ISMS認証(ISO27001)の取得費用の相場はいくら？種類・維持費・総額を解説

「ISMSを取ることになったが、うちの会社の規模だといくらかかるの？」

取引先からISO27001（ISMS）の取得有無を確認された、セキュリティチェックシートの回答が追いつかない。そうした事情で調べ始めたとき、最初にぶつかるのがこの疑問です。

調べても金額がバラバラで、上司に出せる数字が見つからない。

ISMSの費用を調べ始めた担当者の多くが、ここで手を止めます。

結論からお伝えします。

ISO27001の審査料金に全国一律の定価はなく、人数・拠点・認証範囲・システムの複雑さ・支援範囲の5つで変わります。

国内最大手の認証機関であるJQA（日本品質保証機構）も、ISO27001の料金表は公開しておらず、対象組織の人員数や事業所数に応じて算出すると案内しています。

本記事では、公開されている料金の実例を示したうえで、自社の条件に当てはめて読み替えられる形まで整理しました。取得時の金額だけでなく、毎年の維持費と3年総額まで扱います。

＼自社の人数・拠点・取得範囲で費用を確認／

費用の説明は、認証機関・コンサル会社が公開している料金ページと公的資料を確認して整理しています。

ISMS認証(ISO27001)の取得費用の相場

取得方法によって、初年度の総額は50万円台から300万円台まで開きます。

まず、自社に近い行を見てください。

取り方	初年度の支払い目安	毎年の支払い目安	社内の手間	向いている会社
審査だけ受ける（自社主導）	50〜130万円	20〜50万円	大きい	社内にISMS経験者がいる
一部だけ支援を受ける	90〜250万円	50〜100万円	中くらい	一部は自社で回せる
取得まで一貫して支援を受ける	130〜330万円	70〜150万円	抑えやすい	短期間で確実に取りたい

中小企業でこれから取得する場合、多くは表の上2行に収まります。従業員100名を超える、または拠点が複数ある会社では、下の行に近づきます。

この幅の正体は、次の2つです。

1つ目は、審査費用とコンサル費用が別の会社に支払うものであること。

2つ目は、コンサルの支援範囲が会社ごとにまったく違うことです。

つまり「ISMSの費用」と一言で言っても、何が含まれた金額なのかを揃えないと比較できません。

まず認証機関に支払う金額の実例を示し、そのうえで3年で見たときにいくらになるかを確かめます。

審査費用の公開されている実例

認証機関に支払う審査費用は、従業員数の区分ごとに料金を公開している会社があります。

数字を追える形で示します。

従業員数	初回審査	毎年の維持審査	3年目の更新審査
1〜10名	535,000円	210,000円	400,000円
11〜25名	640,000円	290,000円	470,000円
26〜45名	880,000円	340,000円	600,000円
45〜65名	1,020,000円	440,000円	670,000円
66〜85名	1,090,000円	440,000円	790,000円
86〜125名	1,240,000円	480,000円	840,000円

別の会社の公開情報とも、大きくは食い違いません。

オプティマ・ソリューションズは、初回審査の相場を50万〜100万円程度としています（交通費・宿泊費を除く）。

内訳は、数名の企業で60万円前後、100名程度で100万円前後です。

2社の公開情報が近い水準にあることから、小規模なら50〜60万円台、100名規模で100万円前後という審査費用の目安は、ある程度信頼して使えます。

ただし、これはあくまで各社が自社の実績をもとに公開している目安です。認証機関を変えれば金額も変わります。

3年総額で見ないと予算を外す

ISMSの費用は、取得した年だけでは終わりません。

認証を持ち続けるには毎年の審査が必要で、3年目には更新審査が来ます。

たとえば従業員20名の会社が審査費用だけを見ると、次のようになります。

年	内容	審査費用
1年目	初回審査	640,000円
2年目	維持審査	290,000円
3年目	維持審査＋更新審査	290,000円＋470,000円
3年合計		1,690,000円

取得時の64万円だけを予算に組むと、3年で見たときに2.6倍の開きが出ます。

＼取得時と維持費を合わせて確認／

ISMS認証(ISO27001)の費用が決まる5つの条件

審査費用は「審査にかかる日数 × 1日あたりの料金」で決まります。

このうち日数は、ISO/IEC 27006-1という国際規格をもとに認証機関が算定します。ISMSの審査をして認証を出す機関が守るべき要求事項を定めた規格で、現行版は2024年に発行されたISO/IEC 27006-1:2024です。

