ISO-Zertifizierung: Kosten aller Normen im Vergleich

Wer für die Geschäftsführung ein Budget für „die ISO-Zertifizierung" aufstellen soll, steht vor einem unübersichtlichen Markt: Die Preise hängen von der Norm ab, von der Unternehmensgröße, vom gewählten Zertifizierungsweg, und die größten Posten stehen oft gar nicht im Angebot der Zertifizierungsstelle. Dazu kommt ein Strukturproblem der Branche: Kaum ein Anbieter nennt öffentlich Preise.

Dieser Artikel schafft die Vergleichsbasis. Er stellt die Kosten der fünf gängigen Managementsystem-Normen ISO 9001, 14001, 45001, 27001 und 50001 nebeneinander, erklärt die zwei Zertifizierungswege und ihre sehr unterschiedlichen Preislogiken, benennt die Kostentreiber und zeigt, wo Kombinationen sparen. Am Ende steht ein Rechenbeispiel für ein Unternehmen mit zwei Normen, und eine klare Warnung davor, am falschen Ende zu sparen.

Die Kosten aller fünf Normen auf einen Blick

Die Tabelle zeigt typische Gesamtkosten des reinen Zertifizierungsverfahrens über den vollen Drei-Jahres-Zyklus (Zertifizierungsaudit plus zwei Überwachungsaudits) für kleine und mittlere Unternehmen bis etwa 25 Mitarbeitende, dazu die üblichen Beratungsspannen für den Systemaufbau:

Die Festpreisspalte basiert auf dem Modell nicht akkreditierter Anbieter wie KCERT: 1.950 Euro netto pro Norm und Jahr für Unternehmen bis 5 Mitarbeitende, 2.950 Euro für 5 bis 25 Mitarbeitende, im 3-Jahres-Vertrag inklusive der jährlichen Überwachungsaudits, ab 25 Mitarbeitenden individuell. Die Spannen der akkreditierten Verfahren sind Marktbeobachtungen, die tatsächlichen Angebote hängen von Auditortagen, Anbieter und Region ab.

Zwei Muster fallen auf: ISO 27001 ist durchgängig die teuerste Norm, weil Prüfumfang und Aufbauaufwand am größten sind. Und der Preisunterschied zwischen den Wegen ist bei kleinen Unternehmen am extremsten, weil akkreditierte Verfahren Mindest-Audittage nicht unterschreiten dürfen, ein Fixkostenblock, der kleine Betriebe relativ am härtesten trifft.

Warum die Preise so weit auseinanderliegen: die zwei Zertifizierungswege

Der wichtigste Preisfaktor ist nicht die Norm, sondern der Zertifizierungsweg, und hier verdient die Preislogik eine ehrliche Erklärung:

• Akkreditierte Zertifizierungsstellen sind von der DAkkS, der deutschen Akkreditierungsstelle, überwacht. Die Akkreditierung schreibt unter anderem Mindest-Audittage je Unternehmensgröße, Qualifikationsnachweise der Auditoren und umfangreiche Verfahrensdokumentation vor, und kostet die Stellen selbst laufend Geld. Das Ergebnis ist ein international anerkanntes Zertifikat mit Akkreditierungszeichen, zu entsprechenden Preisen, üblicherweise kalkuliert nach Auditortagen mit Tagessätzen von häufig 1.200 bis 1.600 Euro.
• Nicht akkreditierte Zertifizierungsstellen prüfen gegen dieselben Normen, unterliegen aber nicht dem Regelwerk der Akkreditierung. Sie können schlanker auditieren, remote arbeiten und Festpreise anbieten. Das Zertifikat dokumentiert eine unabhängige Prüfung des Managementsystems, trägt aber kein Akkreditierungszeichen, seriöse Anbieter weisen darauf transparent hin, bei KCERT steht der Hinweis auf jedem Zertifikat.

Welcher Weg der richtige ist, entscheidet allein der Empfänger des Zertifikats. Öffentliche Ausschreibungen, Konzern-Lieferantenportale und regulierte Nachweispflichten verlangen in aller Regel akkreditierte Zertifikate, hier wäre der Festpreisweg verschwendetes Geld. Geht es um Kundenvertrauen im Mittelstand, interne Systematik oder einen Vertriebsvorteil, reicht der günstigere Weg oft aus. Die einzige belastbare Klärung: vor der Beauftragung schriftlich beim Kunden oder Auftraggeber nachfragen, welcher Nachweis akzeptiert wird.

