Europese GRC-softwaretools

#1 Corporater

Stavanger, Noorwegen Opgericht in 2000 Niet vermeld op de pagina's die we lazen; alleen een demoaanvraag. Demo op aanvraag

Het meest geschikt voor: Middelgrote en grote organisaties die risico en compliance willen koppelen aan prestatiemanagement

• Exploiterend bedrijf. Corporater AS
• Jurisdictie. EER, niet EU (Noorwegen)
• Waar de gegevens staan. SaaS wordt gehost op Amazon Web Services; de AWS-regio staat niet vermeld op de pagina's die we lazen. Implementatie on-premise en in de public cloud worden aangeboden.
• Broncode. Closed source
• Vervangt. Archer

Corporater is een platform voor governance, prestaties, risico en compliance van Corporater AS in Stavanger, Noorwegen, opgericht in 2000. Het bedrijf beschrijft een digitale tweeling van de organisatie, configureerbare workflows, een AI-assistent en aparte oplossingen voor audit en ESG. In deze lijst is het de suite die risico en compliance koppelt aan managementrapportage.

Het Noorse recht is van toepassing op de voorwaarden van Corporater AS, en Noorwegen hoort bij de EER zonder deel uit te maken van de EU. Klanten kunnen SaaS afnemen op Amazon Web Services, on-premise of in een public cloud. Er wordt geen AWS-regio genoemd, er wordt geen prijs gepubliceerd, en de contactpagina vermeldt een Amerikaanse dochteronderneming. Data komt binnen via Excel, CSV, SQL en webservices.

Opvallende functie. Van de twaalf plaatst alleen Corporater prestatiemanagement op hetzelfde platform als risico en compliance.

#2 CERRIX

Den Haag, Nederland Niet vermeld op de pagina's die we lazen; alleen een demo boeken. Demo op aanvraag

Het meest geschikt voor: Nederlandse en Europese verzekeraars, banken en gereguleerde bedrijven met risico-, compliance- en auditteams

• Exploiterend bedrijf. CERRIX BV
• Jurisdictie. EU (Nederland)
• Waar de gegevens staan. Niet vermeld op de pagina's die we lazen.
• Broncode. Closed source
• Vervangt. Archer

CERRIX is een GRC-platform van CERRIX BV uit Den Haag, met btw-nummer NL854381351B01 op de privacyverklaring. De leverancier zegt meer dan 10 jaar actief te zijn en meer dan 100 klanten in meer dan 20 landen te bedienen. Dat zijn cijfers van de leverancier die we niet konden controleren.

De modules bestrijken risico en controles, compliance, derden, audit, incidenten, processen en AVG, en met een functie voor regelgevingsmonitoring worden publicaties van DNB, AFM en de EU gevolgd. DORA en NIS2 staan bovenaan de homepage. In de voorwaarden komen Nederlands recht en Nederlandse rechtbanken voor. We vonden geen prijzen, geen hostinglocatie en geen optie om zelf te hosten.

Opvallende functie. Alleen CERRIX noemt Nederlandse toezichthouders, DNB en AFM, als bronnen voor zijn regelgevingsmonitoring.

#3 eramba

Londen, Verenigd Koninkrijk Community gratis; Enterprise on-premises €2,500/jaar; Enterprise SaaS €5,000/jaar Demo op aanvraag

Het meest geschikt voor: Teams die de GRC-methode al kennen en een vast jaarbedrag boven een offerte verkiezen

• Exploiterend bedrijf. Eramba LTD
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Keuze uit EU of VS voor SaaS; anders on-premises
• Broncode. Closed source
• Vervangt. Vanta, Drata, Hyperproof

eramba is een tool voor governance, risico en compliance van Eramba LTD, dat kantoren heeft in Londen en Bratislava. De community-editie is gratis en draait op je eigen servers. De enterprise-edities kosten €2,500 per jaar on-premises en €5,000 per jaar als SaaS, en de leverancier stelt dat het aantal gebruikers en de data onbeperkt zijn.

Klanten van de eramba SaaS kiezen een hostingregio, EU of VS, en de leverancier heeft naast de documentatie een openbaar forum. Eramba LTD is een Brits bedrijf, valt onder een adequaatheidsbesluit en valt buiten de EER. Grotere suites verzamelen automatisch meer bewijs, en eramba gaat ervan uit dat je eigen mensen de methode voor risico en controles kunnen inrichten.

