Öffentliche Zertifizierungsstelle:
http://www.thawte.de/
Allerdings kannst du dir auch selbst ein "self signed certificate" erstellen.
Das musst dann allerdings bei Browser extra installiert werden, sprich beim ersten Aufruf bekommst du einen Sicherheitshinweis.
self signed certificate nehmen wir für interne Seiten wie z.B. phpMyAdmin oder webmin.
Alles was öffentlich ist sollte von einer im Browser bekannten Zertifizierungstelle kommen.
self signed certificate kannst du mit jeder beliebigen ssl Erweiterungssoftware, die du ja sowieso für den Webserver brauchst, erstellen.
Mit dem IIS kenne ich mich nicht aus (oder will mich nicht auskennen ), beim Apachen ist das gängigste www.modssl.org
Gruß Jaraz
ps: http://www.thawte.de/ gibt es auch ausführliche FAQs