Na kratko
Cena ISO 27001 ni ena številka. Skupni strošek sestavljajo uvedba sistema, certifikacijska presoja z letnimi nadzornimi presojami, notranji čas vaše ekipe in vzdrževanje. Največ vplivajo velikost in obseg certifikacije, kompleksnost ter trenutna zrelost organizacije.
Kaj dejansko pomeni “cena ISO 27001”?
Pri ISO 27001 ne plačate samo “certifikata”. Skupni strošek običajno sestavljajo: implementacija sistema, certifikacijska presoja, notranji čas ekipe, odprava vrzeli in nato še letne nadzorne presoje ter stalno vzdrževanje sistema.
Certifikacijski organi cene praviloma določijo individualno glede na velikost, obseg, kompleksnost in trenutno stopnjo pripravljenosti.
Največja napaka v praksi: podjetje primerja samo ceno certifikacijske presoje, ne pa celotnega stroška priprave, dokazljivosti in vzdrževanja.
Kaj sestavlja strošek ISO 27001
Skupni strošek je običajno sestavljen iz več ločenih postavk. To je razlog, da dve ponudbi za “ISO 27001” pogosto nista primerljivi.
1. Implementacija
- analiza trenutnega stanja in vrzeli,
- določitev obsega SUVI,
- ocena tveganj in plan ukrepov,
- politike, procedure in registri,
- priprava na notranjo presojo in vodstveni pregled.
2. Certifikacijska presoja
- presoja 1. stopnje,
- presoja 2. stopnje,
- izdaja certifikata,
- letne nadzorne presoje,
- recertifikacija po izteku cikla.
3. Notranji strošek organizacije
- čas vodstva, IT in procesnih lastnikov,
- ure za delavnice, potrjevanje in pregled dokumentacije,
- zbiranje dokazil in usklajevanje procesov,
- odprava ugotovljenih pomanjkljivosti.
4. Stalno vzdrževanje
- vodenje registra tveganj,
- posodabljanje dokumentacije,
- notranje presoje,
- upravljanje incidentov, sprememb in dobaviteljev,
- dokazljivost za naslednje presoje.
Kaj najbolj vpliva na ceno
Cena ISO 27001 ni odvisna samo od standarda, ampak predvsem od dejanskega obsega in stanja organizacije.
Velikost organizacije
Več zaposlenih, več procesov in več lokacij običajno pomeni več dni presoje in več dela pri implementaciji.
Obseg certifikacije
Ali certificirate eno funkcijo, eno lokacijo ali celotno podjetje? Ožji obseg lahko zniža začetni strošek.
Kompleksnost
Več sistemov, več zunanjih izvajalcev, več regulative in večja odvisnost od IT običajno pomenijo večji strošek.
Trenutna zrelost
Če že imate urejene politike, evidence in upravljanje tveganj, je projekt praviloma hitrejši in cenejši.
Ali kupujete samo presojo ali tudi pomoč
Če potrebujete zunanjo podporo za implementacijo, notranje presoje in pripravo dokazil, je skupni projekt širši.
Hitrost izvedbe
Hitrejši projekt pogosto pomeni večjo intenzivnost dela, večjo porabo notranjih resursov in včasih tudi višji strošek.
Zakaj ena “cena ISO 27001” ne obstaja
Certifikacijski organi in izvajalci praviloma pripravljajo ponudbe glede na konkretno organizacijo, ne po enotnem javnem ceniku.
Kar certifikacijski organ upošteva
- število zaposlenih,
- število lokacij,
- obseg certifikacije,
- kompleksnost procesov,
- ali gre za prvo certifikacijo, prenos ali recertifikacijo.
Kar določa strošek implementacije
- koliko je že urejeno,
- koliko dokumentacije manjka,
- kako zrela je ocena tveganj,
- koliko dela bo na procesih in dokazilih,
- koliko notranjega časa lahko zagotovi naročnik.
Pozor pri primerjavi ponudb: ena ponudba lahko zajema samo pripravo dokumentacije, druga pa tudi analizo vrzeli, delavnice, pripravo na presojo, notranjo presojo in podporo vodstvu. Nista primerljivi, tudi če obe nosita naslov “ISO 27001”.
Koliko časa traja in zakaj je to pomembno za ceno
Časovnica vpliva na strošek skoraj enako kot sam obseg. Manjša podjetja lahko sistem vzpostavijo hitreje, večje ali kompleksnejše organizacije pa potrebujejo daljše obdobje usklajevanja in dokazovanja.
Hiter projekt
Primeren za organizacije, ki že imajo veliko elementov urejenih in želijo formalizacijo ter pripravo na certifikacijo.
