Was kostet eine ISO-27001-Zertifizierung im Mittelstand?

Die Kosten einer ISO-27001-Zertifizierung bestehen aus fünf Blöcken: dem Zertifizierungsaudit, dem internen Personalaufwand, optionaler Beratung, dem Werkzeug, mit dem Sie das ISMS betreiben, und den laufenden Kosten im Dreijahreszyklus. Die Zahl der Auditortage ist dabei akkreditierungsgebunden und nicht verhandelbar. Verhandelbar ist allein der Tagessatz und beeinflussen können Sie nur, ob zusätzlicher Aufwand entsteht.

Woraus setzen sich die Kosten einer ISO-27001-Zertifizierung zusammen?

Fünf Blöcke bestimmen den Preis und nur einer davon steht am Ende auf einer Rechnung der Zertifizierungsstelle. Das Zertifizierungsaudit ist der sichtbarste von ihnen, daneben steht der interne Personalaufwand für den Aufbau und den Betrieb des ISMS. Externe Beratung bleibt optional, ebenso die Frage, mit welchem Werkzeug Sie das ISMS führen.

Dass Block drei überhaupt existiert, hat einen regulatorischen Grund. Eine akkreditierte Zertifizierungsstelle darf Sie nicht gleichzeitig beraten und zertifizieren. Die Trennung folgt aus der Anforderung an die Unabhängigkeit der Stelle. Wer Unterstützung beim Aufbau will, muss sie also woanders einkaufen oder selbst leisten.

Für die Budgetplanung ist die Aufteilung wichtiger, als sie zunächst wirkt, denn die fünf Blöcke werden von verschiedenen Stellen freigegeben. Das Audithonorar ist eine externe Rechnung mit klarem Empfänger, der interne Aufwand taucht in keiner Freigabe auf und wird trotzdem in Personalkapazität bezahlt, und die laufenden Kosten gehören in die Mehrjahresplanung, sonst steht die Rezertifizierung im dritten Jahr unerwartet im Raum. Wer alles in einer einzigen Summe zusammenfasst, verliert genau die Information, die für die Freigabe nötig ist. Welche Anforderungen inhaltlich hinter dem Zertifikat stehen, fasst unsere Übersicht zu ISO 27001 zusammen.

Durch alle fünf Blöcke zieht sich derselbe Kostentreiber: der Geltungsbereich. Er bestimmt, wie viele Beschäftigte in die Berechnung der Auditzeit eingehen, wie viele Prozesse dokumentiert werden müssen und wie viele Nachweise Sie jedes Jahr aktuell halten. Ein Scope, der aus Vorsicht das ganze Unternehmen umfasst, obwohl nur ein Geschäftsbereich zertifiziert werden muss, erhöht jeden einzelnen Block gleichzeitig. Er ist der einzige Hebel, der wirkt, bevor die erste Rechnung geschrieben wird.

Was kostet das Zertifizierungsaudit selbst?

Der Auditaufwand zerfällt in zwei Größen mit völlig unterschiedlichem Verhandlungsspielraum: die Anzahl der Tage und den Preis pro Tag. Wer beim Zertifizierer nach einem günstigeren Audit fragt, verhandelt fast immer an der falschen Stelle.

Die Zahl der Auditortage leitet sich aus den Akkreditierungsanforderungen ab, im Wesentlichen aus der Zahl der Beschäftigten im Geltungsbereich. Eine akkreditierte Stelle darf diese Basis nicht unterschreiten, ohne ihre eigene Akkreditierung zu gefährden. Wer Ihnen deutlich weniger Tage anbietet als der Wettbewerb, gibt Ihnen entweder ein schwächeres Audit oder arbeitet nicht akkreditiert.

Lassen Sie sich die Herleitung der Audittage schriftlich geben. Eine seriöse Zertifizierungsstelle legt offen, von welcher Beschäftigtenzahl sie ausgeht, welche Zu- und Abschläge sie für die Komplexität, die Zahl der Standorte und die genutzten externen Dienstleistungen ansetzt und wie sich daraus Stage 1 und Stage 2 ergeben. Wer das nicht erklären will, ist das falsche Angebot.

