Was kostet eine ISMS-Software? Preismodelle im Vergleich

Eine ISMS-Software reicht im DACH-Markt von rund 50 € bis weit über 1.000 € im Monat. Der Lizenzpreis ist dabei nur einer von sechs Kostenblöcken: Einführung und Migration, interner Aufwand, Schulung, optionale Beratung und laufender Betrieb kommen dazu. Uns ist wichtig, Preise transparent zu kommunizieren, deshalb stehen unsere öffentlich auf der Website: Bei KaitoSec starten Sie ab 240 € im Monat bei jährlicher Zahlung.

Woraus setzen sich die Kosten einer ISMS-Software zusammen?

Die Kosten einer ISMS-Software bestehen aus sechs Blöcken: Lizenz, Einführung und Datenmigration, interner Personalaufwand, Schulung, optionale Beratung sowie laufender Betrieb inklusive Skalierung über die Nutzerzahl. Der Lizenzpreis ist der einzige Block, den Anbieter auf einer Preisseite zeigen. Er ist in vielen Fällen nicht der größte.

Der erste Block ist die Lizenz, also der wiederkehrende Betrag pro Monat oder Jahr, meist gestaffelt nach Nutzerzahl, Unternehmensgröße oder Funktionsumfang. Er ist zugleich der intransparenteste Posten des Marktes, weil jeder Anbieter für sich definiert, welche Nutzerrollen und welche Nutzungsintensität an welche Lizenz gekoppelt sind. Diese Kopplung variiert so stark, dass zwei Lizenzpreise in derselben Höhe völlig unterschiedliche Rechte einschließen können.

Der zweite Block ist die Einführung samt Datenmigration. Risikoregister, Maßnahmenlisten und Nachweise liegen fast immer in Tabellen oder in einem Altsystem und müssen in das neue Datenmodell überführt werden. Manche Anbieter rechnen das als einmaliges Setup-Paket ab, andere verteilen es auf die Lizenz.

Dieser Block schwankt stärker als jeder andere. Er kann klein bleiben, wenn wenig Bestand vorhanden ist, und sehr groß werden, wenn ein umfangreiches Altsystem abzulösen ist. Den Ausschlag gibt selten die technische Übernahme, sondern die Abstimmung: Workshops, Klärung von Zuständigkeiten, Entscheidungen darüber, was überhaupt mitgenommen wird. Eine niedrige Lizenz kann durch einen aufwendigen Migrationsblock vollständig aufgezehrt werden. Rein finanziell betrachtet ist ein Neuaufbau deshalb oft günstiger als die Übernahme eines gewachsenen Bestands.

Der dritte Block ist der interne Personalaufwand: die Stunden, die Informationssicherheitsbeauftragte, IT und Fachbereiche für Pflege, Nachweisführung und Abstimmung aufwenden. Dieser Block steht in keinem Angebot und ist in vielen Projekten der größte Posten.

Wer das Thema neu aufbaut und bisher keine Stelle dafür hat, kalkuliert hier eine Fachexpertenstelle mit, denn ein Informationssicherheitsbeauftragter ist eine eigene Rolle mit eigenem Gehalt. Dieser Posten hängt allerdings nur mittelbar am Werkzeug: Er entsteht durch die Aufgabe, nicht durch die Software. Alternativ lässt sich die Rolle als externer Service einkaufen, etwa als vCISO-Modell.

Der vierte Block ist die Schulung der Anwender, vom Onboarding des Kernteams bis zur wiederkehrenden Sensibilisierung der Belegschaft.

Der fünfte Block ist optionale Beratung, etwa für die Schutzbedarfsfeststellung oder die Erstellung von Richtlinien.

Der sechste Block ist der laufende Betrieb mit Support, Updates und der Skalierung, wenn Nutzerzahl oder Standorte wachsen. Bei Cloud-Instanzen fällt er meist gering aus, weil Betrieb und Updates beim Anbieter liegen. Bei On-Premise-Installationen kann er deutlich höher liegen, weil Infrastruktur, Wartungsfenster und Updates im eigenen Haus anfallen. Wie viel davon bereits in der Lizenz steckt, unterscheidet sich von Anbieter zu Anbieter und gehört ins Angebot.

