Begroot 90 tot 180 persoonsdagen voor een kleine organisatie, 200 tot 400 voor een middelgrote onderneming, en 450 tot 900 of meer voor een grote of complexe organisatie. Deze bandbreedtes gaan uit van een gemiddeld startvolwassenheidsniveau en een scope met één locatie; een laag volwassenheidsniveau of omgevingen met meerdere locaties drukken u naar het bovenste deel van elke bandbreedte. Voer een op maat gemaakte gereedheidscheck uit voordat u een budgetbedrag vastlegt, en gebruik de onderstaande uitsplitsing om te zien waar die dagen daadwerkelijk naartoe gaan.
Samenvatting:
- Scope en organisatorische volwassenheid beïnvloeden de totale inspanning aanzienlijk; omgevingen met meerdere locaties of gereguleerde gegevens vereisen beduidend meer persoonsdagen.
- Implementatie van beheersmaatregelen en het verzamelen van bewijsmateriaal zijn de meest tijdrovende werkstromen en nemen vaak tot de helft van de totale inspanning in beslag.
- Een gemiddeld eerste ISO 27001-project duurt circa negen maanden, maar de duur op de kalender wordt grotendeels bepaald door het verzamelen van bewijsmateriaal en de beschikbaarheid van verantwoordelijken.
- De interne inspanning bedraagt doorgaans 0,3 tot 0,6 fulltime-equivalenten gedurende het project, waardoor toegewijde eigenaarschap en interne planning essentieel zijn voor succes.
- Het gebruik van tools zoals gereedheidsanalyses en inspanningscalculators helpt om nauwkeurigere en onderbouwde budgetten op te stellen die zijn afgestemd op de omvang en volwassenheid van uw organisatie.
Inhoudsopgave
- Hoeveel persoonsdagen kost ISO 27001 per organisatiegrootte en volwassenheid?
- Waar gaan de ISO 27001-mandagen daadwerkelijk naartoe?
- Hoe lang duurt een ISO 27001-project in de praktijk?
- Zelfbeheerd, hybride of volledig uitbesteed: welk model past bij u?
- Zet deze bandbreedtes om in een concreet getal voor uw organisatie
- Wat laat ISO 27001-budgetten werkelijk mislopen?
- Bronnen
- FAQ
Hoeveel persoonsdagen kost ISO 27001 per organisatiegrootte en volwassenheid?
Het eerlijke antwoord hangt af van twee variabelen die veel meer bepalend zijn dan het aantal medewerkers alleen: hoeveel medewerkers omgaan met informatie-assets, en hoe volwassen uw bestaande beveiligingsmaatregelen al zijn. Een softwarebedrijf met 40 medewerkers, gedocumenteerde toegangscontroles en een bestaand SOC 2-rapport verbruikt aanzienlijk minder persoonsdagen dan een productiebedrijf met 40 medewerkers dat vanaf nul begint.
Drie groottecategorieën dekken de meeste implementaties:
- Kleine organisaties (tot 50 medewerkers): 90 tot 180 persoonsdagen in totaal. Een laag volwassenheidsniveau (geen formeel beleid, ad-hoc toegangsbeheer) zit tegen de 180 aan. Een hoog volwassenheidsniveau (bestaande kaders zoals SOC 2 of een gedocumenteerd beveiligingsprogramma) kan dichter bij 90 uitkomen.
- Middelgrote organisaties (50 tot 250 medewerkers): 200 tot 400 persoonsdagen. In deze categorie is de spreiding het grootst, omdat de scope hier het meest varieert: één afdeling versus het hele bedrijf, één kantoor versus drie.
- Grote organisaties (meer dan 250 medewerkers): 450 tot 900+ persoonsdagen. Organisaties met meerdere locaties, meerdere bedrijfsonderdelen of gereguleerde gegevenstypen (gezondheidsgegevens, betaalkaartgegevens) overschrijden regelmatig de 900 persoonsdagen.
Scope is de vermenigvuldiger die mensen verrast. Een bedrijf met één locatie dat één productlijn certificeert, blijft aan de lage kant van zijn categorie. Voeg een tweede kantoor, een dochteronderneming of een mandaat van de directie om "alles te certificeren" toe, en de ISO 27001-projecttijdlijn rekt dienovereenkomstig op — omdat elke extra locatie doorgaans afzonderlijke risicobeoordelingen, afzonderlijk bewijsverzamelingstraject en afzonderlijke personeelstrainingen vereist.
