ISO 27001 kosten: waar hangt het prijskaartje van af?

Wat ISO 27001 kost, is de vraag die het vaakst als eerste komt en die het lastigst in een bedrag is uit te drukken. Er is geen vaste prijs, omdat de norm zich aanpast aan uw organisatie. Wel is goed aan te geven waar de kosten vandaan komen.

Dat helpt meer dan een gemiddelde, want dat gemiddelde klopt vrijwel nooit voor uw situatie. Twee organisaties van dezelfde omvang kunnen een factor drie verschillen, puur door de scope en door wat er al ligt.

Hieronder ziet u de posten, wat ze bepaalt en wat het na certificering blijft kosten.

De vier kostenposten

Een traject valt uiteen in vier delen die u apart kunt beïnvloeden.

• Certificerende instelling. De audit zelf, in fase 1 en fase 2. Wordt berekend in dagen en die volgen uit uw omvang en scope.
• Begeleiding. Optioneel. Van alleen een klankbord bij de lastige keuzes tot volledige inrichting.
• Eigen tijd. De grootste post en de minst zichtbare. Uw mensen leveren informatie, nemen besluiten en voeren maatregelen in.
• Maatregelen. Wat u technisch of organisatorisch nog moet inrichten. Sterk wisselend, want veel organisaties hebben het meeste al.

Die derde post wordt bijna altijd vergeten in de begroting, terwijl hij in doorlooptijd het zwaarst weegt.

Wat de auditdagen bepaalt

Certificerende instellingen rekenen met dagtarieven en een aantal dagen dat volgt uit uw situatie. Het aantal medewerkers binnen de scope is daarbij de belangrijkste factor, gevolgd door het aantal locaties en de complexiteit van uw dienstverlening.

Daar zit meteen uw grootste knop: de scope. Certificeert u alleen de dienst waar uw klanten naar vragen, dan telt alleen het personeel dat daaraan werkt. Neemt u de hele organisatie mee, dan telt iedereen.

Let op dat de kosten niet stoppen bij de eerste audit. Er volgt jaarlijks een controleaudit, en na drie jaar een hercertificering die zwaarder is dan een controleaudit.

Wat er al ligt scheelt het meest

Dit is de post die het verschil maakt tussen een kort en een lang traject, en hij wordt stelselmatig onderschat.

Bijna elke organisatie heeft al beleid, een back-upprocedure, afspraken over toegang en een leverancierslijst. Het zit alleen verspreid en het is nergens tegen elkaar afgewogen. Een groot deel van de inrichting is dan vastleggen wat u al doet, niet iets nieuws bouwen.

Een nulmeting brengt dat in kaart voordat u begint. Dat kost een fractie van het traject en het voorkomt dat u werk doet dat al gedaan is. Zie de ISO 27001 gap-analyse.

Wat het jaarlijks blijft kosten

Een certificaat is drie jaar geldig, maar het onderhoud loopt door. Reken op drie terugkerende posten.

De controleaudit is er daar een van, jaarlijks, korter dan de certificeringsaudit. Daarnaast kost het onderhoud van het systeem interne tijd: de risicobeoordeling bijwerken, de interne audit uitvoeren, de directiebeoordeling houden. Dat is de PDCA-cyclus in de praktijk.

De derde post is wisselend: maatregelen die aflopen of vervangen moeten worden, en trainingen die herhaald worden. Neem die mee in uw jaarplanning, dan komen ze niet als verrassing.

Waarop u kunt sturen

Drie keuzes bepalen het bedrag meer dan alle andere.

De scope is de eerste en veruit de belangrijkste. Klein beginnen en later uitbreiden kan altijd, en het maakt zowel het traject als de jaarlijkse audit goedkoper.

De tweede is hoeveel u zelf doet. Wie zelf schrijft en alleen laat meelezen bij de lastige keuzes, betaalt minder aan begeleiding maar meer in eigen tijd. Andersom net zo.

