Zelf doen of uitbesteden is bij ISO 27001 zelden een geldvraag, ook al wordt hij zo gesteld. Het is een vraag over wie er tijd heeft, wie het straks kan uitleggen aan een auditor, en wie het over twee jaar nog bijhoudt. In de praktijk wint bijna altijd een tussenvorm: kennis van buiten, eigenaarschap van binnen.
Kernpunten
- Begeleiding kost bij BOEM gemiddeld ongeveer 15.000 euro, met een bandbreedte van circa 9.000 tot 20.000 euro.
- Zelf doen kost 200 tot 400 uur, en dat is vaak hetzelfde bedrag in verkapte vorm.
- Het meeste werk is organisatorisch, niet technisch: de maatregelen staan vaak al, de vastlegging niet.
- Volledig uitbesteden faalt op de audit, volledig zelf doen op de agenda.
- Een vaste dag per maand plus eigen werk ertussen is de vorm die we het vaakst zien werken.
Wat kost zelf doen of uitbesteden in de praktijk?
Begeleid kost een implementatietraject bij ons gemiddeld ongeveer 15.000 euro, met een bandbreedte van circa 9.000 tot 20.000 euro. We rekenen met een begeleidingsdag van 1.200 euro. Daar bovenop komt de certificerende instelling, die onafhankelijk is en apart factureert. De opbouw staat bij ISO 27001 kosten.
Zelf doen kost geen euro’s maar uren. Voor een mkb-organisatie met een afgebakende scope moet je rekenen op 200 tot 400 uur, verspreid over vier tot negen maanden. Dat is de tijd van degene die het trekt; de tijd van collega’s komt daar nog bij.
Reken het even om. Driehonderd uur tegen een intern uurtarief van 60 euro is 18.000 euro. Dat is meer dan begeleiding gemiddeld kost, alleen staat het niet op een factuur en daarom voelt het gratis. Bij uitbesteden koop je de ervaring van iemand die dit vaker heeft gedaan; bij zelf doen betaal je het leergeld.
Wat zien we in gesprekken over zelf doen of uitbesteden?
Het werk is vooral organisatorisch. In de GAP-analyses die we uitvoeren, is het beeld opvallend vaak hetzelfde: de techniek staat, de vastlegging niet. Back-ups draaien, toegang is geregeld, maar beleid, procedures en bewijs ontbreken. Dat verandert de vraag. Het gaat er niet om wie de firewall kan configureren, maar wie processen kan beschrijven en besluiten kan laten nemen.
ISO 27001 voelt zwaar naast het gewone werk. Dat is de zorg die we het vaakst horen, en hij is terecht. Het helpt om klein te beginnen: een GAP-analyse of een risicoanalyse laat zien hoeveel werk er echt ligt, en pas daarna kies je hoeveel je zelf oppakt.
Een platform verschuift het werk, het haalt het niet weg. In gesprekken komt geregeld de vergelijking langs met een compliance-platform dat je zelf invult. De licentie is goedkoper dan begeleiding, maar in een van de gesprekken vroeg die route een forse wekelijkse tijdsinvestering, maandenlang. Een platform geeft sjablonen en structuur. De beslissingen en het invullen blijven bij jou.
De auditor praat met jouw mensen. Ook als wij bij de externe audit aanwezig zijn, richt de auditor zich op de interne eigenaar. Een systeem dat alleen de adviseur kan uitleggen, valt binnen twee minuten door de mand.
Wanneer zelf doen echt verstandig is
Bij de afweging zelf doen of uitbesteden zijn er situaties waarin het antwoord gewoon “zelf” is, en die worden te weinig genoemd door partijen die dit werk verkopen.
- Je hebt al een managementsysteem. Draait er al ISO 9001 of NEN 7510, dan ken je de systematiek en is ISO 27001 vooral een inhoudelijke uitbreiding.
- Je hebt iemand met tijd én mandaat. Niet iemand die het erbij doet, maar iemand die er structureel dagen voor krijgt.
- Je scope is klein. Eén dienst, één locatie, een overzichtelijk applicatielandschap.
- Er is geen harde deadline. Geen aanbesteding die over vier maanden sluit.
Herken je jezelf hierin, doe het dan zelf en huur hooguit iemand in voor een toets vlak voor de audit.
Wanneer uitbesteden zichzelf terugverdient
- Er is een externe deadline. Interne projecten wijken voor werk met een klantnaam erop; een begeleid traject heeft een eigen agenda.
