Eine ISO-27001-Zertifizierung kostet bei akkreditierten Zertifizierungsstellen typischerweise 7.000 bis 20.000 Euro für den ersten Drei-Jahres-Zyklus, nicht akkreditierte Anbieter arbeiten mit Festpreisen ab etwa 1.950 Euro netto pro Jahr. Dazu kommen meist deutlich höhere Aufbaukosten als bei ISO 9001: Beratung, Risikoanalyse, technische Maßnahmen und interner Aufwand summieren sich je nach Ausgangslage auf 10.000 bis 50.000 Euro.
Die ISO 27001 ist die teuerste der gängigen Managementsystem-Zertifizierungen, und wer nur die Auditkosten vergleicht, unterschätzt das Projekt erheblich. Der Grund liegt in der Norm selbst: Ein Informationssicherheits-Managementsystem verlangt neben den Managementkapiteln auch die Auseinandersetzung mit 93 konkreten Sicherheitsmaßnahmen aus Anhang A, eine dokumentierte Risikoanalyse und ein Statement of Applicability. Das treibt Vorbereitung, Beratung und teils auch Technikkosten deutlich über das Niveau einer ISO-9001-Einführung.
Dieser Artikel schlüsselt alle Kostenblöcke auf, vergleicht ehrlich die Preise akkreditierter und nicht akkreditierter Zertifizierungsstellen, benennt die Kostentreiber und rechnet ein typisches Beispiel für einen IT-Dienstleister durch. Und er sagt klar, in welchen Fällen nur der teurere akkreditierte Weg zum Ziel führt.
Warum ISO 27001 teurer ist als ISO 9001
Wer bereits eine ISO-9001-Zertifizierung kennt, sollte die Budgeterwartung für ISO 27001 nach oben korrigieren. Drei Eigenheiten der Norm verursachen den Mehraufwand:
- Anhang A mit 93 Controls: Die ISO 27001:2022 listet 93 Sicherheitsmaßnahmen aus den Bereichen Organisation, Personal, Physis und Technik. Jede einzelne muss betrachtet werden: umgesetzt, anders gelöst oder mit Begründung ausgeschlossen.
- Risikoanalyse und Statement of Applicability (SoA): Kern des ISMS ist eine dokumentierte Risikobeurteilung der Informationswerte und daraus abgeleitet das SoA, das für jedes Control den Umsetzungsstand begründet. Beides muss methodisch sauber sein und wird im Audit intensiv geprüft.
- Technische Nachweise: Zugriffskonzepte, Backup und Wiederherstellungstests, Protokollierung, Verschlüsselung, Umgang mit Schwachstellen, Lieferantenprüfung. Vieles davon existiert in KMU nur teilweise und muss nicht nur dokumentiert, sondern real umgesetzt werden.
Die Folge: Während bei ISO 9001 die Zertifizierungskosten oft der größte Einzelposten sind, dominieren bei ISO 27001 die Aufbau- und Umsetzungskosten. Auch die Vorbereitungszeit ist länger, sechs bis acht Wochen Verfahrensdauer statt vier bis sechs sind selbst bei gut vorbereiteten Unternehmen üblich, die Systemeinführung davor braucht meist mehrere Monate.
Die vier Kostenblöcke im Detail
Für eine ehrliche Budgetplanung sollten Sie vier Blöcke getrennt kalkulieren:
- Zertifizierungskosten: Stufe-1-Audit (Prüfung von Dokumentation, Risikoanalyse und SoA), Stufe-2-Audit vor Ort, Zertifikat und jährliche Überwachungsaudits. Akkreditierte Stellen kalkulieren nach Auditortagen, für kleine Unternehmen typisch 7.000 bis 20.000 Euro über drei Jahre. Nicht akkreditierte Festpreisanbieter liegen deutlich darunter, bei KCERT 1.950 Euro netto pro Jahr bis 5 Mitarbeitende beziehungsweise 2.950 Euro bis 25 Mitarbeitende, Überwachungsaudits inklusive.
- Beratungskosten: ISMS-Aufbau, Risikomethodik, Erstellung der Richtlinien, Begleitung des internen Audits. Je nach Reifegrad 8.000 bis 30.000 Euro, bei größeren Organisationen mehr. Beratung und Zertifizierung müssen getrennt bleiben: Wer das ISMS aufbaut, darf es nicht auditieren.