Opvallende functie. eramba hanteert voor zijn enterprise-edities één jaarbedrag met onbeperkt aantal gebruikers en houdt daarnaast een gratis editie aan.

#4 Swiss GRC

Luzern, Zwitserland Opgericht in 2016 Niet vermeld op de pagina's die we lazen; demoaanvraag en gratis proefperiode aangeboden. Demo op aanvraag

Het meest geschikt voor: Organisaties in Zwitserland en de DACH-regio die een breed GRC-platform willen zonder limieten per gebruikerslicentie

• Exploiterend bedrijf. Swiss GRC AG
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Niet vermeld op de pagina's die we lazen.
• Broncode. Closed source
• Vervangt. Archer

Swiss GRC AG, gevestigd in Luzern en ingeschreven in het handelsregister van het kanton Luzern als CHE-145.606.205, verkoopt het Swiss GRC-platform. Het geeft 2016 op als oprichtingsjaar en heeft wortels in Swiss Infosec AG uit 1989. We behandelen beide data als uitspraken van de leverancier.

De modulelijst loopt van risico en RiskQuant-kwantificering via compliance, ISMS, risico's bij derden, interne controles, gegevensbescherming en business continuity naar interne audit, BPM en contractmanagement, met een Grace AI-assistent. Klanten kiezen SaaS, private cloud of on-prem en kunnen het gratis proberen. Zwitserland zit niet in de EU, en er wordt geen hostinglocatie vermeld.

Opvallende functie. Alleen Swiss GRC noemt contractmanagement naast risicokwantificering en interne audit.

#5 GBTEC

Bochum, Duitsland Niet getoond op de pagina's die we hebben gelezen. Demo op aanvraag

Het meest geschikt voor: Teams die bedrijfsprocessen documenteren en risico, architectuur en workflows daaraan willen koppelen in een Duits product

• Exploiterend bedrijf. GBTEC Software AG
• Jurisdictie. EU (Duitsland)
• Waar de data staat. Niet vermeld op de pagina's die we lazen
• Broncode. Closed source
• Vervangt. Appian, Pega

GBTEC is een platform voor bedrijfstransformatie van GBTEC Software AG in Bochum, geregistreerd bij het Amtsgericht Bochum. Het merk werd eerder verkocht als BIC. De homepage zegt dat meer dan 1,200 klanten het gebruiken, een claim van de leverancier.

Het product groeit van procesontwerp en enterprise-architectuur naar modules voor governance, risico en compliance. Workflows komen uit een low-code Work Orchestrator, en process mining is een extra module. Op de pagina's die we lazen staat geen prijs, geen gratis variant, geen proefperiode en geen hostingregio. Wie alleen een risicoregister nodig heeft, vindt de omvang breed.

Opvallende functie. GBTEC begint bij procesmodellering en enterprise-architectuur, terwijl de anderen bij risico beginnen.

#6 EGERIE

Toulon, Frankrijk Niet vermeld op de pagina's die we lazen; alleen een demoaanvraag. Demo op aanvraag

Het meest geschikt voor: Franse en Europese securityteams die kwantificering van cyberrisico's samen met compliance willen

• Exploiterend bedrijf. EGERIE SOFTWARE SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Voor het platform niet vermeld. De juridische kennisgeving zegt dat de website wordt gehost door Amazon Web Services.
• Broncode. Closed source
• Vervangt. Archer

EGERIE is een cyber-GRC-platform van EGERIE SOFTWARE SAS in Toulon, ingeschreven in het handelsregister van Toulon onder nummer 817 640 998. De juridische kennisgeving publiceert ook btw-nummer FR04817640998. De verkoopvoorwaarden gelden voor EGERIE Risk Manager en EGERIE Privacy Manager.

Het EGERIE-platform behandelt risicobeoordeling, compliance, beheer van derden en de financiële kwantificering van cyberrisico. De vermelde kaders zijn ISO 27001, NIS 2, DORA, SecNumCloud en AVG, geleverd als SaaS of on-premises. Waar het platform draait, wordt niet vermeld. De juridische kennisgeving en de Engelse voorwaarden geven verschillende bedragen voor het maatschappelijk kapitaal.

Opvallende functie. Alleen EGERIE noemt SecNumCloud, de Franse cloudkwalificatie, tussen zijn kaders.