Volwassenheid is de tweede hefboom. Organisaties met een bestaand kwaliteitsmanagementsysteem, eerdere compliancewerkzaamheden (HIPAA, PCI DSS, SOC 2) of een beveiligingsbewust IT-team ronden het traject regelmatig af aan de onderkant van hun categorie. Organisaties die een informatiebeveiligingsbeheersysteem (ISMS) vanaf nul opbouwen — zonder risicoregister, zonder asset-inventaris en zonder gedocumenteerd incidentproces — dienen te plannen voor het maximum.
Praktijktip: Vergelijk uw organisatie niet met een "gemiddeld bedrijf van vergelijkbare omvang." Een bedrijf met 90 medewerkers en drie internationale kantoren valt qua schatting in de categorie grote organisatie, niet in de categorie middelgroot. Scope, niet het aantal medewerkers, bepaalt in welke categorie u werkelijk thuishoort.
Waar gaan de ISO 27001-mandagen daadwerkelijk naartoe?
De totale inspanning verdeelt zich over acht werkstromen, en de verdeling ziet er zelden uit zoals mensen verwachten. Documentatie heeft de reputatie de meeste tijd te kosten, maar risicobeoordeling en bewijsverzameling vreten doorgaans meer kalendertijd op.
- Planning en scoping (5 tot 10% van het totaal aantal dagen). Het definiëren van de ISMS-grenzen, het aanstellen van een verantwoordelijke en het verkrijgen van betrokkenheid van het management. In handen van de compliance-lead of IT-manager; sterk geconcentreerd in de eerste maand.
- Risicobeoordeling (15 tot 20%). Het identificeren van assets, dreigingen en kwetsbaarheden, gevolgd door het scoren en behandelen van elk risico. Gezamenlijk in handen van IT en compliance; dit is waar onderbemanningde projecten vastlopen.
- Documentatie (15 tot 20%). Beleid, procedures, de Verklaring van Toepasselijkheid en het risicobehandelingsplan. In handen van compliance, maar vereist input van elke afdeling die in een beleidsdocument voorkomt.
- Implementatie van beheersmaatregelen (20 tot 25%). Technische en organisatorische beheersmaatregelen over de 93 maatregelen in Annex A, van toegangsbeheer tot beveiligingsreviews van leveranciers. Dit is de grootste afzonderlijke werkstroom en de werkstroom waarbij IT, HR en facilitair beheer tegelijkertijd betrokken zijn.
- Training en bewustwording (5 tot 8%). Het integreren van ISO 27001-trainingsuren in het onboardingprogramma en het jaarlijks organiseren van opfriscursussen voor bestaand personeel.
- Bewijsverzameling (10 tot 15%). Het verzamelen van logbestanden, schermafbeeldingen en registraties die aantonen dat beheersmaatregelen daadwerkelijk worden uitgevoerd, en niet alleen op papier bestaan.
- Interne audit (5 tot 8%). Een generale repetitie ten opzichte van de norm, bij voorkeur uitgevoerd door iemand buiten het implementatieteam, voordat de certificerende instantie langskomt.
- Directiebeoordeling en herstelmaatregelen (5 tot 10%). Het oplossen van tekortkomingen die de interne audit aan het licht brengt, plus de formele directiebeoordeling die ISO 27001 vereist.
De verborgen tijdvreters bevinden zich in werkstromen vier en zes. Leveranciersbeveiligingsreviews vermenigvuldigen zich snel zodra u alle SaaS-tools met toegang tot klantgegevens begint te tellen, en het opmaken van bewijsmateriaal (ruwe loggegevens omzetten in auditklare documentatie) kost teams consequent meer tijd dan begroot. Een goed gedefinieerd projectplan en een toegewijde interne eigenaar verkorten vrijwel elke bovenstaande werkstroom, aldus de implementatierichtlijnen van ISACA, omdat onduidelijkheid over eigenaarschap de risicobeoordeling en beheersmaatregelenimplementatie halverwege een project doet stagneren.
Hoe lang duurt een ISO 27001-project in de praktijk?