- Technik und Werkzeuge: je nach Ausgangslage Kosten für Backup-Infrastruktur, Multi-Faktor-Authentifizierung, Endpoint-Schutz, Protokollierung, gegebenenfalls ein ISMS-Tool (oft 100 bis 500 Euro monatlich) und optional ein Penetrationstest (häufig 5.000 bis 15.000 Euro). Vieles davon ist ohnehin sinnvolle IT-Hygiene, sollte aber im Projektbudget stehen.
- Interner Aufwand: realistisch 30 bis 60 Personentage im ersten Jahr für Risikoanalyse, Richtlinienarbeit, Schulungen, internes Audit und Audittermine, verteilt auf Geschäftsführung, IT und Fachbereiche.
Alle vier Blöcke zusammen ergeben für kleine Unternehmen mit solider IT-Basis realistisch 15.000 bis 40.000 Euro im ersten Jahr, in schwierigen Ausgangslagen mehr.
Preisvergleich: akkreditiert vs. nicht akkreditiert
Die Tabelle vergleicht die reinen Zertifizierungskosten beider Wege für einen IT-Dienstleister mit 15 Mitarbeitenden über den Drei-Jahres-Zyklus:
| Kriterium | Akkreditierte Stelle | Nicht akkreditiert (z. B. KCERT) |
|---|---|---|
| Zertifizierungsaudit (Jahr 1) | ca. 6.000–10.000 € | im Jahrespreis enthalten |
| Überwachungsaudit (Jahr 2 und 3) | je ca. 2.500–4.000 € | im Jahrespreis enthalten |
| Gesamtkosten 3 Jahre | ca. 11.000–18.000 € | 8.850 € (3 × 2.950 €) |
| Verfahrensdauer | je nach Auslastung, oft 2–4 Monate | ca. 6–8 Wochen |
| DAkkS-Akkreditierungszeichen | ja | nein, mit transparentem Hinweis auf dem Zertifikat |
| Anerkennung bei Ausschreibungen und Konzernen | ja | in der Regel nein |
| Geeignet als Sicherheitsnachweis für Mittelstandskunden | ja | häufig ja, vorher klären |
Gerade bei ISO 27001 gilt: Der Anteil der Zertifizierungskosten am Gesamtprojekt ist kleiner als bei anderen Normen, weil Aufbau und Technik dominieren. Der Festpreisweg senkt die Gesamtkosten also spürbar, aber nicht auf ein Drittel. Und er ist nur dann eine Option, wenn kein Vertragspartner ein akkreditiertes Zertifikat verlangt, was bei ISO 27001 häufiger der Fall ist als bei ISO 9001, etwa in der Automobil-Lieferkette, bei Finanzdienstleistern und im Public Sector.
Diese fünf Faktoren treiben den Preis
Die Spannen sind groß, weil fünf Faktoren die Kosten bestimmen:
- Scope des ISMS: Der Geltungsbereich ist der stärkste Hebel. Ein ISMS für das ganze Unternehmen kostet mehr als eines für einen klar abgegrenzten Bereich, etwa den Rechenzentrumsbetrieb. Ein zu klein geschnittener Scope rächt sich allerdings, wenn Kunden genau die ausgeklammerten Bereiche abgesichert sehen wollen.
- Mitarbeiterzahl und Standorte: Wie bei allen Normen bestimmen sie die Audittage. Homeoffice-Arbeitsplätze gehören konzeptionell dazu, erhöhen den Auditaufwand aber kaum.
- IT-Reifegrad: Wer bereits mit zentraler Benutzerverwaltung, getesteten Backups, Patch-Prozessen und dokumentierten Zugriffskonzepten arbeitet, spart massiv. Wer historisch gewachsene IT ohne Übersicht betreibt, zahlt den Aufholbedarf ins Projekt hinein.
- Vorhandene Managementsysteme: Ein bestehendes ISO-9001-System liefert Dokumentenlenkung, internes Audit und Managementbewertung als wiederverwendbare Bausteine, das reduziert Beratungs- und Aufbauaufwand deutlich.
- Externe Anforderungen: Verlangen Kunden zusätzlich TISAX, einen Penetrationstest oder bestimmte Reifegrade, steigen die Kosten unabhängig von der Norm selbst.
