Wat kost een ISO 27001-certificering in België? Er bestaat geen catalogusprijs, want de factuur hangt af van het aantal personen in scope, de maturiteit van uw beveiliging en de reden waarom u zich laat certificeren (een klantvraag, een aanbesteding of NIS2). Wat wel kan: het budget opsplitsen in zijn echte kostenposten en die vergelijken met indicatieve marktprijzen. Deze gids doet dat voor 2026, per organisatiegrootte, en behandelt de terugkerende kosten over de certificaatcyclus van drie jaar, de doorlooptijd, wat de kosten doet stijgen of dalen en wat NIS2 verandert voor Belgische organisaties.
Kernpunten
- Indicatief extern budget voor jaar 1: ongeveer €18.000 tot €50.000 onder 50 medewerkers, €40.000 tot €110.000 bij 50 tot 250 medewerkers, €90.000 of meer boven 250. Daar komt de interne tijd bij.
- De audit van de certificatie-instelling is zelden de grootste post: begeleiding, interne inzet en technische inhaalbewegingen wegen meestal zwaarder.
- Certificering is een cyclus van drie jaar: fase 1 en fase 2 in jaar 1, toezichtsaudits in jaar 2 en 3, daarna hercertificering.
- Gebruikelijke doorlooptijd: 6 tot 12 maanden van gap-analyse tot certificaat.
- In België is ISO 27001 een van de twee door het CCB erkende NIS2-conformiteitsroutes, naast CyberFundamentals (CyFun), wat u een tweede beoordeling kan besparen.
Waaruit bestaan de kosten van een ISO 27001-certificering?
De kosten van een ISO 27001-certificering zijn de som van negen posten. Slechts een daarvan, de audit van de certificatie-instelling, is een vast extern tarief; de andere hangen af van uw scope en uw vertrekpunt.
- Interne inzet. Iemand moet eigenaar zijn van het ISMS, en directie, IT, HR en operations moeten bijdragen aan de risicoanalyse, het beleid en het bewijs. Voor een kmo gaat het vaak om 300 tot 600 uur over het project. Het is de kost die het vaakst vergeten wordt.
- Begeleiding bij de implementatie (advies). Gap-analyse, scopebepaling, risicomethode, verklaring van toepasselijkheid, beleid en auditvoorbereiding. U kunt een volledige implementatie inkopen of enkel gerichte hulp. Zie onze gids voor de ISO 27001 gap-analyse.
- Tools (optioneel). Veel kmo’s laten hun ISMS draaien met documenten en de samenwerkingstools die ze al hebben. ISMS- of GRC-platformen besparen tijd bij het verzamelen van bewijs, maar voegen een jaarabonnement toe.
- Audit door de certificatie-instelling (fase 1 en fase 2). Gefactureerd per auditordag door een instelling die geaccrediteerd is volgens ISO/IEC 17021-1 en ISO/IEC 27006-1. Het aantal dagen hangt vooral af van het aantal personen in scope en de complexiteit van het ISMS. Fase 1 controleert de gereedheid en documentatie; fase 2 test de implementatie. Meer in onze gids over ISMS en de ISO 27001-audit.
- Toezichtsaudits (jaar 2 en 3). Kortere audits op een steekproef van clausules en maatregelen, minstens één keer per kalenderjaar.
- Hercertificatieaudit (jaar 3). Een volledige beoordeling vóór het certificaat van drie jaar verloopt, met een prijs die dicht bij de initiële audit ligt.
- Interne audit. Clausule 9.2 vereist een onpartijdig intern auditprogramma over de volledige scope vóór fase 2, en daarna elk jaar. Is niemand intern gekwalificeerd en onafhankelijk, dan besteedt u die uit.
- Opleiding en bewustmaking. Clausule 7.3 en maatregel A.6.3 vereisen bewustmaking van het personeel, en clausule 7.2 competentie voor sleutelrollen.
- Pentest en kwetsbaarheidsscans, als uw risicobehandeling erom vraagt. ISO 27001 vereist beheer van technische kwetsbaarheden (A.8.8), geen pentest als dusdanig. Een pentest komt in het budget wanneer uw risicoanalyse, een klant of een toezichthouder erom vraagt. Zie pentest kosten in België en kwetsbaarheidsscan of penetratietest.
Achter die negen posten schuilt nog een tiende: technische inhaalbewegingen. Brengt de gap-analyse ontbrekende MFA, nooit geteste back-ups, geen centrale logging of onbeheerde endpoints aan het licht, dan hoort het herstel daarvan bij de echte projectkost, ook al is het geen „ISO 27001-kost”.
