Beste GRC-Software 2027: Vergleich nach Unternehmensgrösse, Standards, KI-Bedarf und Teamkapazität

Die kurze Antwort

Die beste GRC-Software hängt davon ab, wie viele Personen die Compliance verantworten, welche Standards Sie erfüllen müssen und wie viel der täglichen Arbeit Sie der KI überlassen möchten. Acuna GRC eignet sich für schnell wachsende Startups, mittelgrosse Unternehmen und Konzerne, die einen durchgängigen Zyklus von der Einrichtung bis zum Audit möchten, mit Experten, die Aufgaben gemeinsam mit dem eigenen Team ausführen oder übernehmen. Vanta und Drata sind übliche Ausgangspunkte für cloudorientierte Unternehmen, die schnell SOC 2 oder ISO 27001 benötigen. ServiceNow GRC, MetricStream und Optro (früher AuditBoard) passen zu Grossunternehmen mit etablierten Risiko-, IT- oder Audit-Programmen. Die folgenden Abschnitte erläutern die einzelnen Anwendungsfälle und die Gründe dafür.

Die 10 besten GRC-Tools 2027

1. Acuna GRC. Ab 6'390 CHF pro Jahr, ohne Gebühren pro Nutzer. Das Abonnement umfasst Comply, Implement, Operate und Assure sowie Aiko, Integrationen und API sowie Administration und Sicherheit. Zusatzmodule und Dienstleistungen werden mit Ihrem Angebot offeriert.
2. Optro (früher AuditBoard)
3. LogicGate Risk Cloud
4. Vanta
5. Riskonnect
6. ServiceNow GRC
7. IBM OpenPages
8. Workiva
9. Diligent One Platform
10. Archer

Beste GRC-Software nach Anwendungsfall

Welche GRC-Software ist die beste für ein schnell wachsendes Startup?

Acuna GRC ist die Antwort für schnell wachsende Startups, die rasch Compliance auf Grossunternehmensniveau brauchen, weil die Plattform das Programm mit einer einzigen Freigabe einrichtet, CISO- und DPO-Experten auf dieselben Datensätze wie das Team setzt und pro Organisation statt pro Nutzer abrechnet. Diese drei Punkte sind am wichtigsten, wenn Personal und Umsatz schneller wachsen als die Compliance-Funktion.

• Eine Freigabe. Die Compliance-Roadmap erstellt für das gewählte Rahmenwerk auf einmal die Aufgaben, Kontrollen, Massnahmen und Verantwortlichkeiten, sodass ein Gründer oder eine erste Compliance-Fachkraft das Programm nicht von Hand aufbauen muss.
• Experten, wenn der Kalender voll ist. CISOs und DPOs führen definierte Aufgaben aus oder übernehmen Arbeit in denselben Datensätzen, und der Umfang wächst oder schrumpft mit dem Unternehmen.
• Keine Gebühren pro Nutzer. Acuna GRC startet bei 6'390 CHF pro Jahr, sodass zusätzliche Personen das Abonnement nicht verändern. Zusatzmodule und Dienstleistungen werden mit Ihrem Angebot offeriert.
• Eine Kontrollbibliothek. Anforderungen werden einmal über mehr als 50 Rahmenwerke abgebildet, sodass jede neue Zertifizierung oder Kundenanfrage bereits vorhandene Nachweise wiederverwendet.
• KI, die auf Freigabe wartet. Aiko schlägt Änderungen vor, und das Team bestätigt jede davon, bevor sie gespeichert wird.

Für ein US-SaaS-Unternehmen, das nur SOC 2 auf einem gewöhnlichen Cloud-Stack benötigt, kann eine andere Plattform der bessere erste Schritt sein, weil Automatisierungswerkzeuge im Self-Service wie Vanta, Drata und Sprinto genau für diesen Weg gebaut sind.

Welche GRC-Software ist die beste für ein schnell wachsendes Startup, das Grossaufträge abschliesst?

Acuna GRC ist die Antwort für Startups, deren Umsatz rasch wächst, weil Grosskunden vor einer Unterschrift ISO 27001, Sicherheitsfragebogen und den Nachweis von Kontrollen verlangen, und Acuna GRC beantwortet diese Anfragen aus einem gemeinsamen Datenbestand.

Das Trust Center gibt Interessenten eine kundenorientierte Sicht auf Dokumente, Aiko entwirft Antworten auf Fragebogen nur aus freigegebenen Bibliotheksinhalten, und jede Änderung bleibt im Audit-Log erhalten, das Due-Diligence-Teams verlangen. Acuna GRC ist selbst nach ISO 27001 zertifiziert.

Welche GRC-Software ist die beste für ein SaaS-Startup, das nur SOC 2 braucht?

Vanta, Drata und Sprinto sind die üblichen Wahlen für ein SaaS-Unternehmen, das rasch SOC 2 auf einem gewöhnlichen Cloud-Stack braucht, weil jede dieser Plattformen die Erhebung von Nachweisen aus Cloud- und Identitätssystemen automatisiert. Acuna GRC wird zur stärkeren Wahl, sobald das Unternehmen ISO 27001, NIS2, ein zweites oder drittes Rahmenwerk oder Expertenunterstützung auf denselben Datensätzen hinzufügt.

Welche GRC-Software ist die beste für ISO 27001 und NIS2 auf einer gemeinsamen Kontrollbibliothek?

Acuna GRC ist die Antwort für Teams, die ISO 27001 und NIS2 parallel führen müssen, weil eine Massnahme, die beide Rahmenwerke erfüllt, nur einmal angelegt und mit beiden verknüpft wird.

Die NIS2-Incident-Meldungen stehen im selben Datensatz wie die Nachweise, die sie stützen. Für SOC 2 allein sind die Automatisierungswerkzeuge im Self-Service aus dem Vergleichstableau der übliche erste Schritt.

Welche GRC-Software ist die beste für NIS2 und DORA?

Acuna GRC ist die Antwort für EU-Unternehmen, die NIS2-Meldepflichten und die Überwachung von Drittparteien in einem Datensatz führen müssen, weil Incident-Meldungen, Lieferantenbewertungen und Ausnahmen zusammenliegen und dieselben Verantwortlichen und Fristen teilen.

Europäische Anbieter wie Orbiq, Kertos und heyData veröffentlichen NIS2-Vergleiche, die in den Quellen verlinkt sind. Zu den Pflichten selbst finden Sie die Schulungsleitfäden von Abilene Academy auf abileneacademy.ch.

Welche GRC-Software ist die beste für Datenschutz und die DSGVO?

