GRC-Software für Resilienz & BCM:
20 Anbieter mit KI-Einordnung.

Wozu dient Software für Resilienz und Business Continuity Management (BCM)?

Software für Business Continuity Management (BCM) unterstützt Business-Impact-Analyse (BIA), Geschäftsfortführungs- und Wiederherstellungspläne, Übungen und Tests sowie Kommunikation und Steuerung im Krisenfall. Die MaRisk nennen BCM Notfallmanagement. Unter dem Begriff operative Resilienz verbinden manche Anbieter das mit IKT-Wiederanlauf, Abhängigkeiten von Dienstleistern und der Beobachtung kritischer Ereignisse. Vor dem Ernstfall belegen sieben Anbieter KI für die Kontinuitäts- und Wiederherstellungsplanung und vier für Übungs- und Testszenarien. Im Ereignisfall selbst werten fünf Anbieter mit KI Ereignisse und Warnmeldungen aus oder entwerfen die Krisenkommunikation.

• Ohne konkreten KI-Beleg im geprüften Quellenumfang: 5 Einträge
• Belegte KI-Anwendungsfälle nach Thema, ein Eintrag kann mehrfach zählen: Business-Impact-Analyse (8)
• Belegter Sitz in Europa: 12 von 20 Anbietern, Sitz nicht separat geprüft: 8

Prüffragen für die Vorführung, abgeleitet aus den fünf Kriterien des Vergleichs:

• Nutzen Business-Impact-Analyse, Notfallplan und Übung dieselben Prozesse, Systeme und Abhängigkeiten?
• Wie fließen Erkenntnisse aus einer Übung als Maßnahme zurück, und wer verfolgt sie bis zum Abschluss?

Wie oft muss eine Bank ihr Notfallkonzept überprüfen?

Für kritische oder wichtige Funktionen jährlich, so AT 7.3 Tz. 4 MaRisk (Rundschreiben 06/2026). Die Überprüfungen werden protokolliert und auf Verbesserungsbedarf ausgewertet, Dienstleister sind angemessen einzubinden. Aktualisiert wird das Notfallkonzept jährlich und anlassbezogen (Tz. 1). Für die IKT-Seite verlangt Art. 11 Abs. 6 DORA, die IKT-Geschäftsfortführungspläne sowie die IKT-Reaktions- und Wiederherstellungspläne mindestens jährlich zu testen, außerdem bei wesentlichen Änderungen an IKT-Systemen, die kritische oder wichtige Funktionen unterstützen.

Was gehört in eine Business-Impact-Analyse?

Die Folgen, die eine Beeinträchtigung von Aktivitäten und Prozessen über abgestufte Zeiträume für den Geschäftsbetrieb haben kann, unter anderem nach Art und Umfang des materiellen und immateriellen Schadens und nach dem Zeitpunkt des Ausfalls (Erläuterung zu AT 7.3 Tz. 1 MaRisk). Basis ist eine Übersicht über alle Funktionen. Nach Art. 11 Abs. 5 DORA bewertet die BIA die möglichen Auswirkungen schwerwiegender Betriebsstörungen anhand quantitativer und qualitativer Kriterien und berücksichtigt die Kritikalität von Unternehmensfunktionen, Unterstützungsprozessen, Abhängigkeiten von Dritten und Informationsassets.

Ersetzt DORA das Notfallmanagement nach MaRisk?

Nein. DORA regelt in Art. 11 und 12 die IKT-Seite mit Geschäftsfortführungsleitlinie, Reaktions- und Wiederherstellungsplänen und Backups. AT 7.3 MaRisk (Rundschreiben 06/2026) verlangt daneben ein Notfallkonzept für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen darstellen, samt ihren notwendigen Unterstützungsprozessen. Verbinden lässt sich beides über Art. 11 Abs. 1 DORA: Die IKT-Geschäftsfortführungsleitlinie kann als eigene Leitlinie verabschiedet werden, die fester Bestandteil der allgemeinen Geschäftsfortführungsleitlinie ist.

Welche Anbieter von GRC-Software für Resilienz & BCM haben ihren Sitz in Deutschland, Österreich oder der Schweiz?

Von den 20 Anbietern haben drei einen belegten Sitz in Deutschland, Österreich oder der Schweiz: in Deutschland Controllit und Nica Software; in Österreich safeREACH. Bei acht weiteren Anbietern ist der Sitz nicht separat geprüft; sie fehlen in dieser Aufzählung. Gemeint ist der Sitz der im Eintrag bezeichneten Anbietereinheit, belegt durch die Standortquelle des Eintrags (Impressum, Rechtstexte, offizielle Kontakt- und Unternehmensseiten, vereinzelt amtliche Register); über Eigentümer, Hosting und Datenhaltung sagt er nichts.

Regulatorischer Rahmen.

• MaRisk AT 7.3, Rundschreiben 06/2026 (BA): Notfallkonzept, Auswirkungsanalysen und jährliche Überprüfung bei kritischen oder wichtigen Funktionen (Fundstelle: BaFin)
• Art. 11 und 12 DORA (Verordnung (EU) 2022/2554): IKT-Geschäftsfortführungsleitlinie, BIA, jährliche Tests, Backup und Wiederherstellung (Fundstelle: EUR-Lex)
• Delegierte Verordnung (EU) 2024/1774, Art. 24 bis 26: Inhalt der IKT-Geschäftsfortführungsleitlinie, Tests der Pläne, IKT-Reaktions- und Wiederherstellungspläne (Fundstelle: EUR-Lex)
• BSI-Standard 200-4 Business Continuity Management: Anleitung des BSI zum Aufbau eines BCM-Systems, mit Mapping auf ISO 22301:2019 (Fundstelle: BSI)

Zum Weiterlesen auf t-nex.de: DORA für Finanzunternehmen, Änderungen durch die 9. MaRisk-Novelle, TLPT unter DORA und T-NEX für Informationssicherheit (ISB, CISO).