Control undEvidence.
Kontrollen zählen erst, wenn ihre Wirkung belegbar wird. Control & Evidence Management verbindet Kontrollbibliotheken, automatische Nachweise, laufende Prüfung, Remediation und auditfähige Ablage zu einem belastbaren Nachweissystem.
Kontrollen sichtbar belegen.
Diese Werkzeugklasse hält nicht nur fest, welche Kontrolle existiert. Sie zeigt, ob der Nachweis vorhanden ist, ob die Kontrolle weiterhin wirkt, wer Abweichungen bearbeitet und was ein Prüfer ohne erneute Sammelaktion sehen kann. Damit liegt sie zwischen GRC, ISMS, Compliance Automation und operativer IT-Telemetrie.
Nachweis vor Behauptung.
Die Matrix übernimmt die gelieferten Merkmale. Eine Markierung bedeutet, dass Evidenzsammlung, laufende Überwachung oder Audit-Zugang in der Quelle als Fähigkeit beschrieben wurde.
Stand: August 2026. Grundlage ist die vom Nutzer gelieferte Tabelle inklusive ergänzender Einordnung. Konnektoren, Retention und Auditor-Zugänge müssen je nach Edition geprüft werden.
RegScale Inc.
RegScale Continuous Controls Monitoring (CCM)
60+ vorkonfigurierte Frameworks & automatisches Control Mapping
1.300+ APIs zur automatischen Evidenz-Ablage aus CI/CD, Cloud & SecOps. Revisionssicherer Evidence Locker mit Versionskontroll-Historie
Echtzeit-Validierung von Kontrollen via APIs und Event-Triggern. Automatisierte Aufgabenweiterleitung & Ticket-Schnittstellen
Direkt-Export auditreifer Dokumente & Auditoren-Zugänge. Dynamic Risk & Compliance Dashboards
API-driven Compliance-as-Code & hohe Eignung für regulierte Sektoren
Hoher technologischer Fokus erfordert API-/DevSecOps-Know-how
Vanta Inc.
Vanta Automated Evidence Collection
Cross-Mapping von Kontrollen über 35+ Sicherheitsframeworks
1.400+ automatisierte Tests über 400+ Cloud-, Identity- & HR-Integrationen. Zentrale Aufbewahrung von Nachweisen, Screenshots und Logs
Stündliche automatisierte Kontrollprüfungen. Automatische Zuweisung von Abweichungen & AI-Remediation-Vorschläge
Integrierter Audit-Bereich & Einladung externer Auditoren. Live Trust Center & Compliance-Fortschrittsberichte
Sehr hohe Automatisierung und Zeitersparnis bei Nachweiserhebung
Weniger flexibel für hochspezifische On-Premises-Infrastrukturen
Drata Inc.
Drata Automated Evidence Collection
Zentrale Kontrollbibliothek mit Mapping auf ISO 27001, SOC 2, NIS2 etc.
Native Konnektoren zu Cloud-Providern, Identity-Systemen & Versionskontrollen. Revisionssichere Evidenzabstimmung & Dokumentenarchivierung
Kontinuierliche Hintergrundprüfungen von Sicherheitskontrollen. Automatische Benachrichtigung bei Kontrollverstössen
Dediziertes Auditoren-Portal für schnellen Nachweis-Zugriff. Continuous Audit-Readiness Dashboards
Nahtlose Live-Sicherheitsüberwachung & übersichtliche Benutzeroberfläche
Begrenzte Unterstützung für Nicht-IT-Betriebskontrollen
Secureframe Inc.
Secureframe Evidence Management
Vorkonfigurierte & benutzerdefinierte Kontrollsets mit Cross-Framework-Sync
Automatischer Datenimport aus Cloud, HR, IDP und Endpoint-Tools. Zentraler Evidence Locker mit automatischer Zuordnung zu Kontrollen
KI-unterstützte und kontinuierliche Überprüfung der Nachweiserfüllung. Task-Management für Behebung fehlender Nachweise
Integrierte Audit-Workflows für externe Prüfer. Readiness-Dashboards & Nachweis-Exporte
KI-gestützte Unterstützung bei Nachweisprüfung und Vorbereitung
Stark auf standardisierte IT- & Cloud-Audits ausgelegt
ServiceNow Inc.
