Was ein ISMS kostet, lässt sich nicht mit einer Pauschalzahl beantworten, und Angaben ohne Bezug zu Ihrem Unternehmen helfen bei der Budgetierung wenig. Die Gesamtkosten setzen sich aus wenigen, gut abgrenzbaren Blöcken zusammen: interne Arbeitszeit, externe Unterstützung, Werkzeug, die Umsetzung der Massnahmen, bei Bedarf eine Zertifizierung und der laufende Betrieb. Dieser Leitfaden erklärt jeden Block, zeigt, wovon die Höhe abhängt, und wie Sie die Kosten für Ihr Unternehmen selbst abschätzen.

Warum die Spannweite so gross ist

Ein ISMS wird einmal aufgebaut und danach dauerhaft betrieben: ein Managementsystem, das Verantwortlichkeiten, Risiken, Massnahmen und Nachweise zusammenführt und laufend nachgeführt wird. Wie teuer das wird, bestimmen vor allem diese Faktoren:

• Geltungsbereich: Ein Standort mit überschaubarer IT ist schneller erfasst als mehrere Standorte, Fachbereiche und Dienstleister.
• Ausgangslage: Ein Unternehmen mit guter technischer Basis investiert vor allem in Struktur und Nachweise. Eines mit deutlichen Lücken muss zusätzlich in Verbesserungen investieren.
• Ziel: Transparenz über den eigenen Stand braucht weniger Tiefe als die Vorbereitung auf eine ISO-27001-Zertifizierung.
• Umfeld: Regulatorische Vorgaben, Kundenanforderungen und formale Freigabewege erhöhen den Nachweisaufwand.
• Arbeitsweise: Wie viel intern erledigt wird, wie viel extern eingekauft wird, und ob Bewertungen, Massnahmen und Risiken an einem Ort oder in verstreuten Dateien geführt werden.

Den Ausschlag gibt häufig die Komplexität der Organisation: Viele Ausnahmen, Sonderregeln und manuelle Kontrollschritte verursachen dauerhaft Aufwand.

Die Kostenblöcke im Überblick

Kostenblock	Einmalig oder laufend	Wovon die Höhe abhängt
Bestandsaufnahme und Gap-Analyse	Einmalig, danach periodisch wiederholt	Geltungsbereich, gewählter Standard, intern oder extern moderiert
Dokumentation und Nachweise	Aufbau einmalig, Pflege laufend	Anzahl Richtlinien und Prozesse, Ablage, Versionierung
Umsetzung der Massnahmen	Projektbezogen	Grösse der Lücken, angestrebtes Sicherheitsniveau
Laufender Betrieb	Laufend	Taktung der Reviews, Anzahl Beteiligter, Änderungsrate
Werkzeug	Laufend	Lizenzmodell, Anzahl Module oder Standards
Externe Unterstützung	Punktuell oder laufend	Anteil der Arbeit, die extern erledigt wird
Zertifizierung	Nur wenn angestrebt, wiederkehrend	Zertifizierungsstelle, Geltungsbereich

Bestandsaufnahme und Gap-Analyse

Am Anfang steht die Frage, wo Sie heute stehen. Dazu gehört ein Assessment gegen einen Standard oder eine Mindestanforderung, die Einschätzung des Reifegrads und die Liste der Lücken. Ohne diesen Schritt lassen sich weder Prioritäten noch Budgets begründen.

Die Kosten bestehen vor allem aus Arbeitszeit: Fachleute aus IT, HR, Finanzen und den Fachbereichen beantworten Fragen und suchen Nachweise zusammen. Wird ein Berater beigezogen, kommen Moderations- und Auswertungstage dazu. Teuer wird diese Phase, wenn Informationen aus vielen Quellen gesammelt und die Ergebnisse danach von Hand in weitere Dokumente übertragen werden.

Den Umfang können Sie mit der Wahl des Standards steuern. Ein kompakter Einstieg wie der Cyber Security Basis Check zeigt die wichtigsten Lücken mit wenig Aufwand. Eine Bewertung gegen ISO 27001 ist deutlich umfangreicher und lohnt sich, wenn formale Nachweise gefragt sind. Die Entscheidung zwischen beiden Wegen behandelt der Leitfaden ISO 27001 oder Basis Check.

Dokumentation und Nachweise

Ein ISMS braucht nachvollziehbare Unterlagen: Richtlinien, Prozesse, Verantwortlichkeiten, Risikobetrachtungen, Massnahmenpläne und Umsetzungsnachweise. Das Erstellen ist der kleinere Teil. Den grösseren Aufwand verursacht die Pflege: Versionen laufen auseinander, Nachweise liegen in Ordnern, Tabellen und E-Mails, und vor jeder Prüfung muss jemand den aktuellen Stand rekonstruieren. Rückfragen von Geschäftsleitung, Revision oder Kunden, die niemand eingeplant hat, kosten zusätzlich Zeit.

