Je wilt vooraf weten waar je aan toe bent. Daarom kijken we eerst samen naar wat al goed geregeld is en welke werkzaamheden jij zelf wilt doen. Zo kies je begeleiding die bij je past, met een duidelijk begin en einde. Het ISO 27001-stappenplan helpt je om die werkzaamheden in beeld te krijgen.
Hoeveel begeleiding heb je tijdens de implementatie nodig?
Je hoeft niet meteen een jaar aan consultantsuren te begroten. In onze praktijk duurt een ISO 27001-implementatie meestal ongeveer drie maanden. We begeleiden je vaak vier uur per week, terwijl jouw team tussen die momenten zelf aan de slag gaat.
Wij helpen je bijvoorbeeld met de risicoanalyse, passende documenten, de inrichting in de Compliance Tool en de voorbereiding op de audit. Jij en je collega’s leveren informatie aan, voeren acties uit en nemen besluiten. Die eigen inzet is belangrijk: vier uur begeleiding werkt alleen als er bij jullie ook tijd is om het werk op te pakken.
Wil je meer uit handen geven? Dan nemen wij meer werkzaamheden over en zijn er meer DCA-uren nodig. Vooraf spreken we af wie wat doet. Het aantal systemen, locaties en leveranciers, de bestaande inrichting en jullie beschikbare tijd bepalen samen de planning. Drie maanden is dus een gebruikelijke implementatieperiode, geen belofte dat je binnen die tijd ook het certificaat hebt.
Dat is gemiddeld € 2.080 per maand tijdens deze implementatie. De berekening op onze prijspagina gebruikt 52 weken ÷ 12 om weekuren naar een maandgemiddelde om te rekenen. Dat betekent niet dat je twaalf maanden begeleiding moet afnemen. Bekijk hoe we de implementatie samen aanpakken.
En wat betaal je na de implementatie?
Als de inrichting staat en jouw team het beheer zelf oppakt, zien we de maandelijkse consultantsuren doorgaans teruglopen tot bijna nul. Je kunt ons daarna inschakelen voor een losse vraag, een verandering in je organisatie of hulp bij een bevinding. We spreken die aanvullende inzet apart af.
Je informatiebeveiliging blijft natuurlijk aandacht vragen. Je houdt risico’s en bewijs bij, controleert of maatregelen werken en organiseert interne audits en de directiebeoordeling. Ook je softwareabonnement en eventuele audits van de certificerende instelling lopen door. Minder begeleiding betekent dus niet dat er geen werk of kosten meer zijn.
Wil je juist dat wij terugkerende taken blijven uitvoeren? Dan kies je bewust voor structurele ondersteuning. Dat is een andere afspraak dan tijdelijke hulp bij de implementatie.
Probeer zelf hoeveel begeleiding bij je past
Pak de calculator erbij en verschuif de uren. Hoeveel tijd kan jouw team vrijmaken? Wil je vooral een deskundige die meekijkt, of iemand die een groter deel van het werk uitvoert? Zo zie je wat jouw keuze doet met de maandindicatie.
De calculator telt begeleiding en de gekozen softwarelicentie bij elkaar op. Eigen uren zie je als beschikbare capaciteit, niet als kosten in euro’s. Interne audits, externe certificering en verbetermaatregelen zijn ook niet meegerekend. De uitkomst is een indicatie; de calculator bepaalt geen doorlooptijd of certificeringskans.
Welke kosten neem je daarnaast mee?
Begeleiding is één onderdeel van je begroting. Houd ook ruimte voor:
- Je eigen tijd. Denk aan overleg, informatie verzamelen, acties uitvoeren en besluiten nemen. Gebruik je eigen interne kostentarief als je dit in euro’s wilt begroten.
- De Compliance Tool. Vanaf € 295 per maand bij een jaarabonnement (€ 3.540 per jaar), of vanaf € 320 per maand bij een maandelijks opzegbaar abonnement. Dit zijn bedragen exclusief btw.
- Verbeteringen die nodig blijken. Bijvoorbeeld beter toegangsbeheer, herstelvoorzieningen of nieuwe afspraken met leveranciers. Wat nodig is, blijkt uit jullie risicoanalyse en uitgangssituatie.
- Audits. Houd de interne audit en de externe certificering als afzonderlijke posten zichtbaar.
Combineer je het voorbeeld van € 6.240 aan begeleiding met één jaar software à € 3.540? Dan is dat € 9.780 exclusief btw. Dat is alleen begeleiding plus software in dit voorbeeld: eigen inzet, verbeteringen en interne en externe audits komen er nog bij. Je betaalt hierin drie maanden begeleiding en twaalf maanden software, niet twaalf maanden consultantsuren.
