Annonce – sponsoreret indhold.
Hvad koster ISO 27001 certificering? Det korte svar er, at der ikke findes en fast pris, fordi regningen afhænger af virksomhedens størrelse, kompleksitet og nuværende modenhed inden for informationssikkerhed. Udgiften består typisk af fire dele: interne arbejdstimer, ekstern rådgivning, tekniske og organisatoriske tiltag og certificeringsorganets audits. For mange virksomheder er de interne timer den største post, og det er den, der oftest bliver undervurderet.
Hvad koster ISO 27001 certificering? Tre ting afgør regningen
Når to virksomheder får samme spørgsmål om prisen, kan svarene ligge langt fra hinanden. Det skyldes primært tre forhold.
- Udgangspunktet: Har I allerede politikker, adgangsstyring, backup, leverandørstyring og styr på jeres risici? Så skal I primært samle og dokumentere det. Starter I fra bunden, skal I opbygge det, før I kan dokumentere det.
- Omfanget (scope): Skal certificeringen dække hele virksomheden eller kun en afgrænset forretningsenhed, et produkt eller en tjeneste? Et snævert scope kan gøre forløbet markant mindre, men kunden skal acceptere afgrænsningen.
- Kompleksiteten: Flere lokationer, egenudviklet software, mange underleverandører og en stor mængde persondata gør risikovurderingen og kontrollerne mere omfattende.
Netop fordi prisen er så individuel, søger mange virksomheder hjælp til ISO 27001 allerede, før de beslutter sig for at gå i gang. Formålet er at få overblik over proces og omkostninger, så de kan træffe beslutningen på et oplyst grundlag. Hos Nesp.ONE kan en foranalyse for eksempel købes fra 10.000 DKK. Den giver en vurdering af nuværende niveau, en kortlægning af de væsentligste mangler og en prioriteret handlingsplan. Det er ikke prisen på hele certificeringen, men et billigt skridt, der gør resten af budgettet realistisk.
Hvorfor vælger eller tvinges virksomheder til ISO 27001?
Der er to typiske veje ind i et ISO 27001-forløb, og de påvirker både tempo og budget.
Kundekrav er den mest almindelige. Større kunder og offentlige myndigheder stiller i udbud og leverandørvurderinger ofte krav om dokumenteret informationssikkerhed, og et ISO 27001-certifikat er den nemmeste måde at dokumentere det på. Her er der ofte en deadline, og den kan presse både planlægning og pris.
Eget ønske om at professionalisere er den anden vej. Her har ejeren eller direktionen set, at sikkerhed er blevet en forudsætning for at vinde større opgaver, eller at virksomheden er for afhængig af, at én person i IT ved, hvordan tingene hænger sammen. Uden hård deadline kan man tage forløbet i et tempo, der passer til driften.
Derudover kan nye regler som NIS2 gøre, at virksomheder, der er leverandører til omfattede sektorer, mærker øgede forventninger. ISO 27001 er ikke det samme som NIS2-compliance, men et fungerende ledelsessystem for informationssikkerhed er et godt fundament at bygge videre på. Om netop jeres virksomhed er omfattet, bør afklares individuelt, f.eks. via Center for Cybersikkerhed eller Erhvervsstyrelsens vejledning.
Hvilke elementer koster typisk mest?
Et ISO 27001-forløb kan opdeles i faser. Prisfordelingen mellem dem varierer, men det er her, pengene og timerne typisk bliver brugt.
GAP-analyse og modenhedsvurdering
En GAP-analyse sammenholder jeres nuværende praksis med standardens krav og viser, hvad der mangler. Den er relativt overkommelig sammenlignet med resten af forløbet, men har stor værdi, fordi den afgør omfanget af alt det efterfølgende. En god analyse ender i en handlingsplan, ikke blot en rapport.
Risikovurdering og dokumentation
Standarden kræver blandt andet en dokumenteret risikovurdering, en risikobehandlingsplan, en anvendelseserklæring (Statement of Applicability), en informationssikkerhedspolitik og dokumentation for, at kontrollerne faktisk virker. Mange tror, at dokumentation er et spørgsmål om at hente skabeloner. I praksis er det tidskrævende at få indholdet til at passe til virksomhedens virkelighed, og skabeloner, ingen kan genkende i hverdagen, bliver hurtigt et problem til auditten.
