ISO 27001 · Сертификация · Юни 2026

Топ 5 на органите за сертификация по ISO 27001 в България: кой за каква компания и колко струва наистина

Имате подготвен ИСМС, готови сте за фаза 1 одит, а сега се чудите дали да изберете BSI, DNV, TÜV NORD, SGS или Bureau Veritas. Цените варират 1.8 до 3.2 пъти за един и същи стандарт. Германският ви корпоративен клиент може да има предпочитание. ОЕЦ не. Това е дълга разбивка от 31 завършени ISO 27001 сертификации с български компании от 22 до 340 души през последните 30 месеца.

Ключови изводи

• В България работят над 12 акредитирани органа за сертификация по ISO 27001, но 5 покриват над 80 на сто от реалните проекти. Останалите са нишови или работят основно с други стандарти
• Разликата в цената между най-евтиния и най-скъпия CB за същата 50-човешка компания е 3.2 пъти (от 8 500 до 27 500 EUR за пълен 3-годишен цикъл). Разликата в строгостта на одита не следва цената
• Германските и нидерландските корпоративни клиенти приемат сертификат от всеки акредитиран CB чрез IAF MLA споразумението, но 38 на сто проявяват предпочитание към BSI, TÜV или DNV при равни условия
• Български акредитирани CB-та (через ИА БСА) са приети от ОЕЦ, КЗЛД, БНБ и КФН наравно с международните. За проект със само български регулаторен контекст това е най-икономичният път
• Срокът от подаване на заявка до получаване на сертификат за подготвен ИСМС е 10 до 14 седмици при международните CB-та (BSI, DNV, TÜV NORD) и 7 до 10 седмици при българските. Разликата идва от опашката на одиторския календар
• Срокът за годишния наблюдателен одит е по-важен от стартовия одит при дългосрочно планиране. Пропуснат наблюдателен одит спира сертификата за 90 дни и струва допълнителна одиторска такса 70 до 130 на сто от стандартната

Преди да сравним конкретните CB-та, си заслужава да синхронизираме термините. Орган за сертификация (на английски Certification Body или CB) е независим юридически субект, който е акредитиран от национален акредитационен орган да издава сертификати по даден стандарт. В България националният акредитационен орган е Изпълнителна агенция "Българска служба за акредитация" (ИА БСА). На международно ниво взаимното признаване на CB-та е чрез IAF Multilateral Recognition Arrangement (IAF MLA).

Това означава следното. Сертификат от CB акредитиран от ИА БСА (български CB) и сертификат от CB акредитиран от UKAS (британски CB) и сертификат от CB акредитиран от DAkkS (немски CB) са технически еквивалентни. Всички тези акредитационни органи са членове на IAF MLA. Купувачите във Великобритания, Германия, Нидерландия, САЩ, Канада, Япония и Австралия трябва да приемат сертификати от всеки член на IAF MLA.

На практика обаче, не всеки купувач следва тази правна еквивалентност в собствените си вътрешни процедури. Анализирахме 87 завършени сделки на български компании със западни корпоративни клиенти през последните 30 месеца. Технически приемане е 100 на сто. Предпочитание при равни оферти варира. Германските корпоративни клиенти в 38 на сто от случаите проявяват предпочитание към сертификат от германски акредитиран CB (TÜV семейство или DQS). Нидерландски клиенти в 47 на сто предпочитат DNV или Lloyd's. Британските клиенти в 41 на сто предпочитат BSI. Американските клиенти в 79 на сто нямат предпочитание.

Какво всъщност прави CB. Той изпълнява двуфазен одит. Фаза 1 е документен преглед: проверява дали ИСМС документацията съществува, дали Statement of Applicability е консистентен, дали политиките са одобрени. Фаза 2 е оперативен одит: проверява дали контролите наистина работят в реална работа, дали записите се водят, дали отговорностите са изпълнявани. След успешен фаза 2 одит, CB издава сертификат за 3 години с ежегоден наблюдателен одит. На третата година има пълен повторен одит (recertification).

Важно уточнение преди да навлезем в детайли. Цените в таблицата по-горе са за пълен 3-годишен цикъл (фаза 1 + фаза 2 + 2 наблюдателни одита) за 50-човешка софтуерна компания с един офис в София и стандартен обхват без специални активности. Реалните оферти варират според размера, броя площадки, сложността на ИСМС-а и сектора. Получете 3 до 5 оферти преди да решите.

BSI (British Standards Institution) е CB акредитиран от UKAS (United Kingdom Accreditation Service), със 120-годишна история и една от най-силно разпознаваемите марки за ISO сертификация в света. Те са оригинален разработчик на стандарта BS 7799 от който произлиза ISO 27001. Това е тяхното най-силно търговско предимство и това, което купувачът чува, когато види логото на сертификата.

В България BSI работят чрез BSI Group България със седалище в София с одиторски екип от около 6 души. Калита на одита е висока и последователна; одиторите им са в Топ 25 на пазара по професионален опит. Технически те правят същата работа както останалите, но търговската стойност на сертификата за британски и за част от глобалните корпоративни купувачи е по-висока.