ISO 27001 kosten in België per organisatiegrootte (2026)
De tabel hieronder geeft indicatieve marktprijzen voor België en de Benelux in 2026, exclusief btw. Ze zijn samengesteld uit publieke prijsgidsen van certificatie-instellingen, adviesbureaus en softwareleveranciers, getoetst aan de logica van auditdagen uit ISO/IEC 27006-1. Het zijn geen offertes: gebruik ze om een budget te ramen en offertes kritisch te bekijken, en vraag daarna voorstellen op basis van uw werkelijke scope.
| Kostenpost | Minder dan 50 medewerkers | 50 tot 250 medewerkers | Meer dan 250 medewerkers |
|---|---|---|---|
| Gap-analyse + begeleiding bij de implementatie (advies) | €10.000 tot €30.000 | €25.000 tot €60.000 | €50.000 tot €120.000+ |
| Certificatieaudit, fase 1 + fase 2 (jaar 1) | €5.000 tot €12.000 | €10.000 tot €25.000 | €20.000 tot €45.000+ |
| Toezichtsaudit, per jaar (jaar 2 en 3) | €3.000 tot €6.000 | €5.000 tot €12.000 | €10.000 tot €20.000 |
| Hercertificatieaudit (einde jaar 3) | €4.000 tot €10.000 | €8.000 tot €20.000 | €15.000 tot €35.000 |
| Interne audit, indien uitbesteed (per jaar) | €2.500 tot €5.000 | €4.000 tot €8.000 | €8.000 tot €15.000 |
| Bewustmakingstraining (per jaar) | €1.000 tot €3.000 | €2.000 tot €5.000 | €5.000 tot €15.000 |
| ISMS-/GRC-tool (optioneel, per jaar) | €0 tot €6.000 | €2.000 tot €15.000 | €10.000 tot €30.000 |
| Interne inzet (niet gefactureerd) | Ongeveer 300 tot 600 uur over het project | Ongeveer 0,5 tot 1 VTE tijdens het project | Een toegewijde ISMS-rol plus deeltijdse eigenaars van maatregelen |
| Indicatief extern budget jaar 1 (excl. pentest) | €18.000 tot €50.000 | €40.000 tot €110.000 | €90.000 tot €220.000+ |
Ter referentie: certificatie-instellingen rekenen doorgaans rond €1.100 tot €1.800 per auditordag in de Benelux en de buurlanden, en de initiële audit (fase 1 en fase 2) van een kleine organisatie vraagt meestal maar een handvol auditordagen. Een toezichtsaudit kost doorgaans een derde tot twee derde van de initiële audit. Over een volledige cyclus van drie jaar lopen de kosten van de certificatie-instelling alleen (initiële audit, twee toezichtsaudits en hercertificering) voor een organisatie onder 50 medewerkers vaak op tot ongeveer €15.000 tot €35.000.
Hoe lang duurt een ISO 27001-certificering?
Een ISO 27001-certificering duurt doorgaans 6 tot 12 maanden. De beperkende factor is zelden het schrijven van documenten: het gaat erom het ISMS lang genoeg te laten draaien om bewijs, een volledige interne audit en een managementreview op te leveren vóór fase 2.
| Fase | Gebruikelijke duur | Belangrijkste kostendrijver |
|---|---|---|
| Gap-analyse en scope | 2 tot 6 weken | Adviesdagen, beschikbaarheid van de directie |
| Risicoanalyse, VvT, beleid | 1 tot 3 maanden | Interne workshops, begeleiding |
| Implementatie en inhaalbewegingen | 2 tot 6 maanden | Technische verbeteringen, opleiding, leveranciersreviews |
| Interne audit en managementreview | 2 tot 4 weken | Onafhankelijkheid van de auditor (intern of uitbesteed) |
| Fase 1- en fase 2-audit | 1 tot 3 maanden, correcties inbegrepen | Dagen van de certificatie-instelling, af te sluiten non-conformiteiten |
Wat doet de kosten stijgen, of dalen?
- Aantal personen in scope en aantal vestigingen. Ze bepalen de auditordagen en het aantal mensen dat u moet opleiden en dat geïnterviewd wordt.
- Maturiteit bij de start. Een organisatie met gedocumenteerde processen, een inventaris van bedrijfsmiddelen en werkende back-ups betaalt veel minder dan een organisatie die van nul begint.
- Het regelgevende doel van de scope. Een certificaat voor één productlijn kan smal zijn; een certificaat dat als NIS2-conformiteitsroute dient, moet de organisatie en haar NIS2-diensten dekken.
