Mange iværksættere får dette spørgsmål først på bordet, fordi en aftager i en spørgeskema spørger om et ISO 27001-certificat, eller om tilsvarende bevis for, at informationssikkerheden er i orden. Derefter følger hurtigt spørgsmålet: hvad kommer det til at koste? Der er intet fast beløb at nævne, fordi omkostningerne består af flere dele, som varierer fra firma til firma.
De tre dele er typisk: det interne arbejde for at udarbejde og vedligeholde politik, procedurer og registreringer, eventuel vejledning fra en ekstern rådgiver, og revisionen selv, udført af en certificeringsorgan, som kontrollerer, at informationssikkerhedssystemet opfylder normen. Hver del påvirkes af virksomhedens størrelse, antallet af lokationer, og hvor meget der allerede er i orden, før forløbet begynder.
Hvad et certificeringsorgan gør
Et certificeringsorgan er en uafhængig organisation, som kontrollerer, at en virksomhed har etableret informationssikkerhedssystemet som ISO 27001-normen foreskriver, og som derefter udsteder certificatet. Dette organ fakturerer tid til revisionen, typisk fordelt på en første vurdering og en årlig kontrol for at holde certificatet gyldigt. Regningen fra certificeringsorganet er normalt den mest synlige del af omkostningerne, men ikke den eneste del.
Hvad der bestemmer størrelsen af beløbet
Antallet af medarbejdere og lokationer, der falder inden for certificatets område, betyder noget: jo flere processer og systemer, der skal undersøges, jo mere tid tager revisionen. Det betyder også noget, hvor meget der allerede er i orden. En virksomhed, der allerede har en informationssikkerhedspolitik, en risikovurdering og fastsatte procedurer, er typisk hurtigere klar til revision end en virksomhed, der må begynde forfra. Det betyder også noget, om der hyres ekstern vejledning for forberedelsesforløbet, og hvor meget intern tid, der er til rådighed for det, uden at det normale arbejde går i stå.
Certificering er ikke den eneste vej
Ikke enhver aftager spørger bogstaveligt til et fuldt ISO 27001-certificat. I mange spørgeskemaer spørges der til, om visse foranstaltninger er implementeret, uden at et certificat kræves. Denne forskel er vigtig: at demonstrere iværksatte foranstaltninger som adgangskontrol, sikkerhedskopier og en hændelsesprocedure koster mindre end et fuldt certificeringsforløb og kan være tilstrækkeligt for mange aftagere. Hvilken form for bevis en aftager præcis spørger til, står typisk i spørgeskemaet selv eller i forklaringen dertil.
For virksomheder, der gerne vil se, hvilke spørgsmål der ofte dukker op inden for deres sektor, og hvad der ligger bag, er der videnbanken, hvor emner er udarbejdet pr. situation. Der forklares også, hvordan sådan et spørgsmål forholder sig til andre emner fra et spørgeskema.
Hvad supplia.eu gør og ikke gør i dette forløb
Supplia.eu certificerer ikke og vurderer ikke, om en virksomhed opfylder ISO-normen; det bliver ved med at være certificeringsorganets arbejde. Det, supplia.eu gør, er at vedligeholde de svar, der allerede tidligere er givet på spørgsmål om informationssikkerhed, så de ikke skal søges frem på ny, hver gang en næste aftager sender et lignende spørgeskema. Dette abonnement er adskilt fra omkostningerne ved et certificeringsforløb; gebyrerne står på siden med gebyret for et abonnement.
Første trin: se hvad der præcist bliver spurgt om
Før en virksomhed starter et forløb, er det klogt først at få klart, hvad aftageren præcist spørger til, og hvorfor. Nogle gange viser det sig, at et certificat er ønskeligt, men ikke obligatorisk, og at en anden form for bevis også accepteres. Med nogle få spørgsmål, som viser, hvor du står nu bliver det klart på få minutter, hvilken type spørgsmål det sandsynligvis handler om, og hvilken retning der passer hertil.
Vil du gerne vide, hvordan informationssikkerhed og de tilhørende spørgeskemaer forholder sig til andre emner såsom NIS2 eller KYB? På siden med hyppigt stillede spørgsmål fra andre virksomheder findes et overblik over spørgsmål, der ofte kommer igen, og den gratis quick-scan viser på få minutter, hvilke emner din virksomhed sandsynligvis bliver spurgt om.