国内では、ISMS-AC（情報マネジメントシステム認定センター）が認証機関を認定しており、2024年版への移行にあたっての指針を公開しています。

ここで注意が必要なのは、ISO9001やISO14001で使われる審査日数の基準（IAF MD 5）は、ISO27001には適用されないという点です。

他の規格の日数表をISMSに当てはめても、正しい目安にはなりません。

一方、1日あたりの料金は各認証機関が公開していません。国内最大手のJQA（日本品質保証機構）も、料金表ではなく個別の算出としています。

これが、どのサイトを見ても金額が幅でしか書かれていない理由です。

では、その幅のどこに自社が入るのか。 それを決めるのが、次の5つの条件です。

影響が大きい順に並べています。上の3つ（人数・拠点・認証範囲）が決まれば、見積もりの骨格はほぼ固まります。

審査の対象になる人数

全従業員数ではなく、認証範囲に含まれる人数で決まります。

全社で200名いても、認証を取るのが開発部門の40名だけなら、審査の対象は40名です。

このとき迷いやすいのが、正社員以外の扱いです。

• パート・アルバイト
• 派遣社員
• 業務委託・常駐しているパートナー会社の要員

これらを人数に含めるかどうかは、実際の関与のしかたによって判断が変わります。

見積もりを依頼するときに、各社へ同じ前提を伝えてください。

事業所・拠点・リモート勤務

審査の対象になる拠点が増えると、審査にかかる日数と旅費が増えます。

整理しておく項目は、次のとおりです。

• 本社・支社の数と所在地
• 開発拠点やデータセンターの有無
• 客先常駐している要員がいるか
• 在宅勤務を採用しているか

在宅勤務が中心の会社では、オフィスの数だけでは実態を表せません。

どこで情報を扱っているかを説明できるようにしておくと、見積もりの精度が上がります。

ISMSの認証範囲

どの部門・どのサービスを対象にするかが、費用に最も大きく影響します。

全社で取るのか、特定の事業部だけで取るのか？ここで人数も拠点も変わるため、金額が動きます。

ただし、費用を下げる目的だけで範囲を狭めるのは避けてください。取引先が求めている範囲を外してしまうと、認証を取っても目的を果たせません。

判断の順番は、取引先の要求を確認する → 満たせる最小の範囲を決める → 見積もりを取るです。

システムと事業の複雑さ

使っているシステムと、扱っている情報の性質によって、確認される範囲が変わります。

見積もりの段階で聞かれやすいのは、次の点です。

• 利用しているSaaSの種類と数
• 自社で開発・運用しているシステムがあるか
• クラウド基盤をどう使っているか
• ネットワークの構成と外部接続

事業の内容も影響します。受託開発で顧客のシステムを預かる、金融や医療の情報を扱う、個人情報を大量に保有する。こうした事業では、審査で見られる範囲が広がります。

一方で、「IT企業だから必ず高い」というわけではありません。扱う情報が限られていれば、規模相応の費用に収まります。

なお、クラウドサービス向けの追加認証であるISO27017は、ISO27001とは別の認証です。ISO27001の費用に自動的に含まれるものではありません。

コンサルの支援範囲と今ある体制

同じ「コンサル費用」でも、含まれる作業がまったく違います。

確認すべきなのは、次のどこまでが含まれるかです。

• 規程・文書の作成支援
• 情報資産の洗い出しとリスクの評価
• 社内で行う点検（内部監査）の支援
• 審査への同席
• 取得後の運用支援

すでに情報セキュリティ規程や資産台帳がある会社なら、支援が必要な範囲は狭くなります。

今あるものを棚卸ししてから相談すると、見積もりが下がることがあります。

ISMS認証(ISO27001)の費用の種類と内訳

ISMSの費用は「審査費用・コンサル費用・社内の対応費」の3つに分かれます。

支払い先が違うため、見積書も別々に届きます。

このうち見積書に載るのは上の2つだけです。3つ目の社内の対応費は、自社で見積もるしかありません。

順に見ていきます。

認証機関に支払う審査費用

取得するなら必ずかかる費用です。

まず前提として、審査をする認証機関と、取得を支援するコンサル会社はまったく別の会社です。

見積書を受け取ったら、次の項目が含まれているかを確認してください。

• 申請料・登録料
• 1回目の審査（書類がそろっているかを見る審査）
• 2回目の審査（現場で運用できているかを見る審査）
• 審査員の交通費・宿泊費
• 年間の登録維持料

