ISO 27001-certificering kost een kleine organisatie in het eerste jaar ongeveer 4.000 tot 5.000 euro aan audits, plus 150 tot 300 eigen uren. Met een adviseur erbij komt een mkb-traject al snel op 25.000 euro of meer. Het aantal medewerkers bepaalt de prijs, omdat het de auditdagen bepaalt.
Na de certificering volgen twee jaarlijkse controle-audits en na drie jaar een hercertificering. Die kosten ongeveer een derde en twee derde van de eerste audit.
Door Redactie Securiguide. Laatst gecontroleerd op 12 oktober 2026.
Op deze pagina: kostenposten · auditdagen · de audit · de auditor · checklist · veelgestelde vragen
ISO 27001 kosten: de posten op een rij
De rekening bestaat uit drie delen: eigen tijd, eventuele hulp van buiten en de audits van de certificerende instelling. Alleen de audits zijn onvermijdelijk.
De bedragen zijn indicaties van Nederlandse aanbieders, exclusief btw. Een mkb-traject waarin een adviseur het ISMS opzet en de audit begeleidt, komt volgens Dxfferent op € 25.000 tot € 75.000 in totaal. Doe je het meeste zelf met templates, dan blijven de externe kosten in het eerste jaar rond € 5.000 bij een kleine organisatie.
Waarom het aantal medewerkers de prijs bepaalt
Een certificerende instelling berekent het aantal auditdagen met de tabel uit ISO/IEC 27006-1. Het aantal mensen binnen de scope is het vertrekpunt. Een organisatie tot 10 medewerkers krijgt voor de eerste audit ongeveer 5 dagen, rond de 50 medewerkers zijn dat er ongeveer 10. Voorbereiding en rapportage tellen mee, dus de auditor zit niet al die dagen op locatie.
Meerdere vestigingen of eigen softwareontwikkeling voegen tijd toe, een eenvoudige organisatie kan korting krijgen. Een kleinere scope verlaagt de kosten. Klanten kijken wel welke diensten onder het certificaat vallen.
Zo verloopt de ISO 27001 audit
De certificering loopt in een vaste cyclus van drie jaar. Voor de eerste externe audit laat je het ISMS eerst zelf toetsen.
- Interne audit en directiebeoordeling. Je toetst het hele ISMS en de directie beoordeelt de uitkomst (hoofdstuk 9.2 en 9.3). Zonder deze twee start de externe audit niet.
- Fase 1: documentonderzoek. De auditor beoordeelt scope, beleid, risicoanalyse en de Verklaring van toepasselijkheid, en kijkt of je klaar bent voor fase 2.
- Fase 2: praktijktoets. Interviews, steekproeven en waarnemingen laten zien of de maatregelen werken zoals beschreven.
- Afwijkingen oplossen. Een grote afwijking blokkeert het certificaat tot je hem aantoonbaar hebt opgelost. Kleine afwijkingen los je op met een plan dat de auditor bij de volgende audit controleert.
- Certificaat. Geldig voor drie jaar, uitgegeven door de certificerende instelling.
- Controle-audits en hercertificering. In jaar 2 en 3 volgt een kortere controle-audit, daarna een hercertificeringsaudit voor de volgende drie jaar.
Kies een instelling die voor ISO 27001 is geaccrediteerd door de Raad voor Accreditatie. Breng je ISO 27001, NEN 7510 of ISO 9001 onder in één managementsysteem, dan kan één instelling alles in een gezamenlijke audit toetsen. Dat scheelt auditdagen.
De ISO 27001 auditor: intern en extern
De interne auditor toetst namens je eigen organisatie en controleert niet zijn eigen werk. Dat kan een opgeleide medewerker zijn of een ingehuurde partij. De externe auditor, vaak een lead auditor met een ISO 27001-opleiding, werkt voor de certificerende instelling en beslist mee over het certificaat. Externe lead auditors rekenen dagtarieven van € 1.200 tot € 2.000. Hoe een audit breder werkt, lees je bij cybersecurity audits.
ISO 27001 checklist: de verplichte documenten
ISO 27001:2022 schrijft een vaste set gedocumenteerde informatie voor. De auditor vraagt daar in fase 1 als eerste naar. Vink een punt af zodra het document is vastgesteld.
1Scope en beleid
2Risico's en maatregelen
3Mensen en uitvoering
4Meten en verbeteren
5Veelgevraagd uit bijlage A
Vergelijk adviesbureaus voor ISO 27001
In de gids van Securiguide staan Nederlandse bureaus die organisaties begeleiden naar ISO 27001 of een interne audit uitvoeren, met per bedrijf een profiel van diensten en specialisaties.
Veelgestelde vragen over ISO 27001 kosten en audit
Wat kost een ISO 27001-certificaat per jaar?
Na het eerste jaar betaal je de controle-audit, voor een kleine organisatie circa € 1.000. Daarbij komen eigen uren voor onderhoud van het ISMS en eventueel een externe interne audit van € 3.000 tot € 4.000.
Hoe lang is een ISO 27001-certificaat geldig?
Drie jaar. In het tweede en derde jaar volgt een controle-audit, daarna een hercertificering. Certificaten op de versie uit 2013 zijn op 31 oktober 2025 verlopen.
Kan ik ISO 27001 halen zonder adviseur?
Ja, een adviseur is niet verplicht. Met templates of ISMS-software kom je ook tot een certificaat. Reken dan op meer eigen uren, vooral voor de risicoanalyse en de Verklaring van toepasselijkheid.
Wat is het verschil tussen een interne en een externe ISO 27001 audit?
De interne audit doe je zelf of laat je doen, als controle voor jezelf. De externe audit voert een certificerende instelling uit en die levert het certificaat op.
Dekt ISO 27001 ook NIS2?
Voor een groot deel van de zorgplicht. Registratie, meldtermijnen en de training van bestuurders regel je apart. Het overzicht per onderwerp staat bij NIS2 certificering en audit.
Bronnen
- ISOmanager, Wat kost de ISO 27001 certificering?, 30 oktober 2025.
- Dxfferent, Kosten ISO-implementatie, bijgewerkt op 19 mei 2026.
- ISO/IEC 27001:2022, eisen voor managementsystemen voor informatiebeveiliging, via NEN.
- ISO/IEC 27006-1:2024, eisen aan certificerende instellingen voor ISMS-audits.
- Securiguide, ISO 27001 en NIS2 certificering en audit.