Grobe Einteilung aus unserer Projekterfahrung. Die Segmente sagen nichts über eine bestimmte Zertifizierungsstelle aus, und niemand ist an diese Werte gebunden.
Unsere Einschätzung: 1.400 € bis 1.800 €
Wähle mindestens eine Norm, dann rechnen wir.
Für ISO 9001, 14001 und 45001 legt IAF MD 5:2023 fest, wie viele Audittage eine Erstzertifizierung bei welcher Mitarbeiterzahl braucht. Für ISO/IEC 27001 macht das ISO/IEC 27006-1:2024 in Anhang C. Beide Regelwerke sind für akkreditierte Zertifizierungsstellen verbindlich. Ein Anbieter kann davon abweichen, muss die Abweichung aber begründen und dokumentieren.
Gezählt werden alle Personen, die im Geltungsbereich arbeiten, inklusive externer Mitarbeitender und Freelancer. Teilzeit zählt anteilig. Nicht die Zahl im Handelsregister entscheidet, sondern wer tatsächlich unter das Managementsystem fällt.
Rechenzentrumsbetrieb und viele kritische Prozesse erhöhen den Aufwand. Viele gleichartige, wiederkehrende Tätigkeiten mit eingeschränkten Zugriffen senken ihn. Nach unten ist die Anpassung begrenzt: Beide Regelwerke lassen höchstens 30 Prozent Reduktion zu.
Wer ein integriertes Managementsystem betreibt, lässt gemeinsame Prozesse nur einmal prüfen. Je stärker die Systeme verzahnt sind, desto größer der Abschlag auf die Gesamtauditzeit.
Ein Zertifizierungszyklus läuft über drei Jahre. In Jahr 2 und 3 steht je ein Überwachungsaudit an, das rund ein Drittel der Erstauditzeit umfasst. Deshalb ist die Drei-Jahres-Summe die ehrlichere Zahl als der Preis für Jahr 1.
Du planst konkret ISO 27001? Lies dir die ausführliche Aufschlüsselung der ISO-27001-Kosten durch. Zur ISO-27001-Kostenaufstellung
Du gehst Richtung TISAX? Sieh dir die TISAX Zertifizierung Kosten mit eigenem Rechner an. Zur TISAX-Kostenaufstellung
Was ein ISO-Audit genau ist und wie es abläuft, erklärt unser Glossar. Zum ISO-Audit-Glossar
Die Audittage sind belastbar, weil sie direkt aus den Tabellen der Regelwerke kommen. Unsicher ist der Tagessatz, denn Zertifizierungsstellen veröffentlichen keine Preislisten. Wir arbeiten deshalb mit Spannen aus Markterfahrung statt mit Anbieternamen. Rechne mit einer Bandbreite, nicht mit einer Punktlandung.
Weil wir deren Preise nicht kennen können. Zertifizierer kalkulieren individuell und veröffentlichen keine Tagessätze. Feste Zahlen neben einem Markennamen wären eine Behauptung über einen konkreten Wettbewerber. Die drei Segmente bilden ab, was am Markt tatsächlich üblich ist, ohne jemandem einen Preis zu unterstellen.
Weil IAF MD 5:2023 das so vorgibt. Die mittleren Spalten von Tabelle EMS 1 und Tabelle OH&SMS 1 sind wertgleich. Wir nutzen für beide Normen die mittlere Komplexitäts- beziehungsweise Risikostufe als Basis. Wenn dein Umweltrisiko oder dein Arbeitsschutzrisiko deutlich darüber oder darunter liegt, bildest du das über die Komplexitätsauswahl ab.
Reisekosten und Reisezeiten, Umsatzsteuer, anbieterspezifische Rabatte und Zuschläge sowie Besonderheiten wie mehrere Standorte oder Schichtbetrieb. Ebenfalls nicht enthalten sind Beratungskosten und der interne Aufwand für den Aufbau des Managementsystems. Der interne Aufwand ist erfahrungsgemäß der größere Posten.
Für diese Normen reicht die Mitarbeiterzahl als Eingabe nicht aus. ISO 50003 rechnet über den Energieverbrauch, ISO 22003-1 über HACCP-Studien und die Lebensmittelkette, ISO/IEC 42006 über die Zahl der KI-Systeme. Das braucht eigene Eingabefelder und eigene Logik. Wir bauen das in einem zweiten Schritt.
Dann liegt dein tatsächlicher Aufwand über dieser Schätzung. Die Berechnung für mehrere Standorte richtet sich nach IAF MD 1 und hängt davon ab, wie ähnlich die Standorte arbeiten und ob eine Stichprobenprüfung zulässig ist. Sprich uns an, dann schauen wir uns deinen Fall konkret an.