Das Audit läuft in zwei Stufen ab. In Stage 1 prüft der Auditor die Dokumentation und stellt fest, ob Sie überhaupt auditbereit sind. In Stage 2 prüft er die Wirksamkeit im Betrieb. Beide Stufen werden berechnet, und eine schwache Stage 1 verlängert regelmäßig die Stage 2.

Über den Tagessatz lässt sich dagegen sprechen. Veröffentlichte Angaben von Anbietern reichen für 2026 bis 2.500 Euro pro Auditortag. In der Praxis liegt der Korridor für den Mittelstand eher bei 1.000 bis 1.500 Euro, mit Ausreißern nach oben und unten, weil der Satz an Expertise und Seniorität der prüfenden Stelle hängt und nicht an einer Preisliste. Da die Tagesbasis feststeht, ist der Tagessatz der einzige direkte Preishebel, und er rechtfertigt es, mehrere Angebote einzuholen.

Nicht verhandelbar ist dagegen die Akkreditierung. In Deutschland akkreditiert die DAkkS die Zertifizierungsstellen. Ein Zertifikat ohne diese Grundlage ist in Ausschreibungen und Lieferantenprüfungen deutlich weniger wert und kostet Sie das Geld ein zweites Mal. Ob eine Stelle tatsächlich für ISO 27001 akkreditiert ist, können Sie in der Datenbank der DAkkS nachsehen, bevor Sie ein Angebot einholen.

Welcher interne Aufwand entsteht neben den externen Kosten?

Der größte Kostenblock steht auf keiner Rechnung, weil er bereits als Gehalt bezahlt wird. Deshalb wird er in fast jeder Planung unterschätzt. Zum Stillstand bringt Projekte am Ende er, nicht die Auditrechnung.

Die Arbeit dahinter lässt sich konkret benennen: Sie legen den Geltungsbereich fest, führen eine Risikoanalyse durch, erstellen das Statement of Applicability, schreiben Richtlinien, setzen Maßnahmen um, sammeln Nachweise, führen ein internes Audit durch und dokumentieren die Managementbewertung. Jeder dieser Punkte ist Arbeitszeit von Menschen, die den Betrieb ohnehin am Laufen halten.

Die Größenordnung dieses Aufwands lässt sich immerhin einkreisen. Zwei unabhängige Anbieterpublikationen kommen für ein Unternehmen mit rund hundert Beschäftigten auf 90 bis 150 Personentage für den erstmaligen Aufbau. Eine dritte rechnet stattdessen in Vollzeitäquivalenten und kommt mit einem halben bis ganzen Informationssicherheitsbeauftragten über zwölf Monate auf eine vergleichbare Größenordnung. In der Realität des Mittelstands verteilt sich das selten auf ein Team. Es liegt bei einer Person, oft in Teilzeit, oft neben dem laufenden IT-Betrieb.

Die im Netz genannten Gesamtkosten scheinen um mehr als das Zehnfache zu streuen, von 15.000 Euro bis über 200.000 Euro. Der Grund ist fast immer dieselbe Systemgrenze: ob der interne Personalaufwand mitgerechnet wird oder nicht. Rechnungen ohne internen Aufwand landen für kleinere Mittelständler bei 15.000 bis 60.000 Euro. Rechnungen mit internem Aufwand landen bei 90.000 bis 150.000 Euro, und dort überlappen drei voneinander unabhängige Quellen. Beide Zahlen können richtig sein, sie beantworten nur verschiedene Fragen.

Für Ihre eigene Planung heißt das: Klären Sie zuerst, welche Frage Sie beantworten wollen. Geht es um das Budget, das Sie freigeben lassen müssen, zählt die zweite Zahl. Geht es um die Rechnungen, die extern anfallen, die erste.

Was kostet externe Beratung, und wann lohnt sie sich?

Beratung ersetzt keinen internen Aufwand, sie verkürzt ihn. Die Tagessätze reichen je nach Erfahrungsstufe von 500 Euro für Junior-Profile bis deutlich über 1.500 Euro, und in einem Mittelstandsprojekt sind zehn bis zwanzig Beratungstage realistisch. Verpflichtend ist sie nie: Die Norm verlangt keine externe Begleitung.