Persoonsdagen en kalendermaanden zijn niet hetzelfde, en het verschil daartussen laat meer budgetten ontsporen dan het aantal dagen zelf. Een basislijn van 9 maanden is realistisch voor een eerste implementatie bij een gemiddeld volwassenheidsniveau, aldus het certificeringstijdlijnonderzoek van Xiligent, en dit wordt globaal vertaald naar drie planningsscenario's:
- Versneld traject (5 tot 6 maanden): Vereist een interne eigenaar die vrijwel fulltime beschikbaar is en bestaand bewijsmateriaal dat hergebruikt kan worden vanuit een eerder kader zoals SOC 2. Komt overeen met het lage einde van het persoonsdagenbereik per groottecategorie.
- Gebruikelijk traject (8 tot 10 maanden): Een parttimeeigenaar die zijn aandacht verdeelt tussen ISO 27001 en andere taken, een gemiddeld startvolwassenheidsniveau en een scope met één locatie.
- Conservatief traject (12 tot 18 maanden): Laag volwassenheidsniveau, scope met meerdere locaties, of een eigenaar die het ISMS combineert met een volledige bestaande functie.
De beperkende factor die de meeste teams onderschatten, is de operationele bewijsperiode. Certificerende instanties willen doorgaans dat het ISMS circa drie maanden operationeel is vóór de Fase 2-audit, aldus het audittijdlijnonderzoek van Konfirmity, zodat dit tijdvenster niet kan worden ingekort door meer mensen in te zetten. De Fase 1- en Fase 2-audits zelf duren slechts een paar dagen: één tot drie dagen voor documentbeoordeling, drie tot zeven dagen voor de implementatieaudit. De kalenderduur wordt bepaald door bewijsaccumulatie en de beschikbaarheid van de eigenaar, niet door de planning van de auditor.
Zelfbeheerd, hybride of volledig uitbesteed: welk model past bij u?
Het leveringsmodel dat u kiest, beïnvloedt het aantal interne persoonsdagen meer dan vrijwel elke andere beslissing in het project.
- Zelfbeheerd (do-it-yourself): Hoogste interne belasting, vaak 150 tot 250 extra interne persoonsdagen bovenop de basisinspanning, aldus de kostenanalyse van Reepa Solutions, omdat uw team elke werkstroom absorbeert zonder externe expertise die de risicobeoordeling of documentatie kan versnellen.
- Hybride (interne eigenaar plus consultants): Circa 80 tot 150 interne dagen plus 20 tot 40 consultantdagen. Consultants nemen doorgaans documentatiesjablonen en auditvoorbereiding over, terwijl uw team verantwoordelijk blijft voor risicobeoordeling en implementatie van beheersmaatregelen — dat vereist namelijk institutionele kennis die geen buitenstaander heeft.
- Volledig uitbesteed: Laagste intern dagenverbruik, maar de hoogste externe kosten. Werkt het beste wanneer interne beveiligingskennis beperkt is en snelheid zwaarder weegt dan de kosten op de lange termijn.
Kies op basis van drie factoren: of u beschikt over interne beveiligingsexpertise, of het budget eerder intern salaris dan consultantfacturen begunstigt, en of het management certificering tegen een vaste datum nodig heeft. Een tool als Segua kan de vergaderoverhead verminderen die persoonsdagenbudgetten onder elk model opeet, met name wanneer risicobeoordeling en beheersmaatregelenimplementatie meerdere afdelingen omspannen.
Zet deze bandbreedtes om in een concreet getal voor uw organisatie
Generieke bandbreedtes brengen u in de goede richting. Een op maat gemaakte schatting levert u een getal op dat u kunt verdedigen tegenover een CFO. De ISO 27001-kostenrekenmachine genereert realtime projecties van persoonsdagen en kosten op basis van uw werkelijke bedrijfsomvang, sector en beveiligingsvolwassenheid, in plaats van een generieke bandbreedte.
- Een volwassenheidsanalyse die meerdere beheersgebieden omvat, om aan te geven welke gebieden uw inspanning kunnen beïnvloeden.
- Tools met aanpasbare projecttijdlijnen om uw persoonsdagenscatting om te zetten in een implementatieplan.
- Functionaliteit om meerdere scenario's op te slaan en te vergelijken, handig om verschillende implementatiebenaderingen af te wegen.