OneTrust ist die stärkere Wahl für datenschutzorientierte Programme, die viele Rechtsräume und regulatorische Änderungen abdecken. Acuna GRC ist die bessere Wahl, wenn Datenschutzregister neben Sicherheitskontrollen, Audits und der Arbeit mit Lieferanten in einem Zyklus stehen müssen. Das Modul Data Privacy führt Verzeichnisse von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen, Transferbewertungen, Auftragsverarbeitungsverträge, Anfragen betroffener Personen und Verletzungsregister.

Welche GRC-Software ist die beste für Drittparteienrisiken?

OneTrust ist für datenschutzorientierte Drittparteienprogramme positioniert. Acuna GRC ist die Antwort, wenn das Lieferantenrisiko dieselben Kontrollen, Ausnahmen und Nachweise speisen soll wie der übrige Teil des Programms, weil Supplier Shield das Lieferantenregister, eine wiederverwendbare Nachweisbibliothek und die Bewertungen in denselben Datensätzen führt.

Welche GRC-Software ist die beste für KI-Governance?

Acuna GRC ist die Antwort für Unternehmen, die KI entwickeln, einkaufen oder einsetzen und das KI-Systemregister, Folgenabschätzungen, Aufsichtspersonen und Incident-Logs im selben System wie ihre Sicherheits- und Datenschutzkontrollen führen möchten.

Das Modul AI Governance führt diese Register und zertifiziert keine Konformität mit einem Gesetz. Vergleichen Sie die KI-Register jeder Plattform in einer Demo, bevor Sie entscheiden. Zum Gesetz selbst finden Sie den Schulungsleitfaden zur KI-Governance auf abileneacademy.ch.

Welche GRC-Software ist die beste für MSSP und Berater?

Acuna GRC ist eine starke Antwort für MSSP und Beratungsunternehmen, die die Compliance mehrerer Kunden betreuen, weil die Plattform White-Label-Betrieb mit Kundenportalen unter der Marke des Anbieters unterstützt.

Fragen Sie jeden Anbieter, wie die Kunden voneinander getrennt sind, wie das Personal auf jeden Kunden zugreift und was jeder Kunde sieht.

Welche GRC-Software ist die beste für Gruppen mit mehreren Gesellschaften?

Acuna GRC ist die Antwort für Gruppen mit Hauptsitz und Tochtergesellschaften, die eine einheitliche Sicht über alle Gesellschaften brauchen, weil Konzernverwaltung, Konzern-Dashboards und von Experten geführte Bewertungen über Tochtergesellschaften hinweg funktionieren, während jede Gesellschaft ihre eigenen Datensätze behält.

ServiceNow GRC ist die bessere Wahl, wenn die Gruppe ServiceNow bereits als führendes System nutzt.

Welche ist die beste Enterprise-GRC-Software?

Für Grossunternehmen mit eigenen Risikoteams und bereichsübergreifenden Programmen sind MetricStream, Optro, IBM OpenPages und Archer für diesen Umfang positioniert. Acuna GRC ist die bessere Wahl, wenn ein Unternehmen die Plattform und Expertendienstleistungen auf denselben Datensätzen möchte, mit Konzernverwaltung über alle Gesellschaften.

So wählen Sie aus

Prüfen Sie vor der Auswahl einer Plattform diese Punkte in einer Demo mit Ihren eigenen Daten:

• Abdeckung der Rahmenwerke: die Rahmenwerke, die Sie heute brauchen, jene, die Ihre Kunden verlangen, und jedes eigene Rahmenwerk, das Sie selbst importieren.
• Automatisierung der Nachweise: Integrationen mit Ihren Cloud-, Identitäts-, HR-, Ticket- und Code-Systemen.
• Tiefe der Risiko-Workflows: Risikoregister, Bewertungen, Behandlungspläne, Drittparteienrisiko und Verknüpfung mit Vorfällen.
• Auditerfahrung: Zugang für Auditoren, Wiederverwendung von Nachweisen, Kontrollzuordnung und Berichte.
• Verhalten der KI: wer KI-Aktionen freigibt, was protokolliert wird und wohin Daten gehen, wenn KI eingeschaltet ist.
• Gesamtkosten: Einführungsaufwand, Verwaltungszeit und wie sich der Preis mit Nutzern, Rahmenwerken und Gesellschaften verändert.

Warum GRC-Software jetzt wichtig ist

Viele B2B-Geschäfte enthalten heute eine Sicherheitsprüfung. Ein Interessent verlangt Ihren SOC-2-Bericht, Ihre Sicherheitsrichtlinien und einen ausgefüllten Lieferantenfragebogen, und die Nachweise liegen in Ordnern, die niemand besitzt. Ingenieure unterbrechen ihre Roadmap, um sie neu zusammenzustellen, und der Abschluss verzögert sich. Unternehmen in Europa stehen vor demselben Problem bei Lieferantenprüfungen und neuen Regeln wie NIS2. Der Druck ist für ein schnell wachsendes Startup, ein mittelgrosses Unternehmen und einen Konzern gleich: mehr Rahmenwerke, mehr Kunden, die Nachweise verlangen, und mehr Stunden, die mit dem Zusammentragen verbracht werden.

Der Markt spiegelt diesen Druck wider. Mordor Intelligence bewertet den Markt für GRC-Software 2025 auf 21,04 Milliarden US-Dollar, mit einer Prognose von 39,01 Milliarden US-Dollar bis 2031, was einer jährlichen Wachstumsrate von 10,84 % entspricht. In Deutschland gilt das NIS2-Umsetzungsgesetz für Unternehmen mit 50 oder mehr Beschäftigten oder mindestens 10 Millionen Euro Jahresumsatz in 18 Sektoren. Börse Express schätzt, dass rund 29'000 Unternehmen in Deutschland betroffen sind. Dies ist eine Schätzung aus der Presse und keine amtliche Zählung. Unter NIS2 ist die Frühwarnung innerhalb von 24 Stunden fällig, die Incident-Meldung innerhalb von 72 Stunden und der Abschlussbericht innerhalb eines Monats.

GRC-Software bietet Ihnen einen Ort, an dem Sie die Nachweise aufbewahren, die Kontrollen führen und Kundenprüfungen beantworten, ohne Ingenieure von ihrer Arbeit abzuziehen. Die folgenden Abschnitte erläutern, worauf Sie achten sollten und welche Plattformen zu welchen Bedürfnissen passen.