- Cloud en uitbestede IT. Elke belangrijke leverancier moet beoordeeld en contractueel afgedekt worden (A.5.19 tot A.5.23).
- Technische schuld. Ontbrekende MFA, logging, patchbeheer of geteste back-ups worden herstelprojecten.
- Tijdsdruk. Een deadline van een klant of aanbesteding comprimeert de planning en verhoogt meestal de externe begeleiding.
- Non-conformiteiten. Een major non-conformiteit in fase 2 kan een extra auditbezoek uitlokken en het certificaat vertragen.
Zeven manieren om de kosten van ISO 27001 te drukken
- Leg eerst de scope goed vast. Een scope die aansluit bij het bedrijfsdoel vermijdt zowel overengineering als een certificaat dat niemand aanvaardt.
- Hergebruik uw NIS2- en CyFun-werk. CyberFundamentals steunt op internationale referentiekaders, waaronder ISO/IEC 27001: een CyFun-zelfevaluatie, een risicoregister of een incidentplan voeden het ISMS rechtstreeks.
- Bouw verder op een bestaand ISO 9001-systeem. ISO 27001 deelt de geharmoniseerde structuur van ISO 9001 (clausules 4 tot 10): documentbeheer, interne audit, managementreview en corrigerende maatregelen kunnen gedeeld worden, en certificatie-instellingen kunnen geïntegreerde audits uitvoeren volgens IAF MD 11.
- Gebruik templates, maar pas ze aan. Goede templates besparen weken; gekopieerd beleid dat niet strookt met de realiteit is een klassieke auditbevinding.
- Begin met een gap-analyse. Die maakt van een open project een afgebakend plan en voorkomt dat u betaalt voor werk dat u niet nodig hebt.
- Vergelijk twee of drie geaccrediteerde certificatie-instellingen op de volledige cyclus van drie jaar, niet enkel op de eerste audit. Het CCB publiceert een lijst van conformiteitsbeoordelingsinstanties voor NIS2.
- Plan de interne audit en de managementreview tijdig. Het ontbreken van een van beide is een van de meest voorkomende redenen waarom fase 2 wordt uitgesteld, en dat kost geld.
Regionale steunmaatregelen voor kmo’s in Brussel, Wallonië en Vlaanderen dekken soms een deel van de kosten voor cybersecurityadvies. De voorwaarden en percentages veranderen regelmatig: controleer de geldende regels voordat u tekent.
ISO 27001, NIS2 en CyFun: één investering, twee verplichtingen
Onder de Belgische NIS2-wet van 26 april 2024 moeten essentiële entiteiten een regelmatige conformiteitsbeoordeling ondergaan. Het Centrum voor Cybersecurity België (CCB) erkent twee routes: CyberFundamentals (CyFun®)-certificering of ISO/IEC 27001-certificering, met een scope die de organisatie en haar NIS2-diensten dekt. Belangrijke entiteiten zijn niet verplicht zich te laten certificeren, maar kunnen dat vrijwillig doen om een vermoeden van conformiteit te genieten. Voor essentiële entiteiten die de ISO-route volgen, wijst de CCB-planning naar 18 april 2027; controleer uw exacte verplichtingen bij het CCB.
Budgettair betekent dit dat ISO 27001 zowel uw klanten als uw toezichthouder kan bedienen. Hebt u een internationaal erkend certificaat nodig, dan vermijdt u met de ISO-route voor NIS2 dat u voor twee parallelle beoordelingen betaalt. Is NIS2 uw enige drijfveer, dan kan CyFun een lichtere start zijn. We vergelijken beide in CyFun of ISO 27001 in België, en brengen de eisen in kaart in NIS2 en ISO 27001 in België. Zie ook onze begeleiding bij NIS2-compliance.
Hoe ICTLAB uw ISO 27001-project ondersteunt
De ISO 27001-praktijk van ICTLAB wordt geleid door Caner Korkut, ISO 27001 Lead Implementer. We vertrekken vanuit het regelgevende doel (klanteisen, NIS2, DORA) om een scope vast te leggen die standhoudt, en leveren dan wat u echt nodig hebt: een gap-analyse, de risicoanalyse en verklaring van toepasselijkheid, beleid op maat van uw organisatie, technische maatregelen, een onpartijdige interne audit, een proefaudit van fase 1 en begeleiding tijdens de certificatieaudit. U beslist wat u intern doet; wij begroten de rest op basis van uw werkelijke scope.
Bij ICTLAB streven we er altijd naar om onder de marktprijzen te blijven, met een hoge kwaliteit.
Ontdek onze begeleiding bij ISO 27001-certificering of vraag een raming op basis van uw scope.