- Exportopties voor rapportages ten behoeve van directie- of budgetpresentaties.
| Startpositie | Beste volgende stap |
|---|---|
| Niet zeker waar u staat qua volwassenheid | Gratis gereedheidscheck van 2 minuten |
| Klaar voor een gedetailleerd budgetbedrag | Volledige kosten- en inspanningsrekenmachine |
| Meer inzicht gewenst in de aannames van het model | Methodologie van het kostenmodel |
Voer eerst de gereedheidscheck uit als u de scope nog bepaalt. Ga naar de volledige rekenmachine zodra u uw groottecategorie en globaal volwassenheidsniveau kent.
Wat laat ISO 27001-budgetten werkelijk mislopen?
De meeste mislukte ISO 27001-tijdlijnen mislopen niet omdat de schatting onjuist was. Ze mislopen omdat de interne persoonsdagen nooit zijn beschermd als echte werkcapaciteit. Teams behandelen het ISMS als iets wat medewerkers "er tussendoor" kunnen doen naast hun eigenlijke werk, en zijn vervolgens verrast wanneer de risicobeoordeling zes weken stilstaat omdat niemand twee aaneengesloten vrije dagen had om die af te ronden.
Twee regels tellen zwaarder dan welk rekenblad ook. Ten eerste: wijs zo vroeg mogelijk een toegewijde ISMS-eigenaar aan — zelfs partime — omdat projecten met een vrijwel fulltime eigenaar die bestaand compliance-bewijsmateriaal hergebruikt, in een fractie van de basislijntijdlijn worden afgerond. Beschikbaarheid, niet het aantal medewerkers, is de grootste versneller waarover iedereen controle heeft. Ten tweede: begroot de interne tijdsbesteding als uw grootste kostenpost, niet als een bijzaak die wordt ingepast rond leveranciersfacturen. De interne inspanning bedraagt in het geval van het mkb regelmatig 0,3 tot 0,6 fte gedurende het certificeringsjaar — een kostenpost die nooit op een factuur verschijnt, maar meer projecten doet mislukken dan welke consultancyfee dan ook.
Voor de komende 30 dagen: bevestig uw scope, stel een eigenaar aan, voer de gereedheidscheck uit en doe een snelle gapanalyse ten opzichte van uw bestaand beleid.
— Martin
Bronnen
- ISACA — Planning for and implementing ISO 27001 (artikel)
- Xiligent — ISO 27001-certificeringstijdlijn gids
- Reepa Solutions — ISO 27001-certificeringskosten analyse
FAQ
Hoeveel persoonsdagen vereist ISO 27001 doorgaans?
Kleine organisaties hebben doorgaans 90 tot 180 persoonsdagen nodig, middelgrote organisaties 200 tot 400, en grote organisaties 450 tot 900 of meer, afhankelijk van scope en startvolwassenheid. Omgevingen met meerdere locaties en gereguleerde gegevenstypen drukken naar het boveneinde van elke bandbreedte.
Wat is de grootste bepalende factor voor ISO 27001-mandagenschattingen?
Scope en startvolwassenheid zijn bepalender dan de bedrijfsomvang. Een bedrijf met één locatie en bestaande compliancekaders (zoals SOC 2) kan het traject afronden aan de onderkant van zijn categorie, terwijl een organisatie met een laag volwassenheidsniveau en meerdere locaties het maximum van de volgende categorie kan overschrijden.
Hoe worden persoonsdagen vertaald naar een projecttijdlijn?
Een basislijn van 9 maanden is realistisch voor een gemiddelde eerste implementatie, maar de operationele bewijsperiode (doorgaans circa drie maanden vóór de Fase 2-audit) bepaalt de kalenderduur vaak meer dan het aantal dagen zelf.
Moet ik consultants inhuren of ISO 27001 intern implementeren?
Zelfbeheerde implementaties vereisen de meeste interne persoonsdagen; hybride modellen combineren ongeveer 80 tot 150 interne dagen met 20 tot 40 consultantdagen; en volledig uitbestede modellen verlagen het aantal interne dagen maar verhogen de externe uitgaven. De juiste keuze hangt af van interne expertise, budget en deadlinedruk.
Welke werkstroom vergt de meeste persoonsdagen?
De implementatie van beheersmaatregelen neemt doorgaans 20 tot 25% van de totale inspanning in beslag — het grootste aandeel — op de voet gevolgd door documentatie en risicobeoordeling met elk 15 tot 20%.