Sparen lässt sich hier, indem Sie mit einer Mindestdokumentation beginnen, die mit der Organisation wächst, und Nachweise direkt bei der Anforderung ablegen, auf die sie sich beziehen.

Umsetzung der Massnahmen

Der grösste Posten liegt oft ausserhalb des ISMS selbst. Zeigt die Analyse, dass Backups getestet, Zugriffsrechte bereinigt, Mehrfaktor-Authentisierung eingeführt, Lieferanten geprüft oder Mitarbeitende geschult werden müssen, fallen Kosten für Technik, Dienstleister und Arbeitszeit an. Diese Massnahmen sind fachlich sinnvoll, werden in frühen Kalkulationen aber häufig vergessen.

Trennen Sie deshalb das Budget für das System vom Budget für die Massnahmen. Das ISMS macht sichtbar, was verbessert werden muss. Wie viel die Verbesserungen kosten, hängt vom Sicherheitsniveau ab, das Sie erreichen wollen, und davon, wie gross die Lücken sind. Ein priorisierter Massnahmenplan erlaubt es, diese Kosten über mehrere Perioden zu verteilen.

Laufender Betrieb

Ein ISMS wirkt nur, wenn es aktuell bleibt. Risiken, Systeme und Zuständigkeiten ändern sich. Zum laufenden Aufwand gehören:

• regelmässige Sitzungen des Kernteams zu offenen Massnahmen und neuen Risiken
• Berichte an die Geschäftsleitung
• die periodische Wiederholung der Bewertung, typischerweise jährlich
• Überprüfung von Zugriffsrechten, Lieferanten und Notfallplänen
• Schulungen und Sensibilisierung

Hier zeigt sich, ob das System tragfähig aufgesetzt wurde. Muss jede Änderung in mehreren Dateien nachgeführt werden, werden aus kleinen Anpassungen teure Routinearbeiten.

Werkzeug

Dazu zählen Lizenzen für eine ISMS-Software oder eine Assessment-Plattform. Die Lizenz ist meist ein überschaubarer Teil der Gesamtkosten. Bei der Auswahl zählt deshalb vor allem, wie viel interne Arbeit das Werkzeug einspart: ob Bewertungen strukturiert erfasst, Lücken ausgewertet, Massnahmen mit Fristen verfolgt und Berichte ohne Handarbeit erstellt werden. Eine Tabellenkalkulation kostet keine Lizenz, verursacht aber Aufwand beim Abgleichen, Nachführen und Berichten. Wann sich der Wechsel lohnt, behandelt der Leitfaden ISMS-Software oder Excel.

Externe Unterstützung

Externe Fachleute sind sinnvoll für Spezialfragen, für eine unabhängige Beurteilung, für die Moderation des ersten Assessments oder für die Vorbereitung eines Audits. Teuer wird es, wenn die laufende Steuerung dauerhaft extern liegt und das Wissen nach Projektende mit dem Berater geht. Wägen Sie ab, welche Teile Sie einkaufen und welche intern bleiben sollen. Die Abwägung beschreibt der Leitfaden ISMS-Software oder Beratungsprojekt.

Zertifizierung

Eine Zertifizierung nach ISO 27001 ist ein eigener Kostenblock. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus, deren Audits separat bezahlt werden und sich in den Folgejahren wiederholen. Dazu kommt der interne Aufwand für die Vorbereitung. Nicht jedes Unternehmen braucht ein Zertifikat. Oft genügt es, zuerst Transparenz über Reifegrad, Lücken und Risiken zu schaffen und die Zertifizierung später anzugehen, wenn Kunden oder Ausschreibungen sie verlangen.

Der grösste Kostentreiber ist oft Reibung

Viele Entscheider schauen zuerst auf Lizenz- oder Beratungspreise. Der grössere Hebel liegt häufig in der eigenen Arbeitsweise. Typische Zeitfresser sind:

• Abstimmungen per E-Mail, weil niemand den aktuellen Stand kennt
• Ergebnisse eines Assessments, die von Hand in Massnahmenlisten und Risikoregister übertragen werden
• Doppelerfassung, weil dieselbe Frage für jeden Kundenfragebogen neu beantwortet wird
• Berichte für die Geschäftsleitung, die jedes Mal aus Einzeldateien zusammengesetzt werden
• Nachweise, die vor jeder Prüfung gesucht werden müssen

Diese Kosten erscheinen auf keiner Rechnung, binden aber Ihre knappsten Leute. Wer sie reduziert, senkt die Gesamtkosten oft stärker als mit einem günstigeren Werkzeug.