ServiceNow Continuous Control Monitoring
Frühere Namen / Kontext: ServiceNow GRC
Umfassende Enterprise-Kontrollmatrix verknüpft mit CMDB & Assets
Automatisierte Datenerhebung aus IT-Operations & SecOps. Revisionssicheres Evidence Repository innerhalb der Plattform
Continuous Control Monitoring direkt auf IT-Assets & Workflows. Integriertes Issue-Management & automatische Ticket-Erstellung
Auditor Workbench & strukturierte Audit-Trails. Executive Dashboards & Control Performance Views
Unmittelbare Verknüpfung von Kontrollen mit operativen IT-Prozessen
Hohe Systemkomplexität & langer Implementierungsvorlauf
MetricStream Inc.
MetricStream CyberGRC / Control Management
Frühere Namen / Kontext: MetricStream Connected GRC
KI-gestützte Zuordnung von Kontrollen zu globalen Standards
KI-gestützte Automatisierung von Kontrolltests und Daten-Feeds. Enterprise Evidenz-Archiv mit Zugriffsrechten
Kontinuierliche Risiko- & Kontrollüberwachung. Automatisierte Behebungs-Workflows (Issue Management)
Revisionssicheres Audit-Management & Nachweisaufbereitung. Dynamic Executive Dashboards & KI-Analysen
Hohe Enterprise-Skalierbarkeit & KI-gestütztes Mapping
Hohe Lizenz- und Einführungskosten für kleinere Organisationen
Archer Technologies
Archer Control & Evidence Management
Frühere Namen / Kontext: RSA Archer
Hochkonfigurierbare Enterprise-Kontrollrahmenwerke
Verbindung mit Enterprise-Systemen zur Nachweisgenerierung. Centralized Repository für Nachweisdokumente & Audit-Artefakte
Regelmässige automatisierte oder manuelle Kontrollprüfungen. Integriertes Remediation- & Exception-Management
Vollständige Audit Lineage & Prüfer-Exporte. Konfigurierbare Governance-Dashboards & Reports
Extrem anpassbare Datenmodelle für komplexe Konzernstrukturen
Veraltet wirkende Benutzeroberfläche und hoher Administrationsaufwand
Diligent Corporation
Diligent Controls & Evidence Management
Frühere Namen / Kontext: HighBond / Galvanize
Mappings von Kontrollen auf internationale Normen & Gesetze
Datengestützte Evidenz-Sammlung über Roboter/Analyse-Skripte. Sichere zentralisierte Aufbewahrung von Nachweisdokumenten
Kontinuierliche automatisierte Datenanalysen zur Kontrollprüfung. Automatisierte Erstellung von Korrekturmassnahmen
Integrierte Audit- & Board-Reporting-Funktionen. Vorstandsreife Audit- & Compliance-Dashboards
Starke Verbindung zu Board-Governance und Interner Revision
Komplexe Modulstruktur innerhalb der Gesamtplattform
AuditBoard Inc.
AuditBoard CrossComply & Evidence Management
Frühere Namen / Kontext: Optro / AuditBoard GRC
Integrierter Kontrollkatalog mit Cross-Framework Mapping
Automatisierte Evidenz-Anforderung & Integrationen mit Cloud-/IT-Tools. Zentrale Evidenzbibliothek mit lückenloser Versionshistorie
Kontinuierliches Tracking von Kontrollaktivitäten und Lücken. Aufgabenverteilung & Korrekturmassnahmen-Tracking
Integrierter Audit-Request-Workflow für interne/externe Prüfer. Interaktive Real-time Compliance- & Evidence-Dashboards
Hohe Benutzerfreundlichkeit und starke Ausrichtung auf Audit-Teams
Reines SaaS-Modell, keine lokale On-Premises-Installation
LogicGate Inc.