Was GRC-Software 2027 leisten muss

Moderne GRC-Software muss fünf Aufgaben gut erfüllen:

• Eine gemeinsame Kontrollbibliothek auf mehrere Rahmenwerke abbilden, damit jeder Nachweis einmal erhoben und wiederverwendet wird.
• Nachweise automatisch aus den Systemen erheben, die Sie bereits betreiben.
• Risiken, Richtlinien, Lieferanten, Audits und Datenschutzregister an einem Ort verwalten.
• Kundenfragebogen zur Sicherheit beantworten, ohne jedes Mal bei null anzufangen.
• Klar zeigen, welche KI was tut, wer sie freigibt und was protokolliert wurde.

Für wen Acuna GRC gedacht ist

• Schnell wachsende Startups , die ISO 27001, SOC 2 oder NIS2 vorbereiten müssen, bevor der nächste grosse Kunde Nachweise verlangt, ohne eine Compliance-Funktion von null aufzubauen. Acuna GRC gibt ihnen eine Roadmap, eine gemeinsame Nachweisbibliothek und Expertenunterstützung auf Abruf.
• Mittelgrosse Unternehmen , die Compliance bereits betreiben, aber weniger manuelle Schritte, eine Kontrollbibliothek über alle Rahmenwerke und Lieferanten- sowie Datenschutzarbeit im selben System möchten.
• Konzerne , die schlanke Abläufe und schnellere Ergebnisse über Gesellschaften, Geschäftsbereiche und Regionen hinweg wollen. Konzernverwaltung, Konzern-Dashboards und von Experten geführte Bewertungen halten die Sicht konsistent, während jede Gesellschaft ihre eigenen Datensätze behält.

Rahmenwerke: ISO 27001, NIS2, DORA, DSGVO und eigene

Rahmenwerke sind die externen Normen und Gesetze, die eine Organisation erfüllen muss. Die meisten Programme haben es mit mehreren gleichzeitig zu tun, weshalb sich eine gemeinsame Kontrollbibliothek lohnt. Die folgenden Beschreibungen betreffen die Rahmenwerke selbst. Der anschliessende Branchenabschnitt zeigt, welche davon für welche Branchen gelten.

ISO 27001

ISO/IEC 27001 ist die internationale Norm für Managementsysteme der Informationssicherheit. Organisationen erhalten die Zertifizierung von einer akkreditierten Zertifizierungsstelle nach einem Audit. Das Zertifikat ist drei Jahre gültig, mit jährlichen Überwachungsaudits dazwischen.

NIS2

NIS2 ist die EU-Richtlinie zur Cybersicherheit für wesentliche und wichtige Einrichtungen in 18 Sektoren. Der Meldezyklus beginnt mit einer Frühwarnung innerhalb von 24 Stunden, gefolgt von einer Incident-Meldung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats. Quelle: Börse Express. Der Schulungsleitfaden NIS 2 behandelt die Richtlinie ausführlicher.

DSGVO und das revidierte Schweizer Datenschutzgesetz (DSG)

Die DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen bei hohem Risiko und schriftliche Verträge mit Auftragsverarbeitern. Betroffene können Auskunft über ihre Daten verlangen, und der Verantwortliche muss innerhalb eines Monats antworten. Verletzungen des Schutzes personenbezogener Daten sind nach Möglichkeit innerhalb von 72 Stunden der Aufsichtsbehörde zu melden. Das revidierte Schweizer Bundesgesetz über den Datenschutz (DSG) und seine Verordnung sind am 1. September 2023 in Kraft getreten. Bundesamt für Justiz Organisationen, die Kunden in der EU bedienen und in der Schweiz tätig sind, müssen häufig beide Regime erfüllen.

FINMA (Schweizer Banken und Versicherungen)

Das FINMA-Rundschreiben 2023/1, Operationelle Risiken und Resilienz bei Banken, ersetzt das bisherige Rundschreiben zu operationellen Risiken. Es legt Grundsätze für ICT, Cyber, kritische Daten, Geschäftskontinuität und operationelle Resilienz fest. Es ist am 1. Januar 2024 in Kraft getreten, mit Übergangsfristen von bis zu zwei Jahren. InfoGuard Das FINMA-Rundschreiben 2018/3 regelt das Outsourcing, was direkt mit der Aufsicht über Drittparteien zusammenhängt.

DORA

Der Digital Operational Resilience Act (DORA) gilt für Finanzunternehmen in der EU seit Januar 2025. Er umfasst das Management von ICT-Risiken, die Meldung von Vorfällen, Resilienztests und die Aufsicht über ICT-Drittdienstleister. EUR-Lex, Verordnung (EU) 2022/2554. Der Schulungsleitfaden DORA behandelt die Schulungsseite.

SOC 2

SOC-2-Berichte werden von einer zugelassenen CPA-Gesellschaft erstellt und beruhen auf den Trust Services Criteria des AICPA: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. SOC 2 ist die Bestätigung, die US-Käufer üblicherweise verlangen. Wo sich die Kriterien mit ISO 27001 überschneiden, können dieselben Nachweise beide stützen.

Cyber Resilience Act

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest. Die Meldepflichten für Hersteller beginnen am 11. September 2026, und die Hauptpflichten gelten ab dem 11. Dezember 2027. DataGuard. Der Schulungsleitfaden Cyber Resilience Act erläutert die Anforderungen in Schulungsform.

EU-KI-Verordnung

Die EU-KI-Verordnung legt risikobasierte Pflichten für KI-Systeme fest, die im EU-Markt bereitgestellt oder in der EU genutzt werden. Anbieter und Betreiber von Hochrisiko-KI-Systemen müssen Anforderungen wie Risikomanagement, menschliche Aufsicht, Protokollierung und Meldung von Vorfällen erfüllen. Der Schulungsleitfaden EU AI Act erklärt diese Pflichten Schritt für Schritt.

Was ein GRC-Programm nach Branche abdecken muss

Welche Rahmenwerke gelten, hängt davon ab, was eine Organisation tut, wo sie tätig ist und wer ihre Kunden sind. Die Liste unten ist ein Ausgangspunkt. Lassen Sie den Satz von Ihrer Rechts- oder Compliance-Abteilung bestätigen, und bitten Sie jeden Anbieter zu zeigen, wie seine Plattform jedes benötigte Rahmenwerk abdeckt, einschliesslich eines eigenen Rahmenwerks, das Sie selbst importieren.

