Wat kost ISO 27001-certificering? Kosten en doorlooptijd
Door Niels Maas (LinkedIn) · Gepubliceerd op 16 oktober 2026
Wat kost ISO 27001-certificering? De certificeringsaudit kost bij een geaccrediteerde instelling doorgaans € 5.000 tot € 20.000 (bron: Digitrust, zelf een RvA-geaccrediteerde certificerende instelling). Daarna volgt elk jaar een kleinere controleaudit. De grootste kostenpost is vaak uw eigen tijd: het opzetten van het managementsysteem voor informatiebeveiliging (ISMS). Hieronder staan alle kostenposten, met de bron van elk bedrag, een rekenvoorbeeld en de doorlooptijd.
Waaruit bestaan de kosten van ISO 27001-certificering?
ISO 27001-certificering is het traject waarin een onafhankelijke certificerende instelling toetst of uw ISMS aan ISO/IEC 27001:2022 voldoet. De kosten bestaan uit:
| Kostenpost | Wanneer | Wie bepaalt het bedrag |
|---|---|---|
| Certificeringsaudit (fase 1 en fase 2) | Eenmalig, aan het begin | Certificerende instelling: auditdagen × dagtarief |
| Controleaudit | Jaar 2 en jaar 3 | Certificerende instelling |
| Hercertificeringsaudit | Na drie jaar | Certificerende instelling |
| Eigen tijd voor het opzetten van het ISMS | Vóór de audit | U: afhankelijk van uitgangspunt en aanpak |
| Interne audit | Elk jaar, vóór de certificeringsaudit | Eigen medewerker of ingehuurde auditor |
| Documenten, software of advies | Naar keuze | Leverancier |
| Technische maatregelen | Naar behoefte, uit de risicobeoordeling | Uw IT-leverancier |
Alleen de eerste drie posten betaalt u aan de certificerende instelling. De rest hangt af van hoe u het ISMS opzet.
Wat kost de audit van de certificerende instelling?
Certificerende instellingen publiceren zelden een prijslijst; u krijgt een offerte. De bedragen die wel openbaar zijn:
| Bron | Wat | Bedrag |
|---|---|---|
| Digitrust (geaccrediteerde instelling, 13 september 2026) | Certificeringsaudit fase 1 en 2 | € 5.000 tot € 20.000 |
| ENC Certificering (prijslijst; niet geaccrediteerd) | Certificering ISO 27001, 2 dagen | € 1.995 excl. btw |
| ENC Certificering | Controleaudit na een jaar, 1 dag | € 995 excl. btw |
| Orbiq (softwareleverancier, maart 2026) | Dagtarief auditor in Nederland | € 1.100 tot € 1.600 per auditdag |
Het verschil tussen de goedkoopste en de duurste aanbieder is groot. Twee oorzaken:
- Accreditatie. Een geaccrediteerde instelling werkt volgens de regels van de Raad voor Accreditatie, inclusief het minimale aantal auditdagen. Een niet-geaccrediteerde instelling is daar niet aan gebonden.
- Aantal auditdagen. Dat hangt af van de omvang van uw organisatie (zie hieronder).
Waarom accreditatie ertoe doet
Een certificaat onder accreditatie van de Raad voor Accreditatie (RvA) is het certificaat waar klanten, overheden en aanbestedingen meestal om vragen. Een goedkoper certificaat zonder accreditatie levert die erkenning niet altijd op. Controleer in het register van de RvA of een instelling voor ISO/IEC 27001 is geaccrediteerd, voordat u een offerte vergelijkt.
Hoeveel auditdagen heeft u nodig?
Een geaccrediteerde instelling bepaalt het aantal auditdagen volgens ISO/IEC 27006-1 (bijlage C). De belangrijkste factor is het aantal personen binnen de scope van het ISMS; daarnaast tellen de complexiteit, het aantal locaties en de IT-omgeving. De instelling mag daar binnen grenzen van afwijken.
Orbiq geeft deze indicatie (bron: Orbiq, niet de normtekst zelf):
| Medewerkers in scope | Fase 1 | Fase 2 | Totaal auditdagen |
|---|---|---|---|
| 1 tot 10 | 0,5 tot 1 | 2 tot 3 | 2,5 tot 4 |
| 11 tot 50 | 1 tot 1,5 | 3 tot 5 | 4 tot 6,5 |
| 51 tot 100 | 1,5 tot 2 | 4 tot 6 | 5,5 tot 8 |
| 101 tot 250 | 2 | 6 tot 9 | 8 tot 11 |
Hoe kleiner de scope, hoe minder auditdagen. Een scherp afgebakende scope (bijvoorbeeld alleen de dienst die uw klanten afnemen) scheelt dus in de auditkosten, mits de scope past bij wat uw klanten verwachten.
Rekenvoorbeeld: een IT-bedrijf met 25 medewerkers
Met de cijfers van Orbiq: 4 tot 6,5 auditdagen × € 1.100 tot € 1.600 per dag geeft € 4.400 tot € 10.400 voor de certificeringsaudit, excl. btw. Dat valt binnen de bandbreedte van Digitrust. Reken het zelf na met de offerte van uw instelling:
| Uw offerte | |
|---|---|
| Auditdagen fase 1 + fase 2 | … dagen |
| × dagtarief | € … |
| + reiskosten en certificaatkosten (als die apart staan) | € … |
| = certificeringsaudit | € … |
| Controleaudit jaar 2 en 3 | € … per jaar |
| Hercertificering na drie jaar | € … |
Vraag bij twee of drie geaccrediteerde instellingen een offerte op, met het aantal auditdagen erin. Dan vergelijkt u gelijke dingen.