交通費や宿泊費が別建てになっている場合、遠方の認証機関を選ぶと総額が変わります。

コンサル会社に支払う支援費用

取得を支援してもらう場合に、認証機関とは別の会社へ支払う費用です。

使うかどうかは自社の判断で、審査費用のように必ず発生するものではありません。

金額の幅が大きいのは、含まれる作業が会社ごとにまったく違うためです。同じ「100万円」でも、文書のひな形を渡すだけの会社と、リスクの評価から内部監査まで伴走する会社では中身が違います。

支援範囲ごとの相場は、ISMSコンサル費用の相場と支援範囲で詳しく扱います。

社内の対応とセキュリティ対策費用

見積書には載らないのに、実際にはいちばん重い費用です。

ISMSでは、次の作業を社内で行います。

• 情報資産の洗い出し
• どこにどんな危険があるかの評価
• 規程の整備と社内への周知
• 従業員への教育
• 社内で行う点検と記録の整備

担当者がこれらに割く時間は、人件費として発生します。自力で取得すれば支払う金額は減りますが、この負担は増えます。

さらに、今の体制に足りない部分があれば、仕組みを入れる費用が別に必要になることもあります。多要素認証、ログの管理、バックアップ、端末の管理などです。

ただし、規格が特定の製品の導入を求めているわけではありません。自社のリスクに応じて、必要な対策を選ぶ形になります。

ISMS認証(ISO27001)コンサル費用の相場と支援範囲

コンサル費用は、支援の深さによって3つに分かれます。

公開されている相場は、次のとおりです。

支援の範囲	費用の目安
助言のみ	30〜50万円／年
助言＋運用サポート	50〜150万円／年

ただし、この2区分では自社に必要な支援がどれかまでは決まりません。比較するのは金額ではなく、成果物と打ち合わせ回数です。

実務では、次の3段階で考えると判断しやすくなります。

下にいくほど支援が厚くなり、費用も上がります。社内に担当を置けるかどうかで、どこを選ぶかが決まります。

規程の整備だけを支援してもらう

文書のひな形提供と作成支援が中心のプランです。

費用は抑えられますが、運用と記録は自社で回すことになります。

情報セキュリティの担当者がいて、社内の合意形成も自分たちで進められる会社に向いています。

逆に、規程を受け取っただけでは運用まで進まない、という状態になりやすい点には注意が必要です。

リスクの評価と内部監査まで支援してもらう

ISMS特有の作業まで含めるプランです。

情報資産の洗い出しと危険の評価は、ISO9001にはないISMS固有の工程で、初めて取り組む会社がつまずきやすい部分でもあります。

このプランを比較するときは、価格ではなく次を見てください。

• 成果物として何が残るか（台帳・評価表・監査報告書など）
• 打ち合わせの回数と、1回あたりの時間
• 担当するコンサルタントの経験

取得後の運用支援まで含める

認証を取った後も、毎年の審査対応まで伴走してもらうプランです。

含まれる範囲は次のようなものです。

• 毎年の維持審査への対応
• 社内で行う点検の実施支援
• 経営層による見直しの運営支援

初年度の金額は高くなりますが、2年目以降の社内負担は軽くなります。初年度の安さではなく、3年総額で比べてください。

なお、どのコンサル会社を選ぶかについては、ISOコンサルの選び方とおすすめ比較で解説しています。

ケース別・3年間の費用シミュレーション

同じ「ISMSを取る」でも、条件が変われば総額はここまで変わります。

3つのケースで、3年間の内訳を並べます。

自社に近いケースだけ読んでも構いません。3つ目は、人数だけでは費用が決まらないことがはっきり出る例です。

10〜20名・1拠点・一部支援のケース

小規模なSaaS企業を想定します。

費目	3年間の合計
審査費用	約169万円
コンサル費用（助言中心・初年度のみ）	30〜50万円
社内の対応費	担当者の工数
合計（社内工数を除く）	約199〜219万円

30〜50名・複数部門・一貫支援のケース

開発・営業・管理の3部門を認証範囲に含める想定です。

費目	3年間の合計
審査費用	約182万円
コンサル費用（運用支援あり・3年）	150〜450万円
社内の対応費	担当者の工数（軽くなる）
合計（社内工数を除く）	約332〜632万円