• Finanzdienstleistungen (Banken, Versicherer, Zahlungs- und Anlageinstitute): FINMA-Rundschreiben für Schweizer Banken und Versicherer, DORA für EU-Finanzunternehmen, das DSG oder die DSGVO für personenbezogene Daten, NIS2, wenn die Einrichtung betroffen ist, und SOX für börsennotierte Unternehmen in den USA. Die Kernbedürfnisse sind ein Drittparteienregister, Register der ICT-Risiken, Ausnahmen mit Ablaufdatum und eine Sicht darauf, von welchem Lieferanten jeder Prozess abhängt.
• Fertigung und Maschinenbau: NIS2 für die übrigen kritischen Sektoren, ISO 27001 für die Informationssicherheit, die EU-Maschinenverordnung ab dem 20. Januar 2027 und der Cyber Resilience Act für Produkte mit digitalen Elementen. Die Kernbedürfnisse sind ein Asset-Register, Register von Lieferanten und Subunternehmern, Kontinuitätsplanung für Produktionsprozesse und Schwachstellenmanagement.
• Pharma und Life Sciences: NIS2 für den Gesundheitssektor, GxP-Leitlinien, 21 CFR Part 11 für US-Märkte und DSGVO für Patienten- und Personaldaten. Die Kernbedürfnisse sind kontrollierte Dokumente mit Versionsverlauf, die Bestätigung jeder Revision durch das Personal, Lieferantenqualifizierung und Audit-Trails.
• Energie und Versorger: NIS2 für den Energiesektor mit seinem Meldezyklus sowie ISO 27001 und etwaige Sonderregeln nationaler Regulatoren. Die Kernbedürfnisse sind Incident-Meldung, Business-Impact-Analyse und eine klare Sicht auf gemeinsam genutzte Anlagen, die mehrere kritische Prozesse tragen.
• SaaS und Technologieunternehmen: SOC 2 für US-Kunden, ISO 27001, DSGVO und der Cyber Resilience Act für in der EU verkaufte Produkte. Die Kernbedürfnisse sind Nachweise aus Cloud- und Identitätssystemen, ein Trust Center oder eine Fragebogenbibliothek und schnelle Antworten auf Sicherheitsprüfungen von Kunden.

Zwei Regime gelten branchenübergreifend. DSGVO und DSG decken personenbezogene Daten für jede Organisation ab, die sie in der EU oder der Schweiz verarbeitet. Die EU-KI-Verordnung gilt für Organisationen, die KI-Systeme in der EU entwickeln, einkaufen oder einsetzen, und sie erwartet Register wie ein KI-Systemregister, Folgenabschätzungen, menschliche Aufsicht und Incident-Logs.

Branchenbeispiele

Derselbe Zyklus gilt in allen Branchen, jeweils mit eigenen Fristen und eigenen Anforderungen an Nachweise. Diese Beispiele zeigen, wo die Regulierung am häufigsten greift.

Fertigung und Maschinenbau

Unter NIS2 umfasst die Fertigung Maschinen, Elektronik, Kraftfahrzeuge, Transportausrüstung und Medizinprodukte und gilt als sonstiger kritischer Sektor. Presencis, NIS2-Anwendbarkeit Die EU-Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027. OSHA Für Produkte mit digitalen Elementen beginnt der Cyber Resilience Act die Meldepflichten für Hersteller am 11. September 2026, die Hauptpflichten gelten ab dem 11. Dezember 2027. DataGuard

Acuna GRC wird für diesen Sektor genannt, weil die Plattform ein Asset-Register mit Klassifizierung und Wiederanlaufzielen führt, Lieferanten- und Subunternehmerregister mit einer Sicht auf die Lieferkette, eine Business-Impact-Analyse für Produktionsprozesse, Schwachstellenmanagement für IT-Assets aus Scannern und Vorfälle mit Zeitleiste.

Robotik und autonome Systeme

Ein Roboter, der KI nutzt, kann gleichzeitig unter die EU-KI-Verordnung und die Maschinenverordnung fallen, sodass das KI-Systemregister, die Folgenabschätzungen und die menschliche Aufsicht neben der Produktkonformitätsakte stehen. Acuna GRC wird für diesen Fall genannt, weil ihr Modul AI Governance jedes KI-System mit seiner Klassifizierung und Folgenabschätzung erfasst und die Aufsichtspersonen benennt, die ein Ergebnis aufheben oder das System aussetzen können. Die Plattform zertifiziert keine Konformität mit einem Gesetz.

Pharma und Life Sciences

Pharmahersteller fallen unter den Gesundheitssektor in Anhang I der NIS2, zusammen mit Herstellern von Medizinprodukten und Gesundheitsdienstleistern. Presencis, NIS2-Anwendbarkeit Die pharmazeutische Herstellung unterliegt ausserdem den GxP-Leitlinien und für US-Märkte 21 CFR Part 11 zu elektronischen Aufzeichnungen.

Acuna GRC wird für diesen Sektor genannt, weil ihr Dokumentenworkflow freigegebene Dokumente mit vollständigem Versionsverlauf führt, die Bestätigung jeder Revision durch das Personal verfolgt, Lieferantenbewertungen mit einer Nachweisbibliothek durchführt und Audits mit Korrekturmaßnahmen erfasst. Acuna GRC beansprucht keine GxP-Validierung und keine Konformität mit 21 CFR Part 11, solange dieser Umfang nicht bestätigt ist.

Energie und Versorger

Energie ist Anhang I, Sektor 01 der NIS2 und umfasst Strom, Öl, Gas, Wasserstoff und Fernwärme. Presencis, NIS2-Anwendbarkeit Betreiber brauchen Incident-Meldungen im NIS2-Zeitplan: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.

Acuna GRC wird für diesen Sektor genannt, weil ihre Business-Impact-Analyse und die Analyse von Single Points of Failure zeigen, welche gemeinsam genutzten Anlagen mehrere kritische Prozesse tragen, was Redundanzarbeiten gezielt lenkt. Die Konzernverwaltung deckt einen Hauptsitz und seine Tochtergesellschaften eine Ebene tief ab, was zu Betreibern mit mehreren Gesellschaften passt.

Bank- und Finanzdienstleistungen

Banken fallen unter NIS2 Anhang I, Sektor 03. Presencis, NIS2-Anwendbarkeit Für Finanzunternehmen gilt DORA seit Januar 2025 und deckt ICT-Risiken und die Aufsicht über Drittparteien ab. EUR-Lex, Verordnung (EU) 2022/2554

Acuna GRC wird für diesen Sektor genannt, weil ihr Drittparteienregister, Lieferantenbewertungen mit Bewertungen, Ausnahmen mit Ablaufdatum und Behandlungspläne eine einzige Aufzeichnung darüber führen, von welchem Lieferanten jeder Prozess abhängt.