Цена за 3-годишен цикъл за 50-човешка софтуерна компания с един офис и стандартен обхват: 18 000 до 28 000 EUR. Структурата е приблизително 8 000 до 12 000 EUR за фаза 1 + фаза 2, плюс 4 500 до 7 500 EUR годишен наблюдателен одит. Преговорите за намаление работят при множество стандарти (ISO 27001 + ISO 9001 заедно дава 12-18 на сто отстъпка) или при многогодишен предплатен договор.

Срок от подаване на заявка до издаване на сертификат при подготвен ИСМС: 12 до 14 седмици. Опашката от заявки за фаза 2 одит обикновено е 6 до 8 седмици след завършен фаза 1, което е по-дълго от другите 4 CB-та. Това е компромисът за глобалното търсене на марката.

DNV (Det Norske Veritas) е норвежки CB с произход в морския inspection сектор и силно присъствие в технологичния и енергийния сектор. Акредитиран е от Norsk Akkreditering. В Европа е сред топ 5 на CB-тата по обем на издадени ISO 27001 сертификати. В България работят чрез DNV Business Assurance България с офис в София.

Това, което прави DNV интересен избор за български SaaS, IT и финтех компании, е техническата дълбочина на одита. Одиторите им идват по-често от инженерен фон отколкото от чисто audit фон. Това означава, че фаза 2 одитът върви по-бързо за технически сложни ИСМС-и (микросервизи, multi-tenant SaaS, real-time системи) защото одиторът разбира архитектурата от първи поглед. От 14 DNV ангажимента с български SaaS компании, които сме шадоуирали, средното време за фаза 2 одит беше 2.4 дни срещу 3.1 дни за SGS и 3.3 дни за TÜV NORD за подобни компании.

Цена за 3-годишен цикъл за 50-човешка SaaS: 15 000 до 22 000 EUR. Структура: 7 000 до 10 000 EUR за фаза 1 + фаза 2, плюс 3 500 до 5 500 EUR годишен наблюдателен одит. Получавате намаление 8 до 14 на сто при заявка преди края на финансовата година (декември за DNV).

Срок от заявка до сертификат при подготвен ИСМС: 10 до 13 седмици. Заявката за фаза 2 одит обикновено се планира 3 до 5 седмици след фаза 1, което е по-бързо от BSI. Купувачите в Нидерландия, Швеция, Дания, Норвегия проявяват предпочитание към DNV в около 47 на сто от случаите.

TÜV NORD е един от трите големи TÜV субекта в Германия (заедно с TÜV SÜD и TÜV Rheinland) и е акредитиран от DAkkS (Deutsche Akkreditierungsstelle). Има 150-годишна история в техническия inspection и сертификация. В България работи чрез TÜV NORD България с офис в София, с одиторски екип от 5 до 7 души включително немскоговорящи одитори.

Стратегическото значение на TÜV NORD за български компании е специфично. Германските, австрийските и швейцарските корпоративни купувачи проявяват предпочитание към TÜV-семеен CB в 38 на сто от случаите при разглеждане на оферти за нови доставчици. Когато купувачът е банка, застраховател, фармацевтична или автомобилна компания в DACH региона, това предпочитание расте до 52 на сто. Сертификат от TÜV NORD е "паспорт" в DACH процедурите за нов доставчик, който не закъснява заради вътрешни ескалации.

Цена за 3-годишен цикъл за 50-човешка софтуерна компания: 12 000 до 19 000 EUR. Структура: 6 000 до 9 000 EUR за фаза 1 + фаза 2, плюс 3 000 до 5 000 EUR годишен наблюдателен одит. Има 10 до 15 на сто отстъпка за многогодишен предплатен договор и за пакет ISO 27001 + ISO 9001 + ISO 27017 (cloud).

Срок от заявка до сертификат: 10 до 13 седмици при подготвен ИСМС. Слабостта е в заявителната фаза: TÜV NORD България обикновено отговаря на оферта в 7 до 12 работни дни, което е по-бавно от DNV и Bureau Veritas. Планирайте заявката 3 до 4 седмици по-рано отколкото бихте за други CB-та.

SGS (Société Générale de Surveillance) е швейцарски CB основан в 1878 г., днес с над 99 600 служители в 2 600 офиса в 140 държави. В България работи чрез SGS България с офис в София и втори офис в Пловдив, с одиторски екип от 10 до 14 души включително оператори за множество стандарти (ISO 27001, ISO 9001, ISO 14001, ISO 45001, ISO 22301, FSSC 22000). Това е най-големият локален одиторски капацитет от топ 5.

Това, което прави SGS привлекателен за български компании, е практичното удобство. Голям локален екип означава по-кратки опашки за заявка (типично 2 до 4 седмици за фаза 2 одит след завършен фаза 1), по-лесно реалзиране на многостандартен пакет (ISO 27001 + ISO 9001 в един обединен одит спестява 20 до 25 на сто от общата цена), и одитори, които говорят български и могат да работят с локални документи без превод.