Für Preisverhandlungen gilt: Je präziser Sie Scope, Standorte, Mitarbeiterzahl und IT-Landschaft beschreiben, desto belastbarer wird das Angebot, und desto weniger Sicherheitszuschlag zahlen Sie.
Rechenbeispiel: IT-Dienstleister mit 15 Mitarbeitenden
Ein Managed-Service-Provider mit 15 Mitarbeitenden will ISO 27001, weil Bestandskunden zunehmend Sicherheitsnachweise verlangen. Die IT-Basis ist ordentlich (MFA, zentrale Verwaltung, Backups vorhanden), ein Managementsystem existiert nicht. Kein Kunde verlangt explizit ein akkreditiertes Zertifikat, das wurde vorab schriftlich geklärt.
Die Rechnung für das erste Jahr:
- Beratung: 12 Beratertage für Risikoanalyse, Richtlinien, SoA und internes Audit, ca. 14.000 Euro
- ISMS-Tool: ca. 200 Euro monatlich, 2.400 Euro im Jahr
- Technische Nachbesserungen (Protokollierung, Wiederherstellungstests, Offboarding-Prozess): ca. 4.000 Euro
- Zertifizierung im Festpreismodell: 2.950 Euro netto
- Interner Aufwand: rund 40 Personentage, kalkulatorisch ca. 20.000 Euro
Ergebnis: rund 23.000 Euro externe Kosten im ersten Jahr, plus der interne Aufwand. Ab Jahr 2 laufen Zertifizierung (2.950 Euro), Tool und etwa 10 bis 15 Personentage Systempflege weiter. Zum Vergleich: Mit akkreditierter Zertifizierung läge dasselbe Projekt bei etwa 29.000 bis 33.000 Euro externen Kosten im ersten Jahr. Hätte das Unternehmen bereits ISO 9001, wären zwei bis vier Beratertage weniger nötig gewesen. Die Zahlen sind ein realistisches Muster, kein Angebot, Ihre Ausgangslage kann das Bild in beide Richtungen verschieben.
Wann nur die akkreditierte Zertifizierung zum Ziel führt
Radikal ehrlich: Es gibt Konstellationen, in denen ein nicht akkreditiertes Zertifikat sein Geld nicht wert ist, weil der Empfänger es nicht anerkennt. Prüfen Sie vor der Anbieterwahl diese Punkte:
- Öffentliche Ausschreibungen: Vergabestellen verlangen regelmäßig Zertifikate akkreditierter Stellen, teils explizit mit DAkkS-Zeichen. Ein nicht akkreditiertes Zertifikat wird dort in aller Regel nicht gewertet.
- Konzern-Einkaufsrichtlinien: Große Auftraggeber, besonders Banken, Versicherungen, Automobilhersteller und deren direkte Zulieferer, definieren in Lieferantenrichtlinien häufig akkreditierte Zertifizierung als Mindestanforderung.
- Regulierte Kontexte: Wo Aufsichtsbehörden oder branchenspezifische Regelwerke Zertifizierungen fordern, zählt üblicherweise nur der akkreditierte Nachweis. Auch als Baustein für Nachweise im Umfeld von NIS2 sollte die Anerkennungsfrage vorab mit den zuständigen Stellen geklärt werden.
Umgekehrt gilt: Wenn der Anlass eine Kundenanforderung aus dem Mittelstand ist, interne Sicherheitsdisziplin oder ein Wettbewerbsvorteil im Vertrieb, reicht ein transparent gekennzeichnetes nicht akkreditiertes Zertifikat oft aus, zum Bruchteil der Kosten. Die einzige belastbare Methode, das herauszufinden: Fragen Sie Ihre wichtigsten Kunden schriftlich, welchen Nachweis sie akzeptieren, bevor Sie beauftragen. Eine seriöse Zertifizierungsstelle, ob akkreditiert oder nicht, wird Ihnen diese Prüfung ausdrücklich empfehlen statt sie zu vernebeln.
Laufende Kosten: Das ISMS lebt weiter
Nach dem Zertifikat hören die Kosten nicht auf, ein ISMS ist ein Betriebssystem, kein Projektabschluss. Kalkulieren Sie dauerhaft:
- Überwachungsaudits: jährlich in Jahr 2 und 3, bei akkreditierten Stellen typisch 40 bis 60 Prozent des Erstaudits, bei Festpreismodellen im Jahrespreis enthalten. Nach drei Jahren folgt die Rezertifizierung.