Nicht enthalten sind die Kosten der Zertifizierung selbst. Auditor, Zertifizierungsstelle und die Begleitung durch das Audit werden unabhängig von der Software fällig und sind Thema der Kosten einer ISO-27001-Zertifizierung. Gegenstand dieser Kostenrechnung sind ausschließlich die Software und ihr Betrieb.

Diese Trennung entscheidet darüber, ob ein Vergleich überhaupt trägt. Ein Angebot, das die Einführung einschließt, misst eine andere Größe als ein reiner Lizenzpreis, solange nicht offenliegt, was jeweils enthalten ist. Zwei „Preise“ im selben Markt meinen deshalb oft nicht dasselbe.

Wie viele Blöcke überhaupt anfallen, hängt auch am Scope. KaitoSec führt ISMS, BCMS, DSMS und AISMS auf einem gemeinsamen Datenmodell zusammen; wer mehrere Einzelsysteme betreibt, kalkuliert Einführung, Schulung und Betrieb je System. Welche Managementsysteme zusammenlaufen, zeigt die Systemlandkarte der Plattform.

Welche Preisstufen gibt es bei ISMS-Software im DACH-Markt?

ISMS-Software im DACH-Markt verteilt sich auf drei Preisstufen: funktional schmale Werkzeuge ab rund 50 € pro Monat, Mittelstands-Plattformen zwischen etwa 200 und 600 € pro Monat und Enterprise-Suiten mit vierstelligen Monatsbeträgen. Die Stufe sagt vor allem etwas über die Zielgruppe aus, für die ein Werkzeug gebaut wurde, und nur wenig über seinen Funktionsumfang.

Vorbemerkung: kostenlose Einstiegstarife

Unterhalb der drei Stufen liegen dauerhaft kostenlose Tarife. KaitoSec Free deckt ein Framework (ISO 27001), bis zu 50 Controls und einen Benutzer ab. Das ist eine Einstiegsmöglichkeit, keine eigene Preisstufe: Sie sehen damit, wie ein Managementsystem strukturiert ist, bevor Sie ein Budget beantragen.

Stufe 1: funktional schmale Werkzeuge ab rund 50 € pro Monat

Diese Stufe beginnt bei rund 50 € pro Monat. Dafür bekommen Sie typischerweise eine Einzellizenz oder einen Einzelplatz, eine Normfamilie, wenig bis keine Automatisierung und keinen echten Mehrbenutzerbetrieb. In der Praxis ist das ein Werkzeug für den ersten Reifegrad: einige Vorlagen, ein paar Checklisten, eine strukturierte Ablage. Ein tiefgreifendes Managementsystem ist es nicht, und es tritt auch nicht mit diesem Anspruch an.

Für eine Person, die in einer kleinen Organisation ein einziges Rahmenwerk dokumentiert, reicht das. Wo die Stufe endet, ist eine reine Funktionsfrage: sobald mehrere Personen gleichzeitig am selben Datenbestand arbeiten, sobald eine zweite Norm dazukommt, sobald Nachweise für ein Audit reproduzierbar vorliegen müssen.

Stufe 2: Mittelstands-Plattformen zwischen 200 und 600 € pro Monat

Der Mittelstand kauft überwiegend in dieser Stufe, also etwa 200 bis 600 € pro Monat. Kennzeichen sind mehrere Frameworks, Mehrbenutzerbetrieb, Asset- und Policy-Management sowie unbegrenzte Controls.

