Cybersecurity · ISO 27001
ISO 27001 voor het mkb: wat kost het, hoe lang duurt het en waar begint u?
Kort antwoord
ISO 27001-certificering duurt voor de meeste mkb-bedrijven 6 tot 12 maanden; met een goede beveiligingsbasis kan het in 3 tot 6 maanden. De kosten bestaan uit de certificatie-audit, uw eigen tijd, eventueel advies en tooling. Marktindicaties voor 2026 noemen voor de initiële audit bij een middelgroot bedrijf ongeveer €8.000 tot €25.000 en voor het totale eerste jaar €20.000 tot €80.000, afhankelijk van omvang en scope. Het certificaat is drie jaar geldig, met jaarlijkse surveillance-audits. Certificeer altijd tegen de versie ISO/IEC 27001:2022: certificaten op basis van de 2013-versie zijn per 31 oktober 2025 verlopen.
Waarom kiezen mkb-bedrijven voor ISO 27001?
- Klanten vragen erom: steeds meer inkopers stellen het als voorwaarde, zeker sinds de Cyberbeveiligingswet hen verplicht hun leveranciers te beoordelen.
- Minder vragenlijsten: een certificaat beantwoordt een groot deel van de beveiligingsvragen in één keer.
- Overlap met NIS2: een werkend ISMS dekt een groot deel van de zorgplicht uit de Cyberbeveiligingswet.
- Grip: u weet welke risico's u loopt en wat u eraan doet, in plaats van te hopen dat het goed gaat.
Waar zitten de kosten?
| Post | Toelichting | Indicatie (markt, 2026) |
|---|---|---|
| Certificatie-audit (fase 1 en 2) | Door een geaccrediteerde certificatie-instelling; prijs hangt af van het aantal auditdagen | Ca. €8.000–€25.000 voor middelgrote bedrijven; kleiner bij een klein bedrijf |
| Surveillance-audits | Jaar 1 en 2 na certificering | Ca. €4.000–€12.000 per jaar |
| Hercertificering | Na drie jaar | Hoger dan een surveillance-audit |
| Interne tijd | Risicoanalyse, beleid, maatregelen, interne audit, directiebeoordeling | Vaak de grootste, onzichtbare post |
| Advies en tooling | Gap-analyse, begeleiding, ISMS-software | Optioneel; spaart vooral tijd |
De scope bepaalt de kosten het meest. Een strak afgebakende scope, bijvoorbeeld alleen uw dienstverlening en de systemen die daarvoor nodig zijn, is goedkoper en sneller dan "het hele bedrijf".
Het traject in zes stappen
- Scope en context: welke diensten, locaties en systemen vallen eronder? Wie zijn belanghebbenden en wat verwachten ze?
- Risicoanalyse: breng informatie, systemen en dreigingen in kaart en bepaal welke risico's u behandelt.
- Maatregelen kiezen: loop de 93 beheersmaatregelen uit bijlage A na en leg in de verklaring van toepasselijkheid (SoA) vast welke u toepast en waarom.
- Invoeren en vastleggen: beleid, procedures en vooral het echte werk, zoals MFA, back-ups, toegangsbeheer, leveranciersbeheer en bewustwording.
- Interne audit en directiebeoordeling: verplicht vóór de externe audit.
- Certificatie-audit: fase 1 beoordeelt de documentatie, fase 2 controleert of u doet wat u hebt opgeschreven.
Veelgemaakte fouten
- Papier zonder praktijk: mooie beleidsdocumenten die niemand volgt. Auditors vragen om bewijs.
- Een te grote scope bij de eerste certificering.
- Alles uitbesteden: een adviseur kan helpen, maar het ISMS moet van uw organisatie zijn.
- Na het certificaat stoppen: zonder onderhoud wordt elke surveillance-audit een spoedklus.
Eerste stappen voor deze maand
- Bepaal waarom u certificeert en voor welke klanten of diensten
- Wijs één eigenaar aan voor het ISMS
- Doe een gap-analyse tegen ISO 27001:2022
- Regel de basis die toch al nodig is: MFA, geteste back-ups, updates en e-mailbeveiliging met SPF, DKIM en DMARC
- Vraag twee à drie offertes aan bij geaccrediteerde certificatie-instellingen en vraag naar hun planning voor fase 2
Bedragen zijn marktindicaties en afhankelijk van omvang, scope en certificatie-instelling. Laatst bijgewerkt: 7 november 2026.
Veelgestelde vragen
Hoe lang duurt ISO 27001-certificering voor een mkb-bedrijf?
Voor de meeste organisaties 6 tot 12 maanden. Met een goede bestaande beveiligingsbasis en een beperkte scope is 3 tot 6 maanden haalbaar.
Wat kost ISO 27001-certificering?
De kosten bestaan uit de certificatie-audit, surveillance-audits, interne tijd en eventueel advies en tooling. Marktindicaties voor 2026 noemen voor de initiële audit bij een middelgroot bedrijf ongeveer €8.000 tot €25.000 en voor het totale eerste jaar €20.000 tot €80.000.
Hoe lang is een ISO 27001-certificaat geldig?
Drie jaar, met in het eerste en tweede jaar een surveillance-audit en daarna een hercertificeringsaudit.
Welke versie van ISO 27001 moet ik gebruiken?
ISO/IEC 27001:2022. Certificaten op basis van de 2013-versie zijn per 31 oktober 2025 verlopen.
Voldoe ik met ISO 27001 aan de Cyberbeveiligingswet?
Een werkend ISMS volgens ISO 27001 dekt een groot deel van de zorgplicht, maar niet alles. De registratie- en meldplicht uit de Cyberbeveiligingswet moet u apart regelen.