GRC-Software in Europa: 347 Anbieter und Auswahlhilfe

Was das europäische Register zeigt

Die Europa-Auswahl enthält 279 Einträge aus EU-Staaten und 68 aus europäischen Staaten außerhalb der EU. Als europäische Nicht-EU-Standorte sind Island, Norwegen, Schweiz, Türkei, Vereinigtes Königreich vertreten. Die Auswahl beruht auf der jeweils bezeichneten Anbietereinheit. Sie ist keine vollständige Erhebung aller in Europa tätigen GRC-Unternehmen.

„Dokumentiert“ bedeutet, dass eine konkrete KI-Unterstützung in öffentlichen Herstellerquellen beschrieben ist. Auch nutzbare Pilot-, Beta- und Integrationsfunktionen sind enthalten, mit der jeweiligen Einschränkung im Anbieterprofil. Governance von KI allein genügt für diesen Status nicht. Ein fehlender Beleg ist kein Nachweis fehlender KI; aus der Anzahl lassen sich keine Aussagen zur Leistungsqualität ableiten.

Verteilung nach Ländern

Die Werte beschreiben den Quellenstand unseres Registers. Länder mit wenigen Einträgen sind damit nicht automatisch kleine GRC-Märkte. Noch nicht separat geprüfte Standorte des weltweiten Registers sind in dieser Auswertung nicht enthalten.

Verteilung nach Fachgebieten

Jede Anbietergruppe wird für diese Auswertung genau einer redaktionellen Hauptkategorie zugeordnet. Ein Anbieter kann weitere Aufgaben abdecken. Die Kategorien sind deshalb keine vollständige Funktionsmatrix; die konkrete Abdeckung steht im jeweiligen Anbieterprofil.

Standort Eigentümer Betrieb und KI getrennt prüfen

EU-Hosting allein beantwortet die Frage nach Drittlandübermittlungen nicht. Auch der Fernzugriff eines gesonderten Auftragsverarbeiters aus einem Drittland auf personenbezogene Daten in der EU kann eine Übermittlung darstellen. Umgekehrt belegt eine Muttergesellschaft außerhalb der EU allein noch keine erfolgte Datenübermittlung. Tatsächliche Zugriffe und rechtliche Rahmenbedingungen müssen zusammen betrachtet werden. Der Europäische Datenschutzausschuss erläutert diese Konstellationen in den Leitlinien 05/2021, Beispiele 11 und 12.

Fünf Prüffelder für die Anbieterauswahl

Die folgenden Fragen dienen der produktbezogenen Auswahl. Sie sind keine Aussage, dass für jedes Unternehmen und jede Software dieselben gesetzlichen Pflichten gelten.

Ergänzung für Banken

Bei der Untervergabe von IKT-Leistungen, die kritische oder wichtige Funktionen unterstützen, sind auch die Unterauftragnehmer und ihre Rolle im Betriebsmodell zu bewerten. Die europäischen Vorgaben unterscheiden ausdrücklich zwischen dem Standort des Unterauftragnehmers beziehungsweise seines Mutterunternehmens, dem tatsächlichen Leistungsort sowie Verarbeitungs- und Speicherorten. Die Delegierte Verordnung (EU) 2025/532, insbesondere Artikel 1, 3 und 4, konkretisiert diese Prüfung.

Die Nennung von DORA auf einer Produktseite oder ein europäischer Standort ersetzt die Bewertung der konkreten Leistung und des Vertrags nicht. Für die Vorauswahl sollte daher zunächst feststehen, welche Funktion das Institut mit der Software unterstützen will.

Eine KI Vorführung mit einem eigenen GRC Fall

Ein einheitlicher Testfall macht Anbieter vergleichbar. Verwenden Sie ein anonymisiertes Paket aus einer internen Richtlinie, mehreren Kontrollbeschreibungen, einem Nachweis und einer festgestellten Abweichung. Vereinbaren Sie vorher, welche Daten verarbeitet werden dürfen und welche Funktionen zum vorgeführten Produktumfang gehören.

1. Anforderung nachvollziehen: Lassen Sie eine relevante Anforderung aus den Unterlagen ableiten. Prüfen Sie Fundstelle, Dokumentversion und fachliche Interpretation.
2. Kontrolle zuordnen: Lassen Sie eine bestehende Kontrolle vorschlagen. Prüfen Sie die Begründung und ob unpassende Vorschläge erkannt und abgelehnt werden können.
3. Nachweis bewerten: Legen Sie einen absichtlich veralteten oder unvollständigen Nachweis vor. Prüfen Sie, wie das System Unsicherheit und fehlende Informationen behandelt.
4. Maßnahme vorbereiten: Lassen Sie einen Maßnahmenentwurf mit Zuständigkeit und Frist erstellen. Prüfen Sie die Trennung zwischen KI-Vorschlag und verbindlicher Freigabe.
5. Bericht und Export prüfen: Lassen Sie den Vorgang für das Management zusammenfassen und einschließlich Belegen, Beziehungen und Bearbeitungshistorie exportieren.

