Viele Unternehmer bekommen diese Frage erst auf den Tisch, weil ein Abnehmer in einem Fragebogen nach einem ISO-27001-Zertifikat fragt oder nach gleichwertigen Nachweisen dafür, dass die Informationssicherheit in Ordnung ist. Dann folgt schnell die Frage: Was wird das kosten? Es lässt sich kein fester Betrag nennen, denn die Kosten bestehen aus mehreren Komponenten, die je nach Unternehmen unterschiedlich sind.
Die drei Komponenten sind in der Regel: die interne Zeit, um Richtlinien, Verfahren und Aufzeichnungen zu erstellen und zu führen, eventuell externe Beratung durch einen Berater, und die Audit selbst, durchgeführt durch eine Zertifizierungsstelle, die überprüft, ob das Informationssicherheitsmanagementsystem die Norm erfüllt. Jede Komponente wird durch die Größe des Unternehmens, die Anzahl der Standorte und dadurch beeinflusst, wie viel bereits in Ordnung ist, bevor der Prozess beginnt.
Was eine Zertifizierungsstelle tut
Eine Zertifizierungsstelle ist eine unabhängige Organisation, die überprüft, ob ein Unternehmen das Informationssicherheitsmanagementsystem so eingerichtet hat wie von der ISO-27001-Norm vorgeschrieben, und die anschließend das Zertifikat ausstellt. Diese Stelle berechnet Zeit für die Audit, normalerweise aufgeteilt auf eine erste Bewertung und eine jährliche Kontrolle, um das Zertifikat gültig zu halten. Die Rechnung der Zertifizierungsstelle ist normalerweise der sichtbarste Teil der Kosten, aber nicht der einzige.
Was die Höhe des Betrags bestimmt
Die Anzahl der Mitarbeiter und Standorte, die in den Geltungsbereich des Zertifikats fallen, spielt eine Rolle: Je mehr Prozesse und Systeme untersucht werden müssen, desto mehr Zeit kostet die Audit. Auch spielt eine Rolle, wie viel bereits in Ordnung ist. Ein Unternehmen, das bereits eine Informationssicherheitsrichtlinie, eine Risikoanalyse und dokumentierte Verfahren hat, ist normalerweise schneller bereit für die Audit als ein Unternehmen, das noch anfangen muss. Weiterhin spielt eine Rolle, ob externe Beratung für die Vorphase in Anspruch genommen wird und wie viel interne Zeit dafür ohne Unterbrechung der normalen Arbeit verfügbar ist.
Zertifizierung ist nicht der einzige Weg
Nicht jeder Abnehmer verlangt wortwörtlich ein vollständiges ISO-27001-Zertifikat. In vielen Fragebögen wird gefragt, ob bestimmte Maßnahmen durchgeführt wurden, ohne dass ein Zertifikat erforderlich ist. Dieser Unterschied ist wichtig: Der Nachweis von ergriffenen Maßnahmen, wie Zugriffskontrolle, Backups und ein Incident-Verfahren, kostet weniger als ein vollständiger Zertifizierungsprozess und kann für viele Abnehmer ausreichend sein. Welche Form des Nachweises ein Abnehmer genau verlangt, steht normalerweise im Fragebogen selbst oder in der Erläuterung dazu.
Für Unternehmen, die sehen möchten, welche Fragen in ihrem Sektor häufig vorkommen und was dahinter steckt, gibt es die Wissensdatenbank, in der Themen nach Situation aufgeschlüsselt sind. Dort wird auch erläutert, wie sich eine solche Frage zu anderen Themen aus einem Fragebogen verhält.
Was supplia.eu in diesem Prozess tut und nicht tut
Supplia.eu zertifiziert nichts und beurteilt nicht, ob ein Unternehmen die ISO-Norm erfüllt; das bleibt die Aufgabe der Zertifizierungsstelle. Was supplia.eu tut, ist das Speichern der Antworten, die bereits zu Fragen über Informationssicherheit gegeben wurden, damit diese nicht jedes Mal neu ermittelt werden müssen, wenn ein nächster Abnehmer einen ähnlichen Fragebogen sendet. Dieses Abonnement ist unabhängig von den Kosten eines Zertifizierungsprozesses; die Tarife finden Sie auf der Seite mit den Tarifen eines Abonnements.
Erster Schritt: Sehen Sie, was genau gefragt wird
Bevor ein Unternehmen einen Prozess startet, ist es sinnvoll, zunächst klar zu verstehen, was der Abnehmer genau fragt und warum. Manchmal stellt sich heraus, dass ein Zertifikat wünschenswert ist, aber nicht erforderlich, und dass eine andere Form des Nachweises ebenfalls akzeptiert wird. Mit einigen Fragen, die zeigen, wo Sie derzeit stehen wird in wenigen Minuten klar, um welche Art von Frage es wahrscheinlich geht und welche Richtung dazu passt.
Möchten Sie wissen, wie Informationssicherheit und die entsprechenden Fragelisten sich zu anderen Themen wie NIS2 oder KYB verhalten? Auf der Seite mit häufig gestellten Fragen anderer Unternehmer steht eine Übersicht von Fragen, die häufig wiederkommen, und der kostenlose Quick-Scan zeigt in wenigen Minuten, zu welchen Themen Ihr Unternehmen wahrscheinlich befragt wird.