Welche Risikomanagement-Software passt zu Ihren Compliance-Anforderungen?

Das Wichtigste in Kürze

• GRC-Software, Compliance-Software und Risikomanagement-Software bezeichnen überlappende Produktgruppen. Entscheidend für die Auswahl ist, welche Risikoart Sie steuern: Unternehmensrisiken in voller Breite, oder Informationssicherheits- und Datenschutzrisiken mit Nachweispflicht gegenüber Prüfern.
• Kertos führt Risikoregister, Assets und Controls in einem System und erzeugt daraus die Nachweise für das Audit.
• Vier Tool-Gruppen konkurrieren um diese Aufgabe: spezialisierte ISMS-Plattformen, Compliance-Automatisierungsplattformen, Open-Source-Lösungen und allgemeine GRC- oder Unternehmensrisiko-Systeme. Sie unterscheiden sich weniger im Risikoregister als darin, was nach der Bewertung passiert.
• Risikomanagement wird von mehreren Regelwerken zugleich verlangt: von NIS2 über § 30 Abs. 2 Satz 2 BSIG, von der ISO 27001 in den Abschnitten 6.1.2 und 6.1.3, von der DSGVO in Art. 32 und Art. 35 sowie vom EU AI Act in Art. 9. Ein gemeinsam gepflegtes Register bedient alle vier, getrennte Register erzeugen widersprüchliche Stände.
• Unter NIS2 ist das Risikomanagement der Kern der gesetzlichen Pflicht und nicht ein Kapitel unter vielen; § 30 Abs. 2 Satz 2 BSIG nennt zehn Maßnahmen, und Nummer 6 verlangt eine Bewertung ihrer Wirksamkeit.

Welche Risikomanagement-Software passt, hängt davon ab, welche Risikoart Sie steuern und welche Regelwerke Sie nachweisen müssen. Für Unternehmen, deren Risiken aus Informationssicherheit und Datenschutz entstehen, kommen vier Tool-Gruppen infrage. Der Unterschied zwischen den Anbietern liegt dabei selten im Risikoregister selbst, denn ein Register mit Eintrittswahrscheinlichkeit und Schadenshöhe bieten alle. Er liegt darin, ob das Register mit den Controls, den Assets und den Nachweisen verbunden ist, ob die Erklärung zur Anwendbarkeit daraus entsteht und ob jemand die Bewertung fachlich mit Ihnen durchführt. Diese Seite ordnet die Begriffe und die Tool-Kategorien, nennt die Auswahlkriterien und vergleicht den Funktionsumfang der Anbieter anhand ihrer eigenen Angaben. Stand: 11. September 2026.

Was unterscheidet GRC-Software von Compliance- und Risikomanagement-Software?

Die drei Begriffe werden im Markt weitgehend synonym verwendet, meinen aber unterschiedliche Zuschnitte. Das führt regelmäßig dazu, dass Unternehmen ein System testen, das für eine ganz andere Risikoart gebaut wurde.

Begriff	Was damit üblicherweise gemeint ist	Typischer Käufer
GRC-Software	Governance, Risk und Compliance in einem System, historisch aus dem Konzernumfeld, mit allen Risikoarten des Unternehmens	Konzerne mit interner Revision und eigenem Risikomanagement
Compliance-Software	Erfüllung und Nachweis konkreter Regelwerke, mit Controls, Richtlinien und Nachweisen im Mittelpunkt	Unternehmen mit Zertifizierungs- oder Meldepflichten
Risikomanagement-Software	Das Risikoregister selbst, also Erfassung, Bewertung, Behandlung und Wiedervorlage	Beide Gruppen, meist als Bestandteil der übergeordneten Lösung

Für Technologieunternehmen im Mittelstand ist die Unterscheidung praktisch relevant, weil sie den Suchraum halbiert. Wenn Ihre Risiken aus Informationssicherheit und Datenschutz entstehen und am Ende ein Auditor Nachweise sehen will, brauchen Sie kein Konzern-GRC-System, sondern eine Plattform, in der Risiko, Control und Nachweis zusammenhängen. Wenn Sie dagegen Finanz-, Prozess- und Qualitätsrisiken in einem Register führen wollen, ist das umgekehrt.

