Was kostet eine ISO-27001-Zertifizierung? Kosten und Kostentreiber für KMU

Was kostet eine ISO-27001-Zertifizierung für Schweizer KMU?

Eine allgemeine Zahl hilft Ihnen wenig, denn die Kosten einer ISO-27001-Zertifizierung hängen von wenigen, klar benennbaren Treibern ab: vom Geltungsbereich, von der Anzahl Mitarbeitender im Geltungsbereich, von der Komplexität Ihrer Organisation, von den bereits vorhandenen Sicherheitsmassnahmen und von der gewählten Unterstützung. Verbindlich sind die konkreten Offerten. Für die Zertifizierungsstelle allein rechnen wir bei kleineren, wenig komplexen Unternehmen aus unserer Projekterfahrung mit rund CHF 18'000 bis 30'000 für die Erstzertifizierung und die beiden Überwachungsaudits. Die Rezertifizierung ist darin nicht enthalten. Dieser Wert betrifft nur die Gebühren der Zertifizierungsstelle, nicht die Beratung. Welches Gesamtbudget für Ihr Unternehmen realistisch ist, klären wir im kostenlosen Erstgespräch.

Die Kosten verteilen sich auf drei Bereiche:

1. Zertifizierungsstelle: Sie führt die Audits durch und stellt sie direkt in Rechnung. Massgebend sind die Auditortage, der Tagessatz laut Offerte, Reisezeit und Spesen. Die CHF 18'000 bis 30'000 entsprechen rechnerisch einem Jahresdurchschnitt von rund CHF 6'000 bis 10'000. Die Auditkosten fallen nicht jedes Jahr gleich hoch aus: Im Jahr der Erstzertifizierung mit Stage 1 und Stage 2 sind sie höher als in den beiden Überwachungsjahren. Es ist ein Erfahrungswert aus unserer Praxis, kein belegter Marktpreis, und er beruht ausschliesslich auf ASCB-akkreditierten Zertifizierungsstellen. Zur Einordnung: Der Autor ist selbst Auditor für eine ASCB-akkreditierte Zertifizierungsstelle. Stellen mit SAS-Akkreditierung, die im Global ACI MRA international anerkannt ist, waren nach unserer Erfahrung deutlich teurer (mehr dazu und die Offenlegung im Abschnitt zur Akkreditierung).
2. Aufbau des ISMS: Sie bauen das Informationssicherheits-Managementsystem selbst auf oder mit externer Begleitung. Die Begleitung kostet zusätzlich, kann aber den internen Aufwand deutlich reduzieren.
3. Interner Betrieb und Sicherheitsmassnahmen: Ihre Mitarbeitenden betreiben das ISMS, und je nach Ausgangslage sind technische oder organisatorische Massnahmen umzusetzen. Nach unserer Erfahrung fallen pro Beratungstag rund 1,5 bis 2 interne Arbeitstage an.

Planen Sie die Rezertifizierung zusätzlich zu den CHF 18'000 bis 30'000 ein, wenn Sie die Zertifizierung nach drei Jahren fortführen möchten. Sie muss vor Ablauf des Zertifikats abgeschlossen sein, fällt deshalb in der Regel noch ins dritte Jahr und startet den nächsten Zyklus.

Praxisbeispiel: Die Neo One AG, ein IT-Dienstleister mit 30 Mitarbeitenden in der Deutschschweiz, hatte bereits umfassende Massnahmen zum Datenschutz ergriffen. Ohne ISO-27001-Zertifikat konnte sie aber nicht an wichtigen Ausschreibungen teilnehmen. Auf Basis einer Gap-Analyse und eines Projektplans war das ISMS innerhalb von drei Monaten mit rund 12 Projekttagen umgesetzt. Der Geltungsbereich umfasste das gesamte Unternehmen. Zertifiziert hat ATTESTA. Das Zertifizierungsaudit ergab keine Abweichungen. Neo One erhielt die Zertifizierung und kann seither an wichtigen Ausschreibungen teilnehmen. Zur Transparenz: Der Autor ist Auditor für ATTESTA, auditiert aber keine Unternehmen, die PlanSec berät (siehe Offenlegung im Abschnitt zur Akkreditierung). Das Audit bei Neo One hat er deshalb nicht durchgeführt.

