GRC-Plattformen & Suiten:
192 Anbieter mit KI-Einordnung.

Was zählt als GRC-Plattform oder GRC-Suite?

Als Plattform führt das Register Software, die mehrere Disziplinen aus Governance, Risk und Compliance (GRC) in einem Produkt oder einer Produktfamilie abdeckt, etwa Risikomanagement, internes Kontrollsystem (IKS), Compliance-Management und Revision. Im Markt heißen solche Angebote auch Enterprise GRC (EGRC) oder Integrated Risk Management (IRM). Keine Kategorie des Registers ist größer. Neben Deutschland sind die USA mit 16 und das Vereinigte Königreich mit 15 Einträgen die häufigsten belegten Sitzländer.

• Ohne konkreten KI-Beleg im geprüften Quellenumfang: 36 Einträge
• Nur angekündigte oder in Entwicklung befindliche Funktionen: 1 Eintrag
• Quellenprüfung offen: 1 Eintrag
• Belegte KI-Anwendungsfälle nach Thema, ein Eintrag kann mehrfach zählen: Analyse oder Erfassung von Risiken (44) · Abfragen in natürlicher Sprache (38) · Kontrollzuordnungen (37) · Prüfungsarbeit (33) · Lückenanalysen (32)
• Belegter Sitz in Europa: 91 von 192 Anbietern, Sitz nicht separat geprüft: 61
• Vollständige Einträge auf 5 alphabetischen Teilseiten

Prüffragen für die Vorführung, abgeleitet aus den fünf Kriterien des Vergleichs:

• Bleibt ein Vorgang erkennbar, wenn aus einer bestätigten Lücke eine Maßnahme und daraus ein Projekt wird, und welche Daten gehen dabei mit?
• Welche Module teilen tatsächlich ein Datenmodell, und welche sind nur über Schnittstellen verbunden?
• Welche Module braucht der erste Einführungsschritt, und was kostet derselbe Umfang einschließlich der Pflege im eigenen Haus?

Ist eine GRC-Plattform aus der Cloud eine Auslagerung nach MaRisk?

In der Regel fällt sie nicht unter das Auslagerungsmodul MaRisk AT 9, sondern unter das IKT-Drittparteienrisikomanagement nach DORA. Die Erläuterung zu MaRisk AT 9 Tz. 1 (Rundschreiben 06/2026) nimmt IKT-Dienstleistungen, die Art. 28 bis 30 DORA unterliegen, ausdrücklich vom Anwendungsbereich des AT 9 aus. Der Vertrag gehört dann ins Informationsregister nach Art. 28 Abs. 3 DORA. Ob die Plattform eine kritische oder wichtige Funktion unterstützt, beurteilt das Institut vor Vertragsschluss (Art. 28 Abs. 4 Buchst. a DORA).

Verrät der Sitz eines Plattformanbieters, wo die Daten liegen?

Nein. Das Register belegt den Sitz der Anbietereinheit, nicht Hosting oder Eigentümer; auch für die 16 Plattformen mit belegtem Sitz in Deutschland sagt es nichts über den Speicherort. Wo Daten verarbeitet und gespeichert werden, legt der Vertrag fest: Art. 30 Abs. 2 Buchst. b DORA verlangt die Regionen oder Länder der Leistungserbringung und Datenverarbeitung einschließlich des Speicherorts sowie eine Vorabinformation, wenn der Anbieter diese Standorte ändern will.

Bedeutet ein fehlender KI-Nachweis, dass eine Plattform keine KI hat?

Nicht unbedingt. Der Befund beschreibt die geprüften öffentlichen Herstellerquellen, nicht das Produkt selbst; bei den Plattformen trifft er auf 36 Einträge zu. Wer ein solches Angebot prüft, lässt sich eine behauptete KI-Funktion an einem eigenen Fall vorführen und klärt, ob sie zum lizenzierten Umfang gehört und wo die KI betrieben wird.

Welche Anbieter von GRC-Plattformen & Suiten haben ihren Sitz in Deutschland, Österreich oder der Schweiz?

Von den 192 Anbietern haben 24 einen belegten Sitz in Deutschland, Österreich oder der Schweiz: in Deutschland T-NEX Banking Platform (Produkt des Herausgebers), Athereon, Cybervize, deveca, DISS-CO, Durava, F24 TopEase, focus-GRC, GBTEC GRC Management, ibi systems iris, Kopexa, NEXIS, SAP GRC, Schleupen R2C, VamiSec (Vami Group) und Volaris (intellior / IMS PREMIUM); in Österreich ADOGRC, AKARION, CRISAM GRC, KRAL und TogetherSecure; in der Schweiz Acuna, Avalon Technology Solutions und SwissGRC Platform / GRC Toolbox. Bei 61 weiteren Anbietern ist der Sitz nicht separat geprüft; sie fehlen in dieser Aufzählung. Gemeint ist der Sitz der im Eintrag bezeichneten Anbietereinheit, belegt durch die Standortquelle des Eintrags (Impressum, Rechtstexte, offizielle Kontakt- und Unternehmensseiten, vereinzelt amtliche Register); über Eigentümer, Hosting und Datenhaltung sagt er nichts.

Regulatorischer Rahmen.

• Art. 28 bis 30 DORA (Verordnung (EU) 2022/2554): Vorprüfung, Informationsregister und Mindestinhalte für Verträge über IKT-Dienstleistungen (Fundstelle: EUR-Lex)
• MaRisk AT 9 Tz. 1, Rundschreiben 06/2026 (BA): laut Erläuterung fallen IKT-Dienstleistungen, die Art. 28 bis 30 DORA unterliegen, nicht unter das Auslagerungsmodul (Fundstelle: BaFin)
• § 25a Abs. 1 KWG: ordnungsgemäße Geschäftsorganisation mit Risikomanagement, internem Kontrollsystem und Interner Revision (Fundstelle: gesetze-im-internet.de)

Zum Weiterlesen auf t-nex.de: Auswahlkriterien für GRC-Software, DORA-Informationsregister, Auslagerung und DORA, Business Case für GRC-Software sowie T-NEX für Vorstand und Entscheider.