De certificeringscyclus van drie jaar
| Jaar | Audit | Toelichting |
|---|---|---|
| 1 | Certificeringsaudit, fase 1 en fase 2 | Fase 1: documenten en gereedheid. Fase 2: werkt het ISMS in de praktijk? |
| 2 | Controleaudit | Kleiner dan de certificeringsaudit |
| 3 | Controleaudit | Kleiner dan de certificeringsaudit |
| 4 | Hercertificeringsaudit | Begin van een nieuwe cyclus van drie jaar |
Dit volgt uit ISO/IEC 17021-1, de norm voor certificerende instellingen: het certificaat is drie jaar geldig en er is elk jaar minstens één controleaudit.
Wat kost het opzetten van het ISMS?
Hier zit voor de meeste organisaties de grootste post: eigen tijd. U moet onder meer een risicobeoordeling doen, een verklaring van toepasselijkheid opstellen, beleid en procedures vastleggen, medewerkers trainen, een interne audit laten doen en een directiebeoordeling houden.
Er zijn drie manieren:
| Aanpak | Wat u betaalt | Wat u zelf doet |
|---|---|---|
| Zelf schrijven | Alleen eigen tijd (en de norm, te koop bij NEN) | Alles, vanaf een leeg document |
| Zelf met een toolkit | € 595 excl. btw voor de ISO 27001 Toolkit | Invullen, invoeren en laten werken |
| Met een adviseur | Uurtarief of projectprijs van de adviseur | Meewerken, informatie aanleveren |
Hoeveel tijd het kost, hangt af van wat u al hebt geregeld. Onze eigen implementatiegids (bij de ISO 27001 Toolkit) rekent voor een organisatie van 10 tot 50 mensen met zestien weken en ongeveer 140 uur, verdeeld over een coördinator, de directie en IT. Dat is onze planning, geen gemiddelde uit onderzoek.
Interne audit
De norm eist een interne audit (clausule 9.2) door iemand die niet zijn eigen werk beoordeelt. In een kleine organisatie is dat vaak een ingehuurde auditor voor een paar dagen. Ook die kosten horen in uw begroting.
Hoe lang duurt ISO 27001-certificering?
| Fase | Duur | Toelichting |
|---|---|---|
| ISMS opzetten | Ongeveer vier maanden (10 tot 50 mensen, onze planning) | Afhankelijk van uitgangspunt en beschikbare tijd |
| ISMS laten werken | Een paar maanden, overlapt met het opzetten | De auditor wil registraties zien: verslagen, controles, een interne audit |
| Fase 1-audit | Meestal één dag | Documenten en gereedheid |
| Fase 2-audit | Enkele dagen, een paar weken na fase 1 | Werking in de praktijk |
| Afwijkingen oplossen en certificaat | Afhankelijk van de bevindingen | Grote afwijkingen eerst oplossen |
Vraag de certificerende instelling vroeg naar een auditdatum: de planning van de instelling bepaalt mede wanneer u het certificaat hebt.
Kosten besparen zonder het certificaat te raken
- Scope scherp afbakenen. Minder personen in scope betekent minder auditdagen.
- Offertes vergelijken op auditdagen, niet alleen op het totaalbedrag.
- Zelf schrijven met een sjabloon in plaats van vanaf nul. Gratis begin: de lijst met verplichte documenten voor ISO 27001.
- Klaar zijn voor fase 2. Een grote afwijking in fase 2 kost een extra auditbezoek.
ISO 27001 is niet verplicht voor de Cyberbeveiligingswet, maar een ISMS volgens ISO 27001 helpt om de zorgplicht aantoonbaar in te vullen. Meer over de norm leest u op de pagina over ISO 27001.
Wilt u het ISMS zelf opzetten? De ISO 27001 Toolkit bevat alle documenten, een implementatiegids met stappenplan van zestien weken en een volledig ingevuld voorbeeld.
Veelgestelde vragen
Wat kost ISO 27001-certificering?
De certificeringsaudit (fase 1 en 2) kost volgens de geaccrediteerde certificerende instelling Digitrust doorgaans € 5.000 tot € 20.000. Daarna volgt elk jaar een kleinere controleaudit en na drie jaar een hercertificering. Daarbovenop komen uw eigen uren, een interne audit en eventueel documenten, software of advies.
Waar hangt de prijs van de ISO 27001-audit van af?
Vooral van het aantal auditdagen. Dat aantal bepaalt de certificerende instelling volgens ISO/IEC 27006-1, op basis van het aantal personen binnen de scope, de complexiteit en het aantal locaties. Daarna telt het dagtarief van de instelling.
Hoe lang duurt het om ISO 27001-gecertificeerd te worden?
Dat hangt af van uw uitgangspunt en beschikbare tijd. Onze implementatiegids gaat voor een organisatie van 10 tot 50 mensen uit van zestien weken tot de certificeringsaudit. De auditor wil zien dat het ISMS al werkt, met registraties en een interne audit. Plan daarna de audit: fase 1 en fase 2 liggen meestal enkele weken uit elkaar.
Is een goedkope, niet-geaccrediteerde certificering ook goed?
Een certificaat van een niet-geaccrediteerde instelling is goedkoper, maar klanten, overheden en aanbestedingen vragen meestal om een certificaat onder accreditatie. Controleer bij de Raad voor Accreditatie of de instelling voor ISO/IEC 27001 is geaccrediteerd.
Is ISO 27001-certificering verplicht voor de Cyberbeveiligingswet?
Nee. De Cyberbeveiligingswet verplicht geen ISO 27001-certificaat. Een ISMS volgens ISO 27001 helpt wel om de zorgplicht aantoonbaar in te vullen.