Wat kost ISO 27001 certificering?

De eerste vraag: hoe ver sta je nu?

Twee organisaties met evenveel medewerkers kunnen qua kosten ver uit elkaar liggen.

De ene organisatie heeft al:

• een actuele risicoanalyse;
• duidelijke verantwoordelijkheden;
• leveranciersbeheer;
• incidentmanagement;
• periodieke controles;
• beleid dat daadwerkelijk wordt gebruikt;
• bewijs van uitgevoerde maatregelen.

De andere begint met losse documenten, impliciete afspraken en veel kennis in de hoofden van een paar medewerkers.

Die tweede organisatie heeft simpelweg meer werk te doen.

Mijn voorkeur is daarom om vóór een begroting eerst vast te stellen:

wat is er al, wat werkt aantoonbaar en wat ontbreekt nog?

Een goede GAP-analyse geeft daar veel meer grip op dan een generieke prijsindicatie.

Kostenpost 1: de certificerende instelling

ISO zelf certificeert organisaties niet. De daadwerkelijke certificatie wordt uitgevoerd door een onafhankelijke certificerende instelling.

Die berekent kosten voor onder andere:

• beoordeling van de scope;
• fase 1-audit;
• fase 2-audit;
• rapportage;
• eventuele aanvullende beoordeling van afwijkingen;
• jaarlijkse surveillance-audits;
• hercertificering aan het einde van de cyclus.

De benodigde audittijd hangt onder meer samen met:

• omvang van de organisatie;
• aantal medewerkers binnen scope;
• complexiteit;
• aantal locaties;
• aard van processen;
• gebruikte technologie;
• mate van uitbesteding;
• gekozen certificatiescope.

Vraag daarom altijd een offerte op basis van een duidelijk omschreven scope.

Als de scope nog vaag is, is ook de prijsvergelijking tussen certificeerders minder betrouwbaar.

Kostenpost 2: interne tijd

Deze kosten worden in begrotingen opvallend vaak onderschat.

ISO 27001 vraagt tijd van mensen binnen de organisatie.

Denk aan:

• directie;
• IT;
• privacy;
• HR;
• inkoop;
• facility;
• procesverantwoordelijken;
• risk/control;
• leveranciersmanagement.

Er moeten keuzes worden gemaakt, bewijsstukken worden verzameld, risico's worden beoordeeld en maatregelen worden ingevoerd.

Voor een CFO zou ik interne tijd daarom gewoon als projectkosten behandelen.

Twintig medewerkers die ieder een paar uur bijdragen, vertegenwoordigen ook een investering.

Kostenpost 3: inrichting van het ISMS

Het ISMS is het managementsysteem waarmee de organisatie informatiebeveiliging bestuurt.

Dat vraagt bijvoorbeeld om:

• scope;
• context;
• rollen en verantwoordelijkheden;
• risicoanalyse;
• risicobehandeling;
• beleid;
• Statement of Applicability;
• doelstellingen;
• periodieke controles;
• incidentopvolging;
• leveranciersbeoordeling;
• interne audit;
• directiebeoordeling;
• verbetercyclus.

Hoeveel werk dit kost, hangt vooral af van wat de organisatie al heeft.

Ik zie regelmatig dat organisaties vooral veel documenten proberen te produceren. Dat maakt een traject onnodig zwaar.

Mijn uitgangspunt is eenvoudiger:

leg vast wat nodig is om de organisatie te sturen en om aantoonbaar te maken dat afgesproken beheersing werkt.

Een bruikbaar ISMS hoeft geen papieren fabriek te worden.

Kostenpost 4: ontbrekende beveiligingsmaatregelen

Soms zit de grootste investering helemaal niet in ISO-begeleiding of certificatie.

Een GAP-analyse kan bijvoorbeeld laten zien dat verbetering nodig is op:

• multi-factor authenticatie;
• logging;
• kwetsbaarhedenbeheer;
• back-up;
• hersteltesten;
• netwerksegmentatie;
• endpointbeheer;
• leverancierscontracten;
• incident response;
• awareness;
• toegangsbeheer.

Dat zijn beveiligingsinvesteringen die je mogelijk ook zonder certificering had moeten doen.

Voor begrotingsdoeleinden zou ik die daarom apart zetten:

A. kosten om het ISMS in te richten
B. kosten om feitelijke beveiligingsrisico's te verlagen

Dat voorkomt dat iedere technische verbetering achteraf als “kosten van ISO 27001” wordt gezien.

Kostenpost 5: externe begeleiding

Externe hulp kan verschillende vormen hebben.

Bijvoorbeeld:

• GAP-analyse;
• projectbegeleiding;
• risicoanalyse;
• opzetten of vereenvoudigen van documentatie;
• begeleiden van workshops;
• inrichten van interne beheersing;
• voorbereiding op de certificatie-audit;
• onafhankelijke interne audit.

De kosten hangen sterk af van hoeveel je zelf doet.

Een organisatie met een ervaren securitymanager heeft vaak minder begeleiding nodig dan een organisatie waar ISO 27001 volledig naast de normale functies moet worden opgebouwd.

Mijn advies: koop geen compleet ISMS “van de plank”

Templates kunnen helpen.

Een map vol standaardbeleid is alleen geen werkend managementsysteem.

Wanneer documenten niet aansluiten op de organisatie, ontstaat later dubbel werk:

• mensen herkennen hun eigen praktijk er niet in;
• auditors vragen bewijs dat niet bestaat;
• procedures worden niet gevolgd;
• medewerkers houden informele werkwijzen naast de formele documenten.

Goedkoop beginnen kan dan uiteindelijk duur uitpakken.