Welche Anforderungen an das Risikomanagement stellen die Regelwerke?

Nahezu jedes Regelwerk, das Unternehmen in Europa nachweisen müssen, enthält eine Risikomanagement-Anforderung. Sie sind unterschiedlich formuliert, verlangen im Kern aber dasselbe: eine nachvollziehbare Bewertung, zugeordnete Maßnahmen und den Nachweis, dass beides gepflegt wird.

Regelwerk	Fundstelle oder Bezug	Was verlangt wird
NIS2 und BSIG	Art. 21 NIS2, § 30 Abs. 2 Satz 2 BSIG	Zehn Risikomanagementmaßnahmen, darunter Konzepte für die Risikoanalyse und die Bewertung ihrer Wirksamkeit
ISO 27001	Abschnitte 6.1.2 und 6.1.3	Risikobeurteilung, Risikobehandlung, Erklärung zur Anwendbarkeit und Freigabe der Restrisiken
DSGVO	Art. 32, Art. 35	Dem Risiko angemessene technische und organisatorische Maßnahmen; Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko
EU AI Act	Art. 9	Ein Risikomanagementsystem über den gesamten Lebenszyklus von Hochrisiko-KI-Systemen
TISAX	VDA ISA	Dokumentiertes Risikomanagement als Bestandteil des Assessments
SOC 2	Trust Services Criteria	Dokumentierte Risikobeurteilung als Grundlage der Kontrollen
C5	BSI C5	Risikomanagement als Prüfkriterium im Rahmen des Testats

Daraus folgt die eigentliche Auswahlfrage. Ein einmal gepflegtes Risikoregister kann alle diese Anforderungen gemeinsam bedienen, weil sie sich in der Substanz überschneiden. Getrennte Register je Regelwerk erzeugen dagegen doppelte Pflege und widersprüchliche Stände, und im Audit fällt genau das auf. Entscheidend ist deshalb nicht, ob ein Tool ein Register führt, sondern ob es mehrere Regelwerke auf denselben Risikobestand abbilden kann.

Was verlangt die ISO 27001 im Detail?

Die Norm schreibt kein Tool vor, sondern Ergebnisse. Wer die Abschnitte 6.1.2, 6.1.3, 8.2 und 8.3 der internationalen Norm für Informationssicherheits-Managementsysteme nebeneinanderlegt, erhält eine Anforderungsliste, an der sich jedes Tool messen lässt.

Anforderung	Fundstelle	Was das Tool können muss
Risikoakzeptanz- und Beurteilungskriterien festlegen	6.1.2 a)	Bewertungsskala und Akzeptanzschwelle konfigurierbar hinterlegen, nicht fest verdrahtet
Risiken identifizieren und Risikoeigentümer benennen	6.1.2 c)	Je Risiko eine namentlich verantwortliche Person, nicht nur eine Abteilung
Risiken analysieren und bewerten	6.1.2 d), e)	Brutto- und Nettorisiko getrennt, mit nachvollziehbarer Herleitung
Maßnahmen bestimmen und mit Anhang A abgleichen	6.1.3 b), c)	Verknüpfung Risiko zu Control, und der Abgleich muss dokumentiert sein
Erklärung zur Anwendbarkeit erstellen	6.1.3 d)	Erzeugung aus dem Datenbestand, inklusive Begründung für Ausschlüsse
Risikobehandlungsplan und Freigabe der Restrisiken	6.1.3 e), f)	Freigabe durch die Risikoeigentümer, revisionssicher protokolliert
Beurteilung in geplanten Abständen wiederholen	8.2	Turnus, Erinnerungen und Historie je Risiko
Umsetzung des Plans nachweisen	8.3	Nachweise am Risiko oder am Control, nicht in einem separaten Ordner

Zwei dieser Punkte trennen die Anbieter zuverlässig voneinander. Der erste ist die Erklärung zur Anwendbarkeit: Sie entsteht entweder automatisch aus den bewerteten Risiken und den zugeordneten Controls, oder sie wird weiterhin von Hand gepflegt und läuft dann irgendwann aus dem Takt. Der zweite ist die Freigabe der Restrisiken. Die Norm verlangt sie ausdrücklich von den Risikoeigentümern; ein Tool ohne Freigabeschritt erzeugt eine Lücke, die im Audit auffällt.