Sie möchten wissen, welches Budget für Ihren Geltungsbereich realistisch ist? Wir klären es gemeinsam im kostenlosen Erstgespräch.

Welche fünf Kostenblöcke gibt es?

In ein vollständiges Budget gehören fünf Blöcke:

Block 5 ist am schwersten vorherzusagen, weil er von Gap-Analyse und Risikobehandlung abhängt. Eine Pauschale dafür nennen wir bewusst nicht.

Wie setzen sich die Kosten über drei Jahre zusammen?

Ein ISO-27001-Zertifikat gilt drei Jahre. Der erste Zyklus beginnt mit der Zertifizierungsentscheidung nach der Erstzertifizierung in zwei Stufen, Stage 1 und Stage 2 (ISO/IEC 17021-1:2015 Ziff. 9.1.3.2 und 9.3.1). In Jahr 1 und Jahr 2 folgt je ein Überwachungsaudit. Das erste muss spätestens 12 Monate nach der Zertifizierungsentscheidung stattfinden (Ziff. 9.1.3.3). Mit der Rezertifizierungsentscheidung wird die Zertifizierung erneuert, und der nächste Dreijahreszyklus beginnt (Ziff. 9.1.3.2 und 9.6.3). Die Rezertifizierung gehört deshalb in Ihre Planung für das dritte Jahr.

Stellt die Zertifizierungsstelle schwerwiegende Nichtkonformitäten fest, kann ein Nachaudit nötig sein (Ziff. 9.4 und 9.5). Dafür fallen zusätzliche Auditortage an.

Die Auditortage richten sich nach der Anzahl Mitarbeitender im Geltungsbereich und nach der Komplexität Ihrer Organisation, etwa Standorte, IT-Landschaft, Auslagerungen und regulatorisches Umfeld. Grundlage der Zertifizierungsstellen ist ISO/IEC 27006-1:2024. Seit dem 31.03.2026 müssen alle Zertifizierungsstellen, deren Akkreditierungsstelle dem Global ACI MRA angehört, diese Fassung für alle Kunden anwenden (IAF MD 29:2024). Beruft sich eine Offerte für ISO 27001 auf IAF MD 5, fragen Sie nach: IAF MD 5 regelt die Auditzeit für ISO 9001, 14001 und 45001, nicht für ein ISMS.

Für jedes Audit, also Erstzertifizierung, beide Überwachungsaudits und Rezertifizierung, gilt dieselbe Rechnung: Auditortage mal Tagessatz laut Offerte, plus Reisezeit, Spesen und allfällige Gebühren. Verhandelbar sind Tagessatz, Spesen und Planung. Die Auditzeit legt die Zertifizierungsstelle nach den für sie geltenden Vorgaben fest. Verlangen Sie für alle Audits die Auditortage mit den angewendeten Faktoren, damit Sie Offerten vergleichen können.

Warum nennen manche Anbieter sechsstellige Kosten?

Öffentliche Kostenangaben rechnen oft mehr ein als die externen Rechnungen: mehrjährige interne Personalkosten zu Vollkostensätzen, Beratung, Softwarelizenzen und zusätzliche Massnahmen. Zwei Schweizer Beispiele, beide Marktangaben von Anbietern:

• it-provider.ch («ISO 27001 Schweiz: Aufwand, Kosten und wer es wirklich braucht», 04.05.2026) nennt für kleine KMU unter 50 Mitarbeitenden einmalig CHF 28'000 bis 60'000 für Beratung, Zertifizierungsaudit und internen Aufwand, für 50 bis 250 Mitarbeitende CHF 60'000 bis 130'000. Dazu kommen Überwachungsaudits von CHF 3'000 bis 6'000 bzw. 6'000 bis 15'000 pro Jahr.
• sidd.swiss («ISO 27001 Kosten», Stand 24.05.2026) nennt über drei Jahre CHF 150'000 bis 250'000 für ein Unternehmen mit 20 Mitarbeitenden und CHF 450'000 bis 900'000 für 25 bis 250 Mitarbeitende. Darin ist der interne Aufwand enthalten, bewertet mit CHF 1'000 pro Personentag, beim kleineren Band laut Quelle 60 bis 120 Personentage für den Aufbau und 25 bis 40 Personentage interne Pflege pro Jahr. Als weitere Einzelposten nennt die Quelle Beratung, Werkzeuglizenzen, Schulungen und eine optionale externe Begleitung. Etwa die Hälfte sind laut Quelle Ausgaben an Externe. Welche Positionen die Totale genau enthalten, erläutert die Quelle nicht. Addiert man die dort genannten Einzelwerte, ergeben sich andere Beträge, beim kleineren Band zum Beispiel CHF 181'000 bis 336'000 ohne die optionale Begleitung.