Bei KaitoSec beginnt der Tarif Standard bei 240 € pro Monat bei jährlicher Zahlung und bei 290 € pro Monat bei monatlicher Zahlung: 3 Frameworks, unbegrenzte Controls, Asset- und Policy-Management, 10 Benutzer plus 50 Gäste. Professional beginnt bei 575 € pro Monat bei jährlicher Zahlung und enthält alle vier Systeme (ISMS, BCMS, DSMS, AIMS), KaitoSec KI, Bedrohungsanalyse, Lieferantenmanagement, Trust Center und SSO/SAML für 40 Benutzer; bei monatlicher Zahlung liegt Professional mit 690 € oberhalb dieses Bandes. Alle diese Werte stehen in den veröffentlichten Preisen.

Stufe 3: Enterprise-Suiten ab vierstelligen Monatsbeträgen

Darüber beginnen vierstellige Monatsbeträge aufwärts; belastbare Listenpreise veröffentlichen die Anbieter dieser Stufe nicht. Auditkosten kommen hier häufig separat dazu.

Gekauft wird auf dieser Stufe von Konzernen mit vielen Standorten, eigenem GRC-Team und individuellen Integrationen. Für den Mittelstand ist das meistens nicht die richtige Antwort, aber die Stufe erklärt, warum Preisrecherchen im Netz so weit auseinanderlaufen. Auch in dieser Stufe gibt es Angebote auf Anfrage, mit unbegrenzten Benutzern und On-Premise-Option.

Was die Preisstufe über die Software aussagt, und was nicht

Die Stufen ordnen den Markt nach Zielgruppe, nicht nach Qualität. Ein Werkzeug der zweiten Stufe kann funktional tiefer gehen als eines der dritten, und der umgekehrte Fall kommt genauso vor.

Der Grund liegt im Alter der Architektur. Ein Teil der teureren Systeme stammt aus einer Zeit, in der ein Managementsystem vor allem als Dokumentenablage gedacht war: viele Felder, viele Formulare, wenig Verbindung zwischen den Datensätzen. Solche Systeme erfüllen ihren Zweck, verlagern aber viel Arbeit zurück auf die Anwender, weil jede Beziehung zwischen Asset, Risiko, Maßnahme und Nachweis von Hand hergestellt wird. Neuere Plattformen bauen genau diese Beziehungen ins Datenmodell ein und liegen dabei häufig eine Preisstufe tiefer.

KaitoSec liegt preislich in der zweiten Stufe und richtet sich an den Mittelstand. Funktional führt die Plattform vier Managementsysteme auf einem gemeinsamen Datenmodell zusammen, so dass eine Kontrolle auf mehrere Rahmenwerke zugleich einzahlt. Diese Tiefe ist unabhängig von der Preisstufe.

Der Preis bildet in diesen Fällen Marktposition, Vertriebsmodell und Zielgruppe ab, nicht den Funktionsumfang. Für die eigene Auswahl heißt das: Die Preisstufe grenzt das Feld ein, die Entscheidung fällt sie nicht. Ob ein Werkzeug zu Ihnen passt, beantwortet erst der Vergleich von Leistung und Preis, und der beginnt bei der Frage, wie viel wiederkehrende Arbeit das System Ihnen tatsächlich abnimmt.

Die ersten beiden Preisstufen sind aus den öffentlich einsehbaren Preisseiten der im DACH-Markt verbreiteten Anbieter erhoben, Stand September 2026. Wo ein Anbieter keinen Preis veröffentlicht, ist keine Zahl eingeflossen. Für die dritte Stufe gibt es entsprechend keine erhobene Zahl; die Größenordnung dort stammt aus Angeboten und Marktbeobachtung, nicht aus veröffentlichten Listenpreisen. Alle genannten Beträge verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer (AGB). Die eigenen Preise stehen vollständig auf der Preisseite.

Warum veröffentlichen so viele Anbieter überhaupt keinen Preis?

Ein erheblicher Teil der ISMS-Software-Anbieter im DACH-Markt veröffentlicht überhaupt keinen Preis, sondern nur ein Kontaktformular, wie eine Durchsicht der öffentlich einsehbaren Preisseiten im September 2026 zeigt. Wer vergleichen will, muss deshalb erst Angebote einholen und sich die Annahmen dahinter offenlegen lassen. Ohne offengelegte Annahmen lassen sich zwei Angebote nicht sinnvoll gegeneinander stellen, auch wenn beide eine Zahl nennen.

