Oktober 2026. ‘Wat kost ISO 27001 en hoe lang duurt het?’ is de vraag die we het vaakst horen. Het eerlijke antwoord is dat het afhangt van uw uitgangssituatie, en dat een vast bedrag voor iedereen misleidend is. Wat wel te zeggen valt: waar de kosten zitten en wat de doorlooptijd bepaalt. De actuele indicaties staan op onze pagina over kosten en doorlooptijd.
De vier kostenposten
1. Interne uren: meestal de grootste post. Het ISMS opbouwen, risico’s beoordelen, beleid schrijven en bewijs verzamelen kost tijd van uw eigen mensen. 2. Begeleiding of tooling: een consultant, software of beide. 3. Technische maatregelen: bijvoorbeeld MFA, versleuteling, back-ups, logging en MDM, voor zover u die nog niet had. 4. De certificeringsaudit: de kosten van de certificerende instelling, die toenemen met omvang en complexiteit en jaarlijks terugkomen voor surveillance.
Wat de kosten verhoogt
Een grotere scope, meer locaties, veel eigen ontwikkeling, meer leveranciers, en een lage beginvolwassenheid. Een organisatie die al processen, beleid en een beheerst beheer van systemen heeft, is sneller klaar dan een organisatie die vanaf nul begint.
Wat de doorlooptijd bepaalt
In de praktijk telt een traject meestal enkele maanden tot meer dan een jaar. De doorlooptijd wordt minder door de norm bepaald dan door beschikbare tijd, besluitvorming en de periode die u nodig heeft om aantoonbaar te werken: de auditor wil bewijs van een aantal maanden operationeel gebruik, zoals een interne audit en een directiebeoordeling.
Hoe u kosten beheerst
Houd de scope bewust beperkt tot wat de klant vraagt, hergebruik wat u al heeft (bijvoorbeeld uit SOC 2, ISO 9001 of NEN 7510), automatiseer bewijsverzameling waar het kan, en kies een certificerende instelling met een heldere offerte voor drie jaar. Zie ook bewijs automatiseren.
Begin met een nulmeting
De beste eerste stap is een nulmeting: waar staat u, welke gaten zijn er, en wat betekent dat voor uren en budget? Met de readiness-scan krijgt u daar snel zicht op, zonder verplichting. Wilt u het hele traject doorlopen, lees dan het overzicht van ISO 27001-certificering.