Was verlangt NIS2 vom Risikomanagement?

Bei NIS2 ist das Risikomanagement nicht ein Kapitel unter vielen, sondern der Kern der Pflicht. Der maßgebliche Paragraf trägt die Überschrift "Risikomanagementmaßnahmen", und anders als bei einer Zertifizierung ist die Einhaltung nicht freiwillig. Fällt Ihr Unternehmen unter die europäische Richtlinie zur Netz- und Informationssicherheit, gilt in Deutschland das BSIG in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, das seit dem 6. Dezember 2025 ohne Übergangsfrist gilt.

§ 30 Abs. 2 Satz 2 BSIG nennt zehn Risikomanagementmaßnahmen. Für die Tool-Auswahl sind zwei davon entscheidend. Nummer 1 verlangt Konzepte für die Risikoanalyse und für die Sicherheit in der Informationstechnik; das ist die Anforderung, die ein Risikoregister abbildet. Nummer 6 verlangt Konzepte zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen, und das ist eine eigenständige Pflicht neben der Maßnahme selbst. Eine Maßnahme zu betreiben genügt nicht; Sie müssen belegen können, dass Sie ihre Wirksamkeit geprüft haben, wann das geschehen ist und was dabei herausgekommen ist.

Hinzu kommt § 38 Abs. 1 BSIG: Die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Für die Tool-Auswahl heißt das konkret, dass ein Bericht existieren muss, den die Geschäftsführung tatsächlich lesen und zeichnen kann. Wie Sie die Umsetzung insgesamt aufsetzen, behandeln wir gesondert in unserem Leitfaden zur Vorbereitung auf NIS2.

Welche Arten von Risikomanagement-Software gibt es?

Der deutsche Markt ist in vier Gruppen geteilt, und die Gruppen sprechen unterschiedliche Käufer an. Wer die Gruppe falsch wählt, kauft entweder ein Tool für eine ganz andere Risikoart oder ein System, dessen Einführung länger dauert als die Zertifizierung selbst.

Kategorie	Passt zu	Stärke	Einschränkung
Spezialisierte ISMS-Plattformen	Unternehmen, die ausschließlich ein ISMS betreiben	Tiefe bei Richtlinien, Risiken und Normabdeckung	Datenschutz und weitere Frameworks oft nicht abgedeckt
Compliance-Automatisierungsplattformen	Unternehmen mit mehreren Frameworks parallel	Nachweise werden automatisiert aus den Quellsystemen erhoben	Weniger Tiefe bei nicht technischen Unternehmensrisiken
Open-Source-Lösungen	Teams mit eigener IT-Kapazität und BSI-IT-Grundschutz-Bezug	Keine Lizenzkosten, volle Datenhoheit im eigenen Betrieb	Betrieb, Aktualisierung und Support liegen bei Ihnen
Allgemeine GRC- und Unternehmensrisiko-Systeme	Konzerne mit Prozess-, Qualitäts- und Finanzrisiken	Breite über alle Risikoarten des Unternehmens	Zuschnitt und Einführungsaufwand für ein ISMS meist zu groß

Für Technologieunternehmen im Mittelstand fällt die Wahl fast immer zwischen den ersten beiden Gruppen. Die Frage dahinter ist einfach: Bleibt es bei der ISO 27001, oder kommen DSGVO, NIS2, TISAX, SOC 2 oder der EU AI Act dazu? Bleibt es bei einer Norm, reicht eine ISMS-Plattform. Kommen weitere hinzu, zahlt sich eine Plattform aus, die eine Kontrolle einmal erfüllt und den Nachweis über mehrere Regelwerke wiederverwendet. Den Vergleich der ISMS-Systeme selbst führen wir in unserer Übersicht zur ISMS-Software im Vergleich.

Worauf sollten Sie bei der Auswahl achten?