So schätzen Sie die Kosten selbst

Eine belastbare Schätzung entsteht in wenigen Schritten:

1. Ziel und Geltungsbereich festlegen. Transparenz, Kundennachweis oder Zertifizierung? Welche Prozesse, Systeme und Standorte gehören zum ersten Durchgang?
2. Standard wählen. Er bestimmt den Umfang des Assessments und damit den Aufwand der ersten Phase.
3. Eine erste Bewertung durchführen. Erst die Lücken zeigen, wie gross der Block «Massnahmen» wird. Ein kompakter Einstieg liefert diese Grundlage, bevor Sie grössere Budgets binden.
4. Interne Zeit schätzen. Rechnen Sie je Rolle (Geschäftsleitung, ISMS-Koordination, IT, Fachbereiche) in Personentagen für den Aufbau und pro Jahr für den Betrieb.
5. Massnahmen grob bepreisen. Für jede priorisierte Massnahme: interne Arbeit, Beschaffung, Dienstleister. Was nicht ins erste Jahr passt, landet als Risiko im Register und im Plan für später.
6. Externe Angebote einholen. Für die Teile, die Sie bewusst einkaufen, etwa Moderation, Spezialprüfungen oder Zertifizierungsaudit.
7. Werkzeugkosten ergänzen. Aus den Preislisten der Anbieter, im Verhältnis zur eingesparten internen Zeit.

Das Ergebnis ist eine Rechnung in zwei Teilen: einmaliger Aufbau und jährlicher Betrieb, getrennt nach Systemkosten und Massnahmenbudget.

Wie Sie die Kosten beherrschbar halten

• Klein anfangen, aber strukturiert. Ein klar abgegrenzter Geltungsbereich und ein passender Standard sind günstiger als ein überdimensioniertes Zielbild.
• Zuerst Transparenz, dann Tiefe. Nicht jedes Unternehmen muss sofort zertifizierungsreif sein.
• Nach Risiko priorisieren. Massnahmen, die das Risiko deutlich senken und wenig kosten, kommen zuerst. Grosse Vorhaben werden geplant und bis dahin als Risiko geführt.
• Wiederverwenden. Eine Bewertung, die im Folgejahr als Grundlage dient, kostet beim zweiten Mal deutlich weniger Zeit als ein Neubeginn.
• Beratung gezielt einsetzen. Für Spezialfragen und unabhängige Prüfungen, während die laufende Steuerung intern bleibt.

Was es kostet, kein ISMS zu haben

Fehlende Nachweise, unklare Verantwortlichkeiten und eine lückenhafte Risikosteuerung erzeugen keine sichtbare Rechnung. Sie kosten aber Zeit, sobald ein Kunde einen Fragebogen schickt, die Versicherung Nachweise verlangt, ein Lieferantenaudit ansteht oder ein Vorfall passiert. Ohne Grundlage wird jede dieser Situationen zum Einzelprojekt unter Zeitdruck. Mit einem geführten ISMS belegen Sie Ihren Stand schneller, priorisieren Massnahmen begründet und bereiten Entscheide der Geschäftsleitung vor, bevor der Druck da ist.

Ob sich die Investition lohnt, hängt davon ab, wie konsequent das ISMS in die Steuerung eingebunden ist. Ein System, das nur für ein Audit aufgebaut und danach nicht mehr gepflegt wird, verursacht Kosten ohne dauerhaften Nutzen.

Typische Fehler bei der Kalkulation

• Nur die Lizenz oder die Beratung budgetieren und die interne Arbeitszeit vergessen
• Das Massnahmenbudget nicht vom Systembudget trennen
• Den laufenden Betrieb nicht einrechnen und das ISMS als einmaliges Projekt planen
• Die Zertifizierung einplanen, bevor klar ist, ob Kunden oder Vorgaben sie verlangen
• Mit dem grössten Standard beginnen, obwohl zuerst ein Überblick gefragt ist

Die Kosten bei SCMC

In SCMC abonnieren Sie jedes Assessment als eigenes Modul, monatlich oder jährlich. Zum Abonnement gehören die Zusammenarbeit im Team, Nachweise und Export. Damit sind mehrere Blöcke dieses Leitfadens abgedeckt: Sie bewerten IST und SOLL je Frage, erfassen Massnahmen mit Frist, Verantwortlichen und Validierung, verfolgen sie mit E-Mail-Erinnerungen und «Meine Aufgaben» und bewerten Risiken mit Restrisiko. Berichte entstehen als bearbeitbare Word-Dokumente, und fürs nächste Jahr duplizieren Sie eine Bewertung mit allen Antworten, Massnahmen und Risiken. Die aktuellen Konditionen finden Sie auf der Seite Preise.

Wie Sie ein ISMS Schritt für Schritt aufbauen, beschreibt der Leitfaden ISMS für Schweizer KMU.