Kurz gesagt: Was eine ISO-27001-Zertifizierung kostet, entscheiden vor allem drei Größen: der Geltungsbereich, der Ausgangsstand Ihrer Organisation und die Zahl der Personen, die im Geltungsbereich arbeiten. Die Kosten verteilen sich auf sechs Blöcke, von der externen Beratung über die Gebühren der Zertifizierungsstelle bis zum Betrieb nach dem Zertifikat. Ein belastbarer Festpreis ist erst möglich, wenn eine Gap-Analyse zeigt, was schon vorhanden ist und was fehlt. Preislisten ohne diesen Abgleich sagen wenig über Ihre tatsächlichen Kosten.

Die sechs Kostenblöcke im Überblick

Eine Zertifizierung nach ISO/IEC 27001:2022 ist kein einzelner Einkauf. Sie bauen ein Informationssicherheits-Managementsystem (ISMS) auf, also feste Rollen, Regeln, Prozesse und Nachweise, mit denen Sie Informationssicherheit steuern. Eine unabhängige Stelle prüft danach, ob dieses System die Norm erfüllt. Dabei fallen Kosten in sechs Blöcken an:

  1. Externe Beratung. Unterstützung bei Gap-Analyse, Risikobewertung, Richtlinien und Auditvorbereitung. Der Umfang hängt davon ab, wie viel Ihr eigenes Team übernimmt.
  2. Interne Zeit. Stunden von Geschäftsleitung, Informationssicherheitsbeauftragtem und Fachabteilungen.
  3. Gebühren der Zertifizierungsstelle. Audittage für Erstzertifizierung, Überwachung und Rezertifizierung.
  4. Technische Maßnahmen. Alles, was die Gap-Analyse an Lücken aufdeckt.
  5. Werkzeuge. Ablage für Dokumente, Risikoregister, auf Wunsch eine ISMS-Software.
  6. Laufender Betrieb. Pflege des ISMS über den gesamten Zertifikatszyklus.

Viele Kostenvergleiche betrachten nur die Blöcke 1 und 3. Für Ihr Budget zählen alle sechs.

Interne Zeit: der Block, der oft fehlt

Die Norm verlangt, dass die oberste Leitung das ISMS führt (Kapitel 5.1) und die nötigen Ressourcen bereitstellt (Kapitel 7.1). Die Geschäftsleitung genehmigt die Informationssicherheitsleitlinie, entscheidet über Risiken und führt die Managementbewertung durch (Kapitel 9.3). Die Managementbewertung ist ein dokumentierter Termin, in dem die Leitung Stand, Kennzahlen und Verbesserungen des ISMS prüft.

Den größten Anteil trägt der Informationssicherheitsbeauftragte (ISB). Er steuert das ISMS im Alltag, pflegt Risikoregister und Nachweise und plant das interne Audit nach Kapitel 9.2. Hinzu kommen die Fachabteilungen: Personal für Eintritt und Austritt, Einkauf für Lieferanten, IT für Zugriffe und Datensicherung. Im Audit der Stufe 2 sprechen die Auditoren mit diesen Bereichen direkt. Wer diese Zeit nicht einplant, verschiebt sie nur auf später.

Gebühren der Zertifizierungsstelle und Audittage

Das Zertifikat vergibt eine Zertifizierungsstelle. In Deutschland ist sie in der Regel von der Deutschen Akkreditierungsstelle (DAkkS) akkreditiert, also für diese Aufgabe geprüft und zugelassen. Die Stelle rechnet nach Audittagen ab. Wie viele Audittage ein Audit braucht, richtet sich nach ISO/IEC 27006-1, vor allem nach der Zahl der Personen, die im Geltungsbereich unter der Steuerung Ihrer Organisation arbeiten, und nach der Komplexität. Zur Komplexität zählen etwa die Zahl der Standorte, die IT-Umgebung, ausgelagerte Prozesse und die gesetzlichen Anforderungen Ihrer Branche. Die Audittage legt die Stelle fest, nicht der Berater.

Der Zyklus folgt ISO/IEC 17021-1 und läuft über drei Jahre:

  • Stufe 1. Prüfung der Unterlagen: Geltungsbereich, Risikobewertung, Anwendbarkeitserklärung, Richtlinien.
  • Stufe 2. Prüfung der gelebten Praxis mit Gesprächen, Stichproben und Nachweisen. Danach entscheidet die Stelle über das Zertifikat.
  • Überwachungsaudits. In den beiden Folgejahren mindestens einmal jährlich, das erste höchstens zwölf Monate nach der Zertifizierungsentscheidung.
  • Rezertifizierung. Vor Ablauf der drei Jahre ein vollständiges Audit, danach beginnt der nächste Zyklus.

Vergleichen Sie Angebote mehrerer Stellen mit denselben Angaben zu Personen, Standorten und Geltungsbereich, und zwar über den vollen Dreijahreszyklus. Reisekosten für Audittage vor Ort gehören in den Vergleich.