Die drei Kostenblöcke, die jede Norm gemeinsam hat

Unabhängig von Norm und Weg besteht jedes Zertifizierungsprojekt aus drei Blöcken, und nur der erste steht im Angebot der Zertifizierungsstelle:

1. Zertifizierungskosten: Stufe-1-Audit (Dokumentationsprüfung, häufig remote), Stufe-2-Audit (Prüfung der gelebten Praxis vor Ort), Zertifikat, danach jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung. Achten Sie beim Angebotsvergleich darauf, ob Überwachungsaudits und Reisekosten enthalten sind, hier verstecken sich die häufigsten Nachträge.
2. Beratungskosten (optional): Aufbau oder Anpassung des Managementsystems. Sie hängen fast nur vom Reifegrad ab: Wer dokumentierte Prozesse, internes Audit und Managementbewertung schon lebt, braucht wenig, wer bei null startet, viel. Wichtig: Beratung und Zertifizierung müssen getrennt sein, wer das System aufbaut, darf es nicht auditieren. Anbieter, die beides aus einer Hand versprechen, disqualifizieren sich damit selbst.
3. Interner Aufwand: der unsichtbarste und oft größte Block. Je nach Norm und Ausgangslage 10 bis 60 Personentage im ersten Jahr für Dokumentation, Schulungen, internes Audit, Managementbewertung und die Audittermine, danach 5 bis 20 Personentage jährlich für die Pflege. Wer diesen Block kalkulatorisch bewertet, erkennt schnell: Am meisten spart, wer das System schlank hält.

Faustregel für die Budgetplanung: Bei niedrigem Reifegrad übersteigen Beratung und Eigenleistung die Zertifizierungskosten deutlich, bei hohem Reifegrad dominieren die Zertifizierungskosten. Deshalb ist die erste sinnvolle Ausgabe fast immer eine Gap-Analyse, die den Reifegrad ehrlich feststellt.

Kostentreiber: Was den Preis nach oben schiebt

Innerhalb der Spannen bestimmen fünf Faktoren, wo Ihr Unternehmen landet:

• Mitarbeiterzahl: die zentrale Rechengröße für Audittage und Preisstufen. Bei Festpreismodellen definiert sie die Preisklasse, bei akkreditierten Verfahren die Mindest-Audittage.
• Standorte: Jeder Standort mit zertifizierungsrelevanten Tätigkeiten erhöht den Prüfaufwand, Stichprobenregelungen mildern das bei vielen ähnlichen Standorten ab.
• Norm und Prüftiefe: ISO 27001 verlangt mit Risikoanalyse, Statement of Applicability und 93 Controls aus Anhang A den größten Aufwand, ISO 50001 zusätzlich Messdaten und Verbesserungsnachweise. ISO 9001 ist der günstigste Einstieg.
• Reifegrad: der größte Hebel bei Beratung und Eigenleistung. Gelebte Prozesse, vorhandene Nachweise und Auditerfahrung senken die Projektkosten um ein Mehrfaches der Zertifizierungsgebühr.
• Branchenanforderungen: Wer zusätzlich TISAX, SCC oder branchenspezifische Standards bedienen muss, zahlt für deren Anforderungen unabhängig von der ISO-Zertifizierung.

Umgekehrt lässt sich an denselben Stellschrauben sparen: präzise Angaben statt Sicherheitszuschlägen im Angebot, ein klar geschnittener Geltungsbereich, schlanke Dokumentation und gezielt eingekaufte statt pauschaler Beratung. Nicht sparen lässt sich an der gelebten Praxis, sie ist bei jedem Weg und jeder Norm die Zertifizierungsvoraussetzung.

Mehrere Normen? Das Kombi-Audit spart doppelt

Viele Unternehmen brauchen mehr als eine Norm, klassisch ISO 9001 plus 14001, zunehmend auch plus 45001 oder 27001. Weil alle modernen ISO-Managementnormen derselben Grundstruktur folgen, der High Level Structure, teilen sie sich Kontext, Führung, Dokumentenlenkung, internes Audit und Managementbewertung. Das eröffnet zwei Sparpotenziale:

• Im Aufbau: Ein integriertes Managementsystem erarbeitet die gemeinsamen Bausteine nur einmal. Die zweite Norm kostet im Aufbau typischerweise nur 30 bis 50 Prozent der ersten, weil nur die fachspezifischen Teile hinzukommen, etwa Umweltaspekte und Rechtskataster bei der 14001.
• Im Audit: Beim Kombi-Audit prüft der Auditor die gemeinsamen Systembestandteile einmal für alle Normen. Das reduziert die Audittage gegenüber getrennten Verfahren spürbar, akkreditierte Stellen geben dafür Kombirabatte auf die Tagesberechnung. Bei Festpreismodellen kostet jede Norm einen festen Jahresbetrag, die Ersparnis liegt dort im gemeinsamen Termin und im drastisch reduzierten internen Aufwand.

