„ISO 27001 klingt teuer.“ Diesen Satz hört man oft, wenn es um Informationssicherheit geht. Doch wie hoch sind die Kosten für ein Informationssicherheits-Managementsystem (ISMS) wirklich? Und wie unterscheiden sie sich für kleinere Unternehmen wie KMUs oder Eisenbahnverkehrsunternehmen (EVUs)?
1. Woraus setzen sich die ISMS-Kosten zusammen?
Die Gesamtkosten für ein ISMS lassen sich in vier Hauptbereiche aufteilen:
Initiale GAP-Analyse und Planung
Implementierung von Prozessen und Maßnahmen
Schulung und Sensibilisierung
Interne Audits und kontinuierliche Verbesserung
Optional: Kosten für eine offizielle Zertifizierung (z. B. durch den TÜV) – nicht gesetzlich erforderlich, aber manchmal gewünscht.
2. Konkrete Zahlen: Was kostet ein ISMS?
Die folgenden Werte gelten als realistische Richtgrößen für pragmatische ISMS-Projekte ohne Überregulierung:
| Unternehmensgröße | Aufwand (h) | Externe Kosten (€) | Bemerkung |
|---|---|---|---|
| < 50 MA (KMU, kleines EVU) | 60–80 h | 9.000–12.000 € | Ohne Zertifizierung, praxisnah |
| 50–200 MA | 100–200 h | 15.000–30.000 € | Teilweise interne Projektleitung |
| Mit Zertifizierung | +30–50 h | +3.000–6.000 € | Abhängig von Zertifizierungsstelle |
3. Versteckte Kosten? Ja – wenn man nicht plant
Die größten Kostentreiber sind unklare Zielsetzungen, unnötige Komplexität und fehlende Verantwortlichkeiten. Wer „einfach mal anfängt“, riskiert Mehraufwand durch ineffiziente Abläufe oder schlecht dokumentierte Prozesse.
Tipp: Eine klare Roadmap mit externer Unterstützung reduziert Aufwand und beschleunigt den Prozess.
4. Fazit: Investition mit Schutzwirkung
Ein ISMS ist keine Pflichtübung für Großkonzerne. Gerade kleinere Unternehmen profitieren von strukturierter Informationssicherheit: weniger Ausfälle, höheres Vertrauen bei Partnern, Schutz vor Bußgeldern (z. B. bei NIS 2).
Kosten ja – aber mit hohem Gegenwert.
Wer jetzt plant, spart später Geld, Zeit und Nerven.
Interesse an einer realistischen Einschätzung für Ihr Unternehmen? Ich unterstütze Sie von der GAP-Analyse bis zum auditfesten ISMS. Kontaktieren Sie mich unverbindlich.