• Entsteht die Erklärung zur Anwendbarkeit aus dem System? Wenn Sie sie weiterhin in Excel pflegen, hat das Tool den teuersten Teil der Arbeit nicht übernommen.
• Sind Risiken mit Assets und Controls verknüpft? Ein Register ohne diese Verknüpfung ist eine Liste, und eine Liste veraltet zwischen zwei Audits.
• Gibt es eine Wirksamkeitsprüfung mit Datum und Ergebnis? Das ist die Anforderung aus § 30 Abs. 2 Satz 2 Nr. 6 BSIG und zugleich die aus Abschnitt 9 der ISO 27001.
• Wo liegen die Daten, und wer betreibt sie? Ein Risikoregister enthält die dokumentierte Beschreibung Ihrer Schwachstellen. Das ist der sensibelste Datenbestand im gesamten ISMS.
• Wer führt die Bewertung fachlich durch? Software erfasst und rechnet; die Einstufung von Eintrittswahrscheinlichkeit und Schadenshöhe bleibt eine fachliche Entscheidung. Die Frage ist, ob Sie diese Kompetenz im Haus haben oder einkaufen.
• Trägt das Register auch die Auditphase? Prüferinnen und Prüfer fragen nach Stichtagen, nach Änderungshistorie und nach der Freigabe durch die Risikoeigentümer.

Wie unterscheiden sich die Anbieter im Funktionsumfang?

Kertos ist der Herausgeber dieser Seite. Die folgenden Angaben zu anderen Anbietern stammen ausschließlich von deren eigenen Produktseiten zum Risikomanagement und wurden am 11. September 2026 geprüft. Wo eine Angabe auf der jeweiligen Produktseite fehlt, steht das ausdrücklich da und nicht ein "nein".

Anbieter	Risikoregister	Bewertungslogik	Verknüpfung mit Controls	Vorgefertigte Risikobibliothek	Zertifizierte Experten im Leistungsumfang
Kertos	Ja, mit automatisierter Erfassung und Bewertung	Brutto- und Nettorisiko	Ja, Risiken direkt mit den zugehörigen Controls verknüpft	Auf der Produktseite nicht genannt	Ja
Vanta	Ja, "track all of your risks in a single place"	Inherent und Residual Risk, mit Owner je Risiko	Ja, laufende Überwachung der zugehörigen Controls und Tests	Auf der Produktseite nicht genannt	Auf der Produktseite nicht genannt
Drata	Ja, "centralized risk register"	Eigene Risiken und eigene Bewertungsformeln möglich	Ja, Verknüpfung relevanter Controls mit dem Risiko	Auf der Produktseite nicht genannt	Auf der Produktseite nicht genannt
Scrut	Ja, mit eigenen Feldern und Massenimport	Vier Berechnungsmethoden wählbar	Ja, je Framework oder einzeln	Ja, vorgefertigte Risikobibliothek	Auf der Produktseite nicht genannt
Secureframe	Ja, mit Stichtagsansichten	KI-gestützt, Brutto- und Nettorisiko	Ja, Controls mit bekannten Risiken verknüpfbar	Ja, inklusive NIST-Risikoszenarien	Auf der Produktseite nicht genannt
Sprinto	Ja, "a live, connected risk register"	Laufende Neuberechnung bei Statusänderungen	Ja, automatische Zuordnung zu Controls und Systemen	Auf der Produktseite nicht genannt	Auf der Produktseite nicht genannt

Wo die anderen Anbieter stärker sind, und das gehört in jede ehrliche Übersicht: Vanta bietet Stichtags-Snapshots des Registers, die ausdrücklich zum Teilen mit Prüferinnen und Prüfern gedacht sind. Drata erlaubt eigene Bewertungsformeln, was bei einer etablierten konzerneigenen Methodik viel wert ist. Scrut nennt vier wählbare Berechnungsmethoden und laut eigener Angabe über 70 unterstützte Frameworks. Secureframe liefert eine Risikobibliothek mit NIST-Szenarien, die den Start beschleunigt. Sprinto rechnet Risikowerte laufend neu, sobald eine Prüfung fehlschlägt.