Für die Zertifizierungsstelle allein nennt sidd.swiss bei Unternehmen mit weniger als 25 Mitarbeitenden CHF 12'000 bis 20'000 für Stage 1 und Stage 2, CHF 5'000 bis 8'000 pro Überwachungsjahr und CHF 10'000 bis 16'000 für die Rezertifizierung. Als Tagessätze von Zertifizierungsstellen in der Schweiz nennt die Quelle allgemein CHF 1'800 bis 3'000. Die Quelle leitet die Auditortage aus IAF MD 5 ab, das für ISO 27001 nicht massgebend ist.

Für Ihr Budget heisst das: Trennen Sie externe Rechnungen von interner Arbeitszeit, und vergleichen Sie nur Gleiches mit Gleichem.

Beim Vergleich von Offerten zählt auch die Zertifizierungsstelle selbst. Ob ein Zertifikat akzeptiert wird, entscheidet nicht allein das Kürzel der Akkreditierungsstelle, sondern der Akkreditierungsumfang, die Einbindung in ein Anerkennungssystem und die Anforderungen Ihres Kunden. In der Schweiz akkreditiert die Schweizerische Akkreditierungsstelle SAS. Sie ist im Verzeichnis der Unterzeichner des Global ACI MRA (Stand 19.10.2026) mit dem Umfang ISO/IEC 27001 (ISMS) aufgeführt. Das Global ACI MRA ist seit dem 01.01.2026 das Nachfolgesystem der Anerkennung unter IAF und ILAC (Mitteilung zum Start von Global ACI). Die ASCB erklärt in ihrem Leitfaden ASL(G)30.511 (Druckdatum 12.01.2026) selbst, weder Mitglied noch Unterzeichnerin von IAF, ILAC oder Global ACI zu sein. Eine gesetzliche Pflicht zu einer bestimmten Akkreditierungsstelle gibt es laut demselben Leitfaden nicht. Klären Sie deshalb vor der Offertanfrage, was Ihr Kunde oder die Ausschreibung verlangt.

Die Wahl wirkt sich auch auf das Budget aus. Unsere Erfahrungswerte im ersten Abschnitt beruhen ausschliesslich auf ASCB-akkreditierten Zertifizierungsstellen. Bei SAS-akkreditierten Stellen lagen die Gebühren nach unserer Erfahrung deutlich höher. Über die Qualität der Audits sagt dieser Kostenunterschied nichts aus.

Offenlegung: Der Autor ist Auditor für die ATTESTA Schweizer Zertifizierungsgesellschaft, die durch die ASCB akkreditiert ist. Unternehmen, die PlanSec berät, auditiert er nicht (ISO/IEC 17021-1 Ziff. 5.2.10). Eine Zertifizierungsstelle darf selbst keine Managementsystem-Beratung anbieten (Ziff. 5.2.5).

Wie lassen sich die Kosten mit einem schlanken ISMS senken?