Organisatorisch bedeutet das: ein Audittermin pro Jahr, ein Auditbericht, ein Maßnahmenplan, statt für jede Norm ein eigener Zyklus. Wer heute mit einer Norm startet und weitere absehbar braucht, sollte das System von Anfang an integriert anlegen, getrennt aufgebaute Systeme später zusammenzuführen kostet mehr, als es je gespart hat. Praktischer Tipp: Legen Sie neue Normen terminlich auf den bestehenden Auditzyklus, dann wachsen die Zertifikatslaufzeiten zusammen.

Rechenbeispiel: Zwei Normen für ein 20-Personen-Unternehmen

Ein Metallbaubetrieb mit 20 Mitarbeitenden braucht ISO 9001 für die Lieferantenbewertung eines Industriekunden und will ISO 45001 wegen der eigenen Unfallhistorie gleich mit einführen. Der Kunde akzeptiert nachweislich auch nicht akkreditierte Zertifikate, das wurde schriftlich geklärt. Prozesse und Arbeitsschutz-Pflichtprogramm sind teilweise vorhanden.

Kalkulation für den Drei-Jahres-Zyklus im Festpreismodell:

• Zertifizierung: 2 Normen × 2.950 Euro netto × 3 Jahre = 17.700 Euro, Überwachungsaudits inklusive
• Beratung für integrierten Aufbau beider Systeme: ca. 10 Beratertage, 10.000 Euro einmalig
• Interner Aufwand: ca. 35 Personentage im ersten Jahr, danach je 12 Personentage in Jahr 2 und 3

Externe Gesamtkosten über drei Jahre: rund 27.700 Euro. Zum Vergleich der akkreditierte Weg: Kombi-Audit beider Normen ca. 12.000 bis 16.000 Euro für das Erstaudit-Jahr, Überwachungsaudits je ca. 4.000 bis 6.000 Euro, plus dieselbe Beratung, zusammen rund 30.000 bis 38.000 Euro über drei Jahre. Der Festpreisweg spart hier also grob ein Viertel bis ein Drittel, unter der Bedingung, dass kein Empfänger ein akkreditiertes Zertifikat verlangt. Würde der Betrieb später in öffentliche Ausschreibungen einsteigen wollen, wäre die Ersparnis hinfällig und ein Wechsel des Zertifizierungswegs nötig, genau solche Zukunftsfragen gehören in die Entscheidung, bevor der Vertrag unterschrieben ist.

Wann das günstigste Zertifikat das teuerste ist

Zum Schluss die Warnungen, die in Preisvergleichen meist fehlen, drei Konstellationen, in denen vermeintlich gesparte Kosten teuer werden:

• Das nicht anerkannte Zertifikat: Ein nicht akkreditiertes Zertifikat, das der Empfänger nicht akzeptiert, ist eine Nullinvestition plus Zeitverlust, danach zahlen Sie das akkreditierte Verfahren trotzdem. Klären Sie die Anerkennungsfrage vor der Beauftragung, nicht danach.
• Das Gefälligkeitszertifikat: Anbieter, die ein Zertifikat ohne ernsthaftes Audit in wenigen Tagen versprechen, oft kombiniert mit Beratung aus derselben Hand, liefern ein Papier ohne Substanz. Fliegt das auf, etwa bei einem Kundenaudit, ist der Reputationsschaden größer als jede Ersparnis. Prüfkriterien für seriöse Anbieter: getrennte Beratung und Zertifizierung, echtes Stufe-1- und Stufe-2-Verfahren, transparente Aussage zum Akkreditierungsstatus.
• Das tote System: Die teuerste Variante ist ein Managementsystem, das nur für das Audit existiert. Es kostet volle Zertifizierungs- und Pflegegebühren, liefert aber keinen der betrieblichen Nutzeffekte, wegen derer sich der Aufwand eigentlich rechnet: klare Abläufe, weniger Fehler, weniger Vorfälle, belastbare Nachweise.

Die nüchterne Zusammenfassung: Die Zertifizierungskosten sind über alle Normen hinweg planbar und im Wettbewerb der Wege gut verhandelbar. Über Erfolg oder Misserfolg der Investition entscheidet aber, ob das System zum Unternehmen passt und gelebt wird, und das ist keine Frage des Preises, sondern der Umsetzung.

Häufige Fragen

Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT

Begriffe in diesem Artikel

Verwandte Beiträge