Software · GRC
GRC steht für Governance, Risk und Compliance. Eine GRC-Software bündelt Vorgaben, Risiken, Nachweise und Maßnahmen an einer Stelle, auch wenn mehrere Normen und Gesetze gleichzeitig gelten. Diese Seite zeigt, was ein GRC-Tool leisten muss, worauf Sie bei der Auswahl achten sollten und wie Sightadel das umsetzt.
Ausgangslage
Governance meint die Steuerung durch die Leitung: Ziele, Leitlinien, Rollen und Beschlüsse. Risk meint das Risikomanagement: Risiken erkennen, bewerten, behandeln und wieder vorlegen. Compliance meint die Einhaltung von Normen, Gesetzen und Kundenanforderungen und den Nachweis darüber. Die drei Bereiche greifen ineinander. Eine Risikobewertung ohne Beschluss der Leitung ist so wenig prüfbar wie eine Richtlinie ohne Nachweis, dass sie gelebt wird.
In vielen Unternehmen liegt das heute in getrennten Dateien. Eine Tabelle für die Erklärung zur Anwendbarkeit nach ISO 27001, eine für die Maßnahmen nach NIS2, eine Lieferantenliste im Einkauf, Belege in Ordnern und Postfächern. Mit jedem weiteren Regelwerk wächst der Aufwand, weil dieselben Themen mehrfach dokumentiert werden: Datensicherung, Zugriffsrechte, Schulungen, Lieferanten, internes Audit.
Eine GRC-Software ersetzt diese Sammlung durch ein gemeinsames Datenmodell. Anforderungen kommen aus den Frameworks, Nachweise und Maßnahmen werden einmal angelegt und mit allen Anforderungen verknüpft, die sie belegen. Die Entscheidungen bleiben dort, wo die Normen sie verlangen: bei der Leitung. Ziele, Risikoakzeptanz und Zuständigkeiten legt Ihr Unternehmen fest, nicht die Software.
Warum jetzt
Sie haben ISO 9001 oder ISO 27001 und fallen jetzt unter NIS2 oder DORA, oder ein Großkunde verlangt einen eigenen Sicherheitsanhang. Spätestens jetzt lohnt ein System, in dem ein Nachweis für mehrere Anforderungen zählt.
Zertifizierungsstelle, Abschlussprüfer oder Aufsicht wollen Belege mit Datum sehen. Wer erst vor dem Termin sammelt, sucht jedes Jahr von vorn.
NIS2 und DORA machen die Geschäftsleitung bzw. das Leitungsorgan ausdrücklich verantwortlich. Die Leitung braucht einen Stand, den sie lesen kann, und Beschlüsse, die nachvollziehbar abgelegt sind.
Der Beauftragte kennt alle Tabellen, sonst niemand. Fällt er aus oder wechselt, steht das System still. Ein GRC-Tool macht Zuständigkeiten und Fristen für alle sichtbar.
Jeder Kunde fragt dieselben Themen in einem anderen Format ab. Ein gepflegter Stand und ein Trust Center beantworten die üblichen Fragen einmal für alle.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Der verbreitetste Rahmen für Informationssicherheit. Kapitel 4 bis 10 regeln das Managementsystem, Anhang A enthält 93 Controls. Viele Nachweise aus ISO 27001 tragen in NIS2, DORA und die technischen Maßnahmen der DSGVO hinein.
Zum Framework →Pflicht für wichtige und besonders wichtige Einrichtungen nach dem BSI-Gesetz. Zehn Maßnahmenbereiche nach § 30 BSIG, Meldepflichten nach § 32, Registrierung nach § 33 und Verantwortung der Geschäftsleitung nach § 38.
Zum Framework →Für Finanzunternehmen in der EU seit Januar 2025 verbindlich und dort vorrangig vor NIS2. Zu IKT-Risikomanagement und Vorfallmeldung kommen Resilienztests und das Informationsregister über IKT-Dienstleister.
Zum Framework →Qualitätsmanagement mit derselben Grundstruktur der Abschnitte 4 bis 10 wie ISO 27001. Dokumentenlenkung, internes Audit, Managementbewertung und Korrekturmaßnahmen lassen sich gemeinsam führen.
Zum Framework →Gilt für jede Organisation, die personenbezogene Daten verarbeitet. Die technischen und organisatorischen Maßnahmen nach Art. 32 lassen sich mit denselben Nachweisen belegen wie viele Controls aus ISO 27001.
Zum Framework →Empfohlene Reihenfolge
Klären Sie, welche Normen und Gesetze für Sie gelten und welche Kunden zusätzlich verlangen. Das bestimmt, welche Frameworks Sie in Sightadel anlegen.
Bestehende Tabellen zu Anforderungen, Risiken und Lieferanten kommen per Excel-Import, Richtlinien per Word-Import. Belege laden Sie ins Nachweis-Archiv und ordnen sie zu.
Gehen Sie das Framework mit dem nächsten Termin geführt durch, Kontrolle für Kontrolle. Weitere Frameworks legen Sie daneben an. Was schon belegt ist, zeigt sich dort als belegt.
Aus Lücken werden Aktionspläne mit Verantwortlichem und Frist. Kollegen aus IT, Personal und Einkauf bearbeiten ihren Teil mit der Rolle Contributor, die Leitung liest als Viewer mit.
Internes Audit, Managementbewertung, Lieferantenbewertungen und ablaufende Nachweise laufen als Termine mit Erinnerung. So bleibt das System zwischen den Audits aktuell.
Auswahl
Die meisten GRC-Tools sehen in der Demo ähnlich aus. Die Unterschiede zeigen sich im zweiten Jahr: bei der Pflege, beim zweiten Framework und im Audit.
