# GRC-Software: anbieterneutrale RFP- und Bewertungsmatrix

Eigenständige T-NEX-Arbeitshilfe. Stand: 11.09.2026. Lokal bearbeitbar; es werden keine Angaben an T-NEX übertragen.

## 1. Beschaffungsrahmen

- Institut / Vorhaben / Verantwortlicher: [eintragen]
- Geschäftsprozesse und Nutzergruppen: [eintragen]
- Leistungsumfang und ausdrücklich ausgeschlossene Leistungen: [eintragen]
- Betriebsmodell, Datenarten und Integrationen: [eintragen]
- Vertrags-/Aufsichtsregime mit Begründung und Quelle: [eintragen]
- Zeitplan, erwartete Mengen und Vergleichszeitraum: [eintragen]

## 2. Anfrage an alle Anbieter

Bitte beantworten Sie jedes Kriterium für die konkret angebotene Produktversion. Benennen Sie enthaltene Funktionen, Zusatzkosten, notwendige Entwicklung und Einschränkungen. Verweisen Sie auf prüfbare Unterlagen oder eine Demonstration.

| ID | Prüffeld | Anfrage | Geforderter Nachweis |
| --- | --- | --- | --- |
| RFP-01 | Fachlicher Arbeitsweg | Anforderung bis Maßnahme und Nachweis in einem Vorgang zeigen. | Durchgängige Demo mit einem von uns vorgegebenen Beispiel. |
| RFP-02 | Geltungsbereich | Welche Funktionen und Daten gehören zum angebotenen Umfang? | Leistungsbeschreibung mit ausgeschlossenen Funktionen und benötigten Zusatzmodulen. |
| RFP-03 | Rollen und Trennung | Wie werden Bearbeitung, Freigabe und unabhängige Prüfung getrennt? | Rechtematrix plus Test zweier unterschiedlicher Nutzerrollen. |
| RFP-04 | Änderungshistorie | Welche Änderungen sind später mit Urheber und Zeitpunkt nachvollziehbar? | Exportierter Änderungsverlauf samt Verhalten bei Korrekturen. |
| RFP-05 | Quellen und Fassungen | Wie bleibt die Herkunft einer Anforderung beim Update erkennbar? | Vorher-/Nachher-Beispiel mit Quelle, Version und betroffenen Folgeschritten. |
| RFP-06 | KI-Unterstützung | Welche Ausgabe ist Vorschlag, wer prüft sie und was passiert bei Fehlern? | Test mit belegbarer Antwort, unzureichender Quelle und bewusst falscher Eingabe. |
| RFP-07 | Integration | Welche Schnittstellen sind verfügbar und im Preis enthalten? | Schnittstellenbeschreibung, Authentisierung und nachvollziehbarer Fehlerfall. |
| RFP-08 | Datenübernahme | Wie werden Bestandsdaten übernommen und fachlich abgeglichen? | Testimport, Fehlerprotokoll und Abstimmbericht. |
| RFP-09 | Register/Export | Welche konkret benannte Register- oder Berichtsanforderung wird unterstützt? | Exportdatei, Versionsangabe und Ergebnis der passenden Validierung. |
| RFP-10 | Betrieb | Wo werden Daten verarbeitet und wer greift im Support darauf zu? | Tatsächlicher Datenfluss, Betriebsorte, Unterauftragnehmer und Zugriffskonzept. |
| RFP-11 | Sicherheit | Wie funktionieren Benutzerverwaltung, Protokollierung, Updates und Wiederherstellung? | Umfangsbezogene Nachweise und ein Wiederherstellungstest, nicht nur ein Logo. |
| RFP-12 | Kontinuität | Welche Ausfall- und Wiederanlaufziele werden vereinbart? | Abgestimmte Ziele, Testumfang, letztes Ergebnis und offene Maßnahmen. |
| RFP-13 | Datenschutz/Vertrag | Welche Regelungen passen zum konkreten Leistungs- und Datenbezug? | Vertragsentwurf mit klaren Anlagen, Rollen und verbleibenden Abweichungen. |
| RFP-14 | Prüfrechte | Welche Informations-, Zugangs- und Prüfungsrechte sind vertraglich zugesagt? | Konkrete Klauseln und Verfahren; Reichweite für Unterauftragnehmer erklären. |
| RFP-15 | Exit | Wie lassen sich Daten und Belege vollständig und lesbar zurückführen? | Probeexport plus Übergabeplan, Fristen, Kosten und Löschbestätigung. |
| RFP-16 | Kosten | Welche Kosten entstehen über Einführung, Nutzung und Ausstieg? | Vergleichbarer Gesamtkostenplan mit Annahmen, Mengentreibern und Änderungsaufwand. |

## 3. Bewertung je Anbieter

Vor Antworten festlegen: Muss/Kann, Gewicht 1–5 und Ausschlusswirkung. Skala: 0 = nicht erfüllt; 1 = nur behauptet; 2 = teilweise belegt; 3 = passend belegt. Nicht anwendbare Kriterien begründet ausnehmen. Gewichtete Punkte = Gewicht × Bewertung. Ein hoher Gesamtwert ersetzt keinen fehlenden Muss-Nachweis.

| ID | Muss/Kann | Gewicht | Antwort/Beleg | Bewertung 0–3 | Offene Frage | Kostenfolge | Entscheidung |
| --- | --- | --- | --- | --- | --- | --- | --- |
| RFP-01 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-02 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-03 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-04 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-05 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-06 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-07 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-08 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-09 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-10 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-11 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-12 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-13 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-14 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-15 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |
| RFP-16 | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] | [ ] |

## 4. Freigabeprotokoll

- Anbieter / Version / Angebotsdatum: [eintragen]
- Durchgeführte Testfälle und Grenzen: [eintragen]
- Muss-Kriterien erfüllt / offen / nicht erfüllt: [eintragen]
- Fachliche, technische, rechtliche und betriebliche Beteiligte: [eintragen]
- Verbleibende Abweichungen, Maßnahmen und Verantwortung: [eintragen]
- Gesamtkosten und Annahmen: [eintragen]
- Entscheidung, Begründung, Datum, zuständige Stelle: [eintragen]

Die Punkteskala ist ein Beschaffungsvorschlag von T-NEX, keine aufsichtsrechtliche Bewertungsskala. Diese Vorlage ersetzt keine Prüfung des konkreten Vertrags und Betriebs.


## Quellen und Einordnung

- [BaFin: MaRisk, Rundschreiben 06/2026 (BA), 30.06.2026, amtlicher Volltext bei der Bundesbank](https://www.bundesbank.de/resource/blob/825336/866a68577eb35afee82fbe60c39a4f87/472B63F073F071307366337C94F8C870/2026-06-30-rundschreiben-data.pdf)
- [Verordnung (EU) 2022/2554: DORA, insbesondere Artikel 11, 24 und 28–30](https://eur-lex.europa.eu/eli/reg/2022/2554/oj)