De derde is de planning. Een traject dat in een half jaar netjes loopt, is goedkoper dan hetzelfde traject dat over anderhalf jaar uitsmeert, want dan moet er telkens opnieuw worden ingelezen. Het stappenplan laat zien welke fasen elkaar opvolgen.

De post die niemand begroot

Van de vier posten is eigen tijd veruit de grootste, en het is de enige die niet op een factuur verschijnt. Daardoor komt hij in vrijwel geen enkele begroting terug.

Waar gaat die tijd in zitten? Aan het aanleveren van informatie, want alleen uw eigen mensen weten hoe het werkelijk werkt. Aan besluiten nemen over risico’s, want dat kan niemand voor u doen. Aan het invoeren van maatregelen, want die landen in het werk van anderen. En aan het beantwoorden van vragen van de auditor.

Reken bij een gemiddeld traject op een dag per week voor de trekker, over meerdere maanden, plus losse uren van collega’s. Wie dat niet vrijmaakt, ziet het traject uitlopen en dat kost per saldo meer.

De praktische conclusie: maak die tijd expliciet en wijs iemand aan. Een traject zonder vrijgemaakte tijd is niet goedkoper, het duurt alleen langer.

Drie manieren om te sturen op de kosten

Er zijn drie knoppen, en ze werken niet even hard.

De scope is de sterkste. Die bepaalt hoeveel mensen meetellen voor de auditdagen, hoeveel systemen u moet beschrijven en hoeveel processen u moet inrichten. Beginnen met de dienst waar uw klanten naar vragen scheelt vaak de helft, en uitbreiden kan altijd nog.

De verdeling zelf doen of laten doen is de tweede. Die verschuift kosten tussen posten in plaats van ze weg te nemen. Wie zelf schrijft betaalt minder aan begeleiding en meer in eigen tijd. Dat is voordelig als iemand bij u het onderwerp echt kan dragen, en nadelig als die persoon er niet is.

Het tempo is de derde en de meest onderschatte. Een traject dat in een half jaar netjes loopt is goedkoper dan hetzelfde traject uitgesmeerd over anderhalf jaar, want dan moet iedereen zich telkens opnieuw inlezen en verandert de organisatie onderweg. Vaart houden is dus geen luxe maar een besparing.

Veelgestelde vragen over de kosten van ISO 27001

Wat kost ISO 27001 gemiddeld?

Een gemiddelde zegt weinig, omdat scope en omvang de kosten met een factor drie kunnen laten verschillen. Zinvoller is om per post te kijken: auditdagen, begeleiding, eigen tijd en maatregelen. Wij maken die verdeling voor uw situatie inzichtelijk in een eerste gesprek.

Kan ik de kosten beperken door zelf meer te doen?

Ja, en dat gebeurt vaak. U betaalt dan minder aan begeleiding maar u investeert meer eigen tijd. Dat werkt goed als iemand bij u het onderwerp echt kan dragen. Ontbreekt die persoon, dan wordt het traject langer en per saldo duurder.

Wat kost de jaarlijkse controleaudit?

Minder dan de certificeringsaudit, want hij is korter. Het exacte aantal dagen volgt uit dezelfde factoren als bij de eerste audit: omvang en scope. Reken daarnaast op interne tijd voor de voorbereiding.

Is een kleinere scope altijd goedkoper?

In de directe kosten wel. Let er alleen op dat de scope nog steeds dekt waar uw klanten naar vragen. Een certificaat dat net niet de dienst omvat waarop de vraag ziet, levert niets op en is dus de goedkoopste optie die het duurst uitpakt.

Moet ik software aanschaffen?

Niet noodzakelijk. Bij een beperkte scope volstaan documenten en een spreadsheet. Groeit uw organisatie, dan kan een tool het bijhouden lichter maken. Wat zulke pakketten wel en niet oplossen staat in ISMS-software.