Ein Befund gilt für alle fünf gleichermaßen und ist für europäische Käufer der wichtigste: keine der fünf Produktseiten nennt einen europäischen Datenstandort, und keine nennt fachliche Unterstützung als Teil des Leistungsumfangs. Alle fünf beschreiben ein Register, das Sie selbst führen. Das ist keine Kritik an der Software, sondern eine Aussage über das Liefermodell. Wenn Sie die Bewertung ohnehin selbst durchführen und die Methodik im Haus haben, ist das der günstigere Weg. Wenn nicht, kaufen Sie ein leeres Register.

Wie der Unterschied im Alltag aussieht, beschreibt ein Kunde in einer G2-Bewertung als das, was ihm am besten gefällt: "Die persönliche Unterstützung während des Zertifizierungsprozesses". Auf die Frage nach dem gelösten Problem antwortet dieselbe Bewertung: "Es hilft Ihnen, den Zertifizierungsprozess zu strukturieren und nicht den Überblick zu verlieren". (Verifizierter Benutzer in Computersoftware, Kleinunternehmen, G2, 3.9.2026, 4,5 von 5, aus dem Englischen übersetzt.)

Für wen ist Kertos die passende Risikomanagement-Software?

Kertos erfasst und bewertet Risiken automatisiert, verknüpft sie direkt mit den zugehörigen Controls und führt Assets, Risiken und Nachweise in einem System zusammen. Die Plattform deckt ISO 27001, ISO 27701, ISO 42001, DSGVO, NIS2, den EU AI Act, SOC 2, TISAX und C5 gemeinsam ab, sodass eine Kontrolle einmal erfüllt und der Nachweis über mehrere Regelwerke hinweg verwendet wird. Über 300 Integrationen halten den zugrunde liegenden Asset- und Systembestand aktuell. Die fachliche Arbeit übernehmen zertifizierte Experten von Kertos gemeinsam mit Ihrem Team, einschließlich externer CISO- und Datenschutzbeauftragten-Mandate. Details zum Funktionsumfang finden Sie auf der Seite zum automatisierten Risikomanagement.

Passend ist das für Technologieunternehmen im Mittelstand, die mehr als eine Norm gleichzeitig tragen und keine eigene ISMS-Abteilung aufbauen wollen. AskUI erreichte die ISO-27001-Zertifizierung in 8 bis 10 Wochen ohne externe Beratung. Die Auditerfolgsquote liegt bei 100 Prozent, der manuelle Compliance-Aufwand sinkt um rund 80 Prozent, und gegenüber klassischer Beratung liegen die Kosten um bis zu 60 Prozent niedriger.

Ein Kunde beschreibt die Arbeitsweise so: "Kertos hilft uns mit einer organisierten und strukturierten Durchführung der ISO27001-Zertifizierung. Es definiert klare Aufgaben und bietet KI-gestützte Vorschläge, die auf unsere Unternehmensstruktur abgestimmt sind." (Martin S., Agentic AI Engineer, Kleinunternehmen, G2-Bewertung vom 4. September 2026, 5 von 5.)

Wann ist Kertos nicht die richtige Wahl?

Drei Fälle sprechen klar gegen Kertos.

• Sie steuern Unternehmensrisiken jenseits der Informationssicherheit. Wenn Sie Finanz-, Prozess- und Qualitätsrisiken im selben System führen wollen, gehören Sie in die vierte Kategorie oben und nicht auf eine Compliance-Plattform.
• Ihre Endgeräte laufen überwiegend unter Linux. "Linux-Geräte werden vom Gerätescanner nicht unterstützt", nennt ein Kunde als einzigen Kritikpunkt (Verifizierter Benutzer in Computersoftware, Kleinunternehmen, G2, 3.9.2026, aus dem Englischen übersetzt). Bei einer linuxlastigen Entwicklungsmannschaft bleibt an dieser Stelle manuelle Arbeit.
• Sie wollen auch das Qualitätsmanagement abbilden. "Hilfreich wäre ein Framework für die Umsetzung der ISO 9001", schreibt ein Geschäftsführer in seiner Bewertung (Alexander W., Geschäftsführer, Kleinunternehmen, G2, 4.9.2026, aus dem Englischen übersetzt). Die ISO 9001 gehört nicht zum abgedeckten Framework-Set; wer Qualitäts- und Informationssicherheitsmanagement in einem System führen will, landet bei den GRC-Systemen aus der ersten Tabelle dieser Seite.
• Sie erwarten am ersten Tag Klarheit ohne Begleitung. Eine Kundin oder ein Kunde aus dem Gesundheitsbereich formuliert es in einer G2-Bewertung vom 22. August 2026 so: "Im ersten Moment ist die Platform etwas erschlagend und die Mehrwerte gehen nicht hervor - teilweise fehlt auch noch die ein oder andere Funktion." Die Einrichtung ist auf die gemeinsame Arbeit mit dem Kertos-Team ausgelegt. Wer reine Selbstbedienung sucht, ist mit einem schlankeren Tool besser bedient.