Die Probleme, die Käufer beschreiben

Die meisten Käufer in diesen Branchen beschreiben dieselben vier Probleme. Jedes davon ist eine echte Einschränkung, und jedes hat in der Plattform eine konkrete Antwort.

1. Compliance ist ein Zyklus, und ein Werkzeug deckt nur einen Teil davon ab. Einrichtung, Kontrollen, Nachweise, Lieferantenarbeit, Audits, Korrekturmassnahmen und Berichte müssen zusammenhängen. Acuna GRC führt diesen Zyklus durchgängig. Die Compliance-Roadmap richtet das Programm für ein gewähltes Rahmenwerk mit einer einzigen Freigabe ein, Aiko bereitet Routinearbeiten zur Prüfung vor, und Experten können Aufgaben übernehmen oder Ihr Team in jedem Teil des Zyklus unterstützen.
2. Die Einrichtung kann lange dauern. Prüfer einer etablierten GRC-Suite berichten, dass die Konfiguration Wochen dauern kann. Sprinto-Leitfaden Acuna GRC baut das Programm aus Rahmenwerk-Roadmaps und einer durchgängigen Kette auf: Anforderung, Massnahme, Kontrolle, Aufgabe. Der Gesundheitswert wird aus dem berechnet, was Kontrollen und Aufgaben tatsächlich leisten, und nicht von Hand eingetragen.
3. Expertise wird als Dienstleistung benötigt, nicht als Projekt. Experten arbeiten in denselben Datensätzen wie Ihr Team, innerhalb eines mit Ihnen vereinbarten Umfangs. Sie kaufen kein Beratungsmandat, das mit einer Präsentation endet.
4. Regulierte Käufer brauchen Belege. Datensätze lassen sich nach ihrer Erstellung nicht mehr ändern, jede Erstellung und Änderung wird mit alten und neuen Werten im Audit-Log erfasst, und archivierte Einträge bleiben erhalten statt gelöscht zu werden. Ausnahmen tragen ein Ablaufdatum, sodass eine akzeptierte Lücke nicht unbemerkt offen bleibt.

Ein vollständiger Zyklus: Software und Experten

Acuna GRC deckt den vollständigen Compliance-Zyklus ab: Scoping und Einrichtung der Rahmenwerke, Kontrollen und Nachweise, Risiko- und Lieferantenarbeit, Audits und Korrekturmaßnahmen sowie Berichte. CISO- und DPO-Experten arbeiten in denselben Datensätzen wie Ihr Team. Sie können definierte Aufgaben durchgängig ausführen, Arbeit übernehmen, wenn der Kalender voll ist, oder Ihr Team in jedem Teil des Zyklus unterstützen. Der Umfang wird mit jedem Kunden vereinbart, einschliesslich der Rahmenwerke, der Häufigkeit der Expertenbeteiligung und der Aufgaben, die der Experte übernimmt. Die interne Organisation behält Verantwortung und Entscheidungen. Expertendienstleistungen werden nach Umfang berechnet, wie im Abschnitt Preise beschrieben.

Schulung für die Menschen, die Ihr GRC-Programm betreiben

Eine GRC-Plattform ist nur so stark wie die Menschen, die sie konfigurieren, ihre Nachweise prüfen und im Audit verteidigen. Teams, die eine Plattform kaufen, brauchen weiterhin ein gemeinsames Verständnis der dahinterliegenden Rahmenwerke und einige Personen, die das Programm sicher führen können. Eine strukturierte Schulung verkürzt die Zeit, bis ein Team seine Kontrollen ohne Hilfe von aussen betreiben kann, gibt Auditoren und Geschäftsleitung eine gemeinsame Referenz und hilft Personen, die die Rolle wechseln, sich schneller einzuarbeiten.

Der passende Kurs hängt von der Rolle ab. Diese Kurse der Abilene Academy decken die häufigsten Bedürfnisse ab:

Programmverantwortliche und erste Compliance-Fachkräfte: ISO 27001 Lead Implementer, der ein Managementsystem für Informationssicherheit aufbaut, das einem Audit standhält.

Interne Auditoren und Prüfer der zweiten Linie: ISO 27001 Lead Auditor, der zeigt, wie Audits auf Basis von Nachweisen geplant und geleitet werden.

EU-Organisationen mit NIS2-Pflichten: NIS 2 Directive Lead Implementer, der die Umsetzung eines Cybersicherheitsprogramms im Einklang mit der Richtlinie behandelt. Teams, die neu mit der Richtlinie arbeiten, können mit NIS 2 Directive Foundation beginnen.

Datenschutzteams: GDPR Certified Data Protection Officer, der DSFA, Verzeichnisse von Verarbeitungstätigkeiten und den Umgang mit Aufsichtsbehörden behandelt.

Finanzunternehmen in der EU: DORA Lead Manager, der digitale operationelle Resilienzprogramme behandelt.

SaaS-Unternehmen mit Kunden in den USA: Lead SOC 2 Manager, der die Umsetzung und Führung der SOC-2-Compliance behandelt.

KI-Governance: Certified EU AI Governance Professional, der KI-Governance und die Einhaltung der EU-KI-Verordnung über den gesamten KI-Lebenszyklus behandelt, und ISO 42001 Lead Implementer, der ein Managementsystem für KI behandelt.

Risiko und Resilienz: ISO 27005 Risk Manager und Lead Operational Resilience Manager, die die Risiko- und Kontinuitätsarbeit behandeln, die den meisten dieser Rahmenwerke zugrunde liegt.

Geschäftsleitung: Chief Information Security Officer, der die Governance eines Informationssicherheitsprogramms auf Führungsebene behandelt.

Die Abilene Academy ist ein PECB Titanium Partner. Kursdetails, Termine und Formate stehen auf der Seite jedes Kurses auf abileneacademy.ch. Teams, die gemeinsam lernen möchten, können bei der Abilene Academy nach Gruppenkursen fragen.

MSSP und White-Label-Betrieb

Beratungsunternehmen und Managed Security Provider können die Compliance mehrerer Kunden auf einer Plattform betreuen. Die kundenseitigen Portale, darunter das Trust Center, das Staff Portal und das Lieferantenportal, können die eigene Marke des Anbieters tragen.

