Waarom de vraag nu zo vaak komt
Elke maand zoeken er in Nederland zo'n 6.600 mensen op ISO 27001. Vaak is de aanleiding concreet: een grote klant of een aanbesteding vraagt om het certificaat, en je wilt weten waar je aan begint. Daarbij speelt NIS2 mee. Ook bedrijven die zelf niet onder de wet vallen, krijgen de vraag via hun klanten, die hun leveranciers moeten controleren. Wil je weten of je zelf onder NIS2 valt, lees dan wat NIS2 betekent voor het mkb.
Het eerlijke antwoord op wat het kost: dat hangt vooral af van hoe ver je al bent. Een bedrijf met bijgehouden back-ups, een overzicht van wie waar toegang toe heeft en beveiligde laptops is al een flink eind. Een bedrijf waar "de IT" bij één collega in het hoofd zit, begint bijna bij nul.
De drie delen van de rekening
De kosten van ISO 27001 vallen uiteen in drie delen. Het eerste is de voorbereiding: een nulmeting, het dichten van de gaten die daaruit komen en het opzetten van het managementsysteem met beleid, rollen, een risicomethode en interne audits. Adviesbureaus rekenen alleen voor een gap-analyse al €7.500 tot €20.000.
Het tweede deel is de certificeringsaudit door een geaccrediteerde instelling. Voor een middelgroot bedrijf ligt die volgens marktopgaven tussen €8.000 en €25.000, afhankelijk van het aantal medewerkers en locaties.
Het derde deel vergeten de meeste bedrijven. Het certificaat is drie jaar geldig, met elk jaar een controle-audit. Reken voor het mkb op €4.000 tot €12.000 per jaar, en in het derde jaar komt er een hercertificering bij. Bij elkaar lopen de kosten in het eerste jaar al snel op tot €20.000 of meer, en die bedragen gaan niet weg.
Wat in geen enkele offerte staat, is de tijd van je eigen mensen. Iemand moet het beleid lezen, de risico's beoordelen en de interne audits uitvoeren. Reken op een paar uur per week, het hele traject door.
Waar je op kunt besparen
Het meeste geld gaat zitten in uitzoeken waar je staat. Daar kun je op besparen door die nulmeting praktisch te houden. Een Cyber RI&E kijkt van buitenaf en van binnenuit naar je systemen, netwerk en gegevens, en koppelt elke bevinding aan de bijbehorende ISO 27001-maatregel. Dan weet je per maatregel of hij al op orde is, en betaal je alleen voor wat nog ontbreekt.
De technische gaten dichten is het tweede punt. Veel bevindingen zijn klein: een update die al maanden klaarstaat, een oud account dat nog actief is, een back-up die nooit getest is. Die los je op voordat de auditor langskomt, niet erna.
Wat we niet zouden doen
Begin niet met een dik beleidshandboek uit een sjabloon. Een auditor ziet direct of het beleid past bij hoe je werkt, en een document dat niemand leest, helpt je niet door de audit. Begin met weten waar je staat, los de grootste risico's op en schrijf pas dan op hoe je het organiseert.
Ga er ook niet van uit dat het certificaat het doel is. Het is een bewijs dat je je informatie goed beschermt. Als het beschermen zelf niet op orde is, heb je over een jaar een probleem bij de eerste controle-audit, en eerder nog als er echt iets misgaat.