Die Gründe dafür sind meist nachvollziehbar. Preise skalieren individuell nach Nutzerzahl und gebuchten Modulen, der Aufwand für die Einführung hängt vom Reifegrad der Organisation ab, und viele Häuser verkaufen grundsätzlich über ein Angebot statt über Selbstbedienung. Wer sehr unterschiedliche Kundengrößen bedient, findet für die Startseite tatsächlich schwer eine belastbare Zahl.

Für den Einkauf bleibt trotzdem ein Problem. Vor dem ersten Gespräch gibt es keinen Budgetrahmen, eine Vorauswahl anhand des Preises ist nicht möglich, und die eingeholten Angebote unterscheiden sich nicht nur in der Summe, sondern vor allem in dem, was sie einschließen. Ein Angebot mit Migrationsprojekt und drei Rahmenwerken gegen eines mit reiner Lizenz zu halten, ergibt keine Aussage.

Was Sie im Angebot verlangen sollten

Vier kaufmännische Positionen machen zwei Zahlen vergleichbar:

• Preis pro Benutzer und Preis für jeden Zusatzbenutzer, getrennt ausgewiesen
• Einführung und Migration als einmalige Position, getrennt von der Lizenz
• Mindestlaufzeit und Preisanpassungsklausel im Wortlaut
• Ob Support und Schulung enthalten sind oder separat berechnet werden

Liegen diese Angaben vor, wird der Vergleich zur Rechenaufgabe statt zur Vermutung. Fehlt eine davon, ist die genannte Summe nur eine Hausnummer.

KaitoSec veröffentlicht die vollständige Preisliste inklusive Zusatzbenutzern, KI-Kontingenten und Beratungstagessätzen.

Was kostet die Einführung einer ISMS-Software zusätzlich zur Lizenz?

Die Einführung ist ein einmaliger Kostenblock neben der Lizenz: Datenübernahme aus Vorsystemen oder Excel, Aufbau des Informationsverbunds, Mapping vorhandener Maßnahmen auf das neue Control-Set und Schulung der Beteiligten. Wie hoch er ausfällt, hängt vor allem davon ab, wie strukturiert der Ausgangsbestand ist, nicht vom gewählten Werkzeug.

Die vier Positionen

Die Datenübernahme bringt Assets, Risiken, Maßnahmen und Dokumente aus Excel-Listen, Wikis oder einem Vorgängerwerkzeug in die Struktur der neuen Software. Der Strukturaufbau legt den Informationsverbund fest, ordnet Assets zu und benennt Verantwortliche. Das Mapping klärt, welche bereits gelebten Maßnahmen auf welche Controls einzahlen. Die Einweisung sorgt dafür, dass die Beteiligten anschließend auch damit arbeiten.

Der Ausgangsbestand entscheidet über den Aufwand. Eine gepflegte Excel-Landschaft mit klaren Eigentümern ist schnell übernommen, eine gewachsene Ablage ohne Eigentümer nicht. Ein Wechsel von einem Vorgängerwerkzeug verläuft anders als ein Erstaufbau: beim Wechsel liegen Strukturen vor und müssen übersetzt werden, beim Erstaufbau entstehen sie erst. Worauf es beim Werkzeugwechsel ankommt, steht im Beitrag zur Migration beim Ablösen einer IT-Grundschutz-Software; die Auswahlfrage behandelt der Text über Auswahl und Umstieg bei Grundschutz-Software.

Was KaitoSec dafür anbietet

Für die Einweisung gibt es laut Preisübersicht Inhouse-Schulungen ab 1.200 € pro Tag für bis zu 20 Teilnehmende, Einzelmodule ab 600 € und Pakete mit 15 bis 20 % Rabatt. Das Admin-Training ist in Professional und Enterprise enthalten.