Implementering af kontroller
Her kan udgifterne udvikle sig mest. Hvis analysen viser, at I mangler fx multifaktorgodkendelse, logning, formaliseret onboarding og offboarding, leverandørvurderinger eller en testet beredskabsplan, koster det både penge og arbejdstimer at få det på plads. Standarden indeholder 93 kontroller i Annex A i 2022-udgaven, men I skal kun implementere dem, jeres risikovurdering viser er relevante, og I skal kunne begrunde fravalg.
Intern audit, ledelsesgennemgang og ekstern audit
Før certificering skal I have gennemført en intern audit og en ledelsesgennemgang. Derefter følger den eksterne audit hos et certificeringsorgan i to trin: først en gennemgang af dokumentation og parathed, dernæst en vurdering af, om systemet er implementeret og fungerer. Certifikatet gælder i tre år med årlige overvågningsaudits, og derefter skal det recertificeres. Prisen bør derfor ses som en løbende udgift, ikke en engangsregning. Bed altid certificeringsorganet om tilbud for hele treårsperioden og tjek, at det er akkrediteret, i Danmark typisk gennem DANAK.
Skal I gøre det selv, eller hente ekstern hjælp?
Begge dele kan lade sig gøre, men det er to forskellige regnestykker.
Internt forløb giver lavere eksterne udgifter, men kræver en ressource med tid, kendskab til standarden og mandat til at stille krav til resten af organisationen. I mindre virksomheder er det ofte en IT-ansvarlig eller en driftschef, der får opgaven oveni sit normale arbejde. Det er her, forløb trækker ud: Opgaven bliver ved med at blive nedprioriteret, når der er travlt. Den skjulte pris er ejerens og nøglemedarbejdernes tid.
Ekstern hjælp koster mere kontant, men kan forkorte forløbet og mindske risikoen for at skulle lave dokumentation om. En rådgiver kender typiske faldgruber ved auditten og kan sige fra over for overdokumentation. Overvej samtidig, hvem der skal eje systemet bagefter. Det er den samme afvejning, som man møder, når man skal vælge mellem intern eller ekstern projektleder: Ekstern erfaring skal ledsages af intern forankring, ellers falder systemet sammen, når konsulenten går.
En hybridmodel fungerer ofte bedst. Rådgiveren hjælper med analyse, struktur og kvalitetssikring, mens virksomheden selv står for den daglige drift af systemet.
Sådan undgår du forsinkelser og skjulte omkostninger
De fleste budgetoverskridelser kommer ikke fra auditten, men fra forhold, man kunne have set tidligt.
- Få styr på scope tidligt. Et uklart eller for bredt scope fører til ekstra arbejde og risiko for, at kunden alligevel ikke accepterer afgrænsningen.
- Få ledelsen med fra start. Standarden kræver ledelsens engagement. Hvis direktionen først involveres til sidst, kommer der ofte korrektioner og ekstra runder.
- Afsæt interne timer i kalenderen. Det er ikke nok at sige, at nogen skal “tage sig af det”. Planlæg workshops, interviews og møder.
- Medregn teknikken. Hvis analysen viser behov for nye værktøjer eller licenser til logning, enhedsstyring eller backup, skal de med i budgettet fra starten.
- Undgå skabelonfælden. Dokumenter, som ingen følger, vil blive afsløret under auditten og skal genskrives.
- Planlæg efter certificeringen. Overvågningsaudits, intern audit, opdatering af risikovurderinger og træning af medarbejdere er tilbagevendende opgaver. Et årshjul gør dem forudsigelige.
- Sammenlign tilbud ens. Spørg, hvad der er inkluderet, hvor mange auditdage der er regnet med, og hvad ekstra opfølgning koster, hvis der opstår afvigelser.
Hvornår kan det betale sig at inddrage en specialist?
Der er ingen grund til at købe mere rådgivning, end I har brug for. Men en specialist er typisk en god investering, når:
- I har en kundedeadline og ikke tid til at lære standarden fra bunden.
- I ikke har en person internt med erfaring i risikostyring og ledelsessystemer.
- Virksomheden har komplekse IT-miljøer, flere lokationer eller mange underleverandører.
- I tidligere har prøvet og er gået i stå, fordi opgaven aldrig fik den nødvendige prioritet.
Hvis I er i tvivl, er første skridt ikke at bestille en hel certificering, men at få afklaret udgangspunktet. Når I kender jeres GAPs, har en prioriteret handlingsplan og ved, hvor mange interne timer der skal afsættes, kan I indhente sammenlignelige tilbud fra certificeringsorganer og rådgivere. Så er spørgsmålet om prisen ikke længere et gæt, men et konkret budget, som ejeren kan tage stilling til som enhver anden forretningsbeslutning.