Prüfen Sie, ob ein Beleg einmal abgelegt und mit Anforderungen aus mehreren Regelwerken verknüpft werden kann. Kopien je Framework führen zu unterschiedlichen Ständen.
Ein Wiederherstellungstest oder eine Schulungsliste veraltet. Das Tool sollte Version, Gültigkeit und Erinnerung vor Ablauf kennen, nicht nur Dateiablage.
Eine Liste mit Normtexten hilft Fachbereichen wenig. Achten Sie auf Prüffragen mit Erklärung, die auch Kollegen ohne Normkenntnis beantworten können.
KI kann Entwürfe liefern. Ziele, Risikoakzeptanz und Zuständigkeiten muss die Leitung festlegen, und das Tool sollte diese Stellen kenntlich machen statt sie vorauszufüllen.
Ein eigener Zugang für den Auditor ohne Löschrecht spart Dateiversand. Externe Berater sollten mit eigener Rolle mitarbeiten können, nachvollziehbar im Protokoll.
Fragen Sie, wo die Daten liegen, wer sie betreibt und wie Sie sie wieder herausbekommen. Export nach Excel und Word gehört zur Grundausstattung.
So hilft Sightadel
Jede Anforderung als Frage mit Erklärung, Kontrolle für Kontrolle, mit Branchenvorlagen aus langjähriger Beratungs- und Zertifizierungspraxis. Antwort, Begründung und Beleg liegen an derselben Stelle.
Mehr erfahren →Belege mit Version, Gültigkeitsdatum und Erinnerung vor Ablauf. Ein Nachweis wird mit Controls aus mehreren Frameworks verknüpft, etwa ein Backup-Konzept mit ISO 27001, NIS2 und DORA zugleich.
Mehr erfahren →Lücken aus Assessments, internen Audits und externen Befunden werden zu Maßnahmen mit Verantwortlichem und Frist. Überfällige Punkte sind für alle Beteiligten sichtbar.
Mehr erfahren →Dienstleister mit Kritikalität, Fragebögen und Nachweisen in einer Liste, mit Erinnerung an die nächste Bewertung. Das deckt die Lieferkettenanforderungen mehrerer Regelwerke ab.
Mehr erfahren →Konzernrichtlinien oder Sicherheitsanhänge von Kunden legen Sie als eigenes Framework an. Es nutzt dieselben Nachweise und Maßnahmen wie die Normen.
Mehr erfahren →Regelmäßiger Abgleich mit Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics und Salesforce. Assets, Nachweise und Aufgaben kommen aus den Systemen, in denen sie ohnehin entstehen.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben Ausgangsstand, Größe des Geltungsbereichs und die Zeit, die neben dem Tagesgeschäft bleibt. Die Software verkürzt Suche, Pflege und Nachfassen, nicht die Entscheidungen.
Was Sie lizenzieren · typisch Professional
Lizenziert wird je Framework und Edition. Ein Unternehmen mit ISMS, NIS2-Pflicht und Datenschutz nimmt typischerweise ISO 27001, NIS2 und DSGVO in der Edition Professional. Weil ISO 27001 dabei ist, kosten NIS2 und DSGVO dauerhaft weniger. Mit vielen Gesellschaften oder Lieferanten passt Enterprise.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Ein System, in dem Governance, Risikomanagement und Compliance zusammenlaufen: Anforderungen aus Normen und Gesetzen, Risiken, Nachweise, Maßnahmen und Beschlüsse der Leitung. Der Kern ist, dass ein Nachweis für mehrere Regelwerke zählt und Fristen nicht an einer Person hängen.
Für ein Framework und eine verantwortliche Person kann Excel genügen. Mit mehreren Regelwerken, vielen Beteiligten und Nachweisen, die ablaufen, wird es mühsam: Versionen laufen auseinander, Fristen fallen erst im Audit auf. Bestehende Tabellen lassen sich in Sightadel importieren, Sie fangen nicht von vorn an.
Sightadel wird je Framework und Edition lizenziert. Ist ISO 27001 oder ISO 9001 lizenziert, kostet jedes andere Framework dauerhaft weniger. Die aktuellen Beträge stehen auf der Preisseite. Sie können 14 Tage kostenlos testen, ohne Zahlungsdaten.
Unter anderem ISO 27001, NIS2, DORA, ISO 9001 und DSGVO. Was eine Software je Regelwerk leisten muss, beschreiben die Seiten zu ISO-27001-Software, NIS2-Software, DORA-Software und ISO-9001-Software. Eigene Vorgaben, etwa Konzernrichtlinien oder Kundenanforderungen, legen Sie als eigenes Framework an.
Nein. Sightadel führt durch die Anforderungen und hält den Stand fest. Berater wählen Sie aus dem Partnernetzwerk in der App oder bringen Ihren eigenen mit. Geprüft wird durch unabhängige, akkreditierte Auditoren. Sightadel zertifiziert nicht und erhält keine Provision, die Partner auch nicht.
Nichts. Sie macht Vorschläge aus Daten, die Sie bereits erfasst oder importiert haben. Sie übernehmen, ändern oder ergänzen. Ziele, Risikoakzeptanz und Zuständigkeiten legen Sie selbst fest.
Ja, über Integrationen mit Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics und Salesforce mit regelmäßigem Abgleich. Übernommen werden Assets, Nachweise und Aufgaben. Nutzer legen Sie von Hand oder per CSV an. Eine öffentliche Kunden-API gibt es nicht, weitere Systeme auf Anfrage.
Sightadel wird in Deutschland entwickelt und betrieben. Mit jedem Kunden schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