Beratung ist optional. KaitoSec ist so gebaut, dass es ohne Beratung betrieben werden kann. Wer sie trotzdem einkauft, findet dort einen Tagessatz remote ab 1.150 €, einen vCISO-Retainer ab 576 € pro Monat und Festpreis-Pakete für Gap-Analyse, NIS2-Check und Zertifizierungsbegleitung.

Diese Sätze sind veröffentlichte Listenpreise. Was in einem konkreten Projekt tatsächlich abgerechnet wird, hängt von Seniorität und Umfang ab und liegt in beide Richtungen außerhalb solcher Bänder.

Welcher interne Aufwand entsteht neben Lizenz und Einführung?

Der interne Personalaufwand ist bei einer ISMS-Software meist der größte Kostenblock und der einzige, den keine Preisseite ausweist. Er entsteht durch Pflege der Controls, Nachweisführung, Risikobewertungen und Abstimmung mit den Fachbereichen. Der BSI-Standard 200-2 empfiehlt deshalb, Investitionskosten und Personalaufwand für jede Maßnahme getrennt festzuhalten.

Der Aufwand verteilt sich auf wiederkehrende Aufgaben: den Informationsverbund pflegen, Nachweise sammeln und aktuell halten, Risiken bewerten, Maßnahmen nachverfolgen, das Management-Review vorbereiten und mit den Fachbereichen klären, wer welchen Beitrag liefert. Diese Arbeit fällt jedes Jahr an, unabhängig davon, welches Werkzeug darunter liegt.

Im BSI-Standard 200-2, Kapitel 9.2 zur Kosten- und Aufwandsschätzung, steht dazu:

„Da das Budget zur Umsetzung von Sicherheitsmaßnahmen praktisch immer begrenzt ist, sollte für jede zu realisierende Maßnahme festgehalten werden, welche Investitionskosten und welcher Personalaufwand dafür benötigt werden. Hierbei sollte zwischen einmaligen und wiederkehrenden Investitionskosten bzw. Personalaufwand unterschieden werden.“

Die Trennung zwischen einmaligen und wiederkehrenden Posten ist damit keine Fleißaufgabe, sondern eine methodische Empfehlung des BSI. Dieselbe Passage weist auf eine Wechselwirkung hin: Wer bei technischen Sicherheitsmaßnahmen spart, braucht dafür häufig dauerhaft mehr Personaleinsatz, wer beim Personal spart, sammelt wachsende Sicherheitsdefizite an.

Die Marktzahlen zeigen, wo der Engpass liegt. Informationssicherheit macht laut ENISA, NIS Investments 2025 im EU-Durchschnitt 9 % der IT-Budgets aus, der Median dieser Ausgaben liegt bei 1,5 Mio. €, und 70 % der Organisationen nennen Compliance als wichtigsten Investitionstreiber.

Nach ENISA, NIS Investments 2024 rechneten 89 % der Organisationen mit zusätzlichem Sicherheitspersonal für die NIS2-Umsetzung, und 59 % der KMU berichteten Schwierigkeiten bei der Personalgewinnung. Knapp ist also nicht das Lizenzbudget, sondern die Zeit der Menschen, die das ISMS betreiben. Ein Werkzeug, das manuelle Arbeit abnimmt, spart an genau diesem Engpass.

Wer abwägt, wie viel davon intern getragen und wie viel extern eingekauft wird, findet die Rechnung im Kostenvergleich zwischen NIS2-Beratung und Eigenleistung.

Wie verändern Nutzerzahl, Module und KI-Nutzung die laufenden Kosten?

Die laufenden Kosten einer ISMS-Software steigen entlang von drei Achsen: der Zahl der Benutzer, der Zahl der abgedeckten Rahmenwerke und der Nutzung automatisierter Funktionen. Bei KaitoSec kostet jeder zusätzliche Benutzer 29 € pro Monat. Der Sprung von drei Frameworks auf alle vier Managementsysteme führt vom Standard- in den Professional-Tarif.