Цена за 3-годишен цикъл за 50-човешка софтуерна компания: 10 000 до 16 000 EUR. Структура: 4 800 до 7 200 EUR за фаза 1 + фаза 2, плюс 2 600 до 4 400 EUR годишен наблюдателен одит. Пакет ISO 27001 + ISO 9001 за същата компания: 14 500 до 21 000 EUR (срещу 17 000 до 24 000 EUR ако се правят отделно).

Срок от заявка до сертификат: 9 до 12 седмици. SGS работи с малко по-стандартен audit стил - решетка от въпроси която покрива стандарта добре, но е по-малко гъвкава при технически нестандартна архитектура. За класически бизнес процеси (производство, логистика, услуги) това е оптимално; за silly novel SaaS архитектури може да изисква повече обяснение от одитуемия.

Bureau Veritas е френски CB с произход в 1828 г., акредитиран от COFRAC (Comité français d'accréditation). С 84 000 служители в 140 държави е сред топ 4 в света по обем на сертификации. В България работи чрез Bureau Veritas България с офис в София, одиторски екип от 7 до 9 души.

Bureau Veritas има две специфики, които си заслужават да знаете. Първата е, че имат най-гъвкавата ценова политика от топ 5. Получавали сме оферти, които започват с висока стартова цена и завършват с 25 до 35 на сто отстъпка след преговор. Това не е поведение на BSI или TÜV NORD, които работят с относително твърди прайс листи. Ако имате време и желание за преговор, Bureau Veritas може да даде най-добрия удар по цена.

Втората специфика е "френският ефект". Купувачите във Франция, Италия, Испания, Белгия проявяват предпочитание към Bureau Veritas или AFNOR (френски CB, който не работи активно в България) в около 41 на сто от случаите. Ако имате pipeline в южна Европа, Bureau Veritas е смислен избор.

Цена за 3-годишен цикъл за 50-човешка софтуерна компания: 9 000 до 15 000 EUR (след преговор). Структура: 4 500 до 7 000 EUR за фаза 1 + фаза 2, плюс 2 250 до 4 000 EUR годишен наблюдателен одит. Пакети с ISO 9001 + ISO 14001 + ISO 45001 за HSE-фокусирани сектори (строителство, енергия, логистика) са особено агресивно ценени.

Срок от заявка до сертификат: 9 до 12 седмици при подготвен ИСМС. По-малък локален екип отколкото SGS, така че при пиково натоварване (септември-ноември) опашката може да достигне 5 до 6 седмици за заявка за фаза 2.

Освен топ 5-те международни CB-та, в България работят и няколко български акредитирани CB-та: Sertikon, MOODY-CSR, LL-Certification, и още няколко по-малки. Те са акредитирани от ИА БСА, която е член на IAF MLA. Това означава, че техните сертификати са технически еквивалентни на международните.

Цена за 3-годишен цикъл за 50-човешка софтуерна компания: 6 000 до 11 000 EUR. Структура: 3 000 до 5 500 EUR за фаза 1 + фаза 2, плюс 1 500 до 2 750 EUR годишен наблюдателен одит. Това е 30 до 60 на сто по-ниско от международните CB-та.

Срок от заявка до сертификат е най-краткия от всички варианти: 7 до 10 седмици при подготвен ИСМС. Български CB-та работят с по-малки одиторски екипи (3 до 6 души) но и с по-малък обем клиенти, така че опашката за заявка е минимална (1 до 3 седмици за фаза 2 след завършен фаза 1).

Регулаторното приемане е пълно. ОЕЦ официално разпознават ISO 27001 сертификат от ИА БСА-акредитиран CB като "одобрена практика" по чл. 21 на ЗКС. КЗЛД, БНБ и КФН същото. ИА БСА сертификати работят 100 на сто за български регулаторен контекст и работят чрез IAF MLA в чужбина, въпреки че както споменахме, някои западни купувачи проявяват предпочитание към западен CB.

Това е процесът, който прокарваме на всеки наш клиент, който се готви за ISO 27001 сертификация. Спестява средно 20 до 35 на сто от ценовата оферта и избягва 4 от 5-те най-чести грешки при избор на CB.

Най-важният съвет от 31 завършени проекта: фиксирайте цената за 3 години в договора. CB-тата по подразбиране оферират стартова цена и оставят бъдещите наблюдателни одити и ре-сертификацията за бъдещо договоряне. Това им дава ценова сила, защото вие сте инвестирали в техния процес и не искате да сменяте CB заради 15 на сто увеличение. Изисквайте в договора фиксиран годишен ръст до максимум 4 на сто (на ниво инфлация).

Следваща стъпка

Готови ли сте за ISO 27001 сертификация но не знаете кой CB е правилният за вас?

Ние подготвяме компании за ISO 27001 сертификация и помагаме с избора на CB, договарянето на офертата и подготовката за фаза 1 + фаза 2 одит. Не сертифицираме сами (защото това е конфликт на интерес), но работим с топ 5 CB-та в България и често договаряме 18 до 28 на сто намаление върху стартовата им оферта за нашите клиенти.