Was kostet eine ISO-27001-Zertifizierung?

Aus welchen Blöcken die Kosten bestehen

Wer „Was kostet ISO 27001?" fragt, bekommt oft eine Zahl genannt, die alles und nichts bedeutet. Sinnvoller ist es, die Kosten in ihre Blöcke zu zerlegen — denn nur ein Teil davon steht überhaupt in einem Angebot:

Die ersten drei Blöcke bestimmt die Zertifizierungsstelle, und für sie gibt es klare Regeln. Die letzten drei bestimmen Sie selbst — und dort liegt sowohl das größte Risiko als auch der größte Hebel.

Auditzeit: Was die Norm vorgibt

Eine Zertifizierungsstelle darf ISO-27001-Zertifikate nur ausstellen, wenn sie dafür akkreditiert ist. In Deutschland ist die Deutsche Akkreditierungsstelle (DAkkS) zuständig; Grundlage sind ISO/IEC 17021-1 und ISO/IEC 27006-1. Diese Akkreditierung bindet die Stelle an Mindestvorgaben für die Auditzeit — sie kann also nicht beliebig wenig Tage anbieten, um im Preis zu unterbieten.

Die Auditzeit-Berechnung steht in ISO/IEC 27006-1:2024, Anhang C. Nach der Zusammenfassung der usd AG bemisst sie sich seit der Fassung 2024 allein nach der Zahl der Personen, die im Anwendungsbereich des ISMS arbeiten — einschließlich freier Mitarbeiter und externem Personal. Standorte fließen nicht mehr automatisch ein; die Verteilung der Audittage richtet sich nach Risiko und Kernprozessen. Aufschläge sind möglich, etwa bei hoher Komplexität; Abschläge, wenn ein anderes Managementsystem bereits zertifiziert ist.

Zur Orientierung, wie Anbieter am Markt die Größenordnung beschreiben: Reepa Solutions nennt (Stand Mai 2026) für Unternehmen bis 10 Mitarbeitende „rund 4 Auditoren-Tage Erst-Zertifizierung", für 11 bis 50 Mitarbeitende „6 bis 8 Tage" und für 51 bis 250 Mitarbeitende „8 bis 12 Tage". Das sind Angaben eines Beratungsanbieters, keine Normwerte — aber sie zeigen, in welchem Rahmen sich Angebote bewegen.

Rechenweg für Ihr Unternehmen

Der Preis des Zertifizierungsaudits folgt einer einfachen Formel:

Auditzeit (Tage) × Tagessatz + Reisekosten + Zertifikatsgebühr

Die Auditzeit steht im Angebot. Der Tagessatz ist die eigentliche Verhandlungsgröße. Öffentlich ausgewiesen wird er selten; zwei Marktbeobachtungen aus dem Frühjahr 2026 nennen Spannen:

• Reepa Solutions (Stand Mai 2026): „Tagessätze akkreditierter Zertifizierer liegen 2026 typischerweise bei 1.500 bis 2.200 Euro netto pro Auditoren-Tag".
• secjur (5. Mai 2026): „Tagessätze liegen im Markt zwischen 1.200 und 2.500 Euro".

Setzt man diese zitierten Spannen in die Formel ein, ergibt sich für ein Erstaudit mit — beispielhaft — 6 Auditor-Tagen ein Korridor von 6 × 1.200 = 7.200 Euro bis 6 × 2.500 = 15.000 Euro netto für die reine Auditzeit, zuzüglich Reisekosten und Gebühr. Das ist ein Rechenbeispiel mit fremden Eingangswerten, kein Preis. Ihr Angebot kann darüber oder darunter liegen; entscheidend ist, dass Sie die drei Größen einzeln ausgewiesen bekommen und vergleichen können.

Folgekosten im Zertifizierungszyklus

Das Zertifikat gilt drei Jahre. In dieser Zeit prüft die Zertifizierungsstelle jährlich in einem Überwachungsaudit, ob das ISMS weiter wirksam betrieben wird; nach drei Jahren folgt das Rezertifizierungsaudit, mit dem ein neuer Zyklus beginnt. Beide Audits sind kürzer als das Erstaudit, kosten aber erneut Auditzeit zum vereinbarten Tagessatz.

Wie viel kürzer, legt Ihre Zertifizierungsstelle nach den Akkreditierungsregeln fest. Reepa Solutions beschreibt das Überwachungsaudit als „typisch 30–50 Prozent des Stage-2-Aufwands"; secjur beziffert die reinen Auditkosten über den gesamten Drei-Jahres-Zyklus auf „15.000 bis 45.000 Euro" — wiederum Angaben der jeweiligen Anbieter, deren Annahmen zu Größe und Tagessatz Sie in den Quellen nachlesen können.