Die erste Achse ist die Nutzerzahl. Standard enthält 10 Benutzer und 50 Gäste, Professional 40 Benutzer, jeder weitere Benutzer kostet 29 € pro Monat (siehe Preisübersicht).

Beim Vergleich entscheidet dabei die Definition. Lesende Fachbereiche, Auditoren und externe Dienstleister zählen in einem Modell als Benutzer und in einem anderen als Gast. Diese Frage muss das Angebot beantworten, bevor Sie Monatspreise nebeneinanderlegen.

Die zweite Achse ist der Umfang. Free deckt ein Rahmenwerk ab (ISO 27001, bis 50 Controls, ein Benutzer), Standard drei Rahmenwerke, Professional alle vier Managementsysteme (ISMS, BCMS, DSMS, AIMS) samt Vendor Management, Trust Center und SSO/SAML. Jede zusätzliche Achse verschiebt den Tarif, nicht den Stückpreis: Wer ein viertes Managementsystem braucht, wechselt den Tarif, statt ein Modul zuzubuchen.

Die dritte Achse ist die Automatisierung. Die KI-Kontingente liegen bei 100 Calls pro Monat im Standard, 500 in Professional und 2.000 in Enterprise. Darüber wird nutzungsbasiert abgerechnet, Zusatzpakete beginnen bei 50 €.

Der Betrieb läuft auf ISO-27001-zertifizierten Servern der Hetzner Online GmbH in Deutschland, die Daten verlassen die EU nicht. Enterprise bietet zusätzlich eine On-Premise-Option. Im öffentlichen Sektor ist dieser Punkt kostenrelevant, weil ein Eigenbetrieb eigene Infrastruktur- und Betriebskosten erzeugt.

Zwei Hebel senken den Preis ohne Verhandlung: 20 % für gemeinnützige Organisationen und die jährliche statt monatliche Zahlung. Sie drückt den Monatspreis im Standard auf 240 statt 290 € und in Professional auf 575 statt 690 €, rund 17 %. Für die eigene Rechnung über mehrere Jahre hilft der ROI-Rechner.

Wie vergleichen Sie zwei Angebote, die gleich viel kosten?

Wenn zwei ISMS-Angebote gleich viel kosten, entscheidet der Umfang. Prüfen Sie, wie viele Rahmenwerke im Preis enthalten sind, ob sie auf einem gemeinsamen Datenmodell liegen, wie viele Personen mitarbeiten dürfen und was an Einführung dabei ist. Sechs Fragen an das Angebot machen den Unterschied sichtbar.

Die Aussage dahinter ist schlicht: Zum selben Monatspreis deckt die eine Lösung eine Normfamilie ab, die andere mehrere Normen auf einem gemeinsamen Datenmodell. Das ist ein Prüfkriterium, das Sie an jedes Angebot anlegen können, kein Urteil über den Anbieter.

Warum der Umfang am Datenmodell hängt, zeigt sich an der täglichen Arbeit. Eine Kontrolle, die auf ISO 27001, BSI IT-Grundschutz und NIS2 zugleich einzahlt, wird auf einem gemeinsamen Datenmodell einmal gepflegt und einmal nachgewiesen. Getrennte Systeme erzeugen denselben Nachweis mehrfach. Das schlägt nicht auf die Lizenz durch, sondern auf die Stunden, die intern dafür aufgewendet werden.

Sechs Fragen, die Sie beiden Anbietern stellen sollten:

1. Welche Rahmenwerke sind im Preis enthalten, und was kostet ein weiteres?
2. Liegen diese Rahmenwerke auf einem Datenmodell, oder sind es getrennte Module mit eigener Pflege?
3. Wie viele Personen dürfen mitarbeiten, und wer zählt überhaupt als Benutzer?
4. Ist die Einführung enthalten, und mit welchem Leistungsumfang?
5. Was kostet der Betrieb im dritten Jahr, mit der dann erwarteten Nutzerzahl? Gemeint sind die Gesamtbetriebskosten, nicht der Einstiegspreis.
6. Wo liegen die Daten, und wer betreibt sie?

