ISMS認証(ISO27001)の取得費用の相場はいくら？種類・維持費・総額を解説

「ISMSを取ることになったが、うちの会社の規模だといくらかかるの？」

取引先からISO27001（ISMS）の取得有無を確認されて、調べ始めた方も多いはずです。

調べても金額がバラバラで、上司に出せる数字が見つからない。

ISMSの費用を調べ始めた担当者の多くが、ここで手を止めてしまいますよね。

ISMSの初年度の費用は、認証パートナーの公開料金で試算すると、審査だけなら約54〜124万円、支援を受けると約84〜274万円です。

ただし、ISMSの審査料金に全国一律の定価はありません。

認証機関のJQA（日本品質保証機構）も、人員数や事業所数などに応じて審査料金を算出すると案内しています。

本記事では、公開されている料金をもとに、取り方別・従業員数別の金額と取得から更新までの総額を整理しました。

＼相談は無料／

費用の説明は、認証機関・コンサル会社が公開している料金ページと公的資料を確認して整理しています。

ISMS認証(ISO27001)の取得費用の相場（取り方別・従業員数別）

初年度の総額は、取り方と従業員数でおよそ決まります。

まず取り方別の表で全体の幅をつかみ、次に自社の人数の行を見ると迷いません。

取り方別の初年度と毎年の費用

初年度の費用は、認証パートナーの公開料金での試算で、審査だけなら約54〜124万円、運用まで支援を受けると約104〜274万円です。

取り方	初年度の支払い目安	毎年の審査費用	向いている会社
審査だけ受ける	約54〜124万円	約24〜48万円	社内にISMSの経験者がいる
助言の支援を受ける	約84〜174万円	約24〜48万円	一部は自社で回せる
運用まで支援を受ける	約104〜274万円	約24〜48万円	短期間で取りたい

初年度は、初回審査にコンサル費用の1年分を足した金額です。

毎年の欄は、維持審査1回分の審査費用だけを載せています。

コンサルを続ける場合の年額は、「ISMS認証(ISO27001)コンサル費用の相場と支援範囲」の章で整理しました。

金額に幅が出る理由は、次の2つです。

• 審査費用とコンサル費用は、別の会社に支払う
• コンサルの支援範囲が、会社ごとに違う

何が含まれた金額なのかをそろえないと、見積もりは比べられません。

従業員数別の審査費用（初回・維持・更新）

初回審査の費用は、認証パートナーの概算で従業員1〜10名なら53.5万円、86〜125名なら124万円です。

従業員数の区分ごとの金額は、次のとおりです。

従業員数	初回審査	維持審査（1回あたり）	更新審査
1〜10名	535,000円	240,000円	410,000円
11〜15名	640,000円	290,000円	470,000円
16〜25名	710,000円	320,000円	520,000円
26〜45名	880,000円	350,000円	600,000円
46〜65名	1,020,000円	440,000円	670,000円
66〜85名	1,090,000円	440,000円	790,000円
86〜125名	1,240,000円	480,000円	840,000円

表の金額は、一次審査（文書審査）・二次審査（現地審査）・ISO登録料の合計です。

審査員の交通費・宿泊費は含まれていません。

どれも審査費用の平均なので、実際の見積もりとは大きく異なる場合があります。

維持審査の金額は1回あたりで、取得から更新までに2回分が必要です。

別の会社の公開情報とも、水準は近くなっています。

オプティマ・ソリューションズは、初回審査の相場を50万〜100万円程度としています（交通費・宿泊費を除く）。

ただし、どちらも各社が公開している目安で、認証機関を変えれば金額も変わります。

2社の公開情報は近い水準なので、予算の目安としては使えます。

ISMS認証(ISO27001)の費用の種類と内訳（審査・コンサル・社内）

ISMSの費用は、支払い先で3つに分かれます。

見積書に載るのは上の2つだけで、3つ目は自社で見積もるしかありません。

認証機関に支払う審査費用

認証機関に支払う審査費用は、取得するならどの会社にもかかる費用です。

審査をする認証機関と、取得を支援するコンサル会社とは、別々に契約します。

見積書を受け取ったら、次の項目が含まれているかを確認しましょう。

• 申請料・登録料
• 1回目の審査（書類がそろっているかを見る審査）
• 2回目の審査（現場で運用できているかを見る審査）
• 審査員の交通費・宿泊費
• 年間の登録維持料