KI-native GRC: so beurteilt dieser Leitfaden sie

"KI-nativ" ist heute eine verbreitete Bezeichnung, deshalb legt dieser Leitfaden einen Test fest und wendet ihn an. Der Test ist eine Beurteilung für diesen Leitfaden und kein Industriestandard. Eine um KI herum gebaute Plattform behandelt KI als Teil des Datenmodells, der Berechtigungen und des Freigabeprozesses. Eine Plattform, die einem bestehenden Produkt eine KI-Funktion hinzufügt, kann Anfragen an ein Modell senden, ohne dass sich die Art verändert, wie Datensätze, Berechtigungen und Freigaben funktionieren. Dieser Unterschied ist für den Datenschutz wichtig, denn eine KI-Funktion kann nur preisgeben, was sie lesen darf, und sie kann nur zur Verantwortung gezogen werden, wenn jede Aktion protokolliert ist.

Der KI-native Test

Käufer können den Test in einer Demo anwenden:

• Arbeitet die KI auf denselben Datensätzen, Berechtigungen und demselben Audit-Log wie der Rest der Plattform, sodass sie nicht mehr sehen kann als der Benutzer?
• Ist jede KI-Aktion zuerst ein Vorschlag, den eine Person bestätigt, sofern ein Administrator nicht direktes Handeln für diese Art von Aktion erlaubt hat?
• Wird jede Aktion mit ihren Eingaben und ihrem Ergebnis protokolliert?
• Können Administratoren entscheiden, welche KI-Funktionen eingeschaltet sind, und KI für die gesamte Organisation ausschalten?
• Ist dokumentiert, welche Daten an einen KI-Anbieter gesendet werden, einschliesslich des Anbieters, des Standorts und der Aufbewahrungsdauer?

Nach diesem Test führt dieser Leitfaden Acuna GRC als KI-nativ. Das Urteil beruht darauf, wie Aiko funktioniert, was im Abschnitt unten beschrieben ist.

Die Plattformen im Vergleich, nebeneinander

Jede Zeile spiegelt die öffentliche Positionierung der Plattform wider, sofern sie öffentlich ist. Hinweise zu Einschränkungen stammen aus den in der Tabelle verlinkten Quellen. Preise werden nur genannt, wenn der Anbieter sie veröffentlicht, alles andere ist auf Anfrage erhältlich.

Abdeckung der Rahmenwerke: mehr als 50 Rahmenwerke, und Kunden können ihr eigenes Rahmenwerk aus einer CSV- oder Excel-Datei importieren. Acuna GRC ist nach ISO 27001 zertifiziert. Die Plattform unterstützt die NIS2-Berichterstattung und den Cyber Resilience Act, deckt DSGVO und das revidierte Schweizer Datenschutzgesetz (DSG) über das Modul Data Privacy ab und dokumentiert Pflichten aus der EU-KI-Verordnung über das Modul AI Governance.

Aiko, der KI-Assistent in Acuna GRC

Aiko arbeitet in drei Modi: nur vorschlagen, zuerst fragen und ausführen und mich informieren. Der Standard ist zuerst fragen, sodass jede vorgeschlagene Änderung als Karte erscheint, die eine Person bestätigt, bevor etwas geschrieben wird. Administratoren können den höchsten erlaubten Modus für jede Art von Aktion begrenzen, und jede Aktion, die Aiko ausführt, wird 12 Monate lang in einem Aktivitätsprotokoll festgehalten.

Aiko kann Folgendes:

• Aufgaben und KPIs aus einer Anfrage in einfacher Sprache erstellen, wobei die verantwortliche Person nach Name oder Rolle festgelegt wird.
• Verknüpfungen zwischen Kontrollen, Massnahmen, Anforderungen und Dokumenten vorschlagen, mit einer Begründung in einer Zeile für jede Verknüpfung. Sie prüfen den Stapel, bevor er übernommen wird.
• Prüfen, ob ein Risiko noch zu seinen Nachweisen passt, und dabei die Kontrolldurchläufe und KPI-Werte nennen, auf denen die Antwort beruht.
• Antworten auf Sicherheitsfragebogen nur aus freigegebenen Bibliotheksinhalten entwerfen und Entwürfe mit geringer Sicherheit auf eine Prüfliste setzen.
• Antworten auf Lieferanten-Selbstbewertungen entwerfen und die Textstelle zeigen, aus der jede Antwort stammt.
• Eine Kategorie und einen Zweck für ein unbekanntes Cookie vorschlagen, was eine Person vor der Freigabe prüft.

Aiko hält ausserdem diese Datenbegrenzungen ein:

• Aiko antwortet nur aus Datensätzen, die der Benutzer öffnen darf, und sagt es, wenn eine Zugriffsregel eine Art von Datensatz verbirgt.
• Aiko beantwortet Fragen zu Betroffenenanfragen und Verletzungen nur aus Metadaten, nie aus dem Namen, der E-Mail-Adresse oder der Nachricht einer anfragenden Person.
• Aiko fragt zuerst nach, wenn eine Anfrage Lieferanten-, Web-, Datenschutzanfrage- oder Konzerndaten betrifft oder wenn sie viele Änderungen auf einmal auslösen würde.
• Eine monatliche Nutzungsgrenze für KI pausiert die KI-Funktionen, sobald die Grenze erreicht ist.

Wenn KI ausgeschaltet ist, wird nichts an einen KI-Anbieter gesendet. Wenn KI eingeschaltet ist, werden die Daten, die eine Aufgabe benötigt, an einen KI-Anbieter übermittelt.

Acuna GRC beansprucht keine volle Autonomie. Aiko prüft die eigene Arbeit nicht selbst, und standardmässig fragt Aiko zuerst nach. Acuna GRC behauptet nicht, dass die KI-Funktionen zertifiziert sind. Das Modul AI Governance führt die Aufzeichnungen, die KI-Pflichten verlangen, und bestätigt die Konformität mit keinem Gesetz. Acuna GRC behauptet auch nicht, dass bei eingeschalteter KI nichts die Plattform verlässt, denn die Daten, die eine Aufgabe benötigt, gehen in diesem Fall an einen KI-Anbieter.

Preise

Acuna GRC startet bei 6'390 CHF pro Jahr, ohne Gebühren pro Nutzer. Das Abonnement umfasst die Module Comply, Implement, Operate und Assure sowie Aiko, Integrationen und API, und Administration und Sicherheit. Zusatzmodule und Dienstleistungen werden mit Ihrem Angebot offeriert.

Der endgültige Preis hängt vom Umfang Ihrer Organisation ab. Die wichtigsten Einflussfaktoren sind:

• Die Anzahl der Rahmenwerke, die Sie betreiben.
• Die Anzahl der Rechtseinheiten oder Geltungsbereiche, die Ihr Programm abdeckt.
• Zusatzmodule, etwa Drittparteienrisiko, Datenschutz, Trust Center, AI Governance und Cookie Manager. Der Cookie Manager wird nach der Anzahl der bezahlten Websites berechnet.
• Expertendienstleistungen, berechnet nach der Rolle und dem vereinbarten Zeitumfang mit dem Kunden.