#7 SureCloud

Londen, Verenigd Koninkrijk Opgericht in 2006 Prijsoverzicht op aanvraag. SureCloud zegt dat abonnementen worden geprijsd op basis van eisen, niet op gebruikers of gebruikersplaatsen; er worden geen bedragen getoond. Demo op aanvraag

Het meest geschikt voor: Kopers die met een klein abonnement willen starten, met een opgegeven implementatie van één dag, en later modules willen toevoegen

• Exploiterend bedrijf. SureCloud Ltd
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Voor het platform niet vermeld. De privacyverklaring zegt dat data naar hostingproviders in het Verenigd Koninkrijk, de EER en de Verenigde Staten kan gaan.
• Broncode. Closed source
• Vervangt. Archer

SureCloud Ltd exploiteert het SureCloud-platform en is in Engeland en Wales geregistreerd onder bedrijfsnummer 05703655, met een kantoor aan 1 Sherwood Street, Londen. Volgens de leverancier is het in 2006 begonnen. Modules omvatten compliance, risico, risico van derden, gegevensbescherming, interne audit, business continuity, een trustcenter en AI-governance.

SureCloud verkoopt drie abonnementen, Assure, Automate en Orchestrate, met per abonnement het aantal gebruikers en de implementatietijd. Automate en Orchestrate staan een onbeperkt aantal benoemde gebruikers toe. De leverancier zegt dat abonnementen worden geprijsd op basis van eisen, niet op gebruikers of gebruikersplaatsen, maar toont geen bedragen. De privacyverklaring staat doorgifte naar de Verenigde Staten toe en de sitevoorwaarden noemen SureCloud Inc.

Opvallende functie. SureCloud geeft voor elk abonnement een implementatietijd, iets wat geen van de andere doet.

#8 CISO Assistant

Vélizy-Villacoublay, Frankrijk Community gratis; Pro SaaS €39 per bijdrager per maand, jaarlijks gefactureerd; Pro on-premises €2,400 per instantie per jaar (1-5 gebruikersplaatsen) Demo op aanvraag

Het meest geschikt voor: Securityteams die Docker goed beheersen en open code verkiezen boven een verkoopproces

• Exploiterend bedrijf. intuitem SARL
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Zelf gehoste community-editie; hostingregio van Pro SaaS niet geverifieerd
• Broncode. Closed source
• Vervangt. Vanta, Drata, OneTrust

intuitem SARL uit Vélizy-Villacoublay, Frankrijk, ontwikkelt CISO Assistant. De gratis community-editie valt onder de AGPLv3-licentie en wordt met Docker geïnstalleerd op servers die je zelf beheert. Volgens de site van de leverancier kunnen controles worden gekoppeld aan meer dan 220 kaders.

Het betaalde Pro-niveau kost €39 per bijdrager per maand, jaarlijks gefactureerd, in de SaaS-versie. De on-premises Pro-versie kost €2,400 per instantie per jaar voor één tot vijf gebruikersplaatsen. Automatisch bewijs verzamelen is beperkt, zelf hosten vraagt beheervaardigheden, en we konden niet verifiëren waar de Pro SaaS wordt gehost.

Opvallende functie. CISO Assistant combineert een AGPLv3-community-editie met een catalogus van meer dan 220 kaders.

#9 verinice

Göttingen, Duitsland Opgericht in 2007 Zie website (cloud- en on-premises-webshops, offerte op aanvraag) Demo op aanvraag

Het meest geschikt voor: Overheidsinstanties en exploitanten van kritieke infrastructuur in Duitsland die BSI IT-Grundschutz moeten volgen

• Exploiterend bedrijf. SerNet GmbH
• Jurisdictie. EU (Duitsland)
• Waar de data staan. Niet vermeld op de beoordeelde pagina's
• Broncode. Closed source
• Vervangt. Vanta, Drata, GRC-suites

SerNet GmbH uit Göttingen brengt verinice uit, een ISMS- en GRC-tool die sinds 2007 als open source wordt ontwikkeld. Ondersteunde domeinen zijn BSI IT-Grundschutz, ISO 27001, VDA ISA/TISAX, AVG, NIS 2 en business continuity management. Implementaties verlopen meestal via een netwerk van partnerbedrijven.

verinice is beschikbaar als cloud en on-premises, met aparte webshops en offertes op aanvraag, en de hoofdpagina's tonen geen prijzen. Veel materiaal is in het Duits. Geautomatiseerd bewijs verzamelen is beperkt, en de interface volgt de structuur van klassieke GRC-methoden.

