voor drie jaar.

Offertes vergelijken? Stel deze drie vragen

1. Hoeveel auditdagen reken je per audit? Vraag het aantal dagen voor fase 1, fase 2, de controle-audits en de hercertificering apart op.
2. Wat kost de hele cyclus van drie jaar? Een scherpe prijs voor jaar 1 zegt weinig als de controle-audits daarna duurder uitvallen.
3. Ben je door de RvA geaccrediteerd voor ISO 27001? Alleen dan weet je zeker dat de audittijd en de werkwijze extern getoetst worden.