Dein Kunde verlangt ein TISAX®-Label, und die Geschäftsführung fragt als Erstes: Was kostet uns das? Die ehrliche Antwort lautet: Es kommt darauf an. Damit du nicht bei dieser Antwort stehen bleibst, findest du hier alle Kostenblöcke, die Stellschrauben dahinter und die Stellen, an denen du sparen kannst, ohne das Assessment zu gefährden.
Was kostet TISAX® insgesamt – und wovon hängt es ab?
Einen Pauschalpreis gibt es nicht. Die Gesamtkosten setzen sich aus fünf Blöcken zusammen, und ihre Höhe hängt vor allem von der Größe deines Unternehmens, der Zahl der Standorte, den Prüfzielen und deiner Ausgangslage ab.
Die fünf Blöcke im Überblick:
- Registrierung bei der ENX – eine Gebühr je Assessment-Scope.
- Prüfdienstleister – das eigentliche Assessment, abgerechnet nach Aufwand.
- Beratung – optional, aber für die meisten Mittelständler der Weg zum Ziel.
- Interner Aufwand – die Zeit deiner Leute.
- Maßnahmen – Technik, Schulungen, bauliche Dinge, je nach Lücke.
ENX, Prüfdienstleister und Beratung kommen per Rechnung. Den internen Aufwand siehst du nur in deiner Zeiterfassung, die Maßnahmen je nach Lücke im Investitionsplan oder auf Rechnungen weiterer Dienstleister. Gerade die beiden letzten Blöcke werden in vielen Kalkulationen vergessen.
Was kostet die Registrierung bei der ENX?
Die ENX berechnet für die Registrierung eines Assessment-Scopes eine eigene Gebühr, getrennt von den Kosten des Prüfdienstleisters. Die Registrierung als Teilnehmer selbst kostet nichts.
Wie hoch die Gebühr gerade ist und welche Rabatte bei mehreren Standorten gelten, steht in der Preisliste der ENX. Schau vor der Registrierung in die aktuelle Fassung: Downloads der ENX mit Preisliste.
Zwei Punkte aus dem Teilnehmerhandbuch solltest du kennen. Erstens: Die Gebühr wird fällig, sobald du den Scope registrierst – auch wenn du das Verfahren danach nicht fortsetzt oder das Assessment nicht klappt. Zweitens: Teilen kannst du dein Ergebnis erst, wenn die Gebühr bezahlt ist. Registriere deshalb erst, wenn dein Umfang feststeht.
Was kostet der Prüfdienstleister?
Der Prüfdienstleister rechnet nach Personentagen ab. Für ein kleines Unternehmen mit einem Standort nennt die ENX grob 3,5 bis 4 Personentage bei AL2 und etwa 5 bis 6 bei AL3. Die Tagessätze legt jeder Prüfdienstleister selbst fest.
Mehr Standorte, mehr Prüfziele oder ein höheres Level bedeuten mehr Personentage. Bei AL3 kommen Reisekosten dazu, weil vor Ort geprüft wird. Und findet der Prüfdienstleister Abweichungen, die eine Nachprüfung brauchen, ist das zusätzlicher Aufwand.
Die ENX rät im Handbuch, Angebote zu vergleichen. Achte dabei nicht nur auf den Tagessatz, sondern auf die geschätzten Personentage, die Reisekosten und den frühesten freien Termin. Ein günstiger Prüfer, der erst nach der Frist deines Kunden Zeit hat, hilft dir nicht.
Was kostet die Beratung – und brauchst du sie?
Pflicht ist Beratung nicht. Beratung lohnt sich, wenn dir die Zeit oder die Erfahrung fehlt, ein Managementsystem für Informationssicherheit aufzubauen. Was sie kostet, hängt von denselben Stellschrauben ab wie das ganze Projekt.
Ein Berater bringt Vorlagen, kennt die typischen Fragen im Assessment und steuert das Projekt. Das spart deinem Team vor allem Suchzeit. Die Umsetzung kann er dir aber nicht abnehmen: Dein Team arbeitet mit und setzt die Maßnahmen im Betrieb um. Wichtig außerdem: Dein Berater darf nicht dein Prüfdienstleister sein. Beide Rechnungen kommen also immer von verschiedenen Unternehmen.
Diese Stellschrauben bestimmen den Beratungsaufwand – und damit deine Preistendenz:
- Unternehmensgröße: mehr Mitarbeitende, mehr Abläufe, mehr Nachweise.
- Standorte: jeder weitere Standort im Scope erhöht den Aufwand.
- Level und Prüfziele: AL3 und Prototypenschutz verlangen mehr als AL2, ein zusätzliches Prüfziel wie Datenschutz erhöht den Aufwand.
- Ausgangslage: Mit einem ISMS nach ISO 27001 oder einem Informationssicherheitsbeauftragten startest du nicht bei null.
- Zeitrahmen: Eine knappe Frist bedeutet mehr Einsatz in kürzerer Zeit.
Deine Preistendenz in 5 Fragen: TISAX®-Rechner
Wie viel Zeit kostet TISAX® dein eigenes Team?
Mehr, als die meisten erwarten – und weniger, als viele befürchten, wenn das Projekt gut geführt ist. Der interne Aufwand hängt davon ab, wie viel deine Leute selbst schreiben, suchen und umsetzen müssen.
Rechne mit einer verantwortlichen Person, die das Projekt intern trägt, und mit Terminen für die Fachbereiche: IT, Personal, Einkauf, Haustechnik. Dazu kommen Schulungen für alle, die mit vertraulichen Informationen arbeiten, und ein internes Audit vor dem Assessment.