交通費や宿泊費が別建てになっている場合、遠方の認証機関を選ぶと総額が変わります。

審査費用は、見積書の項目まで分けて確かめると比べやすくなります。

コンサル会社に支払う支援費用

コンサル費用は、使うかどうかを自社で決められる費用です。

審査費用と違い、使わなければ発生しません。

同じ100万円でも、文書のひな形を渡すだけの会社と、リスクの評価から内部監査まで伴走する会社では中身が違います。

コンサル費用は、金額より含まれる作業で比べましょう。

支援範囲ごとの相場は、次の章「ISMS認証(ISO27001)コンサル費用の相場と支援範囲」で整理しています。

社内の対応費と自社のセキュリティ対策費

見積書には載らないのに、実際には重くなりやすいのが社内の対応費です。

ISMSでは、次の作業を社内で行います。

• 情報資産の洗い出し
• どこにどんな危険があるかの評価
• 規程の整備と社内への周知
• 従業員への教育
• 社内で行う点検と記録の整備

担当者がこれらに割く時間は、人件費として発生します。

自力で取得すると、支払う金額は減っても、この負担は増えるのが実情です。

これとは別に、多要素認証・ログの管理・バックアップ・端末の管理などのツール費がかかる場合もあります。

規格が特定の製品の導入を求めているわけではなく、自社のリスクに応じて対策を選ぶ形です。

ISMSがなくても必要だった対策が多く、認証の費用と混ぜると実際より大きく見えます。

そのため本記事では、ツール費を認証の費用と分けて考えます。

ISMS認証(ISO27001)コンサル費用の相場と支援範囲

公開されている相場は2区分ですが、比べるときは3段階で考えると分かりやすくなります。

3段階の中身と費用の目安は、次のとおりです。

段階	含まれる作業	費用の目安	向いている会社
規程の整備だけ	規程・文書のひな形と作成支援	30〜50万円／年	担当者がいて、運用は自社で回せる
リスクの評価と内部監査まで	情報資産の洗い出し・リスクの評価・内部監査の支援・審査への同席	50〜150万円／年	初めてISMSに取り組む
取得後の運用支援まで	上記に加え、毎年の維持審査への対応と運用の支援	50〜150万円／年（2段目と同じ区分）	担当者を兼任でしか置けない