Am Markt haben sich drei Modelle etabliert. Der Tagessatz ist am flexibelsten und verlagert das Mengenrisiko zu Ihnen. Festpreis-Pakete für abgegrenzte Leistungen wie eine Gap-Analyse oder die Auditbegleitung verlagern es zum Anbieter. Ein Retainer für einen externen Informationssicherheitsbeauftragten deckt den laufenden Betrieb ab, nicht das Projekt.

Die Tagessätze staffeln sich nach Erfahrungsstufe. Junior-Profile liegen zwischen 500 und 800 Euro, erfahrene Beraterinnen und Berater zwischen 1.000 und 1.500 Euro, spezialisierte Boutiquen und große Prüfungshäuser deutlich darüber. Die Spanne ist nach oben wie nach unten offen, weil sie an Expertise und Seniorität hängt. KaitoSec ruft für Beratung remote ab 1.150 Euro pro Tag auf und liegt damit mitten in diesem Band. Die vollständigen Konditionen stehen auf der Preisseite, die Leistungen unter Beratung.

Der Einsatzpunkt wiegt schwerer als der Satz. Beratung lohnt sich dort, wo Erfahrung fehlt und ein Fehler teuer wird: beim erstmaligen Schnitt des Geltungsbereichs, bei der Wahl der Risikomethodik, bei der Vorbereitung auf das Audit. Sie lohnt sich nicht für Fleißarbeit. Nachweise zusammentragen, Richtlinien in Ihre Sprache bringen und Zuständigkeiten klären kann niemand besser als Ihr eigenes Haus, und Sie zahlen dafür sonst einen Tagessatz für Tätigkeiten, die intern günstiger und meist besser erledigt werden.

Beratung bleibt am Ende optional. Ein Unternehmen mit vorhandener Dokumentationskultur und einer Person, die sich einarbeiten darf, kommt ohne sie aus.

Was kostet ein ISMS-Tool, und was nimmt es Ihnen ab?

Ein ISMS-Tool senkt weder die Audittage noch ersetzt es Fachwissen. Es arbeitet am dritten Hebel: daran, dass kein Zusatzaufwand entsteht. Die Marktangaben liegen im Mittelstand bei 3.000 bis 15.000 Euro im ersten Jahr, weil es sich fast durchgehend um Jahresabonnements handelt.

Innerhalb dieser Spanne entscheidet vor allem, wie viele Personen Zugriff brauchen und wie viele Rahmenwerke das Werkzeug parallel führen soll. Für die Folgejahre nennen dieselben Quellen eine ähnliche Größenordnung. Ein Vergleich der verfügbaren Werkzeuge lohnt sich hier stärker als bei den Auditkosten, weil der Funktionsumfang zwischen den Anbietern weiter auseinanderliegt als der Preis.

Was ein Werkzeug nicht kann, ist ebenso wichtig wie das, was es kann. Die Auditortage bleiben unverändert, sie hängen an der Beschäftigtenzahl und nicht an Ihrer Software. Und die Entscheidungen, für die Sie sonst Beratung einkaufen, nimmt Ihnen kein Tool ab: Wie Sie den Geltungsbereich schneiden, welche Risikomethodik Sie wählen und welche Controls Sie mit welcher Begründung ausschließen, bleibt fachliche Arbeit.

Was ein Werkzeug abnimmt, ist die Pflege. Nachweise liegen dort, wo der Auditor sie erwartet, statt in vier Ordnerstrukturen. Das Statement of Applicability bleibt aktuell, weil es sich aus den Controls ergibt statt aus einer Tabelle, die jemand nachziehen muss. Risiken werden fortgeschrieben, statt einmal im Jahr rekonstruiert. Und wer ISO 27001 neben NIS2 oder dem BSI IT-Grundschutz führt, pflegt denselben Nachweis einmal statt dreimal.

Genau diese Pflege ist der Aufwand, der im Audit sichtbar wird. Sie verschiebt sich damit aus dem internen Personalaufwand in eine planbare Jahresgebühr.

