Was kostet ein externer ISB? Preise, Vergleich und Rechenbeispiel 2026

Die kurze Antwort: zwischen 300 € und 4.000 € pro Monat — je nach Anbieter, Stundenkontingent und Leistungstiefe. Die ehrliche Antwort braucht etwas mehr Kontext, denn zwischen einem 300-€-Angebot und einer prüfungssicheren ISB-Betreuung liegen Welten.

Die drei Preisklassen am Markt

Einstiegsangebote (300–700 €/Monat): Hier wird meist nur die formale Bestellung samt Basisdokumenten geliefert. Für Unternehmen, die lediglich ein Kästchen ankreuzen müssen, kann das kurzfristig reichen — im Audit oder Schadenfall trägt eine so dünne Dokumentation aber selten.

Mittelstands-Segment (800–2.500 €/Monat): Die marktübliche Spanne für echte ISB-Arbeit: monatliche Regeltermine, ISMS-Pflege, jährliche Risikoanalyse, Board-Reporting. Unsere Pakete ISB Starter (790 €), Business (1.290 €) und Premium (2.190 €) liegen bewusst in dieser Klasse.

Premium-Anbieter (2.400–4.000+ €/Monat): Große Beratungshäuser mit entsprechendem Overhead. Die Leistung ist oft gut — der Preis enthält aber auch Konzernstrukturen, die ein Mittelständler nicht braucht.

Der Vergleich zur internen Vollzeitstelle

Ein angestellter ISB kostet in Deutschland 95.000 bis 130.000 € Jahresgehalt, plus rund 20 Prozent Lohnnebenkosten, plus Recruiting (10.000–25.000 € bei Headhunter-Besetzung), plus laufende Fortbildung und Zertifikate. Realistische Gesamtkosten: ab etwa 127.000 € pro Jahr — gegenüber 15.480 € für ein externes Business-Mandat.

Dazu kommt der Zeitfaktor: Der Arbeitsmarkt für Sicherheitsexperten ist leergefegt, Stellenbesetzungen dauern drei bis sechs Monate. Wer eine NIS-2-Frist, eine Policen-Verlängerung oder ein Kundenaudit vor sich hat, kann so lange nicht warten.

Was den Preis wirklich treibt

Seriöse Anbieter kalkulieren nach vier Faktoren: Geltungsbereich (ein Standort oder fünf?), ISMS-Reifegrad (Aufbau von null oder Pflege eines bestehenden Systems?), regulatorische Betroffenheit (NIS-2? KRITIS? TISAX?) und Branchenkomplexität (OT-Umgebungen im Maschinenbau kosten mehr Analysezeit als reine Office-IT).

Misstrauen ist angebracht, wenn ein Anbieter ohne Bedarfsanalyse einen Festpreis nennt — oder wenn das Stundenkontingent nirgends ausgewiesen ist.

Rechenbeispiel über drei Jahre

Ein Unternehmen mit 120 Mitarbeitenden, Ziel ISO-27001-Zertifizierung: Interne Lösung rund 380.000 € (Gehalt, Nebenkosten, Recruiting, Fortbildung) — externe Betreuung im Business-Paket rund 46.000 € zuzüglich projektbezogener Zusatzkontingente für die Zertifizierungsphase, gesamt etwa 60.000 €. Ersparnis: über 300.000 €, bei voller Nachweisfähigkeit ab Tag 10 statt ab Monat 6.

Fazit

Nicht der Monatspreis entscheidet, sondern die Frage: Hält die Dokumentation einem Audit, einem Versicherungsfall und einer Behördenprüfung stand? Genau daran sollten Sie jedes Angebot messen — unseres eingeschlossen.