公開されている相場は「アドバイスのみ」と「アドバイス＋運用サポート」の2区分なので、2段目と3段目は同じ幅になります。

下にいくほど支援が厚くなり、社内に担当を置けるかどうかで選ぶ段階が決まります。

規程の整備だけを支援してもらう

規程の整備だけの支援は、文書のひな形提供と作成支援が中心です。

費用は抑えられますが、運用と記録は自社で回す形です。

情報セキュリティの担当者がいて、社内の合意形成も自分たちで進められる会社に向いています。

規程を受け取っただけでは運用まで進まない、という状態になりやすい点には注意が必要です。

この段階を選ぶ前に、運用を自社で回せるかを確かめましょう。

リスクの評価と内部監査まで支援してもらう

ISMS特有の工程まで任せたいなら、リスクの評価と内部監査まで含む支援が合います。

情報資産の洗い出しと危険の評価は、ISO9001にはないISMS固有の工程です。

初めて取り組む会社が、つまずきやすい部分でもあります。

この段階を比べるときは、次の3点を見てください。

• 成果物として何が残るか（台帳・評価表・監査報告書など）
• 打ち合わせの回数と、1回あたりの時間
• 担当するコンサルタントの経験

比べるのは、価格ではなく成果物・打ち合わせ回数・担当者の経験です。

取得後の運用支援まで含める

取得後の運用支援まで含めると、毎年の審査対応まで伴走してもらえます。

含まれる範囲は、次のとおりです。

• 毎年の維持審査への対応
• 社内で行う点検の実施支援
• 経営層による見直しの運営支援

初年度の金額は高くなりますが、2年目以降の社内負担は軽くなります。

比べるときは初年度の安さではなく、取得から更新までの総額で見ましょう。

3年総額で比べる例として、料金を一括で公開している会社もあります。

Pマーク・ISMSの取得支援を専門にするUPFの「ISMSおまかせパック」は、取得支援が65.8万円〜（税込）の一括料金です。

月額の費用はかからず、取得後から次回の更新審査までのサポートも追加料金なしとしています。

見積もりと取得までの工程表は無料で出してもらえるので、料金に審査費用が含まれるかも確認しておきましょう。

＼見積もりは無料／

支援の厚さを決めたら、依頼先の比べ方は別記事「ISOコンサル会社のおすすめ5選｜費用・支援範囲と失敗しない選び方」をご覧ください。

ISMS認証(ISO27001)取得後の維持費と3年総額（従業員規模別）

認証を取ったあとも、毎年の審査費用がかかります。

審査の順番を押さえると、自社の人数に近い総額が読み取りやすくなります。

毎年の維持審査と、有効期限前の更新審査

取得後は維持審査を2回受け、有効期限が切れる前に更新審査を受けます。

ISMS-AC（情報マネジメントシステム認定センター）の制度案内によると、認証の有効期限は3年です。

それぞれの金額は、従業員数別の審査費用の表のとおりです。

審査料のほかに、是正対応・内部監査・従業員教育・記録の整備といった作業も毎年発生します。

3年のあいだに人数・拠点・認証範囲が変われば、更新時の見積もりも取得時と同じにはなりません。

予算には、取得の年だけでなく維持と更新の分まで入れておく必要があります。

維持審査と更新審査の仕組みは、別記事「ISMS・ISO27001とは？認証の仕組みと基本を解説」をご覧ください。

10名・20名・40名の3年総額（1拠点の場合）

20名の会社の総額は、公開料金での試算で審査だけなら187万円、運用まで支援ありで337〜637万円です。

ここでは、1拠点で全社を認証範囲にする会社を前提にしています。

人数	審査だけ	審査＋助言（初年度のみ）	審査＋運用まで支援（3年）
10名	142.5万円	172.5〜192.5万円	292.5〜592.5万円
20名	187万円	217〜237万円	337〜637万円
40名	218万円	248〜268万円	368〜668万円

