Het korte antwoord: voor een organisatie tot vijftig medewerkers kost ISO 27001-certificering in het eerste jaar meestal tussen de €15.000 en €55.000, inclusief de tijd van je eigen mensen. Bij 50 tot 250 medewerkers liggen de externe kosten voor audit en begeleiding meestal tussen de €25.000 en €50.000, met daarbovenop de inzet van je eigen organisatie. Het traject duurt gemiddeld zes tot twaalf maanden.
Dat zijn brede marges, en dat is geen toeval. De kosten en doorlooptijd hangen sterk af van waar je nu staat en hoeveel je zelf doet.
In deze blog laat ik zien waar die kosten uit bestaan, wat de doorlooptijd bepaalt en hoe je voorkomt dat je meer betaalt of langer bezig bent dan nodig.
Veel organisaties kijken alleen naar de offerte van de certificatie-instelling. Dat is maar een deel van het verhaal. De totale kosten bestaan uit vier posten.
1. De certificatie-instelling
Een geaccrediteerde certificatie-instelling voert de externe audit uit in twee fases. In fase 1 kijkt de auditor of je systeem compleet is en klaar voor de audit. In fase 2 toetst de auditor of het in de praktijk werkt. Het aantal auditdagen ligt grotendeels vast in de accreditatieregels (ISO/IEC 27006) en hangt vooral af van het aantal medewerkers. De dagtarieven liggen in Nederland grofweg tussen de €1.500 en €1.850. Daar komen soms nog certificaatkosten, reiskosten en uren voor rapportage bij.
2. Begeleiding
Een adviseur is niet verplicht, maar scheelt vaak tijd en fouten. Je betaalt voor kennis van de norm en voor ervaring met wat een auditor wil zien.
3. Je eigen tijd
De grootste en vaakst onderschatte post. Je mensen moeten risico’s analyseren, beleid vaststellen, maatregelen invoeren en het systeem draaiende houden. Ook met begeleiding blijft dat werk deels bij de organisatie.
4. Maatregelen
Soms blijkt dat er technisch of organisatorisch nog iets moet gebeuren, zoals multifactorauthenticatie, betere back-ups, logging of een awarenesstraining. Die kosten verschillen sterk per organisatie.
| Kostenpost | Tot 10 medewerkers | 10 tot 50 medewerkers | 50 tot 250 medewerkers |
|---|---|---|---|
| Certificatie-audit (fase 1 en 2) | €4.500 – €7.500 | €6.000 – €10.000 | €9.000 – €16.000 |
| Begeleiding door een adviseur (optioneel) | €5.000 – €12.000 | €8.000 – €20.000 | €15.000 – €35.000 |
| Tijd van je eigen mensen | €5.000 – €12.000 | €10.000 – €25.000 | €20.000 – €45.000 |
| Controle-audit (jaar 2 en 3) | €2.000 – €3.000 per jaar | €2.500 – €4.000 per jaar | €3.000 – €6.000 per jaar |
Indicatieve bedragen exclusief btw, gebaseerd op gangbare marktprijzen in Nederland. De werkelijke kosten hangen af van je organisatie en uitgangssituatie. Bij meer dan 250 medewerkers hangt het sterk af van de scope; dan maak ik graag een inschatting op maat.
Hoe ziet dat er in werkelijkheid uit? Voor een organisatie van ongeveer 70 medewerkers met één locatie en een overzichtelijke IT-omgeving heb ik onlangs offertes van twee certificatie-instellingen naast elkaar gelegd:
Opvallend: de instelling met het hogere dagtarief rekende minder auditdagen, waardoor beide offertes dicht bij elkaar uitkwamen. Kijk dus niet alleen naar de dagprijs, maar naar het totaal over drie jaar. En let op de kleine lettertjes: certificaatkosten, uren voor rapportage, tarieven voor meerwerk en reiskosten. Vraag ook gerust naar een welkomstkorting; die wordt regelmatig gegeven.
Daarnaast kies je soms voor een compliance-tool. Dat is handig, maar niet nodig om gecertificeerd te worden. Voor veel kleinere organisaties werkt een goed ingericht systeem met bestaande tools prima.
Met begeleiding duurt een ISO 27001-traject meestal zes tot twaalf maanden. Wie het volledig zelf doet, is vaak twaalf maanden of langer bezig. Grofweg verloopt het zo:
Tip: plan de certificatie-audit op tijd in. Certificatie-instellingen zijn vaak weken tot maanden vooruit volgeboekt.
Met Aymigo Certificatie begeleid ik organisaties van de eerste nulmeting tot en met de certificatie-audit. Ik werk praktisch: geen standaardpakket met tientallen documenten, maar een systeem dat past bij hoe jullie werken. Zo houd je de interne uren beperkt en weet je vooraf waar je aan toe bent. Meer over mijn aanpak lees je op de pagina over ISO 27001.
Drie jaar. In het eerste en tweede jaar na certificering volgt een controle-audit en in het derde jaar een hercertificeringsaudit. Daarna begint de cyclus opnieuw.
Dat is krap. Je managementsysteem moet aantoonbaar werken voordat de certificatie-audit plaatsvindt, inclusief een interne audit en een directiebeoordeling. Voor een kleine, goed georganiseerde organisatie is vier tot zes maanden haalbaar. Voor de meeste organisaties is zes tot twaalf maanden realistisch.
Nee, dat is niet verplicht. Je kunt het ook zelf doen. In de praktijk duurt het dan vaak langer en kost het meer interne uren. Een ervaren begeleider helpt vooral om de juiste keuzes te maken en niet meer te doen dan nodig is.
Kies een instelling die voor ISO 27001 is geaccrediteerd, in Nederland door de Raad voor Accreditatie. Vraag offertes op bij minstens twee instellingen en vergelijk het aantal auditdagen, de dagprijs en de kosten voor de controle-audits in de jaren daarna.
Ja. Er is veel overlap tussen ISO 27001 en de zorgplicht uit de Cyberbeveiligingswet, zoals risicomanagement, incidentbeheer en leveranciersbeheer. Een certificaat is niet verplicht en betekent niet automatisch dat je aan de wet voldoet, maar het is wel een sterke basis.
Algemene bedragen geven een richting, maar het echte antwoord hangt af van jouw organisatie. Weet je waar je staat, dan weet je ook wat het kost en hoe lang het duurt.
Wil je een inschatting voor jouw situatie? Plan een kennismaking, dan maak ik samen met jou een realistische planning en begroting.
“De eerste vraag die ik regelmatig krijg is: wat kost het en hoe lang duurt het? Het eerlijke antwoord is dat het afhangt van waar je nu staat. De offerte van de certificatie-instelling is vaak niet de grootste post. Het is de tijd van je eigen mensen. Daar zit ook de grootste winst als je het slim aanpakt.”
.png)
Lees de laatste inzichten over certificering, audits en innovatie.
.png)
