Reken voor ISO 27001-certificering in 2026 op 10.000 tot 35.000 euro in het eerste jaar voor een mkb-organisatie. Dat bedrag bestaat uit drie delen: de certificerende instelling (7.000 tot 15.000 euro over de driejarige cyclus), je eigen uren, en eventuele begeleiding of software. In dit artikel splitsen we alle kosten uit en laten we zien waar je kunt besparen.
Waar bestaan de kosten uit?
De totale investering valt uiteen in vier posten. Een: de certificerende instelling (CI), die een initiële audit in twee fasen uitvoert (fase 1: documentatiebeoordeling, fase 2: implementatie-audit), gevolgd door jaarlijkse controle-audits en hercertificering na drie jaar. Twee: interne uren, want het inrichten van het ISMS, de risicoanalyse, beleid en de interne audit kosten al snel 200 tot 500 uur verspreid over het traject. Drie: externe hulp, want een consultant rekent doorgaans 10.000 tot 30.000 euro voor volledige begeleiding; software die je door de norm gidst kost een fractie daarvan. Vier: bijkomende kosten zoals een pentest, awareness-training en tooling.
Kostentabel (indicatief, mkb, 2026)
| Kostenpost | Klein (< 25 fte) | Middel (25-100 fte) | Groter (100-250 fte) |
|---|---|---|---|
| Certificerende instelling (3-jaarscyclus) | 7.000-10.000 euro | 9.000-13.000 euro | 12.000-18.000 euro |
| Interne uren (jaar 1) | 200-300 uur | 300-450 uur | 450-700 uur |
| Consultant (optioneel, volledig traject) | 10.000-20.000 euro | 15.000-25.000 euro | 20.000-35.000 euro |
| Software (per jaar) | 1.000-5.000 euro | 2.000-8.000 euro | 5.000-15.000 euro |
| Pentest & training (optioneel) | 2.500-6.000 euro | 4.000-8.000 euro | 6.000-12.000 euro |
Indicatie op basis van marktgemiddelden, geen offerte. Bedragen zijn exclusief btw.
Zelf doen, consultant of software?
De grootste kostenknop is de aanpak. Een consultant neemt werk uit handen maar is de duurste route, en de kennis verdwijnt na het traject. Volledig zelf doen is het goedkoopst op papier, maar zonder normkennis kost het de meeste uren en loop je risico op een afkeuring in fase 1. De middenweg, software die je documentatie beoordeelt en precies laat zien wat er nog mist, combineert lage kosten met behoud van kennis in huis. Een AI-nulmeting vooraf voorkomt bovendien dat je te vroeg of onnodig laat de audit ingaat.
Jaarlijkse kosten na certificering
Na het certificaat betaal je jaarlijks de controle-audit (doorgaans 30 tot 40 procent van de initiële auditprijs) en de uren voor onderhoud: risicoanalyse actualiseren, interne audit, directiebeoordeling. Organisaties die het ISMS in een levend systeem bijhouden in plaats van jaarlijks te reconstrueren, zijn hier structureel goedkoper uit.
Vijf manieren om te besparen
- Kies je scope slim: certificeer wat klanten vragen, niet de hele holding.
- Hergebruik bestaande documentatie via een nulmeting.
- Combineer normen in één audit: ISO 27001 + NEN 7510 of ISO 27701 delen het merendeel van de eisen.
- Vraag offertes bij meerdere certificerende instellingen.
- Vervang consultanturen waar mogelijk door software.
Ter vergelijking: bij Normy kost een volledige audit 349 euro of een abonnement vanaf 129 euro per maand (exclusief btw), en je eerste hoofdstuk is gratis.
Bereken je indicatieve kosten
Indicatie jaar 1
€6.100 – €13.900
+ circa 210–315 interne uren
Per vervolgjaar
€3.200 – €9.800
controle-audit + onderhoud
Indicatie op basis van marktgemiddelden, geen offerte. Bedragen exclusief btw en exclusief je eigen uren.
Start je gratis nulmeting →Ontvang dit als naslag
Sneller en goedkoper dan een consultancytraject
Normy leest je documentatie, beoordeelt elke eis met onderbouwing en bron, en laat zien waar je staat. Je eerste hoofdstuk beoordeel je gratis.
Veelgestelde vragen
Wettelijk meestal niet, maar steeds vaker contractueel: klanten en aanbestedingen eisen het. Voor zorgorganisaties geldt daarnaast NEN 7510.
Zes tot twaalf maanden is gebruikelijk; met een strakke scope en software korter. Zie ons artikel over de doorlooptijd.
Ja, mits je een gids hebt die de norm vertaalt naar jouw situatie. Precies daarvoor is Normy gebouwd.
Bij Normy beoordeel je je eerste hoofdstuk gratis; een volledige nulmeting is één audit (349 euro, exclusief btw).
Gijs Meuleman
Oprichter van Normy
Gijs bouwde Normy vanuit omCode. Na jaren bedrijven te begeleiden bij hun ISO-trajecten, maakte hij de tool die hij zelf had willen hebben: minder papierwerk, meer overzicht.