審査費用は、初回審査・維持審査2回・更新審査を足した金額です。

助言は初年度の1年分（30〜50万円）、運用まで支援は3年分（150〜450万円）を足しました。

社内の担当者の人件費は、含めていません。

20名の会社が初回審査の71万円だけで予算を組むと、取得から更新までの審査費用はその約2.6倍になります。

予算は、取得から更新までの総額で組んでおくと外しません。

拠点が複数ある会社は、「事業所・拠点・リモート勤務」の項目もあわせて読んでおきましょう。

＼相談は無料／

相談では会社の状況を聞き取ったうえで、自社に合う進め方を提案してもらえます。

ISMS認証(ISO27001)の費用が決まる5つの条件

審査費用は、審査の日数と認証機関ごとの料金で決まるため、条件を伝えて見積もりを取らないと正確な金額は出ません。

上の3つ（範囲・人数・拠点）で、見積もりの骨格が決まります。

ISMSの認証範囲

どの部門・どのサービスを対象にするかが、費用に最も大きく影響します。

全社で取るのか、特定の事業部だけで取るのかで、人数も拠点も変わります。

ただし、費用を下げる目的だけで範囲を狭めるのは避けてください。

取引先が求めている範囲を外すと、認証を取っても目的を果たせません。

判断の順番は、取引先の要求を確認し、満たせる最小の範囲を決めてから見積もりを取る流れです。

範囲は、取引先の要求から逆算して決めるのが基本です。

範囲の決め方の手順は、別記事「ISMS取得の流れを10ステップで解説｜期間・難易度・必要書類」をご覧ください。

審査の対象になる人数

審査の人数は、全従業員数ではなく、認証範囲に含まれる人数で決まります。

全社で200名いても、認証を取るのが開発部門の40名だけなら、審査の対象は40名です。

迷いやすいのは、正社員以外の扱いです。

• パート・アルバイト
• 派遣社員
• 業務委託・常駐しているパートナー会社の要員

これらを人数に含めるかどうかは、実際の関与のしかたによって判断が変わります。

見積もりを頼むときは、各社へ同じ前提を伝えるのが比較の条件です。

事業所・拠点・リモート勤務

審査の対象になる拠点が増えると、審査の日数と旅費が増えます。

整理しておく項目は、次のとおりです。

• 本社・支社の数と所在地
• 開発拠点やデータセンターの有無
• 客先常駐している要員がいるか
• 在宅勤務を採用しているか

在宅勤務が中心の会社では、オフィスの数だけでは実態を表せません。

ただし、拠点が増えたぶんだけ審査費用が比例して増えるわけではありません。

複数の拠点を持つ組織では、一部の拠点を抜き出して審査する「サンプリング」が認められています。

使えるのは、各拠点が似た業務を行い、1つの仕組みのもとで運用されている場合です。

訪問する拠点が絞られても、交通費・宿泊費は実際に行った分だけかかります。

見積もりの段階で、何拠点を訪問する前提かを聞いておきましょう。

システムと事業の複雑さ

使っているシステムと扱う情報の性質によって、審査で確認される範囲が変わります。

見積もりの段階で聞かれやすいのは、次の点です。

• 利用しているSaaSの種類と数
• 自社で開発・運用しているシステムがあるか
• クラウド基盤をどう使っているか
• ネットワークの構成と外部接続

顧客のシステムを預かる受託開発や、金融・医療の情報を扱う事業では、審査で見られる範囲が広がります。

一方で、「IT企業だから必ず高い」というわけではありません。

クラウドサービス向けのISO27017は、ISO27001とは別の認証で、費用に自動的には含まれません。

扱う情報が限られていれば、規模相応の費用に収まります。

コンサルの支援範囲

コンサルの支援をどこまで受けるかでも、総額は大きく変わります。

規程の整備だけなら30〜50万円／年、運用サポートまで含めると50〜150万円／年が公開されている相場です。

自社で回せる作業が多いほど、支援は薄くて構いません。

支援の厚さは、社内に担当者を置けるかで決まります。

支援範囲ごとの中身は、「ISMS認証(ISO27001)コンサル費用の相場と支援範囲」の章で整理しています。

ISMS認証(ISO27001)の費用を抑える3つの方法

支払う金額を減らす方法は、おもに3つあります。

範囲の固め方と複数社の比べ方は、次の章の手順で扱います。

今ある規程・台帳・記録を棚卸しする

今ある規程や台帳を棚卸しすると、支援が必要な範囲を絞れます。

すべてを新しく作る前提で見積もりを取ると、費用が膨らみます。