Ehrlich bleibt trotzdem: Für einen sehr kleinen Geltungsbereich mit wenigen Dutzend Nachweisen tut es eine saubere Ordnerstruktur. Ein Tool rechnet sich, wenn mehrere Personen daran arbeiten, wenn mehr als ein Rahmenwerk im Spiel ist oder wenn der Nachweisbestand groß genug wird, dass ihn niemand mehr im Kopf hat. Ein schlecht gepflegtes Werkzeug kostet Geld und spart nichts.

Der Unterschied zur Beratung liegt in der Art des Einkaufs. Beratung kaufen Sie in Tagen für eine Entscheidung, und sie endet. Ein Werkzeug bezahlen Sie jährlich für einen Zustand, und es endet nicht.

Welche laufenden Kosten kommen nach dem Zertifikat?

Das Zertifikat gilt drei Jahre, aber es kostet in jedem dieser Jahre Geld. Zwei Überwachungsaudits zu je 4.000 bis 10.000 Euro und eine Rezertifizierung zwischen 10.000 und 20.000 Euro kommen hinzu. Wer nur die Erstzertifizierung kalkuliert, plant ein Drittel des Zyklus.

Der Rhythmus dafür ist festgelegt: Nach der Erstzertifizierung folgen zwei jährliche Überwachungsaudits, im dritten Jahr die Rezertifizierung. Die Überwachungsaudits sind kürzer als das Erstaudit, aus den ausgewerteten Quellen ergibt sich ein Korridor von rund 4.000 bis 10.000 Euro je Audit. Die Rezertifizierung liegt dazwischen, typischerweise bei 10.000 bis 20.000 Euro, weil sie das System noch einmal vollständig betrachtet.

Daneben läuft der interne Betrieb weiter. Risiken müssen fortgeschrieben, Maßnahmen nachgewiesen, das interne Audit und die Managementbewertung jedes Jahr durchgeführt werden. Der PDCA-Takt ist der Grund, warum die Kosten eines ISMS nie auf null gehen.

Teuer wird es dort, wo dieser Betrieb einschläft. Wer das System zwischen zwei Audits ruhen lässt und die Nachweise vier Wochen vor dem Termin rekonstruiert, zahlt zweimal: einmal in Überstunden und einmal in Auditzeit, weil unvollständige Nachweise den Auditor aufhalten. Kontinuierlicher Betrieb ist in Summe die günstigere Variante, auch wenn er sich Monat für Monat teurer anfühlt. Resilienz ist an dieser Stelle eine Rechengröße: Ein ISMS, das läuft, produziert seine Nachweise nebenbei. Eines, das nur zum Audittermin erwacht, produziert sie unter Zeitdruck und bezahlt sie zweimal.

Eine Erweiterung des Geltungsbereichs im laufenden Zyklus, etwa ein neuer Standort oder ein zugekauftes Unternehmen, erhöht die Auditbasis und damit die Kosten der verbleibenden Audits. Planen Sie absehbare Zukäufe oder Standorteröffnungen deshalb bereits beim ersten Scope-Schnitt mit ein. Ein Geltungsbereich, der von vornherein die richtige Struktur hat, lässt sich später erweitern, ohne dass die gesamte Systemgrenze neu begründet werden muss.

Woran lässt sich bei den Auditkosten überhaupt sparen?

Sie senken den Auditpreis nicht, indem Sie verhandeln, sondern indem Sie dem Auditor keine Zeit stehlen. Die Zahl der Audittage ist akkreditierungsgebunden, der Tagessatz liegt im Markt bei 1.000 bis 1.500 Euro, und nur der dritte Posten liegt wirklich bei Ihnen. Drei Kategorien lassen sich sauber trennen:

• Nicht verhandelbar: die Anzahl der Audittage. Sie ist akkreditierungsgebunden und leitet sich aus der Beschäftigtenzahl im Geltungsbereich ab. Jeder Versuch, hier zu drücken, führt entweder ins Leere oder zu einer Stelle, deren Zertifikat weniger wert ist.
• Verhandelbar: der Tagessatz. Er ist der einzige direkte Preishebel, den Sie haben. Holen Sie mehrere Angebote akkreditierter Stellen ein und lassen Sie sich jeweils die Herleitung der Tage mitliefern. Erst dann vergleichen Sie tatsächlich dasselbe.
• Beeinflussbar: ob Zusatzaufwand entsteht. Der Auditor prüft nicht Ihr Unternehmen, er prüft Ihre Nachweise. Sind diese vollständig, aktuell und auffindbar, bleibt es beim Grundaufwand. Ob Sie das mit einer Ordnerstruktur oder einem Werkzeug sicherstellen, ist zweitrangig, solange es verlässlich funktioniert. Sind die Nachweise es nicht, entsteht Mehraufwand: eine verlängerte Stage 2, Abweichungen mit Korrekturmaßnahmen und einer Nachprüfung, im ungünstigsten Fall ein zusätzliches Nachaudit.

Über allen dreien steht der Geltungsbereich. Er senkt die Tagesbasis, den internen Aufwand und das Risiko für Abweichungen gleichzeitig, und er ist der einzige Hebel, der vor der ersten Rechnung greift.

Im Mittelstand kommt ein Fall fast immer dazu. Wer ISO 27001, NIS2 und den BSI IT-Grundschutz in getrennten Ablagen dokumentiert, führt denselben Nachweis mehrfach und pflegt ihn mehrfach. Das erzeugt genau die Rekonstruktionsarbeit, die im Audit Zeit kostet. Ein gemeinsames Datenmodell über die Rahmenwerke hinweg wirkt deshalb unmittelbar auf den Auditaufwand.

Wie sieht die Kostenrechnung in der Praxis aus?

Ausgangslage

Ein Fertigungsunternehmen mit 120 Beschäftigten an einem Standort. Der Geltungsbereich wird auf den IT-Betrieb und die Produktentwicklung begrenzt, die Produktion bleibt außen vor. Es gibt kein bestehendes ISMS, aber gepflegte IT-Dokumentation. Ein IT-Verantwortlicher übernimmt das Projekt mit etwa dreißig Prozent seiner Arbeitszeit.

Alle folgenden Zahlen stammen aus dem Marktkorridor mehrerer Anbieterpublikationen für den deutschen Mittelstand. Sie sind eine Beispielrechnung, kein Angebot und keine Benchmark.

Der Ablauf im Detail

Für die Größenordnung von 120 Beschäftigten im Scope ergibt die Marktaggregation sieben bis zehn Auditortage für Stage 1 und Stage 2 zusammen. Bei einem Tagessatz von 1.000 bis 1.500 Euro liegt das Audithonorar damit bei rund 7.000 bis 15.000 Euro, zuzüglich Reisekosten bei Vor-Ort-Terminen.

Der interne Aufwand liegt bei rund 90 bis 150 Personentagen im ersten Jahr, verteilt über etwa zehn Monate. Bei dreißig Prozent Projektanteil einer Person reicht das nicht aus, es müssen also Fachbereiche zuarbeiten oder die Laufzeit verlängert sich.

Für Beratung sind in dieser Konstellation zehn bis zwanzig Tage realistisch, wenn sie gezielt für Scope-Schnitt, Risikomethodik und Auditvorbereitung eingesetzt wird. Bei 1.150 Euro pro Tag entspricht das 11.500 bis 23.000 Euro.

Für ein ISMS-Tool liegt die Größenordnung in dieser Unternehmensgröße bei rund 8.000 bis 14.000 Euro im ersten Jahr.

In den Jahren zwei und drei kommen je ein Überwachungsaudit von 4.000 bis 10.000 Euro sowie der laufende interne Betrieb hinzu, im dritten Jahr stattdessen die Rezertifizierung mit 10.000 bis 20.000 Euro.

Wer nur die externen Rechnungen zählt, landet im ersten Jahr bei rund 27.000 bis 52.000 Euro. Wer den internen Aufwand mit einkalkuliert, kommt auf ein Vielfaches davon. Die Diskussion mit der Geschäftsführung wird deutlich einfacher, wenn Sie von vornherein sagen, welche der beiden Zahlen Sie meinen.