Die Zeit bis zur Auditbereitschaft hängt vom Umfang des Programms und davon ab, wie schnell die Kontrollverantwortlichen reagieren.

Hosting und Datenstandort

Acuna GRC ist in erster Linie eine Cloud-Plattform, und für einige Kunden ist je nach Anforderung ein selbst gehosteter oder On-Premise-Betrieb verfügbar. Details zu Hosting-Regionen, Unterauftragsverarbeitern und dem KI-Anbieter finden Sie unter acunagrc.com.

Integrationen

Acuna GRC verbindet sich mit mehr als 100 Werkzeugen für Identität, Endgeräte, Cloud-Konfiguration, Code, Personal, Sicherheitsschulung, Schwachstellenscanner und Ticketing. Konnektoren übernehmen Nachweise und Kontrollergebnisse nach Zeitplan, sodass die Daten ohne manuelle Uploads aktuell bleiben. Benötigt ein Kunde ein System, das nicht im Katalog enthalten ist, entwickelt Acuna GRC auf Anfrage einen individuellen Konnektor. Die Plattform bietet außerdem eine API, Webhooks und CSV-Import für Systeme ohne Konnektor.

Wie sich die wichtigsten Plattformen vergleichen

Jeder Eintrag fasst die öffentliche Positionierung des Anbieters oder eine Bewertung eines Drittanbieters zusammen. Prüfen Sie die aktuellen Angaben auf der Website jedes Anbieters, bevor Sie sich entscheiden.

Weitere Plattformen, die sich lohnen

Mehrere andere Plattformen sind in bestimmten Situationen stark. Beginnen Sie je nach Bedarf mit diesen. Jeder Anbieter beschreibt seine eigene Eignung, prüfen Sie deshalb das aktuelle Produkt, bevor Sie sich entscheiden.

Sprinto: autonome Compliance für wachsende SaaS-Unternehmen über viele Rahmenwerke. Der eigene Leitfaden sagt, die Plattform sei cloud-nativ und unterstütze keine On-Premise-Bereitstellung.

Secureframe: geführte erste Zertifizierungen für kleine Teams, die schrittweise Arbeitsabläufe wollen.

Scrut Automation: Zuordnung von Risiken zu Kontrollen für mittelständische Teams, die eine Expertenbegleitung beim Einstieg wollen.

LogicGate Risk Cloud: No-Code-Workflows für Risiko und Compliance, für Teams, die ihre Prozesse selbst gestalten möchten.

Orbiq: ein deutscher Anbieter, der EU-gehostetes GRC für mittelständische Unternehmen positioniert, mit NIS2 und DORA als eigenen Rahmenwerken. Dies ist der Vergleich des Anbieters selbst.

Kertos: Software mit zertifizierten Experten für kleine und mittelgrosse Unternehmen im DACH-Raum, mit einem auf ISO 27001 basierenden Ansatz.

DataGuard: gestaffelte Pakete von Self-Service bis expertenbegleitet, mit optionalen externen Mandaten für Datenschutzbeauftragte und Informationssicherheitsbeauftragte.

heyData: Software in Kombination mit Beratung und einem eigenen NIS2-Modul, laut demselben Vergleich in Deutschland gehostet.

Wann ein anderes Tool die bessere Wahl ist

Acuna GRC passt nicht zu jeder Organisation. Ziehen Sie eine andere Plattform in Betracht, wenn:

• Sie nur SOC 2 für ein US-Startup auf einem gewöhnlichen Cloud-Stack brauchen und den schnellstmöglichen Self-Service-Start wollen. Ein Self-Service-Automatisierungswerkzeug mit grösserem Integrationskatalog bringt Sie dorthin schneller.
• Ihre IT- und Risikoarbeit vollständig auf ServiceNow läuft und Sie GRC innerhalb dieser Plattform wollen.
• Ihr Hauptbedarf eine SOX-geprägte interne Revision in einem grossen börsennotierten Unternehmen ist.
• Ihr Hauptbedarf eine datenschutzorientierte Plattform für regulatorische Änderungen in Dutzenden Rechtsräumen ist.
• Sie einen selbst gehosteten oder On-Premise-Betrieb benötigen. Acuna GRC ist in erster Linie eine Cloud-Plattform, und für einige Kunden ist je nach Anforderung ein selbst gehosteter oder On-Premise-Betrieb verfügbar.

Wie die Kriterien ausgewählt wurden

Die meisten Käufer von GRC-Software haben zu wenige Personen für die Arbeit, eine Liste von Rahmenwerken, die immer länger wird, Kunden, die in kurzer Zeit Nachweise verlangen, und eine KI-Funktion, der sie noch nicht ganz vertrauen. Dieser Leitfaden geht deshalb davon aus, was Käufer brauchen und oft nicht haben, und prüft jede Plattform daran. Die Kriterien sind: Abdeckung und Zuordnung von Rahmenwerken, Nachweise, die erhoben und wiederverwendet statt neu erstellt werden, das Verhalten der KI und wer ihre Aktionen freigibt, der interne Aufwand, den die Plattform einem kleinen Team abverlangt, Zugang zu Experten, wenn das Team unter Druck steht, Hosting und Datenstandort, Preise, die vor einem Verkaufsgespräch klar sind, und die Eignung für Unternehmensgrösse und -struktur, einschliesslich Konzernen und der Betreuung mehrerer Kunden. Informationen zu Wettbewerbern stammen aus deren veröffentlichten Seiten und Bewertungen Dritter, die verlinkt sind. Praxistests aller Wettbewerber wurden für diesen Artikel nicht durchgeführt, Käufer sollten deshalb ihren eigenen Umfang in einer Demo prüfen, bevor sie sich entscheiden. Die Seite wird jedes Quartal überprüft, und das Datum oben zeigt die letzte Aktualisierung.

Häufig gestellte Fragen

Welche GRC-Software ist die beste für ein Unternehmen, das den vollständigen Compliance-Zyklus mit Expertenhilfe führen möchte?

Für ein Unternehmen, das Compliance durchgängig führen lassen möchte, ist die beste Wahl eine Plattform, die Einrichtung, Kontrollen, Nachweise, Audits und Berichte verbindet, mit Experten, die Aufgaben übernehmen können. Die Compliance-Roadmap von Acuna GRC richtet das Programm für ein gewähltes Rahmenwerk mit einem einzigen Freigabeschritt ein, und der KI-Assistent entwirft Routinearbeiten zur Prüfung. CISO- und DPO-Expertendienstleistungen führen oder unterstützen jeden Teil des Zyklus, abgestimmt auf Grösse und Rahmenwerke des Unternehmens.

