Wat kost ISO 27001-certificering?
De kosten van ISO 27001-certificering zijn afhankelijk van de omvang, complexiteit
en het toepassingsgebied van uw organisatie. Ontdek welke factoren de benodigde
audittijd bepalen, hoe de certificatiekosten zijn opgebouwd en wat u van
Brand Compliance kunt verwachten.
Hoe zijn de kosten van ISO 27001-certificering opgebouwd?
De kosten van ISO 27001-certificering bestaan uit verschillende onderdelen. Hieronder vindt u een overzicht van de mogelijke kosten voor de implementatie, certificatieaudits en het onderhouden van uw managementsysteem.
| Kostenpost | Omschrijving | Indicatie |
|---|---|---|
| Implementatiekosten | Ontwikkeling en inrichting van het ISMS, risicobeoordeling en documentatie. | Organisatieafhankelijk |
| Initiële certificatieaudit | Fase 1- en fase 2-audit, uitgevoerd door een onafhankelijke certificerende instelling. De audittijd wordt onder meer bepaald door de omvang en scope. | € 5.900 – € 10.000+ |
| Jaarlijkse controleaudits | Periodieke beoordeling van het ISMS gedurende de certificatiecyclus. | Circa 30–40% van de initiële auditkosten |
| Hercertificatie | Nieuwe beoordeling vóór afloop van de certificatiecyclus, doorgaans na drie jaar. | Circa 60% van de initiële auditkosten |
| Training en bewustwording | Trainingen, bewustwordingsprogramma’s en eventuele aanvullende opleidingen. | Organisatieafhankelijk |
| Overige interne kosten | Medewerkerstijd, projectafstemming en eventuele aanvullende maatregelen. | Organisatieafhankelijk |
Let op: De genoemde bedragen en percentages zijn indicatief en vormen geen vaste tarieven. De daadwerkelijke certificatiekosten zijn afhankelijk van uw organisatie, het toepassingsgebied en de benodigde audittijd. Implementatie, advisering en training vallen buiten de certificatieactiviteiten van Brand Compliance.
Welke factoren bepalen de kosten van ISO 27001-certificering?
De kosten van ISO 27001-certificering verschillen per organisatie. De benodigde audittijd wordt vastgesteld op basis van verschillende kenmerken van uw organisatie en het informatiebeveiligingsmanagementsysteem (ISMS). De belangrijkste factoren zijn:
01
Aantal medewerkers (FTE)
Het aantal medewerkers binnen het toepassingsgebied van het ISMS is een belangrijke factor bij het bepalen van de benodigde audittijd.
02
Toepassingsgebied van het ISMS
De processen, diensten, systemen en organisatieonderdelen die binnen de scope van certificering vallen, beïnvloeden de omvang van de beoordeling.
03
Complexiteit van processen en IT-omgeving
De complexiteit van bedrijfsprocessen, IT-systemen, uitbestede activiteiten en informatiebeveiligingsrisico’s kan van invloed zijn op de benodigde auditinspanning.
04
Locaties en organisatie van werkzaamheden
Het aantal locaties, de spreiding van werkzaamheden en bijvoorbeeld ploegendiensten kunnen de planning en omvang van de certificatieaudit beïnvloeden.
Gecombineerde audits: Wanneer uw organisatie meerdere managementsystemen laat certificeren, bijvoorbeeld ISO 27001 en ISO 9001, kan een gecombineerde audit onder bepaalde voorwaarden efficiëntie opleveren. De benodigde audittijd wordt altijd vastgesteld volgens de toepasselijke certificatie-eisen.
Hoe berekent Brand Compliance de certificatiekosten?
Brand Compliance voert onafhankelijke ISO 27001-certificatieaudits uit onder accreditatie van de Raad voor Accreditatie (RvA). De certificatiekosten worden per organisatie vastgesteld op basis van de benodigde audittijd en de toepasselijke certificatie-eisen.
1
Inventarisatie
We inventariseren de scope, organisatieomvang en relevante kenmerken van uw informatiebeveiligingsmanagementsysteem (ISMS).
2
Audittijdberekening
Op basis van deze gegevens stellen we de benodigde audittijd vast volgens de toepasselijke certificatie-eisen. Dit vormt de basis voor de berekening van de auditkosten.
3
Offerte op maat
U ontvangt een offerte met inzicht in de aangeboden certificatieactiviteiten, de benodigde audittijd en de bijbehorende tarieven.
Onafhankelijke certificatie
Brand Compliance beoordeelt onafhankelijk of uw ISMS voldoet aan ISO/IEC 27001. Wij verzorgen geen advisering over de implementatie van het managementsysteem dat wij certificeren.