Was die Rechnung verschiebt

Zwei Hebel bewegen das Ergebnis spürbar, und der Geltungsbereich ist der erste davon. Hätte dieses Unternehmen die Produktion einbezogen, wären deutlich mehr Beschäftigte in die Auditbasis eingegangen, mit Wirkung auf die Auditortage, den Dokumentationsumfang und den internen Aufwand zugleich.

Der zweite ist die geleistete Vorarbeit. Eine vorhandene und gepflegte IT-Dokumentation verschiebt den internen Aufwand an das untere Ende des Korridors. Ein Unternehmen, das bei null anfängt und parallel seine Assetliste erst aufbaut, liegt am oberen Ende oder darüber.

Häufig gestellte Fragen zu ISO-27001-Kosten

Was kostet eine ISO-27001-Zertifizierung mindestens?

Eine sinnvolle Untergrenze lässt sich nur mit der Zahl der Beschäftigten im Geltungsbereich angeben, weil daran die Auditortage hängen. Für sehr kleine Organisationen mit weniger als zehn Personen im Scope nennen die ausgewerteten Quellen zwei bis vier Auditortage, was bei marktüblichen Sätzen ein Audithonorar von rund 2.000 bis 6.000 Euro ergibt. Der interne Aufwand kommt in jedem Fall hinzu.

Kann ich mich ohne Beratung zertifizieren lassen?

Ja. Die Norm verlangt keine externe Begleitung. Realistisch ist das, wenn eine Person die Verantwortung wirklich übernehmen darf, dafür Zeit bekommt und im Haus Dokumentationsdisziplin herrscht. Fehlt eine dieser drei Bedingungen, wird der Weg ohne Beratung meist nicht günstiger, sondern nur länger.

Wie lange dauert es bis zum Zertifikat?

Für den Mittelstand liegen realistische Projektlaufzeiten bei acht bis zwölf Monaten. Dauer und Kosten hängen am selben Faktor, nämlich am Geltungsbereich und an der vorhandenen Vorarbeit. Der Zeitplan in unserer ISO-27001-Checkliste schlüsselt die einzelnen Schritte auf.

Ist ISO 27001 günstiger als der BSI IT-Grundschutz?

Die beiden lassen sich nicht direkt gegeneinanderrechnen, weil sie unterschiedlich vorgehen. Der BSI IT-Grundschutz arbeitet mit vorgegebenen Bausteinen und einer Schutzbedarfsfeststellung, ISO 27001 mit einer eigenen Risikoanalyse. Der Aufwand verschiebt sich also, statt zu verschwinden. Ein Termin verschiebt die Rechnung zusätzlich: Grundschutz++ wird ab dem 1. Januar 2027 zertifizierbar, und zwar als ISO 27001 auf Basis von Grundschutz++. Die beiden Wege laufen ab dann zusammen, statt sich auszuschließen. Für den Einstieg in den Grundschutz ist der Grundschutz-Starter der passende Ausgangspunkt.

Zahlt sich die Zertifizierung aus?

Eine belastbare Renditezahl dafür gibt es nicht, und wer eine nennt, hat sie geschätzt. Die realen Treiber sind konkreter: Ausschreibungen, die ein Zertifikat voraussetzen, Kunden, die es im Lieferantenaudit verlangen, und der Aufwand für Sicherheitsfragebögen, der spürbar sinkt, wenn die Antworten ohnehin dokumentiert vorliegen. Wenn Sie im Vertrieb regelmäßig an diesen drei Punkten Zeit verlieren, rechnet sich die Zertifizierung meist schneller, als die reine Kostenrechnung vermuten lässt. Wie viel Umsatz dabei konkret im Feuer steht, hängt an zwei Zahlen, die nur Sie kennen: Ihrer durchschnittlichen Auftragsgröße und der Zahl der Aufträge, die zuletzt an einem fehlenden Zertifikat gescheitert oder verzögert worden sind. Wer beides einsetzt, bekommt in unserem ROI-Rechner ein Szenario dafür.