Technische Maßnahmen, Werkzeuge und Betrieb

Die Gap-Analyse gleicht Ihren Ist-Stand mit der Norm ab. Anhang A der ISO/IEC 27001:2022 listet 93 Maßnahmen. Welche davon für Sie gelten, begründen Sie in der Anwendbarkeitserklärung (englisch Statement of Applicability), auf Basis Ihrer Risikobewertung (Kapitel 6.1.3). Häufige Lücken betreffen Zugriffsrechte (A.5.15, A.5.18), Datensicherung (A.8.13), Protokollierung (A.8.15), den Umgang mit technischen Schwachstellen (A.8.8) und die Sicherheit bei Lieferanten (A.5.19). Was hier an Technik oder Dienstleistung nötig wird, steht erst nach dem Abgleich fest.

Bei Werkzeugen reicht für den Start oft eine saubere Dokumentenablage mit Versionsführung und ein strukturiertes Risikoregister. Eine eigene ISMS-Software lohnt sich eher bei mehreren Standorten oder vielen Nachweisen. Der laufende Betrieb umfasst die Zeit des ISB, das interne Audit in geplanten Abständen, die Managementbewertung, Schulungen zur Sensibilisierung (A.6.3) und die Vorbereitung der Überwachungsaudits.

Wie Sie die Kosten senken

  • Geltungsbereich passend wählen. Legen Sie nach Kapitel 4.3 fest, was Ihre Kunden tatsächlich zertifiziert sehen wollen, etwa ein Rechenzentrum, ein Produkt oder einen Standort. Der Geltungsbereich steht auf dem Zertifikat. Ist er zu eng für die Anforderung Ihres Kunden, nützt das Zertifikat wenig.
  • Vorhandene Nachweise nutzen. Dokumentation nach DSGVO, Notfallpläne, IT-Richtlinien, Berichte aus Penetrationstests und Maßnahmen aus der NIS-2-Umsetzung decken oft Teile ab.
  • Reihenfolge einhalten. Erst Gap-Analyse, Geltungsbereich und Risikobewertung, dann Maßnahmen und Werkzeuge. Wer vorher Software kauft, kauft oft das Falsche.
  • Vorlagen nicht blind übernehmen. Auditoren prüfen in Stufe 2, ob die Regeln gelebt werden. Fremde Richtlinien, die nicht zu Ihren Abläufen passen, erzeugen Abweichungen und Nacharbeit.
  • Internes Audit ernst nehmen. Ein gründlicher Probelauf vor Stufe 2 findet Lücken, bevor die Stelle sie findet.

Festpreis erst nach der Gap-Analyse

Zwei Unternehmen mit gleicher Mitarbeiterzahl können sehr unterschiedliche Aufwände haben. Das eine hat Zugriffskonzept, Datensicherung und Lieferantenverträge geregelt, das andere beginnt bei null. Ein Festpreis vor dem Abgleich enthält daher entweder hohe Sicherheitsaufschläge oder offene Nachträge. Die Gap-Analyse macht Umfang und Reihenfolge sichtbar, erst dann lässt sich der Beratungsaufwand seriös beziffern.

Beratung und Zertifizierung beauftragen Sie getrennt. ISO/IEC 17021-1 verlangt die Unparteilichkeit der Zertifizierungsstelle. Sie darf Ihr Managementsystem nicht selbst beraten, und ein Berater kann kein Zertifikat ausstellen. Holen Sie deshalb zwei getrennte Angebote ein: eines für die Beratung, eines von der Zertifizierungsstelle.

Wie GermanAI Defense unterstützt

Wir sind selbst seit dem 26.05.2026 nach ISO/IEC 27001:2022 zertifiziert und kennen beide Audit-Stufen aus eigener Erfahrung. Wir beginnen mit der Gap-Analyse, legen mit Ihnen den Geltungsbereich fest und nennen Ihnen danach ein Angebot für die Beratung. Die Zertifizierungsstelle beauftragen Sie direkt. Technische Maßnahmen wie Penetrationstests und SOC-Überwachung rund um die Uhr, Service- und Reaktionszeiten laut Vertrag, übernehmen wir auf Wunsch mit.

→ Angebot für Ihr ISO-27001-Projekt anfragen: Angebot ISO 27001

→ Ablauf, Audit-Zyklus und Leistungen: ISO-27001-Beratung

→ Wie ISO 27001 und NIS 2 zusammenpassen: ISO 27001 und NIS 2 im Vergleich

Quellen

  • ISO/IEC 27001:2022, Information security, cybersecurity and privacy protection: Information security management systems, Requirements (Kapitel 4.3, 5.1, 6.1.3, 7.1, 9.2, 9.3, Anhang A)
  • ISO/IEC 27006-1:2024, Requirements for bodies providing audit and certification of information security management systems, Part 1: General
  • ISO/IEC 17021-1:2015, Conformity assessment: Requirements for bodies providing audit and certification of management systems, Part 1: Requirements
  • Deutsche Akkreditierungsstelle (DAkkS)