Många företagare får denna fråga på sitt bord först när en kund i en frågeformulär frågar om ett ISO 27001-certifikat, eller om motsvarande bevis för att informationssäkerheten är i ordning. Då följer snart frågan: vad kommer detta att kosta? Det finns inget fast belopp att nämna, för kostnaderna består av flera delar som skiljer sig åt mellan företagen.
De tre delarna är vanligtvis: den interna tiden för att upprätta och underhålla policy, procedurer och register, eventuell vägledning från en extern rådgivare, och själva revisionen, genomförd av en certifieringsorgan som kontrollerar om informationssäkerhetssystemet uppfyller standarden. Varje del påverkas av företagets storlek, antalet lokaler och hur mycket som redan är i ordning innan processen börjar.
Vad ett certifieringsorgan gör
Ett certifieringsorgan är en oberoende organisation som kontrollerar att ett företag har etablerat informationssäkerhetssystemet enligt vad ISO 27001-standarden föreskriver, och som därefter utfärdar certifikatet. Denna organisation debiterar tid för revisionen, vanligtvis fördelad på en initial granskning och en årlig kontroll för att hålla certifikatet giltigt. Certifieringsorganets faktura är vanligtvis den mest synliga delen av kostnaderna, men inte den enda delen.
Vad som avgör beloppets storlek
Antalet anställda och lokaler som omfattas av certifikatets omfattning räknas in: ju fler processer och system som måste granskas, desto mer tid kostar revisionen. Det räknas också in hur mycket som redan är i ordning. Ett företag som redan har en informationssäkerhetspolicy, en riskanalys och dokumenterade procedurer är vanligtvis snabbare redo för revisionen än ett företag som ännu måste börja. Vidare räknas in om extern vägledning anlitas för förprocessen, och hur mycket intern tid som är tillgänglig för detta utan att det ordinarie arbetet stannar av.
Certifiering är inte den enda vägen
Inte varje kund frågar direkt efter ett fullständigt ISO 27001-certifikat. I många frågeformulär frågas det om vissa åtgärder har införts, utan att ett certifikat krävs. Den skillnaden är viktig: att visa vidtagna åtgärder, såsom åtkomstkontroll, säkerhetskopior och en incidentprocedur, kostar mindre än ett fullständigt certifieringsspår och kan vara tillräckligt för många kunder. Vilken form av bevis en kund precis frågar efter står vanligtvis i själva frågeformulären eller i förklaringen till den.
För företag som vill se vilka frågor som ofta dyker upp i deras sektor och vad som ligger bakom dem finns det kunskapsbanken där ämnen är utredda per situation. Där förklaras också hur sådan en fråga förhåller sig till andra ämnen från en frågeformulär.
Vad supplia.eu gör och inte gör i denna process
Supplia.eu certificerar inte och bedömer inte om ett företag uppfyller ISO-standarden; det förblir arbetet för certifieringsorganet. Det som supplia.eu däremot gör är att hålla reda på svar som redan tidigare har getts på frågor om informationssäkerhet, så att de inte behöver tas fram på nytt varje gång en nästa kund skickar en liknande frågeformulär. Den abonnemanget är skilt från kostnaderna för ett certifieringsspår; tariffer finns på sidan med tariffer för ett abonnemang.
Första steget: se exakt vad som frågas
Innan ett företag startar en process är det klokt att först klara ut exakt vad kunden frågar och varför. Det visar sig ibland att ett certifikat är önskat men inte obligatoriskt, och att en annan form av bevis också accepteras. Med ett par frågor som visar var ni står nu blir det klart på några minuter vilken typ av fråga det troligen gäller och vilken riktning som passar dit.
Vill du veta hur informationssäkerhet och motsvarande frågelistor förhåller sig till andra ämnen som NIS2 eller KYB? På sidan med vanliga frågor från andra företagare finns en översikt över frågor som ofta återkommer, och den kostnadsfria snabbscanningen visar på bara några minuter vilka ämnen ditt företag troligen kommer att efterfrågas om.