ISO 27001 Kosten für IT-Unternehmen: Budget und Aufwand einordnen
Die Kosten eines ISO-27001-Vorhabens sauber trennen
Ein belastbares Budget für ISO 27001 umfasst mehr als das Zertifizierungsaudit. Es berücksichtigt den Aufbau des ISMS, interne Arbeitszeit, gegebenenfalls externe Unterstützung und den späteren Betrieb. Ohne einen abgegrenzten Umfang sind pauschale Gesamtpreise kaum vergleichbar.
Der Preis für eine externe Begleitung ist anhand des vereinbarten Leistungsumfangs zu klären. Die folgenden Kostenpositionen helfen dabei, den eigenen Bedarf zu beschreiben und Angebote zu vergleichen; sie sind kein Preisangebot.
Einmaligen und laufenden Aufwand erfassen
- Interne Arbeit: Bestandsaufnahme, Entscheidungen, Umsetzung, Schulung und Nachweispflege.
- Externe Beratung: nur die tatsächlich vereinbarten Leistungen und Arbeitsergebnisse.
- Technische oder organisatorische Verbesserungen: beispielsweise zusätzliche Kontrollen oder angepasste Abläufe.
- Zertifizierung: separat angebotene Prüfleistungen der unabhängigen Zertifizierungsstelle.
- Laufender Betrieb: Pflege, wiederkehrende Prüfungen und Bearbeitung von Veränderungen.
Nicht jede Position führt zu einer zusätzlichen Rechnung. Interne Arbeitszeit bindet jedoch Kapazität und gehört deshalb ebenfalls in die Betrachtung.
Doppelzählungen in Angeboten vermeiden
Beispiel: Ein Beratungsangebot umfasst bereits die Erstellung einer Risikomethodik und Unterstützung bei der Dokumentation. Werden diese Aufgaben noch einmal pauschal unter „ISMS-Aufbau“ angesetzt, wird derselbe Leistungsumfang möglicherweise doppelt gerechnet. Umgekehrt dürfen interne Entscheidungen und Umsetzung nicht versehentlich als vollständig enthalten angenommen werden.
Für den Vergleich sollten enthaltene Ergebnisse, benötigte Mitwirkung, Reisekosten, Nacharbeiten und laufende Leistungen ausdrücklich abgegrenzt sein.
Ein Budget aus dem tatsächlichen Bedarf ableiten
Die wesentlichen Einflussgrößen sind Geltungsbereich, Komplexität, vorhandener Reifegrad und verfügbare Mitarbeitende. Eine Bestandsaufnahme macht offene Aufgaben sichtbar. Darauf können Beratung und Zertifizierungsstelle ihre jeweiligen Leistungen kalkulieren.
Ungeprüfte Marktspannen würden unterschiedliche Projektumfänge vermischen. Eine nachvollziehbare Aufstellung mit Annahmen und Reserven für bekannte Unsicherheiten ist für die eigene Entscheidung hilfreicher.
Ein Kalkulationsschema für die ISO-27001-Kosten
Für ein vergleichbares Budget können Sie die Positionen in einer eigenen Tabelle trennen:
- Interne Arbeit: Geplante Stunden je Aufgabe multipliziert mit dem intern angesetzten Vollkostensatz. Bereits im normalen Betrieb anfallende Aufgaben werden nicht nochmals vollständig als Projektaufwand angesetzt.
- Externe Beratung: Vereinbarte Arbeitspakete oder Tage, jeweils mit Leistungsumfang, Tagessatz beziehungsweise Paketpreis und klarer Abnahme.
- Technische und organisatorische Maßnahmen: Einmalige Einrichtung, laufende Lizenzen, Schulungen und zusätzlicher Betriebsaufwand separat erfassen.
- Zertifizierung: Eigenständiges Angebot der Zertifizierungsstelle einschließlich des vorgesehenen Prüfungsumfangs und der enthaltenen Leistungen.
- Laufende Pflege: Wiederkehrende Kontrollen, interne Audits, Leitungsbewertung, Änderungen und gegebenenfalls weitere Zertifizierungskosten in einer getrennten Jahresbetrachtung führen.
Das Schema liefert keine marktübliche Preisspanne und keinen Preis des Anbieters. Es macht die eigenen Annahmen sichtbar. Ein Angebot erscheint beispielsweise nur dann günstiger, wenn geklärt ist, ob die Dokumentenerstellung darin enthalten ist oder vollständig intern erfolgen muss. Dasselbe gilt für die Bearbeitung von Auditfeststellungen.
Welche Angaben benötigt ein belastbares Angebot?
Hilfreich sind der geplante Geltungsbereich, Zahl und Art der Standorte, wesentliche Dienstleistungen, vorhandene Managementsysteme, der aktuelle Dokumentationsstand und die intern verfügbaren Ansprechpartner. Ein gewünschter Zertifizierungstermin allein reicht zur Aufwandsschätzung nicht aus. Offene Annahmen sollten im Angebot ausdrücklich genannt werden, damit spätere Änderungen nachvollziehbar bleiben.
Die Dauer der ISO-27001-Umsetzung hängt auch von der verfügbaren internen Arbeitszeit ab. Für die externe Prüfung sollten Sie die Rolle und Leistungen der Zertifizierungsstelle von der Beratung unterscheiden, damit Angebote vergleichbar werden.
Quellen und fachliche Grundlagen
- Zertifizierungsstellen für Managementsysteme – Deutsche Akkreditierungsstelle (DAkkS)
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik
- ISMS-Leistungen von Dr. Eckhardt + Partner GmbH – Dr. Eckhardt + Partner GmbH