1. Geltungsbereich sauber herleiten. Der Scope (Ziff. 4.3) bestimmt die Zahl der Personen im Audit und damit die Auditortage. Er muss aus dem Kontext der Organisation abgeleitet sein, sonst fällt er im Audit auf.
2. Vorhandene Massnahmen nutzen. Eine Gap-Analyse ist keine Normpflicht, zeigt aber vor der Budgetfreigabe, was bereits vorhanden ist und welche Massnahmen tatsächlich fehlen.
3. Mit erprobten Vorlagen arbeiten. Ein vorbereitetes Dokumentengerüst spart internen Aufwand, solange es an Ihre Organisation angepasst und gelebt wird.
4. Verantwortlichkeiten klar regeln. Benannte Rollen und rasche Freigaben der Geschäftsleitung verkürzen das Projekt.
5. Auf ein softwareintensives ISMS verzichten. ISO/IEC 27001 verlangt dokumentierte Information (Ziff. 7.5), aber kein Werkzeug. Eine Softwarelizenz läuft weiter, solange Sie das Zertifikat halten.
6. Nachaudits vermeiden. Spätestens zum Stage-2-Audit müssen ein vollständiges internes Audit (Ziff. 9.2) und eine Managementbewertung (Ziff. 9.3) vorliegen. Stage 1 prüft bereits, ob beide geplant und durchgeführt werden (ISO/IEC 17021-1 Ziff. 9.3.1.2.2 g).

Hier setzt PlanSec an: Statt offener Beratungstage arbeiten wir mit einem definierten Standardprojekt von 12 Beratungstagen auf Basis eines auditerprobten ISMS, das Ihnen danach ohne laufende Lizenz gehört. Mehr dazu auf der Seite ISO 27001 mit PlanSec. Zur Zertifizierungsgarantie: Sie gilt, wenn Sie die Ihnen zugewiesenen Aufgaben vollständig und wie verlangt erledigen. Scheitert die Zertifizierung trotzdem, arbeiten wir kostenlos nach, bis Sie zertifiziert sind. Gebühren der Zertifizierungsstelle für ein allfälliges Nachaudit sind davon nicht gedeckt. Über die Zertifizierung entscheidet die unabhängige Zertifizierungsstelle.

Ist eine ISO-27001-Zertifizierung in der Schweiz Pflicht?

Nein, es gibt keine allgemeine gesetzliche Zertifizierungspflicht.

• DSG: Art. 8 DSG und Art. 1 bis 3 DSV verlangen eine dem Risiko angemessene Datensicherheit, aber kein Zertifikat. Mehr dazu im Ratgeber Datenschutzgesetz Schweiz: Pflichten für KMU.
• ISG: Seit dem 01.04.2025 müssen Betreiberinnen kritischer Infrastrukturen Cyberangriffe innert 24 Stunden dem BACS melden (ISG, SR 128). Eine Zertifizierungspflicht folgt daraus nicht.
• Öffentliche Beschaffung: Vergabestellen können ein Zertifikat als Eignungskriterium oder technische Spezifikation verlangen (Art. 27 und 30 BöB), im Einzelfall.
• NIS2: Die EU-Richtlinie 2022/2555 betrifft Schweizer Unternehmen nur bei EU-Bezug, direkt mit Niederlassung oder Tätigkeit in der EU in erfassten Sektoren, oder indirekt als Lieferant eines NIS2-pflichtigen Kunden (Art. 21 Abs. 2 lit. d). NIS2 selbst schreibt kein Zertifikat vor.

Die Anforderung entsteht also über Verträge, Ausschreibungen und Kundenvorgaben. Das sind zugleich die Kosten des Nicht-Zertifizierens, für die es keine belastbare Zahl gibt.

Was kostet die Umsetzung in Ihrem Unternehmen?

Für einen Budgetantrag brauchen Sie Werte für Ihren Geltungsbereich, keine allgemeine Marktspanne. Im Erstgespräch klären wir Ausgangslage, Geltungsbereich und die Anforderungen Ihrer Kunden und zeigen Ihnen, welche Kostentreiber in Ihrem Fall ins Gewicht fallen. Ein konkretes Angebot erhalten Sie nach dem Erstgespräch.

Sie möchten Ihre Informationssicherheit zuerst selbst einordnen? Unser kostenloses E-Book «Ihre Kunden verlangen Sicherheitsnachweise – können Sie diese heute überzeugend liefern?» zeigt fünf wichtige Bausteine: Rollen, Risiken, Dokumente, Awareness und interne Übungen.

Zur Dauer lesen Sie ISO 27001 in 12 Wochen: Wann das realistisch ist, zum Selbstcheck unsere ISO-27001-Checkliste.

Alle verlinkten Quellen wurden am 23.10.2026 abgerufen, die Anbieterangaben am 25.10.2026 erneut geprüft.