CNS 27001 驗證費用拆解：錢花在哪三塊、什麼讓它翻倍，以及一個會讓證書白買的細節

問「CNS 27001 驗證要多少錢」，得到的答案通常是「看範圍」。這個回答沒錯，但對還在評估要不要做的人完全沒有幫助。

這篇把費用拆開講：錢實際上分成三塊、哪五個變數會讓它翻倍、市場上公開可查的區間長什麼樣，以及一個很多人付完錢才發現的細節——你買的證書如果沒有 TAF 標誌，在資安法的場景下可能不算數。

CNS 27001 驗證的錢，實際上分成三塊

最常見的誤會是把「顧問費」當成全部。實際上至少要分開算三筆，而且付給不同的對象：

市場上公開可查的費用區間

下面的數字整理自顧問業者公開揭露的成交資訊（萬弘資訊顧問，標示為近三年成交資訊，頁面更新於 2025 年 4 月），全部是顧問輔導費、未稅，不含認證機構的審核與年度維持費。列出來是給你抓量級用，不是報價。

認證機構的審核與年度維持費要另外抓。以小型組織來說，市面上常見的量級是每年二十萬到三十萬上下，實際金額由認證機構依人天數報價，跟範圍與據點數直接連動。

讓費用翻倍的五個變數

對照上表你會發現，同樣叫「小型企業」，報價可以差三倍。差在這五件事：

• 一、驗證範圍納入幾個核心系統。這是影響最大的變數。上表的級距幾乎都綁在「不超過 2 個核心系統」「不超過 3 個核心系統」。多納一個系統，稽核人天就往上加。
• 二、幾個實體地址。單一地址跟兩個地址的區間直接從 50 萬起跳變成 100 萬起跳。多據點要各自稽核。
• 三、現況成熟度。已經有權限管理、備份還原紀錄、離職撤權流程的公司，顧問只要幫你補文件；什麼都沒有的公司，等於從零建制，工時完全不同。
• 四、要多快。壓縮時程等於增加顧問投入密度。上表裡 2 個月完成的轉版與 6 個月的完整輔導，是不同的計價邏輯。
• 五、是新做還是轉版。2013 年版轉 2022 年版屬於改版轉版，比從零認證便宜得多。

一個會讓證書白買的細節：證書上有沒有 TAF 標誌

這是整篇最值得記住的一段。如果你取得 CNS 27001 / ISO 27001 證書的目的，是為了滿足《資通安全責任等級分級辦法》的要求（或客戶標書引用了這條），那麼證書必須具備 TAF 標誌。

依 資安署常見問題 4.17 的說明，現有證書要更換成具財團法人全國認證基金會（TAF）標誌之證書，並依情況分兩種處理方式：

• 證書沒有國際認證論壇（IAF）認可標誌：需要重新進行初次驗證。
• 證書有 IAF 認可標誌但不是 TAF：可以請原驗證機構在稽核時提出轉換或增列 TAF 認證需求，或直接向具 TAF 認證的驗證機構申請轉證。

換句話說，花了幾十萬拿到的證書，如果認證來源不對，可能得再走一次流程。簽約前就把這件事問清楚，比事後補救便宜太多。你可以到 TAF 認證名錄查詢管理系統驗證機構，先確認你談的那家機構在不在名單上。

導入到取證要花多久

時程跟費用一樣，隨範圍與現況差很多。可以先用這個量級來抓：人力精簡、範圍小、又採快速導入的團隊，最快兩到三個月能完成驗證準備；一般組織多半落在八到十四個月。

如果你是被資安法納管的單位，法規本身給的期限其實比較寬鬆——A 級與 B 級是核定後兩年內導入、三年內完成第三方驗證，C 級只要兩年內導入、不需要驗證。詳細的逐級對照在 資通安全管理法 A/B/C 級要不要做驗證 這篇。

哪些錢可以不用花

• 先確認你到底需不需要證書。很多標案接受「具備完善的資安管理措施」作為替代，不是非驗證不可。先讀標書再決定，別先簽顧問合約。
• 把範圍收斂到真正的核心系統。範圍是費用的主要驅動因子。行政系統、行銷網站如果不必納入，就不要納入。
• 先自己把該有的做起來。權限控管、備份還原演練、離職撤權、委外合約條款這些本來就該有，做完再找顧問，等於直接砍掉一段工時。可以對照 附錄 A 全部 93 項控制措施白話對照表 自評。
• 要求顧問報價拆項。把顧問輔導費、認證機構費、年度維持費分開列，並問清楚範圍以幾個核心系統、幾個地址計算。包裹報價最容易在後面補單。

如果你正在評估把一套系統做起來、又希望權限分級、日誌留存、備份機制與資料返還這些控制項一開始就內建在交付裡，歡迎跟我們聊聊。想先把標準本身搞懂，可以從 CNS 27001 與 ISO 27001 完整指南 開始。