Opvallende functie. verinice is gebouwd rond BSI IT-Grundschutz, de Duitse federale basislijn.

#10 ISMS.online

Brighton, Verenigd Koninkrijk Maatwerkabonnementen, offerte op aanvraag Demo op aanvraag

Het meest geschikt voor: Eerste ISO 27001-projecten waarbij een stapsgewijze methode belangrijker is dan configureerbaarheid

• Exploiterend bedrijf. Alliantist Limited (ISMS.online)
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Primair datacenter in het Verenigd Koninkrijk; verdere datacenters in Europa, de VS en Australië
• Broncode. Closed source
• Vervangt. Vanta, Drata

ISMS.online, nu onder de merknaam IO, wordt beheerd door Alliantist Limited in Brighton, Verenigd Koninkrijk. De site noemt ISO 27001, ISO 27701, ISO 42001, NIS 2, DORA, SOC 2 en meer kaders. Vooraf ingestelde sjablonen en een begeleid traject lopen van gap-analyse tot certificering, met ondersteuning van compliancespecialisten.

Het trustcenter noemt een primaire hostingleverancier in het Verenigd Koninkrijk, met meer datacenters in Europa, de VS en Australië. Abonnementen zijn maatwerk, met een offerte op aanvraag. Het bedrijf is Brits, dus een adequaatheidsbesluit is van toepassing maar het lidmaatschap van de EER niet, en er wordt geen zelf gehoste optie aangeboden.

Opvallende functie. ISMS.online verkoopt een begeleide route van gap-analyse tot ISO 27001-certificering.

#11 riskHive

Nailsea, Verenigd Koninkrijk Opgericht in 1999 Niet vermeld op de pagina's die we lazen; alleen een contactformulier. Demo op aanvraag

Het meest geschikt voor: Organisaties die meer een configureerbaar risicoregister en kwantitatieve risicoanalyse nodig hebben dan een volledige GRC-suite

• Exploiterend bedrijf. riskHive Software Solutions Ltd
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Private cloud; de locatie wordt niet vermeld op de pagina's die we lazen.
• Broncode. Closed source
• Vervangt. Archer

riskHive is een leverancier van risicomanagementsoftware, riskHive Software Solutions Ltd, in Nailsea, North Somerset, die zegt in 1999 te zijn opgericht. De voettekst noemt ook riskHive Technical Services Ltd. De belangrijkste producten zijn Enterprise Risk Manager, een risicodatabase in een private cloud, en Arrisca Risk Analyser voor Excel-spreadsheets.

riskHive biedt daarnaast business continuity, kostenbeheersing en prognoses, en training en advies over risico's. De pagina's vermelden de certificaten Cyber Essentials Plus en JOSCAR. Ze tonen geen prijzen, geen hostinglocatie en weinig details over integraties, en geen modules voor audit, beleid of compliancekaders.

Opvallende functie. riskHive voert zijn kwantitatieve risicoanalyse via Arrisca uit binnen Excel-werkboeken.

#12 Proteus-Cyber

Londen, Verenigd Koninkrijk Niet vermeld op de pagina's die we lazen; alleen een demoaanvraag. Demo op aanvraag

Het meest geschikt voor: Privacyfunctionarissen die persoonsgegevensstromen in kaart brengen en verwerkers beoordelen met één Brits product

• Exploiterend bedrijf. Proteus-Cyber Ltd
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Niet vermeld op de pagina's die we lazen.
• Broncode. Closed source
• Vervangt. Archer

Proteus-Cyber Ltd verkoopt Proteus NextGen, een platform voor het beheer van gegevensbescherming. Het bedrijf is in Engeland en Wales geregistreerd onder nummer 07239733, met 20-22 Wenlock Road, Londen, als adres, en in de voorwaarden is Engels recht van toepassing.

Proteus NextGen noemt data mapping, PIA en DPIA, geautomatiseerde risicobeoordeling, risico van leveranciers met effectbeoordelingen van doorgifte, toestemmingsbeheer, DSAR-afhandeling, melding van datalekken en continue controletests. Prijzen en hostinglocatie worden niet getoond, modules voor audit en enterpriserisico ontbreken, en de voettekst en de voorwaarden geven verschillende adressen.

Opvallende functie. Proteus-Cyber koppelt effectbeoordelingen van doorgifte aan zijn module voor risico van leveranciers.