Frage fünf lässt sich mit einer konkreten Zahl durchrechnen. Ein zusätzlicher Benutzer kostet bei KaitoSec 29 € pro Monat (Preisübersicht). Wächst das Team um fünf Personen, sind das über drei Jahre 5.220 € zusätzlich. Dieselbe Rechnung sollte jedes Angebot beantworten können.

Für jede der drei Preisstufen gibt es legitime Fälle. Eine Ein-Personen-Organisation mit einer Norm braucht keine Plattform, ein Konzern mit 40 Standorten wird mit der mittleren Stufe nicht glücklich. Dieser Artikel beantwortet die Frage nach dem Preis, nicht die nach dem Gewinner.

Wenn Sie Ihre eigenen Zahlen gegenrechnen möchten, lassen sich Nutzerzahl, Rahmenwerke und Einführungsaufwand im Gespräch durchrechnen.

Wie sieht die Kostenrechnung für einen Betrieb mit 250 Beschäftigten aus?

Ein Betrieb mit 250 Beschäftigten, ISO-27001-Ziel und NIS2-Betroffenheit zahlt für die Software im ersten Jahr rund 5.820 €: Lizenz im Standard-Tarif, fünf Zusatzbenutzer und eine Inhouse-Schulung. Ohne Zusatzbenutzer und ohne Schulung sind es 2.880 €. Der interne Personalaufwand kommt hinzu und taucht in keinem Angebot auf.

Die folgende Rechnung setzt sich aus veröffentlichten Einzelpreisen zusammen; sie ist ein Rechenbeispiel, kein Angebot. Alle Beträge stammen aus der Preisübersicht.

• Standard-Tarif, jährlich abgerechnet: 240 € im Monat, also 240 € × 12 = 2.880 € im Jahr. Enthalten sind drei Frameworks, unbegrenzte Controls, Asset- und Policy-Management, 10 Benutzer und 50 Gäste.
• Fünf zusätzliche Benutzer für Fachbereiche und IT: 29 € × 5 × 12 = 1.740 € im Jahr.
• Eine Inhouse-Schulung für das Kernteam, bis 20 Teilnehmende: ab 1.200 € einmalig.
• Summe Jahr 1: rund 5.820 €, davon 4.620 € wiederkehrend.
• Ohne Zusatzbenutzer und ohne Schulung: 2.880 € im Jahr.

Nicht in dieser Rechnung steht der interne Personalaufwand. Für einen 250-Personen-Betrieb gibt es dafür keine belastbare, praxisgeprüfte Zahl, und eine erfundene Personentag-Angabe wäre wertlos. Rechnen Sie ihn stattdessen nach der Methode des BSI selbst aus: Halten Sie für jede geplante Maßnahme Investitionskosten und Personalaufwand fest und trennen Sie dabei einmalige von wiederkehrenden Anteilen. Das Ergebnis ist Ihre Zahl, nicht die eines fremden Betriebs.

Ebenfalls nicht enthalten sind das Zertifizierungsaudit und die Tagessätze der Auditoren. Diese Posten laufen getrennt von der Software und sind in den Kosten einer ISO-27001-Zertifizierung aufgeschlüsselt.

Für Kommunen und kommunale Unternehmen kommt der Hosting-Standort als eigenes Kriterium dazu, weil ein Eigenbetrieb zusätzliche Infrastruktur- und Betriebskosten erzeugt, die in keinem Lizenzpreis stecken; welche Betriebsmodelle dafür infrage kommen, zeigt die Übersicht für Kommunen und öffentliche Verwaltung.

Häufig gestellte Fragen zu den Kosten einer ISMS-Software

Was kostet eine ISMS-Software mindestens?