コンサル費用の幅が大きいのは、支援範囲が会社ごとに違うためです。ここは見積もりで確定させる必要があります。

複数拠点・広い認証範囲のケース

人数だけでは費用が決まらないことが、はっきり出るケースです。

同じ50名でも、次の条件が加わると金額は上振れします。

• 拠点が3か所以上あり、それぞれ審査が必要
• 遠方の拠点があり、審査員の交通費・宿泊費がかかる
• 委託先の管理まで認証範囲に含める
• 自社開発のシステムが複数ある

ただし、拠点が増えたぶんだけ審査費用が比例して増えるわけではありません。

複数の拠点を持つ組織では、毎回すべての拠点を審査するのではなく、一部を抜き出して審査する「サンプリング」が認められています。

訪問する拠点の最小限の数は、国際的な基準で次のように定められています。

審査の種類	訪問する拠点の数（xは拠点の総数）
初回審査	√x を切り上げた数
毎年の維持審査	0.6√x を切り上げた数
更新審査	初回と同じ（有効性が示されていれば0.8√x）

つまり、4拠点なら初回審査で2拠点、9拠点でも3拠点です。拠点数が2倍になっても、審査する拠点は2倍にはなりません。

ISMSでも同じ考え方が使われ、国内ではISMS-ACが認証機関向けの実施指針を公開しています。

注意したいのは、サンプリングが認められるのは、各拠点が似た業務を行い、1つの仕組みのもとで運用されている場合だという点です。

拠点ごとに事業内容が違えば、それぞれが審査の対象になります。

また、訪問する拠点が絞られても、交通費・宿泊費は実際に行った分だけかかります。遠方に拠点がある場合は、この費用を見積もりに含めてもらってください。

ISMS認証(ISO27001)取得後の維持費・更新費用

認証を取ったあとも、毎年費用が発生します。

「取得費用」だけを調べて予算を組むと、翌年から想定外の支出になります。

上の2つは認証を維持するために必ずかかる費用です。3つ目は自社のセキュリティ対策の費用なので、分けて考えてください。

毎年の維持審査にかかる費用

認証を維持できているかを確認するため、毎年審査を受けます。

公開されている料金では、従業員1〜10名で21万円、11〜25名で29万円、26〜45名で34万円です。

ただし、かかるのは審査料だけではありません。指摘があった場合の是正対応、社内で行う点検、従業員教育、記録の整備といった作業が毎年発生します。

3年目の更新審査にかかる費用

認証の有効期間は3年で、3年目に更新審査があります。

更新審査の費用は、従業員1〜10名で40万円、11〜25名で47万円、26〜45名で60万円が公開されています。維持審査より高く、初回審査よりは低い水準です。

注意したいのは、3年のあいだに会社が変われば、更新時の見積もりも変わるという点です。

人数が増えた、拠点が増えた、認証範囲を広げた。こうした変化があれば、金額は取得時と同じにはなりません。

運用とツールにかかる継続費用

ここは「認証の費用」と分けて考えてください。

ISMSを運用するなかで、次のような支出が発生することがあります。

• 従業員への教育
• ログを保管する仕組みの利用料
• バックアップの費用
• 端末を管理する仕組みの費用

これらは認証を維持するための直接の費用ではなく、自社のセキュリティ対策そのものの費用です。ISMSがなくても必要だったものが多く含まれます。

見積もりを比べるときは、この2つを混ぜないでください。混ぜると、認証にかかる費用が実際より大きく見えます。

ISMS認証(ISO27001)の費用を抑える5つの方法

支払う金額を減らす方法は、大きく5つあります。

効果が大きいのは最初の2つで、見積もりを取る前に手を打てます。残りの3つは、依頼先を決める段階で効いてきます。

認証の目的から適用範囲を先に固める

範囲が決まらないまま進めると、あとから作業のやり直しが発生します。

先に確認するのは、取引先が求めている範囲です。

「全社の認証」を求められているのか、「特定のサービスの認証」で足りるのか。ここが決まれば、対象人数も拠点も自動的に決まります。

今ある規程・台帳・記録を棚卸しする

すべてを新しく作る前提で見積もりを取ると、費用が膨らみます。

多くの会社には、すでに何らかの社内規程や資産の台帳があります。

それらを整理してから相談すると、支援が必要な範囲を絞れます。

同じ条件で2〜3社を比較する

人数・拠点・認証範囲・支援範囲を統一して依頼してください。

