Kurzantwort: Eine pauschale Zahl gibt es nicht. Die Kosten einer ISO-27001-Zertifizierung setzen sich aus mehreren Blöcken zusammen – Beratung, technische Nachrüstungen, interner Aufwand und die Auditgebühren der Zertifizierungsstelle –, und die Dauer hängt für Beratung und internen Aufwand stärker vom Ausgangszustand als von der Unternehmensgröße ab. Bei den Auditgebühren ist es umgekehrt: Die Auditzeit akkreditierter Stellen wird nach verbindlichen Vorgaben primär aus der Mitarbeiterzahl abgeleitet. Nach der Projekterfahrung liegen zwischen Projektstart und Zertifikat mehrere Monate bis etwa ein Jahr.
Aus welchen Blöcken sich die Kosten zusammensetzen
Vier Blöcke sind zu unterscheiden, unabhängig davon, wie hoch sie im Einzelfall ausfallen: Beratung und Projektbegleitung beim Aufbau des ISMS, gegebenenfalls technische Maßnahmen, die erst nachgerüstet werden müssen, der interne Zeitaufwand der eigenen Mitarbeitenden – oft der am meisten unterschätzte Posten – und die Auditgebühren der akkreditierten Zertifizierungsstelle selbst, die unabhängig vom Berater erhoben werden.
Diese vier Blöcke verhalten sich über die Zeit unterschiedlich: Beratung und technische Nachrüstung fallen vor allem im ersten Jahr an, die Auditgebühren dagegen wiederkehrend – im Erstjahr für das vollständige Zertifizierungsaudit, danach günstiger für die jährlichen Überwachungsaudits. Wer die Gesamtkosten realistisch einschätzen will, braucht deshalb nicht eine einzelne Zahl, sondern eine Aufstellung nach Block und Jahr – das ist genau das Ergebnis eines Initial-Assessments, aus dem ein Festpreisangebot pro Modul entsteht – Details zur Beratung dazu auf der Leistungsseite. Was ISO 27001 als Standard selbst regelt, erklärt ein eigener Artikel.
Wovon die Dauer wirklich abhängt
Der entscheidende Faktor ist der Ausgangszustand, nicht die Mitarbeiterzahl. Ein Unternehmen mit bereits dokumentierten Prozessen, klaren Verantwortlichkeiten und gelebten Sicherheitsmaßnahmen ist deutlich schneller fertig als ein gleich großer Betrieb, der beim Thema Informationssicherheit bei null anfängt. Drei Phasen bestimmen den Zeitplan: der Aufbau des ISMS selbst, ein Zeitraum gelebten Betriebs mit internen Audits, in dem sich zeigen muss, dass die Maßnahmen im Alltag tatsächlich funktionieren, und erst danach das Zertifizierungsaudit.
Der Ablauf in der Praxis: Stufe 1 und Stufe 2
Das Zertifizierungsaudit selbst läuft zweistufig. Stufe 1 ist eine Bereitschaftsprüfung und findet in der Regel bereits vor Ort statt; eine reine Dokumentenprüfung ist der Ausnahmefall. Geprüft wird dabei die Dokumentation: Ist das ISMS vollständig beschrieben, passt der Geltungsbereich, sind die Grundlagen für Stufe 2 gegeben? Erst wenn das passt, folgt Stufe 2 – die Prüfung, ob die beschriebenen Maßnahmen im Betrieb tatsächlich gelebt werden, meist durch Interviews, Stichproben und Begehungen. Nach erfolgreichem Abschluss ist das Zertifikat drei Jahre gültig, mit jährlichen Überwachungsaudits dazwischen.
Wie sich die Kosten nach der Erstzertifizierung verändern
Die jährlichen Überwachungsaudits sind deutlich günstiger als das ursprüngliche Zertifizierungsaudit, weil sie nur Teilbereiche prüfen statt das gesamte System neu zu bewerten. Der laufende interne Aufwand bleibt aber bestehen – ein ISMS, das nach der Zertifizierung nicht mehr gepflegt wird, fällt beim nächsten Überwachungsaudit auf. Das Budget für Jahr zwei und drei sollte deshalb nicht mit dem Erstjahr verwechselt werden, ist aber auch kein reiner Verwaltungsposten – eher laufender Betrieb.
Häufige Fragen zu Kosten und Ablauf
Sinkt der Aufwand nach der Erstzertifizierung wirklich?
Bei den externen Auditgebühren ja, deutlich. Beim internen Aufwand kommt es darauf an, wie gut das ISMS in den Alltag integriert ist – ein System, das nur für das Audit „hochgefahren“ wird, verursacht auch in den Folgejahren unnötig viel Aufwand.
Wie beeinflusst der gewählte Scope die Kosten?
Direkt und stark. Ein eng gefasster Geltungsbereich – etwa nur eine Dienstleistung statt das ganze Unternehmen – reduziert den Aufwand kurzfristig, kann aber später zum Problem werden, wenn Kunden oder gesetzliche Vorgaben einen umfassenderen Scope verlangen. Der Scope sollte deshalb strategisch gewählt werden, nicht nur mit Blick auf die kurzfristigen Kosten.
Was passiert, wenn beim Audit Abweichungen auftreten?
Das ist der Normalfall, kein Ausnahmefall. Kleinere Abweichungen (Minor Nonconformities) müssen innerhalb einer von der Zertifizierungsstelle vorgegebenen Frist behoben werden, größere (Major Nonconformities) können die Zertifizierung verzögern, bis die Ursache nachweislich beseitigt ist. Ein Audit ohne jede Abweichung ist in der Praxis selten und kein Qualitätsmerkmal für sich.
Lohnt sich eine Zertifizierung für kleinere Unternehmen?
Das hängt vom Anlass ab, nicht von der Mitarbeiterzahl allein. Wenn Kunden oder Ausschreibungen die Zertifizierung ausdrücklich verlangen, oder wenn ein Unternehmen unter das NISG 2026 fällt und die Anforderungen sonst separat erfüllen müsste, rechnet sich der Aufwand meist schneller als erwartet. Ohne konkreten Anlass kann ein ISMS zunächst auch ohne Zertifizierung intern aufgebaut werden.
Was ist eine Gap-Analyse, und wozu dient sie vor der Zertifizierung?
Eine Gap-Analyse vergleicht den aktuellen Stand eines Unternehmens mit den Anforderungen von ISO 27001 und deckt auf, wo die größten Lücken liegen – bevor Geld und Zeit in die falschen Prioritäten fließen. Sie ist meist der erste konkrete Schritt nach dem Initial-Assessment und die Grundlage für einen realistischen Zeit- und Kostenplan. Wie ein ISMS anschließend Phase für Phase entsteht, zeigt ein eigener Artikel.
