Die Kosten für ein ISO 27001-Audit basieren auf der Anzahl der Audittage, die sich wiederum auf die Anzahl der Mitarbeiter im Geltungsbereich des Informationssicherheits-Managementsystems beziehen. Die Anzahl der Audittage ist in der Akkreditierungsnorm ISO 27006 festgelegt und dort einsehbar. Wenn Sie eine akkreditierte Zertifizierungsstelle wie LRQA beauftragen, erhalten Sie eine empfohlene Auditdauer, die auf bewährten Branchenverfahren basiert und mit anderen akkreditierten Zertifizierungsstellen vergleichbar ist.
Ein Beispiel für die erste Auditdauer (Stufe 1 und Stufe 2) bei einem Unternehmen mit 100 Vollzeitstellen liegt zwischen 8 und 12 Tagen, abhängig von der Branche, in der das Unternehmen tätig ist, der Komplexität der Arbeitsumgebung und anderen Faktoren wie der Beteiligung an der Softwareentwicklung oder der Integration von Sicherheitsmerkmalen in das Produkt. Das anschließende Überwachungsaudit erfordert in der Regel 3 bis 4 Tage pro Jahr, während das Rezertifizierungs-Audit 6 bis 8 Tage in Anspruch nehmen kann.