条件が違えば金額も違って当然で、それでは比較になりません。

統一したうえで、初年度の金額と3年総額の両方で並べます。

社内でやる作業と任せる作業を分ける

知識がある部分まで委託すると、その分だけ費用が増えます。

社内に情報システムの担当者がいるなら、資産の洗い出しは自社でできるかもしれません。

一方、リスクの評価や内部監査は経験が要る作業です。

得意な部分は自社で持ち、経験が必要な部分だけ支援を受けるのが、費用と品質の両立しやすい形になります。

補助金は申請時期と対象を先に確認する

取得したあとでは申請できない制度があります。

自治体によっては、ISO・ISMSの認証取得費用に補助金を出しています。

ただし、対象になる規格・対象になる費用・申請の時期は制度ごとに違います。

• 申請が認証取得の前に必要かどうか
• ISO27001が対象規格に含まれているか
• 対象になる費用の範囲（審査費用のみか、コンサル費用も含むか）
• 受付期間と予算の上限

制度の内容は年度ごとに変わります。必ず自治体の公式ページで、最新の受付状況を確認してください。

自社のISMS認証(ISO27001)を見積もる5ステップ

費用を知っただけでは、予算は組めません。

見積もりを依頼するために必要な情報を、この順番で整理してください。

この5つを埋めた紙が、そのまま見積もり依頼書になります。順に進めてください。

＼認証範囲が未確定でも相談可能／

ISMS認証(ISO27001)の費用に関するよくある質問

ISO27001（ISMS）の取得費用は結局いくらですか？

取り方によって幅があります。審査だけを受ける場合は初年度50〜130万円、コンサルの支援を含めると130〜330万円が目安です。ただし認証機関が1日あたりの料金を公開していないため、正確な金額は自社の条件を伝えて見積もりを取る必要があります。

ISMSの審査費用だけではいくらですか？

公開されている料金では、従業員1〜10名で535,000円、11〜25名で640,000円、26〜45名で880,000円です。別の会社も初回審査の相場を50万〜100万円程度としており、水準は近くなっています。交通費・宿泊費が別途かかる場合があります。

ISMSコンサルの費用には何が含まれますか？

会社によって違います。助言のみであれば30〜50万円／年、運用サポートまで含めると50〜150万円／年が公開されている相場です。規程の作成、リスクの評価、内部監査の支援、審査への同席、取得後の運用支援のどこまでが含まれるかを、見積もりの段階で確認してください。

ISO27001の維持費・更新費用はいくらですか？

毎年の維持審査は従業員1〜10名で21万円、11〜25名で29万円が公開されています。3年目の更新審査は、同じ区分でそれぞれ40万円、47万円です。審査料のほかに、社内での点検・教育・記録整備の作業が毎年発生します。

ISO27001は自力で取得できますか？

可能です。認証機関に支払う審査費用は必ずかかりますが、コンサル費用は不要になります。ただし情報資産の洗い出しとリスクの評価はISMS特有の工程で、経験がないと時間がかかります。専任の担当者を置けるかどうかが判断の分かれ目になります。

ISO27001はISO9001より費用が高いですか？

同じ人数で比べると高くなる傾向があります。情報資産の洗い出しとリスクの評価という工程が加わり、対象になるシステムの範囲も広がるためです。規格ごとの費用の違いは、ISO9001・ISO14001を含む規格別の費用比較で解説しています。

ISO27001の取得費用の勘定科目は何ですか？

実務では「支払手数料」「外注費」などで処理されることがありますが、どの科目を使うかは会社の会計方針によって変わります。税務上の扱いを含めた詳細は、ISO取得費用の勘定科目と税務にまとめています。自社の経理担当者・税理士に確認してください。

まとめ：ISMS認証(ISO27001)の費用は同じ条件の3年総額で比較する

本記事の内容を整理します。

費用を左右するのは人数だけではありません。 どこまでを認証の対象にするか、どんなシステムを使っているか、支援をどこまで受けるか。この3つで金額は大きく動きます。

そして、正確な金額は見積もりでしか分かりません。認証機関が単価を公開していない以上、自社の条件を1枚にまとめ、同じ紙を複数社に渡すのが確実な方法です。

＼自社の人数・拠点・取得範囲で費用を確認／