Srednji projekt
Najpogostejši primer: treba je urediti dokumentacijo, tveganja, procese, odgovornosti in pripravo vodstva na presojo.
Kompleksen projekt
Več lokacij, več deležnikov, večja regulativa ali potreba po povezavi z ZInfV-1, GDPR in dobaviteljsko verigo pomenijo daljši in dražji projekt.
Praktično: če organizacija odlaša, strošek običajno ne pade. Pogosto se poveča, ker je treba projekt izvesti hitreje, z več usklajevanja in pod večjim pritiskom.
Najpogostejše napačne predstave o ceni ISO 27001
Večina napačnih odločitev nastane zato, ker podjetje optimizira napačno številko.
Napačna logika
- gledamo samo ceno certifikacijske presoje,
- kupimo samo dokumentacijo,
- predpostavimo, da bo ekipa sama “nekako uredila”,
- ne ocenimo notranjega stroška časa,
- ne planiramo vzdrževanja po izdaji certifikata.
Pravilna logika
- ocenimo celoten strošek projekta,
- določimo realen obseg,
- ločimo implementacijo od certifikacije,
- vnaprej določimo notranje lastnike nalog,
- že od začetka gradimo tudi dokazljivost za stalno vzdrževanje.
Kako Regulus Ai pomaga znižati skupni strošek
Ne znižujemo nujno samo “cene na ponudbi”, ampak predvsem zmanjšamo nepotrebno porabo časa, popravljanja in improvizacije. Kako poteka projekt v petih fazah, opisujemo na strani Uvedba ISO 27001.
1. Obseg določimo pravilno
Preširok obseg poveča strošek. Preslab obseg pa lahko ustvari navidezno poceni projekt, ki ni uporaben za realne potrebe podjetja.
2. Najprej naredimo analizo vrzeli
S tem se izognemo temu, da bi dokumentacijo pisali na slepo ali popravljali gradiva za presojo tik pred njo.
3. Gradimo sistem, ne samo papirjev
Cenejši začetni projekt je pogosto dražji na koncu, če ni dokazljiv, uporaben in vzdržen po izdaji certifikata.
4. Povežemo ISO 27001 z drugimi zahtevami
Če imate tudi ZInfV-1, NIS2, GDPR ali zahteve kupcev, je smiselno enkrat graditi pravilno, ne večkrat parcialno.
Najboljši projekt ni najcenejša ponudba, ampak najnižji skupni strošek do uporabnega in vzdržnega sistema.
Dogovorite uvodni posvetPogosta vprašanja o ceni ISO 27001
Ali obstaja fiksna cena za ISO 27001?
Ne. Cena je odvisna od velikosti organizacije, obsega certifikacije, kompleksnosti, števila lokacij in trenutne stopnje pripravljenosti.
Ali je cena certifikacije isto kot cena celotnega projekta?
Ne. Certifikacijska presoja je samo en del skupnega stroška. Poleg njega so običajno še stroški implementacije, notranjih resursov, odprave vrzeli in letnega vzdrževanja.
Kaj najbolj podraži projekt?
Najpogosteje: preširok obseg, prepozno ukrepanje, nejasne odgovornosti, slaba notranja priprava in popravljanje sistema tik pred presojo.
Ali lahko znižamo strošek tako, da izberemo manjši obseg?
Da, vendar samo, če je obseg še vedno poslovno smiseln. Preozek obseg lahko zmanjša začetni strošek, a hkrati zmanjša uporabnost certifikata.
Ali je ISO 27001 enkraten strošek?
Ne. Po prvi certifikaciji običajno sledijo letne nadzorne presoje in nato recertifikacija, zato je treba planirati tudi strošek stalnega vzdrževanja sistema.
Koliko časa običajno traja projekt?
Odvisno od velikosti in pripravljenosti organizacije. Pri manjših organizacijah je lahko nekaj mesecev, pri večjih in kompleksnejših pa bistveno dlje.
Ali Regulus Ai pripravi tudi okvirno oceno stroška?
Da. Po kratkem uvodnem posvetu lahko pripravimo okvirno oceno obsega projekta, največjih stroškovnih postavk in najbolj smiselne poti do certifikacije.
Viri
- ISO/IEC 27001:2022 – Information security management systems – Requirements (ISO)
- URSIV – Pojasnila k ZInfV-1, različica 1.4 (januar 2026)
Objavljeno: · Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Ne primerjajte samo cene certifikata
Regulus Ai vam pomaga oceniti celoten strošek ISO 27001: obseg, implementacijo, dokazila, notranje resurse in pripravo na certifikacijo.