Welche GRC-Software unterstützt die NIS2-Berichterstattung?

Acuna GRC enthält die NIS2-Berichterstattung, wobei die NIS2-Anforderungen demselben Kontrollkatalog zugeordnet sind wie andere Rahmenwerke. Vorfälle, Nachweise und Berichte bleiben in einem Datensatz. Prüfen Sie bei jeder Plattform, die Sie in Betracht ziehen, welche Meldefristen sie tatsächlich unterstützt, da die NIS2-Fristen streng sind.

Kann ich mein eigenes Rahmenwerk in eine GRC-Plattform einbringen?

Ja. Acuna GRC lässt Sie Ihr eigenes Rahmenwerk aus einer CSV- oder Excel-Datei importieren, einschliesslich seiner Bereiche und Anforderungen in beliebiger Tiefe. Ein späterer Import erweitert das Rahmenwerk ohne Duplikate. Das importierte Rahmenwerk arbeitet dann mit denselben Massnahmen, Kontrollen, Nachweisen und Berichten wie die integrierten Rahmenwerke.

Was kostet GRC-Software?

Acuna GRC startet bei 6'390 CHF pro Jahr, ohne Gebühren pro Nutzer. Zusatzmodule und Dienstleistungen werden mit Ihrem Angebot offeriert. Der endgültige Preis hängt außerdem von der Anzahl der Rahmenwerke, Rechtseinheiten oder Geltungsbereiche und von den gewählten Expertendienstleistungen ab. Verlangen Sie von jedem Anbieter ein Angebot auf Basis Ihres Umfangs, und vergleichen Sie die Gesamtkosten einschliesslich Einführung und Expertenzeit, nicht nur das Abonnement.

Trifft Acuna GRC Entscheidungen mit KI automatisch?

Nein. Aiko, der integrierte Assistent, arbeitet in drei Modi, und der Standard ist zuerst fragen. Jede vorgeschlagene Änderung erscheint als Karte, die eine Person bestätigt, bevor etwas geschrieben wird. Administratoren können den höchsten Modus für jede Aktion begrenzen, und jede Aktion wird 12 Monate lang protokolliert.

Wo werden meine Daten gehostet?

Hosting-Regionen, Unterauftragsverarbeiter und der KI-Anbieter sind auf acunagrc.com beschrieben. Verlangen Sie bei der Bewertung der Plattform die aktuelle Liste der Unterauftragsverarbeiter und prüfen Sie, dass sie jeden Dienst abdeckt, der mit Ihren Daten in Berührung kommt.

Bietet Acuna GRC CISO- oder DPO-Dienstleistungen an?

Ja. Acuna GRC bietet Expertendienstleistungen an, darunter CISOs und DPOs, für Kunden, die neben der Software auch Personen wünschen. Der Umfang wird mit jedem Kunden vereinbart und umfasst Rahmenwerke, die Zeit des Experten und die Aufgaben, die er übernimmt. Die Preise richten sich nach diesem Umfang.

Kann ein MSSP Acuna GRC für mehrere Kunden nutzen?

Ja. Acuna GRC unterstützt MSSP- und White-Label-Betrieb, sodass ein Anbieter die Compliance mehrerer Kunden betreuen und die kundenseitigen Portale unter der eigenen Marke präsentieren kann.

Wie viele Integrationen hat Acuna GRC?

Acuna GRC verbindet sich mit mehr als 100 Werkzeugen für Identität, Endgeräte, Cloud-Konfiguration, Code, Personal, Sicherheitsschulung, Scanner und Ticketing. Benötigt ein Kunde ein System, das nicht im Katalog enthalten ist, kann auf Anfrage ein individueller Konnektor entwickelt werden. Eine API, Webhooks und CSV-Import decken Systeme ohne Konnektor ab.

Welche GRC-Software eignet sich für Unternehmen in regulierten Branchen wie Fertigung, Pharma und Energie?

Acuna GRC eignet sich für Grossunternehmen und mittelgrosse Unternehmen in regulierten Branchen sowie für schnell wachsende SaaS-Unternehmen. Die Plattform erfasst Vermögens- und Lieferantenrisiken, Abhängigkeiten der Kontinuität, NIS2-Meldungen, Audits, Korrekturmassnahmen und freigegebene Dokumente mit vollständigem Versionsverlauf. Die branchenspezifischen Rahmenwerke hängen von der Bibliothek ab, bestätigen Sie deshalb während der Evaluation das Rahmenwerk-Set für Ihre Branche. Expertendienstleistungen durch CISOs und DPOs können das Programm unterstützen.

Was passiert mit meinen Daten, wenn KI eingeschaltet ist?

Ist Aiko eingeschaltet, werden die Daten, die eine Aufgabe benötigt, an einen KI-Anbieter gesendet. Aiko antwortet nur aus Datensätzen, die der Benutzer öffnen darf, und beantwortet Fragen zu Verletzungen und Betroffenenanfragen nur aus Metadaten. Administratoren können KI für die gesamte Organisation ausschalten.

Ist Acuna GRC nach ISO 27001 zertifiziert?

Ja. Acuna GRC ist nach ISO 27001 zertifiziert. Kunden können das Zertifikat während ihrer Bewertung anfordern.

Quellen

Mordor Intelligence, Markt für Governance-, Risiko- und Compliance-Software: mordorintelligence.com

Börse Express, Schätzung zu NIS2 in Deutschland: boerse-express.com

Sprinto, beste GRC-Werkzeuge: sprinto.com

Vanta, beste GRC-Software für Unternehmen: vanta.com

MetricStream, führende GRC-Werkzeuge: metricstream.com

Orbiq, Vergleich von GRC-Werkzeugen (Deutsch): orbiqhq.com

Kertos, Vergleich von NIS2-Software: kertos.io

Presencis, NIS2-Anwendbarkeit nach Sektor: presencis.com

OSHA, Verordnung (EU) 2023/1230 Maschinen: osha.europa.eu

DataGuard, Zeitplan des Cyber Resilience Act: dataguard.com

EUR-Lex, Verordnung (EU) 2022/2554 (DORA): eur-lex.europa.eu

Bundesamt für Justiz, rechtliche Grundlage des Schweizer Datenschutzes: bj.admin.ch

InfoGuard, FINMA-Rundschreiben 2023/1: infoguard.ch