Offertes van ISO 27001-adviseurs vergelijk je het best door verder te kijken dan alleen de prijs. Let op wat er concreet in de scope staat, welke deliverables zijn opgenomen en hoeveel ervaring de adviseur heeft met jouw type organisatie. Een goede offerte is transparant, realistisch en afgestemd op jouw specifieke situatie. De vragen hieronder helpen je om snel het kaf van het koren te scheiden.
Waar moet een goede ISO 27001-offerte uit bestaan?
Een goede ISO 27001-offerte bevat minimaal een duidelijke projectscope, een beschrijving van de te leveren producten en diensten, een tijdlijn met mijlpalen, de gehanteerde tariefstructuur en informatie over de betrokken adviseur(s). Zonder deze elementen kun je offertes niet eerlijk vergelijken.
Naast de basisinformatie let je ook op de volgende punten:
- Nulmeting of gap-analyse: Is een beginsituatieanalyse inbegrepen, of wordt die apart gefactureerd?
- Documentatie: Wie stelt het informatiebeveiligingsbeleid, de risicoanalyse en de Statement of Applicability op?
- Interne audit: Is een interne audit voor de certificeringsaudit opgenomen in de prijs?
- Begeleiding bij de externe audit: Ondersteunt de adviseur je ook tijdens de certificeringsaudit zelf?
- Nazorg: Wat gebeurt er na de certificering, bijvoorbeeld bij surveillance-audits?
Een offerte die al deze onderdelen benoemt, laat zien dat de adviseur het traject goed begrijpt en geen verrassingen achter de hand houdt.
Wat zijn de belangrijkste kostenfactoren bij ISO 27001-begeleiding?
De kosten van ISO 27001-begeleiding worden bepaald door de omvang van je organisatie, de complexiteit van je IT-omgeving, de huidige volwassenheid van je informatiebeveiliging en de hoeveelheid werk die de adviseur op zich neemt. Hoe meer er al op orde is, hoe lager de investering doorgaans uitvalt.
Concrete factoren die de prijs omhoog of omlaag sturen:
- Organisatiegrootte: Meer medewerkers en systemen betekenen een grotere scope en meer documentatie.
- Startsituatie: Een organisatie die al werkt met een andere ISO-norm heeft vaak minder werk aan de basis.
- Betrokkenheid intern team: Hoe meer jouw eigen medewerkers bijdragen, hoe minder adviseururen nodig zijn.
- Gewenste doorlooptijd: Een sneller traject vraagt intensievere begeleiding en kost daardoor meer.
- Certificeringsinstelling: De kosten van de externe audit zijn afhankelijk van de gekozen certificerende instelling en worden niet door de adviseur bepaald.
Vraag altijd naar een uitsplitsing van de kosten, zodat je precies weet waarvoor je betaalt en waar eventueel ruimte zit om te besparen.
Hoe herken je een adviseur met echte ISO 27001-ervaring?
Een adviseur met echte ISO 27001-ervaring spreekt concreet over eerdere trajecten, kent de valkuilen van de norm en kan uitleggen hoe hij of zij met jouw specifieke situatie omgaat. Vage antwoorden, generieke presentaties en het ontbreken van sectorkennis zijn waarschuwingssignalen.
Praktische kenmerken van een ervaren ISO 27001-adviseur:
- Hij of zij heeft aantoonbaar meerdere organisaties naar certificering begeleid, bij voorkeur in jouw branche.
- De adviseur stelt tijdens het kennismakingsgesprek gerichte vragen over jouw IT-omgeving, processen en risico’s.
- Hij of zij legt de norm uit in begrijpelijke taal, zonder onnodig jargon.
- De adviseur kent het verschil tussen de eisen van ISO 27001:2022 en de vorige versie en werkt altijd met de actuele norm.
- Hij of zij is bekend met de rol van interne audits en kan deze zelf uitvoeren of begeleiden.
Vraag gerust om een referentie of een concreet voorbeeld van een eerder traject. Een zelfverzekerde adviseur deelt dit zonder aarzeling.
Welke vragen moet je stellen voordat je een offerte accepteert?
Voordat je een ISO 27001-offerte accepteert, stel je vragen die duidelijkheid geven over de scope, de werkwijze, de verantwoordelijkheden en de risico’s. Zo voorkom je dat je achteraf voor verrassingen staat of meer betaalt dan verwacht.
Stel in ieder geval deze vragen:
- Wie is de vaste adviseur op mijn project, en wat is zijn of haar specifieke ISO 27001-ervaring?
- Wat valt er buiten de scope van deze offerte, en wanneer worden meerkosten in rekening gebracht?
- Hoe ziet de samenwerking er praktisch uit? Hoeveel tijd vraag je van mijn eigen medewerkers?
- Wat is de verwachte doorlooptijd van nulmeting tot certificering?
- Hoe ga je om met tegenslagen, zoals een negatieve bevinding bij de interne audit?
- Wat bied je na de certificering, bijvoorbeeld bij de jaarlijkse surveillance-audit?
De antwoorden op deze vragen onthullen niet alleen de kwaliteit van de adviseur, maar ook hoe realistisch de offerte is opgesteld.
Wat is het verschil tussen een vaste prijs en een uurtarief bij ISO 27001-advies?
Bij een vaste prijs betaal je een vooraf afgesproken totaalbedrag voor een omschreven traject. Bij een uurtarief betaal je per gewerkt uur, waarbij de eindkosten afhangen van de daadwerkelijk bestede tijd. Beide modellen hebben voor- en nadelen, afhankelijk van hoe goed de scope vooraf te bepalen is.
Vaste prijs: zekerheid, maar let op de scope
Een vaste prijs geeft je budgetzekerheid en dwingt de adviseur om vooraf goed na te denken over de omvang van het traject. Het nadeel is dat de scope strak omschreven moet zijn. Veranderingen of uitbreidingen leiden al snel tot meerwerk en extra kosten. Lees de offerte daarom zorgvuldig op uitsluitingen.
Uurtarief: flexibel, maar onzeker
Een uurtarief biedt meer flexibiliteit wanneer de scope nog niet volledig duidelijk is. Je betaalt alleen voor wat er daadwerkelijk gedaan wordt. Het risico is dat de kosten oplopen als het traject complexer blijkt dan verwacht. Vraag bij een uurtarief altijd om een realistische urenschatting en spreek een maximum af.
Wanneer kies je voor een externe adviseur in plaats van een interne FG of CISO?
Een extern ISO 27001-adviseur is de betere keuze wanneer je organisatie niet beschikt over voldoende interne kennis, capaciteit of objectiviteit om het traject zelfstandig te doorlopen. Een interne functionaris zoals een FG of CISO heeft waardevolle domeinkennis, maar draagt ook de dagelijkse operationele verantwoordelijkheid, wat de focus op een certificeringstraject kan bemoeilijken.
Kies voor een externe adviseur als:
- Je voor het eerst ISO 27001 implementeert en de norm onbekend terrein is.
- Je interne capaciteit beperkt is en het project naast de reguliere werkzaamheden niet haalbaar is.
- Je een onafhankelijke blik nodig hebt bij de risicoanalyse en de interne audit.
- Je een strakke deadline hebt voor certificering, bijvoorbeeld vanwege een klanteis of aanbesteding.
Een externe adviseur en een interne FG of CISO sluiten elkaar overigens niet uit. Veel organisaties kiezen voor een samenwerking waarbij de adviseur het traject structureert en de interne medewerker de kennis borgt voor de lange termijn. Dat is ook meteen de slimste investering: je bouwt intern begrip op terwijl je professioneel wordt begeleid. Meer weten over interim security ondersteuning? Dat is een optie die veel organisaties flexibiliteit geeft.
Hoe Diks Process Support helpt bij ISO 27001-certificering
Wij begeleiden organisaties van nulmeting tot certificering op een praktische, stapsgewijze manier. Geen ingewikkeld jargon, geen onnodig papierwerk, maar concrete stappen die aansluiten bij hoe jouw organisatie werkt. Dit is wat wij voor je doen:
- Gap-analyse: We brengen in kaart wat er al goed gaat en wat er nog moet gebeuren om aan ISO 27001 te voldoen.
- Documentatie: We stellen samen met jou het informatiebeveiligingsbeleid, de risicoanalyse en de Statement of Applicability op.
- Interne audit: We voeren de interne audit uit en bereiden je voor op de externe certificeringsaudit.
- Begeleiding tijdens de audit: We staan naast je tijdens de externe audit en zorgen dat je goed voorbereid bent.
- Nazorg: Na de certificering ondersteunen we je bij surveillance-audits en continue verbetering.
Wil je weten wat een ISO 27001-traject voor jouw organisatie kost en hoe lang het duurt? Neem contact op voor een vrijblijvend gesprek. We denken graag met je mee.
Gerelateerde artikelen
- Kunnen bestaande managementsystemen worden samengevoegd?
- Wat doet NEN 7510?
- Hoe voorkom ik dat ik mijn NEN 7510 certificaat verlies door de nieuwe versie?
- Welke certificeringsinstelling kies je voor ISO 9001?
- Hoe voorkom je veelgemaakte ISO 9001 fouten?
- Is ISO 9001 geschikt voor dienstverlenende bedrijven?
- Hoe zorg je dat onderaannemers zich aan jouw veiligheidsregels houden?
- Hoe vernieuw je een ISO 27001-certificaat?
- Hoe vaak moet je een ISO 27001-audit doen?
- Wanneer schakel ik een interim HSE manager in?