Was kostet ISO 27001?
Aktualisiert: 2026-11
Die Kosten für ISO 27001 setzen sich aus drei Teilen zusammen: dem Aufbau des ISMS mit interner Zeit und gegebenenfalls Beratung, den technischen Massnahmen zum Schliessen von Lücken und den Audits der Zertifizierungsstelle, inklusive jährlicher Überwachung. Den grössten Einfluss haben Geltungsbereich und Ausgangslage.
ISO 27001 hat keinen Einheitspreis, weil die Norm kein Produkt ist, sondern ein Managementsystem, das an Ihre Organisation angepasst wird. Ein Softwarehaus mit zwanzig Personen und einem Standort braucht etwas anderes als ein Dienstleister mit mehreren Standorten und Rechenzentren.
Oft unterschätzt wird die interne Zeit: Ein ISMS lebt davon, dass Ihre Leute Risiken bewerten, Massnahmen umsetzen und Nachweise führen.
Was den Preis bestimmt
Geltungsbereich
Je mehr Standorte, Prozesse und Systeme einbezogen werden, desto aufwendiger sind Risikoanalyse und Audit.
Ausgangslage
Vorhandene Richtlinien, Inventare und technische Massnahmen verkürzen den Aufbau erheblich.
Interne Zeit
Verantwortliche müssen Risiken bewerten, Prozesse einführen und Nachweise führen; das ist der grösste Posten.
Technische Lücken
Fehlende Mehr-Faktor-Anmeldung, Backups oder Protokollierung verursachen Kosten für Werkzeuge und Umsetzung.
Zertifizierungsaudit
Die Zertifizierungsstelle rechnet nach Audittagen, die sich nach Grösse und Geltungsbereich richten.
Laufender Betrieb
Jährliche Überwachungsaudits, interne Audits und die Pflege des Systems kommen wiederkehrend dazu.
Wie wir abrechnen
- 01
Aufbau in Etappen
Geltungsbereich und Risikoanalyse zuerst, danach Einführung und Audit, jeweils mit festem Umfang.
- 02
Ohne Zertifizierung starten
ISMS nach der Norm aufbauen und die Zertifizierung später entscheiden, wenn Kunden sie verlangen.
- 03
Begleitung im Betrieb
Jährliche Unterstützung bei internem Audit und Managementbewertung.
Wir nennen bewusst keine Online-Preise: Jeder Fall ist anders. Sie erhalten nach einem kurzen Erstgespräch einen verbindlichen Fixpreis oder klaren Rahmen.
Übergeordnete Leistung: Cyber-Readiness & IT-Sicherheit
Passende Angebote
ISMS aufbauen nach ISO 27001
Ein ISMS nach ISO 27001 ist die solide Grundlage für NIS2, TISAX, Kundenanforderungen und eine mögliche Zertifizierung. Wir bauen es in der Grösse Ihres Unternehmens auf: Geltungsbereich, Risikoanalyse, Erklärung zur Anwendbarkeit, Richtlinien, Verantwortlichkeiten und internes Audit. Das Zertifizierungsaudit führt eine akkreditierte Stelle durch.
Sicherheitsfragebögen von Kunden beantworten
Grosse Kunden müssen nach NIS2 und DORA die Sicherheit ihrer Lieferanten prüfen und schicken dafür umfangreiche Fragebögen. Wir helfen, sie ehrlich und vollständig zu beantworten, die nötigen Nachweise zusammenzustellen und eine Antwortbibliothek aufzubauen, damit der nächste Fragebogen Stunden statt Tage dauert.
Cyber-Readiness-Check
Der Cyber-Readiness-Check klärt, ob Ihr Unternehmen einen Angriff rechtzeitig erkennt, richtig reagiert und fristgerecht meldet: Prüfung der Meldepflichten nach ISG, DSG und gegebenenfalls NIS2, Inventar der Angriffsfläche, Durchsicht der Cloud- und Microsoft-365-Grundkonfiguration, Wiederherstellbarkeit der Backups, Incident-Response-Plan und eine Übung am Tisch.
Häufige Fragen
Muss man sich zertifizieren lassen?
Nein. Viele Unternehmen arbeiten nach der Norm ohne Zertifikat. Unsere Entscheidungshilfe zu Zertifizierung oder Umsetzung ohne Zertifikat hilft bei der Abwägung.
Wie oft fallen Auditkosten an?
Im Zertifizierungsjahr das zweistufige Audit, danach jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung.
Was ist der günstigste Einstieg?
Ein klar abgegrenzter Geltungsbereich, der die Leistungen umfasst, für die Kunden einen Nachweis verlangen.