Methodologie
Hoe ISMSCalculator ISO 27001-kosten modelleert
Elke factor, ondergrens, standaardtarief en audittijd-aanname van de rekenmotor staat hier gepubliceerd. Niets zit achter een verkoopgesprek, en er wordt geen ISO-normtekst of -tabel gereproduceerd.
Opgeslagen, gedeelde en geëxporteerde schattingen worden altijd server-side herberekend met deze versie van de rekenmotor — een waarde uit de browser geldt alleen als voorbeeld.
Basisinspanning implementatie (persoonsdagen)
Gemodelleerd- Micro (1–10 medewerkers)
- 5.5 d
- Klein (11–50)
- 25 d
- Middel (51–250)
- 70 d
- Groot (251–1000)
- 180 d
- Onderneming (1000+)
- 400 d
Minimale inspanning (onvermijdbare ISMS-kern)
Gemodelleerd- Micro (1–10 medewerkers)
- 5 d
- Klein (11–50)
- 12 d
- Middel (51–250)
- 30 d
- Groot (251–1000)
- 75 d
- Onderneming (1000+)
- 160 d
Sectorcomplexiteitsfactoren
Gemodelleerd- Financiën & Bankwezen
- ×1.45
- Gezondheidszorg
- ×1.35
- Overheid
- ×1.30
- Technologie
- ×1.05
- Productie
- ×1.22
- Detailhandel & E-commerce
- ×1.10
- Onderwijs
- ×1.08
- Energie & Nutsbedrijven
- ×1.25
- Telecom & Media
- ×1.20
- Verzekering & Juridisch
- ×1.38
- Logistiek & Transport
- ×1.15
- Overige
- ×1.00
Infrastructuurfactoren
Gemodelleerd- Cloud
- ×0.90
- On-Premise
- ×1.15
- Hybride
- ×1.00
Volwassenheidsfactoren (geïnterpoleerd 1–5)
Gemodelleerd- Niveau 1
- ×1.35
- Niveau 2
- ×1.15
- Niveau 3
- ×1.00
- Niveau 4
- ×0.80
- Niveau 5
- ×0.65
Hergebruik van bestaande controleraamwerken
Gemodelleerd- SOC2
- −10%
- GDPR
- −8%
- ISO9001
- −6%
- NIST
- −7%
- PCIDSS
- −5%
- HIPAA
- −6%
- Maximale gecombineerde verlaging
- −30%
Certificeringsaudittijd
ISO-geïnformeerd- Model
- Duur op basis van personeelsomvang, principes van ISO/IEC 27006-1
- Maximale scope-aanpassing
- 30% (wordt nooit overschreden)
- Minimale auditduur
- 3.5 d
- Dagtarief certificatie-instelling (standaard)
- €1,300
- Meerdere locaties
- Steekproef van locaties via vierkantswortel, +1 dag per extra gesteekproefde locatie
Standaard dagtarieven
Standaardaanname- Intern
- €600
- Consultant
- €1,200
Vaste kostenblokken — opleiding
Standaardaanname- Micro (1–10 medewerkers)
- €400
- Klein (11–50)
- €2,000
- Middel (51–250)
- €8,000
- Groot (251–1000)
- €18,000
- Onderneming (1000+)
- €40,000
Vaste kostenblokken — tooling / GRC-software
Standaardaanname- Micro (1–10 medewerkers)
- €500
- Klein (11–50)
- €5,000
- Middel (51–250)
- €20,000
- Groot (251–1000)
- €60,000
- Onderneming (1000+)
- €150,000
Implementatiefasen (aandeel van de inspanning)
Gemodelleerd- Gap-analyse
- 10%
- Risicobeoordeling
- 15%
- Beleidsontwikkeling
- 20%
- Implementatie
- 30%
- Interne audit
- 10%
- Certificeringsaudit
- 15%
Betrouwbaarheidsbanden van de schatting (planningsbandbreedte)
Geschat- Hoog (score ≥ 0.75)
- 88% – 115% van het gemodelleerde totaal
- Gemiddeld (score ≥ 0.5)
- 80% – 125% van het gemodelleerde totaal
- Laag (score ≥ 0)
- 68% – 145% van het gemodelleerde totaal
Scenarioanalyse
Elk scenario, sensitiviteitspunt en 3-jarig overzicht wordt server-side herberekend door dezelfde gezaghebbende engine. Een browsertotaal wordt nooit vertrouwd, en een opgeslagen scenario houdt exact de terugkerende aannames waarmee het is opgeslagen.
Aanpasbare aannames
Door gebruiker opgegevenDeze aannames kunnen per schatting worden overschreven. Een overschrijving vervangt de modelstandaard alleen voor die schatting — de gepubliceerde standaard verandert nooit en een aangepaste waarde is planningsinvoer van de gebruiker, geen gecontroleerd markttarief.
employees · locations · infraType · overallMaturity · mixRatio · internalRate · consultantRate · certBodyDayRate · trainingCost · toolsCost
Kostensensitiviteit
Gemodelleerd- Methode
- Eén variabele per keer, volledige engine-herberekening per punt
- Dagtarief consultant
- ±25%
- Intern dagtarief
- ±25%
- Security-maturity
- ±1
- Locaties in scope
- ±1
- IT-systemen in scope
- ±50%
- Infrastructuurmodel
- alternatives
- Uitvoeringsmodel
- alternatives
- Hergebruik bestaande frameworks
- none / max
3-jarig planningsoverzicht
Standaardaanname- Versie overzichtsmodel
- ISO_TCO_MODEL_1_0
- Interne ISMS-exploitatie (% van de implementatie-inzet in jaar 1 per jaar)
- 25
- Surveillance-reservering (% van de gemodelleerde initiële auditdagen per jaar)
- 33
- Terugkerende tooling (% van de reservering in jaar 1 per jaar)
- 100
- Bewustwording opfrissen (% van de reservering in jaar 1 per jaar)
- 40
- Externe ondersteuning (consultantdagen per jaar)
- 0
- Hercertificering
- Niet opgenomen in het 3-jarige overzicht
- Open methodologische verificatie
- Surveillance-reservering
Een planningsoverzicht over drie jaar, geen weergave van de formele certificeringscyclus. Terugkerende waarden zijn standaardaannames van ISMSCalculator, geen branchegemiddelden.
De surveillance-reservering is gemodelleerd als een deel van de gemodelleerde initiële auditduur. Het is een standaardaanname, geen door ISO vereist of berekend cijfer; de precieze basis in ISO/IEC 27006-1 vraagt nog methodologische verificatie.
Niet opgenomen in dit 3-jarige planningsoverzicht. Hercertificering valt normaal aan het einde van een certificeringscyclus, buiten deze horizon.
Beperkingen
- Modelreferenties zijn geen waargenomen marktgegevens; er worden geen empirische percentielen of slaagcijfers gepubliceerd.
- De betrouwbaarheidsindicator geeft aan hoe organisatiespecifiek uw invoer is; het is geen statistisch betrouwbaarheidsinterval.
- De definitieve audittijd wordt bepaald door uw certificatie-instelling, niet door dit model.
- Surveillance- en hercertificeringscycli vallen buiten de huidige scope van het model.