Einstiegswerkzeuge beginnen bei rund 50 € im Monat, decken dafür aber nur eine Normfamilie und einen Einzelplatz ab. KaitoSec bietet einen dauerhaft kostenlosen Free-Tarif mit einem Framework, bis zu 50 Controls und einem Benutzer. Für echten Mehrbenutzerbetrieb beginnt der Markt bei etwa 200 € im Monat, Stand September 2026.

Ist eine teurere ISMS-Software automatisch die bessere?

Nein. Ein höherer Preis kauft in diesem Markt Umfang, nicht Ergebnisqualität. Die entscheidende Frage ist, wie viel wiederkehrende Nachweisarbeit Ihnen das Werkzeug tatsächlich abnimmt: Wer denselben Nachweis für jedes Audit neu zusammensucht, zahlt den Unterschied in Arbeitszeit, egal was die Lizenz kostet.

Warum nennen viele Anbieter keinen Preis auf der Website?

Weil Preise nach Nutzerzahl, Modulen und Einführungsumfang individuell kalkuliert werden und der Vertrieb über Angebote statt Selbstbedienung läuft. Für Einkäufer heißt das: ohne Angebot gibt es keinen Budgetrahmen und keine belastbare Vorauswahl. Verlangen Sie ein Angebot, das Preis pro Benutzer, enthaltene Rahmenwerke und einmalige Einführung getrennt ausweist.

Brauche ich zusätzlich Beratung, oder reicht die Software?

Beratung ist optional, nicht Teil des Lizenzpreises. KaitoSec lässt sich ohne Beratung betreiben; wer Unterstützung möchte, bucht sie separat, laut Preisübersicht remote ab 1.150 € pro Tag oder als vCISO-Retainer ab 576 € im Monat. Festpreis-Pakete für eine Gap-Analyse und einen NIS2-Check stehen ebenfalls zur Auswahl.

Was kostet ein zusätzlicher Benutzer?

Bei KaitoSec kostet ein zusätzlicher Benutzer laut Preisübersicht 29 € im Monat in Standard und Professional; Standard enthält 10 Benutzer und 50 Gäste, Professional 40 Benutzer. Bei anderen Anbietern hängt der Betrag davon ab, welche Rollen überhaupt als Benutzer gezählt werden.

Reicht für ein ISMS nicht auch Excel?

Für die erste Bestandsaufnahme ja, für den Dauerbetrieb selten. Sobald mehrere Personen dieselben Controls pflegen, Nachweise versioniert vorliegen müssen und eine zweite Norm dazukommt, entsteht Mehrfachpflege: Dieselbe Maßnahme steht in mehreren Dateien und wird für jedes Audit neu zusammengesucht. Genau dieser wiederkehrende Aufwand, nicht die Lizenzgebühr, ist der eigentliche Kostenblock.

Sind die Kosten der Zertifizierung in der Software enthalten?

Nein, die Zertifizierung wird getrennt bezahlt. Auditor-Tagessätze, die Gebühren der Zertifizierungsstelle und der Aufwand für die Auditvorbereitung bilden einen eigenen Kostenblock und stecken in keinem Softwarepreis. Die Software senkt den Aufwand der Nachweisführung, ersetzt aber weder das Audit noch die Zertifizierungsstelle; aufgeschlüsselt sind die Posten im eigenen Artikel zu den ISO-27001-Zertifizierungskosten.

Quellen

BSI, BSI-Standard 200-2: IT-Grundschutz-Methodik, Kapitel 9.2 „Kosten- und Aufwandsschätzung“, Seite 159. standard_200_2.pdf

ENISA, NIS Investments 2025, veröffentlicht am 8. Dezember 2025. What's driving cybersecurity investments and where lie the challenges

ENISA, NIS Investments 2024, veröffentlicht am 22. November 2024. Navigating cybersecurity investments in the time of NIS 2

KaitoSec, Preisübersicht. Alle Preis-, Tarif-, Schulungs- und Beratungsangaben, geprüft am 9. September 2026

Preisstufen: Durchsicht der öffentlich einsehbaren Preisseiten der im DACH-Markt verbreiteten Anbieter, Stand September 2026.