- Niemand heeft het eerder gedaan. De norm lezen is niet het probleem. Weten wat een auditor als bewijs accepteert, leer je alleen door het een paar keer mee te maken.
- Je scope is breed of politiek. Meerdere vestigingen of afdelingen met eigen belangen. Dan is een buitenstaander die knopen kan doorhakken meer waard dan zijn tarief.
Hoe ziet de tussenvorm er concreet uit?
Bij zelf doen of uitbesteden zit de winst in de verdeling, niet in de keuze. In de trajecten die we begeleiden, werken we vaak met een vaste dag per maand op locatie, met tijd ertussen waarin de interne trekker zelf verder werkt. Wat wij doen: de structuur neerzetten, de risicoanalyse begeleiden en het beleid vastleggen op basis van wat je mensen in de sessies vertellen. Je mensen vertellen dus hoe het werkt, in plaats van zelf documenten te schrijven. Wat bij jou blijft: het invoeren van maatregelen, het eigenaarschap per proces en de gesprekken met je eigen mensen.
Twee varianten daarvan heten bij vrijwel elke aanbieder begeleiden en ontzorgen. Bij begeleiden doen je mensen het werk en coacht de adviseur; bij ontzorgen doet de adviseur meer zelf. Het verschil verklaart een groot deel van de prijsverschillen tussen offertes.
Laat je in beide gevallen nooit de Verklaring van Toepasselijkheid volledig door een ander invullen zonder dat je per maatregel begrijpt waarom hij wel of niet van toepassing is. Dat document is bij elke audit het eerste waar naar wordt gekeken.
Waar moet je sowieso zelf over beslissen?
- Je scope. Wat doet wel en niet mee. Dit is de grootste kostenknop, en het is een directiebesluit. Zie ISO 27001-scope bepalen.
- Je risicobereidheid. Welk restrisico je accepteert, is een ondernemersbeslissing en geen adviesvraag.
- De betrokkenheid van je bestuur. Zeker als je onder de Cyberbeveiligingswet valt: die verplicht bestuurders tot kennis en scholing. Lees waar de directie op aanspreekbaar is en bekijk de NIS2-directietraining.
Hoe bepaal je wat het bij jou wordt?
Begin met een eerlijke urenschatting in plaats van met offertes. Wie gaat dit trekken, hoeveel dagen per week krijgt die persoon ervoor, en wat schuift er op? Komt daar geen concreet antwoord uit, dan is de keuze tussen zelf doen of uitbesteden eigenlijk al gemaakt.
Wij starten meestal met een GAP-analyse voor een vaste prijs van 3.000 euro, omdat je daarmee weet hoeveel uur er nog nodig is en wat je zelf kunt oppakken. Verplicht is dat niet: is je situatie overzichtelijk, sla die stap dan over.
Wil je het traject uitbesteden, dan doen we dat via ISO 27001-implementatie. Zoek je iemand die het na de certificering bijhoudt, dan past een security partner beter, en voor de zwaardere governance-kant bestaat CISO-as-a-Service. Ga je zelf aan de slag, gebruik dan de checklist voor de auditvoorbereiding. Wat er in de norm staat, lees je op onze pagina over ISO 27001.
Veelgestelde vragen
Hoeveel uur kost een ISO 27001-traject als je het zelf doet?
Voor een mkb-organisatie met een afgebakende scope moet je rekenen op 200 tot 400 uur voor degene die het trekt, verspreid over vier tot negen maanden. Daar komt de tijd van collega’s bij voor interviews, procesbeschrijvingen en het invoeren van maatregelen.
Is uitbesteden duurder dan zelf doen?
Op de factuur wel, in werkelijkheid vaak niet. Driehonderd uur tegen een intern uurtarief van 60 euro is 18.000 euro, en dat is meer dan begeleiding gemiddeld kost. Het verschil is dat de interne uren niet op een factuur staan en daarom gratis voelen.
Wat is het verschil tussen begeleiden en ontzorgen?
Bij begeleiden doen je eigen mensen het werk en coacht de adviseur. Bij ontzorgen voert de adviseur meer zelf uit. Ontzorgen kost meer adviseursuren, maar vraagt minder van je organisatie. Volledig uitbesteden zonder intern eigenaarschap werkt niet: de auditor praat met jouw mensen, niet met de adviseur.
Is een compliance-platform een alternatief voor begeleiding?
Het kan, als je iemand hebt met veel tijd. Een platform is goedkoper in licentie, maar verschuift het werk naar je eigen mensen: het geeft structuur en sjablonen, geen beslissingen. Reken op een forse wekelijkse tijdsinvestering, maandenlang.