Der unterschätzte Block: interner Aufwand

Kein Angebot enthält die Zeit, die Ihr Team braucht, um das ISMS aufzubauen und zu betreiben: Anwendungsbereich festlegen, Risiken beurteilen, Richtlinien schreiben, Maßnahmen umsetzen, Nachweise sammeln, internes Audit und Managementbewertung durchführen. Diese Zeit ist real, auch wenn sie nicht als Rechnung erscheint.

Wie groß der Block ist, hängt weniger von der Unternehmensgröße ab als vom Ausgangspunkt: Wer bereits dokumentierte Prozesse, geregelte Zugriffsrechte und ein funktionierendes Änderungsmanagement hat, ergänzt; wer bei null anfängt, baut. secjur schätzt den Aufwand auf „0,5 bis 1,5 Vollzeitstellen über den Aufbauzeitraum" — als Größenordnung eines Anbieters, nicht als Regel.

Genau hier setzt Werkzeugunterstützung an. Eine ISMS-Software ändert nichts an der Auditzeit — die richtet sich nach der Norm —, aber sie senkt den Aufwand, Nachweise zu ordnen, Lücken zu finden und das Audit-Paket zusammenzustellen. Was welche Anforderung konkret verlangt, steht im Ratgeber Anforderungen der ISO 27001.

Wo Sie sparen können — und wo nicht

Wo Sparen funktioniert

• Anwendungsbereich sauber schneiden. Die Auditzeit hängt an der Zahl der Personen im Anwendungsbereich. Ein klar begründeter, kleinerer Anwendungsbereich — etwa ein Geschäftsbereich statt des Gesamtunternehmens — reduziert die Auditzeit. Der Schnitt muss aber fachlich tragfähig sein und wird von der Zertifizierungsstelle hinterfragt.
• Mehrere Angebote einholen. Die Auditzeit ist ähnlich, der Tagessatz nicht. Drei Angebote akkreditierter Stellen sind der Normalfall, nicht Misstrauen.
• Kombinierte Audits. Wer bereits ein anderes Managementsystem zertifiziert hat (etwa ISO 9001), kann Audits zusammenlegen; die Akkreditierungsregeln erlauben dann Abschläge.
• Beratung gezielt statt pauschal. Ein erfahrener Blick auf Risikobeurteilung und Erklärung zur Anwendbarkeit vor dem Stufe-1-Audit ist oft wertvoller als eine monatelange Begleitung. Beratungssätze liegen laut Reepa Solutions (Stand Mai 2026) bei „1.200 bis 1.800 Euro netto" pro Tag.
• Förderprogramme prüfen. Für Beratungsleistungen gibt es Zuschussprogramme des Bundes und der Länder; Auditkosten selbst sind in der Regel nicht förderfähig. Bedingungen und Sätze ändern sich, prüfen Sie den aktuellen Stand bei der jeweiligen Stelle.

Wo Sparen nach hinten losgeht

• Nicht akkreditierte „Zertifikate". Es gibt Anbieter, die ohne DAkkS-Akkreditierung Zertifikate ausstellen. Kunden und Ausschreibungen erkennen sie häufig nicht an; das Geld ist dann verloren. Prüfen Sie die Akkreditierung in der öffentlichen Datenbank der DAkkS.
• Auditzeit drücken. Eine Stelle, die deutlich unter der üblichen Auditzeit anbietet, riskiert ihre Akkreditierung — oder rechnet die Zeit später nach.
• Beratung und Audit aus einer Hand. Wer Ihr ISMS aufgebaut hat, darf es nicht auditieren. Die Trennung ist Akkreditierungspflicht.

Angebote vergleichen: Worauf achten

Ein vergleichbares Angebot einer Zertifizierungsstelle weist mindestens aus:

1. Die Akkreditierung (DAkkS-Registriernummer) für ISO/IEC 27001.
2. Die angesetzte Auditzeit in Auditor-Tagen — getrennt nach Stufe 1, Stufe 2, Überwachungsaudits und Rezertifizierung.
3. Den Tagessatz und die Reisekostenregelung.
4. Zertifikatsgebühr und etwaige Jahresgebühren.
5. Die Regeln für Nachaudits, falls wesentliche Abweichungen festgestellt werden.
6. Laufzeit und Kündigungsbedingungen des Zertifizierungsvertrags.

Wie das Audit selbst abläuft und was in Stufe 1 und Stufe 2 geprüft wird, beschreibt der Ratgeber ISO-27001-Zertifizierung: So läuft sie ab. Für Organisationen, die den Weg über das BSI erwägen, erklärt der Ratgeber BSI IT-Grundschutz zertifizieren die Unterschiede.