Wat kosten de interne audit en de certificering?
Voor een interne audit rekenen we € 1.000 per dag voor softwareklanten en € 1.500 per dag voor andere organisaties, inclusief voorbereiding, reistijd en rapportage. Deze tarieven zijn exclusief btw; het benodigde aantal dagen spreken we vooraf af. Bekijk de tarieven voor interne audits.
Begroot certificering apart van de implementatie. Kies je voor certificering onder accreditatie, vraag dan een offerte aan bij een daarvoor geaccrediteerde certificatie-instelling. Laat de eerste beoordeling, eventuele aanvullende beoordeling, opvolgingsaudits en hercertificering benoemen. Die instelling bepaalt de auditomvang en beslist over het certificaat.
Je kunt bij DCA ook een afzonderlijk traject voor certificering zonder accreditatie bespreken. Controleer eerst of je opdrachtgever dit accepteert en vraag een voorstel voor scope, beoordeling en vervolgcontroles. Geen van beide certificeringsroutes is inbegrepen in het rekenvoorbeeld hierboven. Begeleiding of een interne audit levert op zichzelf geen certificaat op.
NEN 7510 en NIS2 Supply Chain: wat kun je hergebruiken?
Een goede ISO 27001-inrichting levert je meer op dan voorbereiding op één certificaat. Je hebt al een werkwijze voor risico’s, verantwoordelijkheden, maatregelen en bewijs. Als je daarna ook met NEN 7510 of NIS2 Supply Chain aan de slag wilt, kijken we eerst wat daarvan bruikbaar is. Je hoeft hetzelfde werk dan niet voor iedere norm opnieuw te doen.
Voor NEN 7510 is die overlap duidelijk: de norm bouwt voort op ISO 27001 en ISO 27002, met aanvullingen voor de zorg en persoonlijke gezondheidsinformatie. Je bestaande basis kan dus helpen, maar de zorgspecifieke eisen, toepassing en onderbouwing vragen nog aandacht. NEN licht die samenhang toe.
Bij NIS2 Supply Chain bekijken we welk bestaand bewijs aansluit bij het gekozen niveau en de eisen van je opdrachtgever. Dit is een eigen certificatieschema: een ISO 27001-certificaat levert niet automatisch een NIS2 Supply Chain-certificaat op. De schemabeheerder beschrijft de afzonderlijke beoordeling. Ook eventuele wettelijke NIS2-verplichtingen, zoals bestuurstaken en incidentmeldingen, moet je apart beoordelen.
De besparing zit dus in hergebruik van werk. We nemen de aanvullende eisen mee in de scope en begroten alleen wat nog nodig is. Zo voorkom je drie losse trajecten met dubbel werk. Extra begeleiding, toetsing of certificering is niet automatisch gratis of inbegrepen.
Veelgestelde vragen
Moet ik twaalf maanden begeleiding afnemen?+
Nee. Implementatiebegeleiding is tijdelijk. De calculator rekent weekuren om naar een gemiddeld maandbedrag; dat is geen looptijd van twaalf maanden. We spreken de duur en inzet voor jouw traject af. Een eventueel jaarabonnement voor de software is een afzonderlijke keuze.
Is drie maanden haalbaar voor mijn organisatie?+
Dat hangt af van wat er al is, de scope en hoeveel tijd jouw team beschikbaar heeft. Ongeveer drie maanden met vier uur begeleiding per week is onze gebruikelijke aanpak als je de afgesproken werkzaamheden zelf uitvoert. Meer uitbesteden vraagt meer DCA-uren. De planning en uitkomst van externe certificering staan daar los van.
Kan ik zelf beginnen met alleen de Compliance Tool?+
Ja. Begeleiding is niet verplicht. Met de Compliance Tool organiseer je zelf de taken, risico’s, documenten en bewijs. Je regelt ook de uitvoering en de benodigde audits. Heb je later hulp nodig, dan bespreken we welke inzet daarbij past.
Bronnen bij dit artikel
- ISO: informatiebeveiliging inrichten en blijven verbeterenGeraadpleegd op 7 oktober 2026
- ISO: externe certificeringGeraadpleegd op 7 oktober 2026
- NEN: samenhang tussen NEN 7510 en ISO 27001Geraadpleegd op 7 oktober 2026
- NIS2 Supply Chain: de afzonderlijke certificatiestappenGeraadpleegd op 7 oktober 2026
- Europese Unie: NIS2, artikelen 20, 21 en 23Geraadpleegd op 7 oktober 2026
- DCA: prijzen, calculator en audittarievenGeraadpleegd op 7 oktober 2026
Verder met dit onderwerp
Deze uitleg is algemeen en vervangt geen beoordeling van jullie situatie of de officiële normtekst.