- Systempflege: jährliche Risikoanalyse-Überprüfung, Aktualisierung von SoA und Richtlinien, internes Audit, Managementbewertung, Schulungen und Awareness-Maßnahmen. Realistisch 10 bis 20 Personentage pro Jahr in kleinen Organisationen.
- Technikbetrieb: Lizenzen für Sicherheitswerkzeuge und ISMS-Tool, gegebenenfalls wiederkehrende Penetrationstests, wenn Kunden sie verlangen.
- Änderungsaufwand: neue Standorte, neue Dienstleistungen, Cloud-Migrationen oder Vorfälle erzwingen Anpassungen an Risikoanalyse und Maßnahmen, das ist gewollt und der eigentliche Nutzen des Systems.
Ein letzter Budgethinweis: Vergleichen Sie Angebote immer über den vollen Drei-Jahres-Zyklus und inklusive aller Nebenkosten wie Reisekosten und Nachaudits. Der günstigste Einstiegspreis ist nicht immer der günstigste Zyklus, und das teuerste Angebot nicht automatisch das gründlichste Audit.
Häufige Fragen
Die reine Zertifizierung kostet bei akkreditierten Stellen für kleine Unternehmen typischerweise 7.000 bis 15.000 Euro über drei Jahre, bei nicht akkreditierten Festpreisanbietern wie KCERT 1.950 bis 2.950 Euro netto pro Jahr inklusive Überwachungsaudits. Der größere Posten ist meist der ISMS-Aufbau: Mit Beratung, Technik und internem Aufwand liegen Gesamtprojekte realistisch bei 15.000 bis 40.000 Euro im ersten Jahr.
Die Norm verlangt zusätzlich zur Managementsystematik eine dokumentierte Risikoanalyse, das Statement of Applicability und die Auseinandersetzung mit 93 Sicherheitsmaßnahmen aus Anhang A, von Zugriffskontrolle über Backup bis Lieferantensicherheit. Das erhöht Vorbereitungsaufwand, Beratungsbedarf und Auditdauer. Auch das Verfahren dauert mit sechs bis acht Wochen länger als bei ISO 9001.
Möglich, aber anspruchsvoller als bei ISO 9001. Sie brauchen intern jemanden, der Risikomethodik, Anhang-A-Controls und Normanforderungen versteht und Zeit für 30 bis 60 Personentage Aufbauarbeit hat. Realistisch ist Eigenleistung vor allem für IT-nahe Unternehmen mit vorhandener Sicherheitspraxis. Ein Mittelweg sind wenige gezielte Beratertage für Risikoanalyse, SoA und internes Audit.
Das hängt vom Empfänger ab. Für öffentliche Ausschreibungen, Konzern-Lieferantenportale und regulierte Branchen ist in der Regel ein Zertifikat einer DAkkS-akkreditierten Stelle nötig. Für Sicherheitsnachweise gegenüber mittelständischen Kunden reicht häufig auch ein transparent gekennzeichnetes nicht akkreditiertes Zertifikat. Fragen Sie Ihre wichtigsten Kunden vor der Beauftragung schriftlich, welchen Nachweis sie akzeptieren.
Jährlich fallen an: das Überwachungsaudit (bei akkreditierten Stellen häufig 2.500 bis 4.000 Euro, bei Festpreismodellen im Jahrespreis enthalten), 10 bis 20 Personentage Systempflege für Risikoanalyse, internes Audit, Schulungen und Managementbewertung sowie Lizenzkosten für Sicherheits- und ISMS-Werkzeuge. Nach drei Jahren kommt das Rezertifizierungsaudit hinzu.
Nein, die Norm schreibt keinen Penetrationstest vor. Sie verlangt einen systematischen Umgang mit technischen Schwachstellen, wie Sie den nachweisen, bleibt Ihnen überlassen. Viele Unternehmen nutzen Schwachstellenscans, Patch-Prozesse und gezielte Tests. Ein Penetrationstest wird dann relevant, wenn Ihre Risikoanalyse ihn nahelegt oder Kunden ihn vertraglich fordern, budgetieren Sie ihn also anlassbezogen.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT