Blog, Veelgestelde vragen

Kan ISO 27001 tegen een vaste prijs?

Prijskaartje op een ISO 27001-certificeringsbinder naast auditdocumenten op een zakelijk bureau.
04
okt

Ja, een vaste prijs voor een ISO 27001-traject is mogelijk, maar alleen onder bepaalde voorwaarden. De haalbaarheid hangt sterk af van de omvang van je organisatie, de volwassenheid van je bestaande informatiebeveiliging en de complexiteit van je IT-omgeving. In dit artikel beantwoorden we de meest gestelde vragen over kosten, prijsmodellen en wat je mag verwachten van een transparant aanbod.

Wat bepaalt de kosten van een ISO 27001-traject?

De kosten van een ISO 27001-traject worden bepaald door vier hoofdfactoren: de omvang van je organisatie, de huidige staat van je informatiebeveiliging, de complexiteit van je IT-infrastructuur en de mate van begeleiding die je nodig hebt. Hoe verder je al bent met beleid en documentatie, hoe lager de investering doorgaans uitvalt.

Concreet spelen de volgende elementen een rol bij de prijsbepaling:

  • Organisatieomvang: Meer medewerkers en afdelingen betekenen meer processen die in scope vallen.
  • Volwassenheid van de nulmeting: Een organisatie zonder enige documentatie start verder van het doel dan een organisatie die al werkt met een informatiebeveiligingsbeleid.
  • Complexiteit van de IT-omgeving: Cloudomgevingen, meerdere systemen of externe leveranciers maken de risicoanalyse uitgebreider.
  • Scope van de certificering: Certificeer je de hele organisatie of slechts een afdeling?
  • Certificeringskosten: De kosten van de externe audit door een certificerende instelling zijn een aparte kostenpost bovenop het begeleidingstraject.

Al deze factoren samen bepalen hoeveel uren een adviseur nodig heeft om je organisatie certificeringsklaar te maken. Dat maakt het begrijpelijk waarom een standaard prijskaartje zelden de volledige realiteit weerspiegelt.

Wat is het verschil tussen een vaste prijs en een uurtarief bij ISO 27001?

Bij een vaste prijs spreek je vooraf een totaalbedrag af voor het volledige traject of een afgebakend deel ervan. Bij een uurtarief betaal je per gewerkt uur, waarbij de eindkosten afhangen van hoeveel tijd het traject daadwerkelijk vraagt. Het grootste verschil zit in de verdeling van het risico: bij een vaste prijs draagt de adviseur het risico van onverwachte extra uren, bij een uurtarief draag jij dat risico.

Beide modellen hebben voor- en nadelen:

  • Vaste prijs: Geeft budgetzekerheid, is prettig voor planning en voorkomt verrassingen op de factuur. Vereist wel een duidelijke scope vooraf.
  • Uurtarief: Flexibeler wanneer de scope nog niet volledig helder is of wanneer de organisatie snel verandert. Vraagt om het goed bijhouden van uren en duidelijke afspraken over rapportage.

In de praktijk kiezen veel organisaties voor een hybride model: een vaste prijs voor de kern van het traject, aangevuld met een uurtarief voor werkzaamheden die buiten de afgesproken scope vallen. Zo combineer je budgetzekerheid met flexibiliteit.

Wanneer is een vaste prijs voor ISO 27001 realistisch?

Een vaste prijs voor ISO 27001 is realistisch wanneer de scope van het traject duidelijk en stabiel is. Dat betekent: een bekende organisatieomvang, een heldere IT-infrastructuur en een situatie waarbij de organisatie zelf actief meewerkt en intern capaciteit vrijmaakt. Hoe beter de uitgangssituatie in kaart is gebracht, hoe betrouwbaarder een vaste prijs kan worden opgesteld.

Een vaste prijs werkt goed in de volgende situaties:

  • Je organisatie heeft een beperkte, duidelijk afgebakende scope (bijvoorbeeld één afdeling of één locatie).
  • Er is al een nulmeting of gap-analyse uitgevoerd, zodat de adviseur weet wat er nog gedaan moet worden.
  • De organisatie heeft intern een trekker die actief bijdraagt aan het traject.
  • De IT-omgeving is relatief eenvoudig en stabiel, zonder grote veranderingen op de planning.

Is je situatie complexer of bevindt je organisatie zich midden in een fusie, groei of digitale transformatie? Dan is een uurtarief of een gefaseerd traject met vaste prijzen per fase vaak eerlijker en realistischer voor beide partijen.

Welke onderdelen van ISO 27001 zijn moeilijk vooraf in te prijzen?

Niet alle onderdelen van een ISO 27001-traject zijn even goed vooraf in te prijzen. De moeilijkste onderdelen zijn die waarbij de uitkomst afhangt van wat er tijdens het traject wordt ontdekt, zoals de risicoanalyse, de behandeling van kwetsbaarheden en de bewustwording bij medewerkers. Deze elementen vragen om maatwerk en zijn daardoor lastig te vatten in een vaste prijs.

Specifieke onderdelen die de meeste onzekerheid met zich meebrengen:

  • Risicoanalyse en risicobehandeling: De diepgang hiervan hangt af van het aantal processen, systemen en leveranciers dat in scope valt.
  • Bewustwording en gedragsverandering: Hoeveel sessies nodig zijn om medewerkers mee te krijgen, is vooraf moeilijk te voorspellen.
  • Corrigerende maatregelen: Als de interne audit of de pre-audit tekortkomingen blootlegt, kost het herstellen daarvan extra tijd.
  • Leveranciersbeheer: Het beoordelen en documenteren van externe leveranciers kan fors in omvang variëren.
  • Technische maatregelen: De implementatie van technische beveiligingsmaatregelen valt buiten het adviestraject en is een aparte kostenpost.

Een goede adviseur maakt deze onzekerheden inzichtelijk in het voorstel en geeft aan welke onderdelen een bandbreedte hebben in plaats van een vaste prijs.

Hoe ziet een transparant prijsvoorstel voor ISO 27001 eruit?

Een transparant prijsvoorstel voor ISO 27001 splitst het traject op in duidelijke fases, benoemt per fase de werkzaamheden en de bijbehorende kosten, en maakt onderscheid tussen wat vast is en wat variabel kan zijn. Het voorstel laat zien welke aannames zijn gemaakt en wat er buiten scope valt. Zo weet je precies waar je aan toe bent.

Een goed voorstel bevat minimaal de volgende elementen:

  • Nulmeting of gap-analyse: Wat is de huidige stand van zaken en wat moet er nog gebeuren?
  • Fasering: Welke stappen worden in welke volgorde doorlopen?
  • Werkzaamheden per fase: Wat doet de adviseur en wat wordt van jouw organisatie verwacht?
  • Vaste en variabele kostenposten: Welke onderdelen zijn vast geprijsd en welke worden op basis van uren afgerekend?
  • Exclusies: Wat valt nadrukkelijk buiten het voorstel, zoals certificeringskosten of technische implementaties?
  • Aannames: Welke veronderstellingen zijn gemaakt over de omvang en beschikbaarheid van de organisatie?

Een voorstel zonder deze elementen biedt geen echte transparantie. Vraag bij twijfel altijd door op wat er niet in staat, want dat bepaalt net zo goed de uiteindelijke investering.

Hoe Diks Process Support helpt met ISO 27001

Wij begeleiden organisaties van begin tot eind bij het behalen van de ISO 27001-certificering, met een aanpak die past bij jouw situatie. Geen standaardpakket dat over elke organisatie wordt uitgerold, maar een traject op maat, met eerlijke afspraken over prijs en scope. Dit is wat wij bieden:

  • Nulmeting en gap-analyse: We brengen in kaart waar je organisatie staat en wat er nodig is om de norm te halen.
  • Risicoanalyse en documentatie: We helpen je de juiste risicoanalyse op te stellen en zorgen dat alle benodigde documentatie op orde is.
  • Bewustwording en draagvlak: We betrekken je medewerkers actief, zodat informatiebeveiliging geen papieren tijger wordt.
  • Begeleiding tot en met de certificeringsaudit: We staan naast je tijdens het gehele traject, inclusief de voorbereiding op de externe audit.
  • Transparante prijsafspraken: We werken met een helder voorstel waarin vaste en variabele onderdelen duidelijk zijn benoemd.

Wil je weten wat een ISO 27001-traject voor jouw organisatie kost en of een vaste prijs haalbaar is? Neem contact op en we kijken samen naar de mogelijkheden.

Gerelateerde artikelen

Direct bellen Direct bellen