Hinzu kommt eine ehrliche Einordnung zur KI-Unterstützung: Sie erzeugt Vorschläge und beantwortet Fragen, sie ersetzt aber nicht die fachliche Einstufung von Eintrittswahrscheinlichkeit und Schadenshöhe. Diese Entscheidung bleibt bei Menschen, und im Audit wird sie auch von Menschen hinterfragt.

Häufig gestellte Fragen

Reicht eine Excel-Tabelle als Risikoregister für die ISO 27001?

Formal ja, praktisch selten. Die Norm schreibt kein Tool vor, sondern dokumentierte Information. Eine Tabelle scheitert in der Regel an drei Stellen: an der Verknüpfung zwischen Risiko, Control und Nachweis, an der Änderungshistorie, die im Audit verlangt wird, und an der Freigabe durch die Risikoeigentümer nach Abschnitt 6.1.3 f). Für ein Unternehmen mit wenigen Assets und einer einzigen Norm kann eine Tabelle im ersten Zyklus genügen.

Was ist der Unterschied zwischen Brutto- und Nettorisiko?

Das Bruttorisiko ist die Bewertung vor Wirkung der Maßnahmen, das Nettorisiko die Bewertung danach. Die ISO 27001 verlangt beide Blickwinkel: Abschnitt 6.1.2 für die Beurteilung und 6.1.3 für die Behandlung samt Annahme der verbleibenden Restrisiken. Ein Tool, das nur einen Wert je Risiko führt, kann die Wirksamkeit einer Maßnahme rechnerisch nicht zeigen.

Wer muss das Risiko im Unternehmen freigeben?

Die Risikoeigentümer. Abschnitt 6.1.3 f) verlangt deren Zustimmung zum Risikobehandlungsplan und die Annahme der verbleibenden Restrisiken. Unter NIS2 kommt die Ebene darüber hinzu: Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen.

Braucht man für NIS2 eine eigene Risikomanagement-Software?

Nein, eine zweite Software ist nicht nötig und meist schädlich. Die zehn Maßnahmen aus § 30 Abs. 2 Satz 2 BSIG überschneiden sich weitgehend mit einem nach ISO 27001 geführten ISMS. Ein einmal gepflegtes Risikoregister trägt die Risikobeurteilung der Norm und die Grundlage der Maßnahmen nach § 30. Getrennte Systeme erzeugen doppelte Pflege und widersprüchliche Stände.

Was kostet eine Risikomanagement-Software?

Die meisten Anbieter in diesem Markt veröffentlichen keinen Preis und verweisen auf ein Gespräch; das gilt auch für Kertos. Belastbar planbar sind die Posten daneben: der interne Aufwand für Erstbewertung und Pflege, die Auditkosten der Zertifizierungsstelle und gegebenenfalls externe fachliche Unterstützung. Eine Aufschlüsselung der Auditseite finden Sie in unserer Übersicht zu den Kosten der ISO-27001-Zertifizierung.

Welche Rolle spielt der Sitz des Anbieters?

Ein Risikoregister beschreibt Ihre Schwachstellen im Klartext und ist damit der sensibelste Datenbestand im ISMS. Für Unternehmen, die diesen Bestand in der EU halten wollen, ist der Sitz des Anbieters und der Betriebsort der Daten ein eigenes Auswahlkriterium. Welche europäischen Anbieter als Alternative zu den großen US-Plattformen infrage kommen, behandeln wir in unserer Übersicht zu den EU-Alternativen zu Vanta und Drata.