Kosten van ISO 27001-certificering: veelgestelde vragen
Wat kost een ISO 27001-certificering in België?
Indicatief, voor 2026: een Belgische organisatie met minder dan 50 medewerkers rekent het eerste jaar op ongeveer €18.000 tot €50.000 externe kosten (begeleiding, fase 1- en fase 2-audit, interne audit, bewustmaking, eventuele tool), een organisatie met 50 tot 250 medewerkers op ongeveer €40.000 tot €110.000, en een grotere organisatie op €90.000 of meer. Daar komt de interne tijd bij. Scope, maturiteit en technische inhaalbewegingen verklaren het grootste deel van het verschil.
Wat kost de audit van de certificatie-instelling?
Certificatie-instellingen rekenen per auditordag, doorgaans rond €1.100 tot €1.800 per dag in de Benelux en de buurlanden. Het aantal dagen wordt bepaald volgens ISO/IEC 27006-1, op basis van het aantal personen in scope en de complexiteit van het ISMS. Voor een kmo komen fase 1 en fase 2 vaak uit op €5.000 tot €12.000; bij 50 tot 250 medewerkers op €10.000 tot €25.000. Vraag twee of drie geaccrediteerde instellingen om een offerte voor de volledige cyclus van drie jaar.
Wat zijn de terugkerende kosten na ISO 27001-certificering?
Het certificaat is drie jaar geldig. In jaar 2 en 3 betaalt u een toezichtsaudit (ongeveer een derde tot twee derde van de initiële audit), daarna een hercertificatieaudit aan het einde van jaar 3 (vergelijkbaar met de initiële audit). Tel daar de jaarlijkse interne audit, de managementreview, bewustmakingstrainingen, een eventueel toolabonnement en de interne tijd bij om het ISMS draaiende te houden, voor een kmo vaak enkele uren per week.
Hoe lang duurt een ISO 27001-certificering?
Doorgaans 6 tot 12 maanden van gap-analyse tot certificaat. Een kleine, goed georganiseerde onderneming met bestaande beveiligingspraktijken haalt fase 2 soms in 4 tot 6 maanden; organisaties met meerdere vestigingen of een zware regelgeving hebben vaak 12 maanden of meer nodig. Het ISMS moet lang genoeg draaien om bewijs, een volledige interne audit en een managementreview op te leveren vóór fase 2.
Kunnen we ISO 27001-gecertificeerd raken zonder consultant?
Ja. De norm vereist geen consultant, en sommige organisaties slagen met templates en een toegewijde interne eigenaar. De keerzijde is interne tijd en risico: een niet-herhaalbare risicomethode, een gekopieerde verklaring van toepasselijkheid of een scope die niet past bij NIS2 zijn veelvoorkomende oorzaken van mislukte of uitgestelde audits. Veel organisaties kopen enkel gerichte hulp in: gap-analyse, risicoanalyse, interne audit en een proefaudit van fase 1.
Is ISO 27001 of CyFun goedkoper voor NIS2 in België?
Dat hangt af van uw situatie. CyberFundamentals (CyFun) is het CCB-kader dat ontworpen is voor Belgische NIS2-entiteiten en is vaak lichter om mee te starten; ISO 27001 is internationaal, wordt door buitenlandse klanten erkend en wordt door het CCB aanvaard als conformiteitsroute voor essentiële entiteiten, onder voorwaarden over de scope. Hebt of zoekt u al ISO 27001 om commerciële redenen, dan vermijdt u door die ook voor NIS2 te gebruiken dat u voor twee aparte beoordelingen betaalt.
Is een penetratietest verplicht voor ISO 27001?
Nee. ISO 27001 vereist niet uitdrukkelijk een penetratietest. De norm vraagt wel beheer van technische kwetsbaarheden (maatregel 8.8 van bijlage A) en maatregelen die u via uw risicoanalyse kiest. In de praktijk voeren de meeste organisaties regelmatig kwetsbaarheidsscans uit, en komt een pentest in het budget wanneer het risicobehandelplan, een klantcontract of een toezichthouder erom vraagt. Een gerichte pentest begint in België doorgaans rond €4.000.
Alle bedragen zijn indicatieve marktprijzen voor België en de Benelux in 2026, exclusief btw, samengesteld uit publieke prijsgidsen (certificatie-instellingen, adviesbureaus, leveranciers van ISMS-software) en de regels voor audittijd uit ISO/IEC 27006-1. Het zijn geen prijzen of offertes van ICTLAB. De NIS2-informatie is gebaseerd op het Belgische kader zoals gepubliceerd door het CCB; dit is geen juridisch advies.