Wilt u meer weten over de berekening van de audittijd? Lees hoe de benodigde audittijd bij ISO-certificering wordt vastgesteld.
Hoe kunt u onnodige kosten bij ISO 27001-certificering voorkomen?
Een goede voorbereiding kan helpen om onnodige kosten en vertraging tijdens het ISO 27001-certificatietraject te voorkomen. Hoewel de benodigde audittijd volgens de toepasselijke certificatie-eisen wordt vastgesteld, heeft uw organisatie zelf invloed op hoe soepel het auditproces verloopt.
01
Begin tijdig met de voorbereiding
Plan voldoende tijd voor de voorbereiding op de certificatieaudit. Zo voorkomt u dat ontbrekende informatie of openstaande werkzaamheden leiden tot onnodige vertraging.
02
Betrek de juiste medewerkers
Zorg dat betrokken medewerkers beschikbaar zijn tijdens de audit en hun verantwoordelijkheden kennen. Dit helpt om vragen efficiënt te beantwoorden en aanvullende afstemming te beperken.
03
Benut bestaande managementsystemen
Heeft uw organisatie al een managementsysteem, bijvoorbeeld volgens ISO 9001? Dan kunnen bestaande processen en documentatie waar relevant worden benut bij de voorbereiding.
04
Zorg dat auditinformatie beschikbaar is
Zorg dat de benodigde documentatie en registraties tijdens de audit beschikbaar zijn. Dit kan onnodige wachttijd en extra afstemming helpen voorkomen.
Goed om te weten: Een goede voorbereiding betekent niet automatisch dat de voorgeschreven audittijd korter wordt. De belangrijkste voordelen zijn een voorspelbaarder certificatietraject en het beperken van mogelijke aanvullende werkzaamheden.
Wilt u weten hoe u zich op het certificatietraject kunt voorbereiden? Bekijk onze checklist voor certificering.
Wat kost ISO 27001-certificering over drie jaar?
ISO 27001-certificering is geen eenmalige investering. Na de initiële certificatieaudit en een positieve certificatiebeslissing is het certificaat doorgaans drie jaar geldig. In de daaropvolgende jaren vinden periodieke controleaudits plaats. Vóór het verstrijken van de certificaatgeldigheid volgt een hercertificatieaudit om de certificering voort te zetten.
Waarmee houdt u rekening in uw begroting?
Voor een realistische meerjarenbegroting houdt u rekening met de initiële certificatieaudit, de periodieke controleaudits en de hercertificatieaudit vóór afloop van de certificatiecyclus. Daarnaast reserveert u budget voor het onderhouden en verbeteren van uw informatiebeveiligingsmanagementsysteem (ISMS).
De totale investering verschilt per organisatie. Brand Compliance stelt de benodigde audittijd en bijbehorende certificatiekosten vast volgens de toepasselijke certificatie-eisen.
Meer weten over fase 1, fase 2 en de periodieke beoordelingen? Lees hoe een ISO 27001-audit verloopt.
Ontvang een offerte voor ISO 27001-certificering
Wilt u weten wat ISO 27001-certificering voor uw organisatie kost? Vraag vrijblijvend een offerte aan. Wij bespreken uw situatie en de benodigde gegevens, zodat we de certificatieactiviteiten en bijbehorende kosten kunnen bepalen.
Na de initiële certificering vinden doorgaans jaarlijks controleaudits plaats. De kosten hiervan zijn afhankelijk van de benodigde audittijd en de omvang en complexiteit van uw organisatie. Brand Compliance neemt de periodieke certificatieactiviteiten op in het offertevoorstel.
Een gecombineerde audit kan efficiëntie opleveren wanneer de managementsystemen en auditactiviteiten voldoende overlap hebben. De mogelijkheden zijn afhankelijk van het toepassingsgebied en de toepasselijke certificatie-eisen. Brand Compliance beoordeelt per organisatie welke combinatie mogelijk is.
Nee. De kosten voor het opzetten, implementeren en verbeteren van uw informatiebeveiligingsmanagementsysteem (ISMS) vallen buiten de onafhankelijke certificatieactiviteiten van Brand Compliance. Eventuele kosten voor externe advisering, software en trainingen komen daar afzonderlijk bij.
Voor een gerichte offerte hebben wij onder meer informatie nodig over de organisatieomvang, het aantal medewerkers, het toepassingsgebied van het ISMS, de complexiteit van de activiteiten en het aantal locaties. Ook eventuele combinaties met andere certificeringen zijn relevant.