Bewerten Sie Nachvollziehbarkeit, fachliche Korrektur, Berechtigungen und Nutzbarkeit des Exports. Eine flüssig formulierte Antwort allein reicht für diese Aufgaben nicht. Für den institutsweiten Zusammenhang ergänzt die bestehende T-NEX-Integrationsprüfung den Test um Risiken, Vorhaben, Kosten und Berichte.

347 Anbieter mit belegtem europäischem Sitz.

Die Links am Namen führen zum jeweiligen Eintrag im vollständigen Register. Dort stehen Funktionen, KI-Einordnung und Produktquellen. Die Standortquelle ist hier direkt verlinkt. T-NEX steht zuerst; danach folgen die Länder und die Anbieter alphabetisch.

Diese Europa-Auswahl als Datensatz herunterladen: CSV für Tabellenprogramme · JSON mit Quellen und KI-Einordnung. Die Exporte enthalten dieselben Anbieter und Nachweisstände wie diese Auswahl.

Fragen zur europäischen Auswahl

Quellen, Zählweise und Grenzen.

Für den KI-Vergleich verlinkt jeder Eintrag auf seine Funktionsbeschreibung im Hauptregister. Dort sind konkrete KI-Nachweise, Anwendungsfälle und Verfügbarkeitsgrenzen ausgewiesen. Eine KI-Governance-Funktion allein belegt keinen KI-Assistenten.

Diese Seite enthält 347 separat belegte europäische Anbietereinheiten aus dem weltweiten Bestand von 647 Anbietern bzw. Anbietergruppen. Die europäische Standortprüfung ist noch nicht für jeden Bestandsanbieter abgeschlossen. Die Zahl beschreibt deshalb eine belegte Teilmenge und keine vollständige Marktgröße.

Als Standortquellen dienen Anbieter-Impressen, Rechtstexte, offizielle Kontakt- und Unternehmensseiten sowie vereinzelt amtliche Register. Erfasst wird die dort bezeichnete Anbietereinheit. Mehrere Produkte, frühere Marken und übernommene Angebote erhöhen die Anbieterzahl nicht. Ein gemeinsamer Finanzinvestor allein führt nicht zur Zusammenlegung eigenständiger Softwareanbieter.

Herstellerangaben zu Funktionen sind keine Ergebnisse eines gemeinsamen Produkttests. Ein Sitz in der EU ersetzt weder die Prüfung der Datenhaltung noch der Eigentümerstruktur. „Nicht separat geprüft“ bedeutet einen offenen Prüfstand, nicht das Fehlen einer Funktion oder Eigenschaft.

Produkt- und Quellenstand: 15. Oktober 2026. Die Methodik des Hauptregisters erläutert Fachkategorien, Belegarten und Grenzen. Gesamten Datensatz als CSV herunterladen · JSON herunterladen.

Delegierte Verordnung (EU) 2025/532: Untervergabe von IKT-Leistungen zur Unterstützung kritischer oder wichtiger Funktionen, insbesondere Artikel 1, 3 und 4.

Europäischer Datenschutzausschuss, Leitlinien 05/2021, Version 2.0: Verhältnis von räumlichem Anwendungsbereich und internationalen Übermittlungen, insbesondere Beispiele 11 und 12.

Aktualisierung vom 15. Oktober 2026: Das Register umfasst 647 Anbieter und Anbietergruppen. Für 292 Einträge ist ein neuerer Quellenprüfstand als 14. Oktober 2026 hinterlegt. Die einzelnen Prüfstände und Erweiterungen sind im Datensatz gekennzeichnet; ältere Quellenprüfungen werden durch diese redaktionelle Aktualisierung nicht neu datiert. Standort und Rechtsträger bleiben offen, wo keine hinreichende Quelle vorliegt.

Redaktion und fachliche Ansprechpartner

Herausgeber und redaktionell verantwortlich für dieses Register ist die T-NEX GmbH. Die Ansprechpartner für GRC-Software sind Andreas Unruh für Softwarearchitektur und Entwicklung sowie Christoph Gembruch für IT-Governance und Informationssicherheit. Ihre Profile erläutern Berufserfahrung und Qualifikationen.

Die Aufnahme beruht auf den verlinkten Herstellerquellen. Hinweise auf veränderte Funktionen, Unternehmenszuordnungen oder fehlerhafte Angaben können Sie über den Kontakt zur Redaktion einreichen. Bitte nennen Sie Anbieter, betroffene Angabe und eine öffentlich zugängliche Quelle.