Wirst du von GEFIM begleitet, bleibt es für dich als Geschäftsführer bei einem Termin pro Woche, höchstens 30 Minuten, dazu Workshops von höchstens 90 Minuten. Die verantwortliche Person im Betrieb und die Umsetzung durch dein Team braucht es trotzdem.
Aus unseren Projekten wissen wir: Am meisten Zeit frisst nicht das Schreiben, sondern das Suchen. Wo liegt der letzte Wiederherstellungstest? Wer hat welche Zugänge? Welcher Dienstleister hat einen Schlüssel? Wenn du diese Fragen heute schnell beantworten kannst, sinkt dein interner Aufwand spürbar.
Welche Maßnahmen können zusätzlich Geld kosten?
Das hängt von deinen Lücken ab. Typisch sind Anpassungen bei Zugängen und Anmeldung, bei der Datensicherung, beim Schutz von Räumen und bei Schulungen. Bei Prototypenschutz kommen oft bauliche Maßnahmen dazu.
Nicht jede Lücke braucht neue Technik. Oft reicht eine Regel, eine Einstellung in vorhandener Software oder ein sauberer Ablauf. Lass dir deshalb vor jeder Anschaffung sagen, welche Anforderung im Katalog sie konkret erfüllt. So vermeidest du Käufe, die gut klingen, aber im Assessment niemand sehen will.
Für Prototypenschutz gilt: Sichtschutz, Zutrittskontrolle und abschließbare Bereiche sind häufige Themen. Mit VDA ISA 2027 kommen Anforderungen an die lückenlose Nachverfolgung von Teilen und an die Rückgabe oder Entsorgung dazu.
Wie sparst du, ohne das Assessment zu gefährden?
Am meisten sparst du durch einen sauberen Zuschnitt: nur die Prüfziele, die dein Kunde verlangt, nur die Standorte, die dazu gehören, und eine ehrliche Selbsteinschätzung vor dem Termin.
- Anforderung schriftlich klären: Frag deinen Kunden genau, welche Prüfziele er braucht.
- Scope bewusst schneiden: Jeder Standort im Scope wird geprüft und kostet.
- Vorhandenes nutzen: ISO 27001, Datenschutz-Unterlagen und IT-Dokumentation decken viele Fragen ab.
- Prüfdienstleister früh anfragen: Mehr Auswahl und bessere Termine.
- Ehrlich einschätzen: Jede entdeckte Lücke vor dem Termin spart eine Nachprüfung danach.
Wo du nicht sparen solltest: an der verantwortlichen Person und am internen Audit. Fehlt beides, wird das Assessment zum Glücksspiel – und die Nachprüfung teurer als die Vorbereitung.
Was kostet TISAX® nach dem Label?
Das Label gilt drei Jahre. Danach steht ein Re-Assessment an, mit neuem Prüfaufwand und den Gebühren laut ENX-Preisliste. Dazwischen kostet vor allem die Pflege deines Managementsystems Zeit.
Wer das System nach dem Assessment ruhen lässt, steht drei Jahre später wieder am Anfang. Plane deshalb feste Termine ein: Risiken jährlich prüfen, Schulungen wiederholen, Nachweise aktuell halten. Das kann intern laufen, oder ein externer Informationssicherheitsbeauftragter steuert es. Auch dann koordiniert jemand aus deinem Betrieb intern mit.
Klingt nach deinem Betrieb?
Du willst wissen, was dein TISAX®-Projekt ungefähr kostet? Auf der Seite zur TISAX®-Beratung bekommst du in fünf Fragen deine Preistendenz – und nach dem Readiness-Check einen festen Projektpreis, der zu deinem Betrieb passt.
TISAX®-Beratung: Preistendenz und Begleitung
Wenn du zuerst wissen willst, wo du stehst, ist der TISAX®-Readiness-Check der kleinere Einstieg.
Häufige Fragen
Gibt es für TISAX® einen Festpreis?
Einen Pauschalpreis für alle gibt es nicht – Größe, Standorte, Prüfziele und Ausgangslage unterscheiden sich zu stark. Seriös ist eine Spanne nach ein paar Fragen und danach ein Angebot, das zu deinem Betrieb passt. Bei GEFIM steht der Projektpreis für die Begleitung nach dem Readiness-Check fest, bevor das Projekt beginnt, und auf Wunsch zahlst du in Monatsraten. ENX-Gebühr und Prüfdienstleister bezahlst du getrennt.
Wer stellt welche Rechnung?
Die ENX berechnet die Registrierung deines Scopes. Der Prüfdienstleister berechnet das Assessment. Beratung, Technik und Schulungen bezahlst du an die jeweiligen Dienstleister. Eine einzige Gesamtrechnung gibt es bei TISAX® nicht.
Wird es teurer, wenn der Prüfer Abweichungen findet?
Meist ja. Nachprüfungen sind zusätzlicher Aufwand beim Prüfdienstleister, und die Maßnahmen kosten Zeit in deinem Team. Deshalb lohnt eine ehrliche Selbsteinschätzung vor dem Termin.
Quellen
Geschrieben von
Martin Solarczek
Geschäftsführer der GEFIM · Zuständig für: Informationssicherheit und Handwerk
Die Inhalte dieser Website dienen der allgemeinen Information und ersetzen keine Rechtsberatung im Einzelfall. GEFIM ist ein Beratungsunternehmen für Informationssicherheit und keine Rechtsanwaltskanzlei.
TISAX® ist eine eingetragene Marke der ENX Association.