Aankoopgids ISO 27001 Implementatiebegeleiding

Voor een kleine organisatie tot 25 fte rekenen bureaus circa €5.000 tot €15.000 voor begeleiding, voor 25 tot 100 fte circa €15.000 tot €40.000. Werk je op uur- of dagbasis, dan liggen tarieven tussen €100 en €200 per uur, of €800 tot €1.500 per dag afhankelijk van senioriteit. Deze bedragen zijn puur advieskosten en dekken niet de audit door de certificerende instelling, je interne uren of technische maatregelen die uit je risicoanalyse komen.

Reken op 4 tot 6 maanden voor een kleine organisatie, 6 tot 9 maanden voor 25 tot 100 fte en 9 tot 18 maanden voor grote of complexe organisaties. De opbouw van het ISMS en de documentatie kost meestal 3 tot 6 maanden, daarna volgt een periode waarin de maatregelen aantoonbaar moeten draaien. Die laatste periode is niet te versnellen: een auditor wil bewijs zien dat het systeem echt gebruikt is, inclusief een uitgevoerde interne audit en directiebeoordeling.

Zelf doen kan, zeker bij een kleine organisatie met een beperkte scope. Je koopt dan een documentatiepakket of ISMS-tool en werkt de norm stap voor stap af, maar reken op 150 tot 300 interne uren voor een organisatie tot 25 medewerkers. De praktische vraag is of je iemand hebt met tijd, mandaat en normkennis; ontbreekt die, dan is coachende begeleiding vrijwel altijd goedkoper dan een mislukte eerste auditpoging.

Nee. ISO/IEC 17021-1 verbiedt certificerende instellingen om adviesdiensten te leveren aan organisaties die ze certificeren, en die eis geldt ook op auditorniveau: iemand die als adviseur bij jouw ISMS betrokken was, mag jou niet auditen. Een certificerende instelling die dit toch doet, riskeert haar accreditatie bij de Raad voor Accreditatie. Je hebt dus altijd twee partijen nodig: een adviesbureau voor de implementatie en een geaccrediteerde certificerende instelling voor de audit.

Implementatiebegeleiding is het bouwen van het ISMS: risicoanalyse, beleid, maatregelen, documentatie en het inregelen van de PDCA-cyclus. Certificering is de onafhankelijke toetsing daarvan door een geaccrediteerde instelling, in twee fasen (documentbeoordeling en praktijkaudit), gevolgd door jaarlijkse controlebezoeken. Het zijn gescheiden diensten met gescheiden facturen; de auditkosten van de certificerende instelling vallen buiten de begeleidingsprijzen hierboven.

De norm vereist onder meer een informatiebeveiligingsbeleid, een gedocumenteerd risicobeoordelingsproces plus de uitgevoerde beoordeling, een risicobehandelplan en een Verklaring van Toepasselijkheid waarin je per beheersmaatregel uit Annex A onderbouwt of je die toepast of uitsluit. Daarnaast moeten de resultaten van de interne audit en het verslag van de directiebeoordeling er liggen; zonder die twee kan de certificeringsaudit niet worden afgerond. Sinds ISO 27001:2022 gaat het om 93 beheersmaatregelen over vier thema's: organisatorisch (37), mensen (8), fysiek (14) en technologisch (34).