Was kostet ein ISMS? Überblick und Kostentreiber
Die Gesamtkosten eines ISMS setzen sich aus drei Blöcken zusammen:
- Einführungskosten: Einmalige Investition für Konzeption, Dokumentation, Schulungen und ggf. Zertifizierung
- Laufende Betriebskosten: Personalaufwand, Tools, jährliche Audits
- Indirekte Kosten: Mitarbeiterzeit für Schulungen, Prozessanpassungen, Management-Reviews
| Unternehmensgröße | Einführung | Zertifizierung | Jährlicher Betrieb |
|---|---|---|---|
| KMU (20–100 MA) | 15.000–40.000 € | 8.000–18.000 € | 10.000–25.000 € |
| Mittelstand (100–500 MA) | 40.000–120.000 € | 15.000–35.000 € | 25.000–70.000 € |
| Großunternehmen (500+ MA) | 120.000–400.000 € | 30.000–80.000 € | 70.000–200.000 € |
Externe Beratungskosten
Externer Beratungsaufwand ist der größte Kostentreiber bei der Einführung. Typische Tagessätze für erfahrene ISMS-Berater liegen zwischen 1.200 und 2.200 € netto.
Für ein KMU mit 50–100 Mitarbeitern sind bei einer begleiteten ISMS-Einführung 20–40 Beratertage realistisch. Das entspricht 24.000–88.000 € Beratungskosten. Dafür übernimmt der Berater Risikobewertung, Dokumentation, Gap-Analyse, Schulungsdesign und Audit-Vorbereitung.
Tipp: Einige Beratungsangebote arbeiten mit Festpreis-Paketen für ISMS-Einführung. Das gibt Planungssicherheit — aber prüfen Sie genau, was im Scope enthalten ist.
Zertifizierungskosten ISO 27001
Die ISO-27001-Zertifizierung durch eine akkreditierte Zertifizierungsstelle (DAkkS, DEKRA, TÜV, BSI) ist eine eigenständige Kostenpositon:
- Stage-1-Audit (Dokumentenprüfung): 2.000–6.000 €
- Stage-2-Audit (Implementierungsprüfung): 6.000–25.000 €
- Überwachungsaudit (jährlich): 3.000–12.000 €
- Rezertifizierungsaudit (alle 3 Jahre): 8.000–20.000 €
Die Kosten variieren nach Scope-Größe und Komplexität. Manche Zertifizierungsstellen kalkulieren nach Audittagen (Tagessatz 1.200–1.800 €), andere nach Mitarbeiterzahl und Standorten.
Interne Kosten und Personalaufwand
Oft unterschätzt: die internen Personalkosten. Ein ISMS-Projekt bindet interne Ressourcen erheblich:
- Projektleiter / ISB: 30–60 % Zeitaufwand über 6–12 Monate Einführungsphase
- IT-Abteilung: Technische Umsetzung von Controls, 15–25 % Zeitaufwand
- Fachabteilungen: Asset-Inventarisierung, Prozessdokumentation, ca. 5–10 % Zeitaufwand
- Management: Reviews, Freigaben, ca. 5–10 Tage/Jahr
Bei einem Brutto-Personalkostensatz von 80 €/Stunde kommen für ein KMU schnell 30.000–60.000 € interne Projektkosten zusammen.
Softwaretools und Infrastruktur
Ein ISMS braucht keine teure Software — aber geeignete Tools vereinfachen Betrieb und Nachweise erheblich:
| Tool-Kategorie | Beispiele | Jährl. Kosten |
|---|---|---|
| GRC-Plattform | verinice, Advisera, DataGuard | 3.000–20.000 € |
| Dokumentenmanagement | SharePoint, Confluence | 500–3.000 € |
| Risikomanagement-Tool | Riskonnect, Excel-Templates | 0–8.000 € |
| Schwachstellen-Scanner | Nessus, Qualys, OpenVAS | 2.000–15.000 € |
Kostenoptimierung: So sparen Sie beim ISMS
Das Budget lässt sich ohne Qualitätsverlust optimieren:
- Scope begrenzen: Starten Sie mit einem definierten Scope (z. B. IT-Abteilung oder ein Produkt) statt dem gesamten Unternehmen.
- ISO-27001-Templates nutzen: Qualitativ hochwertige Dokumentvorlagen sparen Beratungsstunden.
- Internes Know-how aufbauen: Ein intern ausgebildeter ISB reduziert langfristig externe Abhängigkeit.
- Zertifizierungsstellen vergleichen: Angebote variieren erheblich — 3 Angebote einholen ist sinnvoll.
Fazit: ISMS-Kosten realistisch einplanen
Ein ISMS ist eine Investition, die sich nachweislich rechnet. Die Gesamtkosten für ein KMU liegen bei 30.000–80.000 € für Einführung und erste Zertifizierung. Im laufenden Betrieb fallen 15.000–40.000 €/Jahr an. Dem gegenüber steht die realistische Schadenshöhe eines verhinderten Sicherheitsvorfalls — die den gesamten ISMS-Aufwand für mehrere Jahre aufwiegen kann.
Checkliste: Was kostet ein ISMS? Kosten und Budgetplanung
- Unternehmensgröße und Scope vor Kostenschätzung definieren
- Interne vs. externe Ressourcen realistisch kalkulieren
- 3 Angebote von Zertifizierungsstellen einholen
- Interne Personalkosten nicht vergessen
- Software-Tools nach Bedarf auswählen
- Scope möglichst schlank halten für erstes Zertifikat
- Fördermöglichkeiten prüfen (BAFA, Landesförderprogramme)
- Laufende Betriebskosten in Jahresbudget einplanen
- Schulungskosten für alle Mitarbeiter budgetieren
- ROI-Kalkulation für Management erstellen
Häufig gestellte Fragen
Stage-1 + Stage-2-Audit kosten je nach Zertifizierungsstelle und Scope 8.000–30.000 €. Überwachungsaudits fallen jährlich mit 3.000–12.000 € an.
Ja — das BAFA fördert externe Unternehmensberatung (bis zu 3.200 € Zuschuss). Einige Bundesländer haben eigene Programme. KRITIS-Betreiber können spezielle Förderlinien nutzen.
Ein ISMS ohne Zertifizierung kostet etwa 40–60 % weniger, weil die Zertifizierungsauditkosten entfallen. Für KMU sind 15.000–40.000 € Einführungskosten realistisch.
Ein ISO-27001-Zertifikat ist 3 Jahre gültig. In diesem Zeitraum finden jährliche Überwachungsaudits statt. Nach 3 Jahren ist ein Rezertifizierungsaudit erforderlich.
Interne Personalkosten (oft 30–50 % der Gesamtkosten), Scope-Creep bei der Einführung, unzureichende Tool-Lizenzierung und unterschätzte Schulungsaufwände sind die häufigsten Kostenfallen.