Kostenpost 6: tooling

Een ISMS kan technisch gezien worden beheerd met relatief eenvoudige middelen.

Voor kleinere organisaties kan een combinatie van bestaande documentopslag, taakbeheer en registers prima werken.

Specialistische ISMS-software kan interessant worden wanneer je:

• veel controls moet beheren;
• bewijs structureel wilt koppelen;
• meerdere frameworks combineert;
• risico's centraal wilt beheren;
• veel leveranciers beoordeelt;
• taken en reviews wilt automatiseren;
• rapportages wilt standaardiseren.

Tooling is dus geen voorwaarde voor ISO 27001-certificering.

De vraag is vooral of de software voldoende tijd en beheerslast bespaart om de kosten te rechtvaardigen.

Kostenpost 7: interne audit en directiebeoordeling

Voor certificering moet je kunnen aantonen dat het managementsysteem wordt geëvalueerd.

Daar hoort onder andere een interne audit bij.

Die kan intern worden uitgevoerd wanneer onafhankelijkheid en deskundigheid voldoende zijn geregeld. Veel organisaties kiezen voor externe ondersteuning.

Daarnaast moet de directie het ISMS periodiek beoordelen.

Dat kost tijd, maar ik zou dit niet als administratieve verplichting behandelen. Juist hier hoort de koppeling te worden gemaakt met:

• risico's;
• incidenten;
• afwijkingen;
• prestaties;
• leveranciers;
• middelen;
• verbeteringen.

Als deze momenten alleen worden georganiseerd “omdat ISO het vraagt”, mis je een groot deel van de bestuurlijke waarde.

Kostenpost 8: onderhoud na certificering

Certificering is geen eindpunt.

Er blijven werkzaamheden nodig voor:

• risico-updates;
• controles;
• interne audits;
• directiebeoordelingen;
• wijzigingen;
• incidenten;
• leveranciers;
• verbetermaatregelen;
• surveillance-audits.

Neem daarom in de businesscase ook jaarlijkse beheerkosten op.

Een ISMS dat alleen vlak vóór de jaarlijkse audit aandacht krijgt, wordt duur en kwetsbaar.

Een goed ingericht ISMS sluit juist aan op bestaande management- en controlcycli.

Hoe maak je zelf een realistische begroting?

Ik zou de begroting in zes regels opbouwen.

Dat geeft een veel realistischer beeld dan één offerte vergelijken.

Waar kun je kosten beheersen?

Een paar keuzes hebben veel invloed.

Houd de scope logisch

Een te grote scope maakt het traject zwaarder.

Een kunstmatig kleine scope kan juist weinig waarde opleveren en leidt soms tot ingewikkelde grenzen.

Kies dus een scope die aansluit op de dienstverlening, processen en klantverwachtingen.

Gebruik wat al goed werkt

Bouw geen nieuwe processen als bestaande governance of controlcycli al functioneren.

ISO 27001 hoeft niet overal een aparte laag bovenop te leggen.

Los eerst grote onduidelijkheden op

Als eigenaarschap, scope en risico's nog niet helder zijn, heeft het weinig zin om al tientallen beleidsdocumenten te schrijven.

Werk vanaf het begin met bewijs

Leg controles vast op het moment dat ze plaatsvinden.

Dat bespaart veel zoekwerk vlak voor de audit.

Waar zou ik als CFO op letten?

Als CFO zou ik drie bedragen apart willen zien:

1. certificatiekosten;
2. implementatiekosten;
3. structurele jaarlijkse kosten.

Daarnaast zou ik willen weten welk deel van de investering feitelijk achterstallige informatiebeveiliging betreft.

Dat onderscheid is belangrijk.

Wanneer bijvoorbeeld hersteltesten nooit zijn uitgevoerd, is de investering om dat goed te regelen niet puur een ISO-kost. Je vermindert daarmee een reëel continuïteitsrisico.

En waar let ik als CIO of IT-manager op?

Ik zou vooral voorkomen dat ISO 27001 een parallel administratief project wordt.

Kijk welke bestaande processen bewijs kunnen leveren:

• change management;
• patchmanagement;
• accountreviews;
• incidentregistratie;
• back-uprapportage;
• leveranciersbeheer;
• vulnerability management.

Hoe beter je bestaande beheer aansluit op het ISMS, hoe lager de structurele beheerslast.

Wanneer weet je wat jouw organisatie ongeveer gaat kosten?

Na een goede GAP-analyse kun je meestal veel beter begroten.

Dan weet je:

• welke onderdelen al voldoen;
• welke maatregelen ontbreken;
• welke documentatie moet worden aangepast;
• hoeveel interne capaciteit nodig is;
• waar externe ondersteuning gewenst is;
• hoe complex de certificatiescope is.

Daarmee kun je een projectbegroting maken die bestuur en finance ook echt kunnen gebruiken.

Lees voor het traject zelf ook:

ISO 27001 certificering: stappen, voorbereiding en aantoonbaar resultaat

Mijn uitgangspunt bij ISO 27001

Ik zou nooit beginnen met de vraag:

“Hoe worden we zo goedkoop mogelijk gecertificeerd?”

Een betere vraag is:

“Hoe richten we informatiebeveiliging zo in dat het werkbaar is, aantoonbaar functioneert en certificering daar logisch uit volgt?”

Dan geeft ISO 27001 meer terug dan alleen een certificaat aan de muur.

Wil je eerst weten hoeveel werk er binnen jouw organisatie nog nodig is? Een ISO 27001 GAP-analyse maakt de uitgangspositie en verbeterroute concreet.