LogicGate Risk Cloud Controls Management
Frühere Namen / Kontext: LogicGate Risk Cloud
Flexibles Mapping von Kontrollen auf interne & externe Frameworks
Automatisierte Evidenz-Anforderung über Integrationen & Formulare. Central Evidence Repository verknüpft mit Risiko-Records
KI-gestützte Überwachung von Kontrollfristen und -prüfungen. Workflow-gestützte Aufgaben-Zuweisung & Eskalationspfade
Vorbereitete Audit-Views für interne und externe Prüfer. Anpassbare Visualisierungen & Status-Dashboards
Hohe Flexibilität durch No-Code-Workflow-Anpassungen
Erfordert initiale Aufwände für das Design der eigenen Workflows
eramba Org.
eramba Control & Evidence Module
Frühere Namen / Kontext: eramba ISMS/GRC
Flexibler Kontrollkatalog verknüpft mit Risiken & Compliance
Manuelle Evidenz-Uploads, URL-Verlinkung & API-Schnittstellen. Lokales Dokumentenarchiv mit Zugriffskontrollen
Automatisierte Kalender-Reviews & Kontrollvalidierungen. Aufgabenverwaltung für Nachweiserbringung & Audits
Revisionssichere Logdaten & Exportfunktionen für Prüfer. Integrierte Risk- & Control-Dashboards
Maximale Datenkontrolle durch Self-Hosting & transparente Kosten
Eigenaufwand bei Wartung, Betrieb und Integrationsbau
ConSense GmbH
ConSense Control Management
Frühere Namen / Kontext: ConSense GRC
Verknüpfung von Kontrollen mit BSI IT-Grundschutz, ISO 27001 etc.
Dokumenten-Uploads & Prozessdaten-Verknüpfung. Revisionssicheres Dokumenten- & Nachweisarchiv
Fristenüberwachung & periodische Kontrollprüfungen. Integriertes Massnahmenmanagement für Abweichungen
Audit-sichere Aufbereitung von Nachweisakten. Dashboard-Übersichten zu Kontrollstatus & Massnahmen
Enge Integration in Qualitäts- und Prozessmanagementsysteme
Weniger ausgeprägte Cloud-Native-Automatisierungsfunktionen
Weitere Kandidaten
Controllo.ai, Framework Security und Anecdotes wurden als ergänzende Kandidaten mit noch unzureichender Informationslage genannt.
Für eine belastbare STOP.LI-Matrix fehlen noch ausreichend belegte Angaben zu Kontrollmapping, Evidence Locker, Audit Access, Integrationen und Betriebsmodell.
Mit echten Nachweisen testen.
Ein Pilot muss an realen Kontrollen laufen: Identitätsprüfung, Backup-Nachweis, Cloud-Konfiguration, Patch-Status oder Logging-Kontrolle. Entscheidend ist, ob das Werkzeug die Evidenz automatisch sammelt, sauber zuordnet, historisiert und Abweichungen bearbeitbar macht.
- Eine Kontrolle mehreren Frameworks ohne Doppelpflege zuordnen
- Automatische Evidenz aus Cloud, IDP, CI/CD oder Ticketing prüfen
- Evidence Locker, Versionierung und Retention testen
- Abweichung als Aufgabe mit Owner und Frist bearbeiten
- Auditor-Zugang und Export mit echten Nachweisen prüfen
Security Tool Navigator · Gebiet 01
Im Governance-Zusammenhang entscheiden.
Diese Werkzeugklasse ist Teil von Security Governance. Der Gebietshub ordnet Führungslogik, Nachweisführung und unabhängige Prüfung ein und zeigt die Abgrenzung zu den benachbarten Werkzeugklassen.