すでに何らかの社内規程や資産の台帳がある会社も、少なくありません。

それらを整理してから相談すると、作り直す範囲が小さくなります。

相談の前の一手は、今あるものの一覧づくりです。

社内でやる作業と任せる作業を分ける

得意な作業は自社で持ち、経験が要る作業だけ任せると、費用を抑えられます。

知識がある部分まで委託すると、その分だけ費用がかさみかねません。

社内に情報システムの担当者がいるなら、資産の洗い出しは自社でできる場合もあります。

一方、リスクの評価や内部監査は経験が要る作業です。

洗い出しは自社で行い、評価と内部監査だけ支援を受ける分け方が、費用と品質を両立しやすい形です。

補助金は申請時期と対象を先に確認する

補助金には、取得したあとでは申請できない制度があります。

自治体によっては、ISO・ISMSの認証取得費用が補助の対象です。

対象になる規格・費用・申請の時期は、制度ごとに違います。

• 申請が認証取得の前に必要かどうか
• ISO27001が対象規格に含まれているか
• 対象になる費用の範囲（審査費用のみか、コンサル費用も含むか）
• 受付期間と予算の上限

制度の内容は、年度ごとに変わります。

最新の受付状況は、自治体の公式ページで確認しましょう。

自社のISMS認証(ISO27001)の費用を見積もる5ステップ

見積もりを頼む前に、次の5つを順番に整理してください。

この5つを埋めた紙が、そのまま見積もり依頼書になります。

＼相談は無料／

ISOプロの料金は月額4万円〜で、プラン・事業規模・契約年数によって変わります。

ISMS認証(ISO27001)の費用に関するよくある質問

ISMSの費用について、よく聞かれる質問をまとめました。

ISO27001（ISMS）の取得費用は結局いくらですか？

認証パートナーの公開料金で試算した初年度の目安は、審査だけで約54〜124万円、助言ありで約84〜174万円、運用支援ありで約104〜274万円です。審査料金に全国一律の定価はないため、正確な金額は自社の条件を伝えて見積もりを取る必要があります。

ISMSの審査費用だけではいくらですか？

認証パートナーが公開している初回審査の概算は、1〜10名で53.5万円・11〜15名で64万円・16〜25名で71万円・26〜45名で88万円です。審査員の交通費・宿泊費は含まれていません。

ISMSコンサルの費用には何が含まれますか？

含まれる作業は、会社によって違います。認証パートナーが公開している相場は、助言のみで30〜50万円／年、運用サポートまで含めると50〜150万円／年です。規程の作成・リスクの評価・内部監査の支援・審査への同席・取得後の運用支援のどこまでが含まれるかを、見積もりの段階で確認してください。

ISO27001の維持費・更新費用はいくらですか？

認証パートナーの公開料金では、維持審査（1回あたり）が1〜10名で24万円・11〜15名で29万円・16〜25名で32万円・26〜45名で35万円です。更新審査は同じ区分で、41万円・47万円・52万円・60万円です。審査料のほかに、内部監査・教育・記録の整備といった作業も毎年発生します。

ISO27001は自力で取得できますか？

自力での取得もできますが、認証機関に支払う審査費用はかかります。自社で取れるかの判断の分かれ目は、別記事「ISMS取得の流れを10ステップで解説｜期間・難易度・必要書類」をご覧ください。

ISO27001はISO9001より費用が高いですか？

同じ人数で比べると、ISO27001のほうが高くなりやすい傾向です。情報資産の洗い出しとリスクの評価という工程が加わり、対象になるシステムの範囲も広がります。規格ごとの費用の違いは、別記事「ISO取得費用はいくら？規格別の相場・審査費用・維持費を解説」をご覧ください。

ISO27001の取得費用の勘定科目は何ですか？

どの科目を使うかは、会社の会計方針によって変わります。実務では「支払手数料」「外注費」などで処理されることがあります。税務上の扱いは、別記事「ISO取得費用はいくら？規格別の相場・審査費用・維持費を解説」の勘定科目の章をご覧ください。最終的な判断は、自社の経理担当者や税理士に確認しましょう。

まとめ：ISMS認証(ISO27001)の費用は取得から更新までの総額で比べる

本記事のまとめです。

ISMSの費用は、初回審査の金額だけでは判断できません。

取得から更新までの総額を同じ条件で並べると、自社に合う取り方が見えてきます。

＼相談は無料／

5ステップで整理した紙をそのまま渡すと、話が一度で進みます。