KI-Agent im GRC-Tool: Welcher Anbieter führt 2026?

Verfasst von der NIS2Compass Redaktion | Stand: September 2026

Einen klaren Marktführer gibt es bei KI-Agenten in GRC-Tools 2026 nicht: KaitoSec, Kertos, Athereon, Drata und Vanta setzen fünf unterschiedliche Ansätze zwischen kontrollierter Assistenz und autonomer Aktion um. NIS2Compass vergleicht alle fünf KI-Agenten entlang Funktionsumfang, NIS2-Abdeckung, Zielgruppe, Reifegrad und Preis, nicht als Ranking, sondern als Trade-off zwischen Autonomiegrad und Kontrollrisiko.

Dieser Artikel kürt kein bestes KI-System, sondern ordnet die fünf Ansätze sachlich ein. Die Reihenfolge der Vorstellungen ist neutral gewählt, nicht nach Qualität sortiert. NIS2Compass hat dafür fünf Anbieter systematisch verglichen: Es folgen fünf Einzelporträts, danach ein Quervergleich in fünf Themenblöcken.

Was kann der KI-Assistent von KaitoSec?

KaitoSecs KI-Assistent erstellt Entwürfe für Richtlinien, Risikobewertungen und Fragebogen-Antworten, greift aber nie ohne menschliche Freigabe in den Workspace ein. Verifiziert bestätigt der Anbieter: Keine Berechtigungsstufe erlaubt einen Autopilot-Modus. Das Datenmodell deckt einheitlich 12+ Frameworks ab, von ISO 27001 bis NIS2.

Auch wenn KaitoSec seine Plattform als "Agentic Cyber Security Workspace" bezeichnet, handelt es sich beim KI-Assistenten nicht um einen vollständig autonomen Akteur. Menschliche Freigabe ist laut Anbieter fest im Design verankert und lässt sich über keine Rolle oder Tarifstufe abschalten: "Keine Änderung am Workspace erfolgt ohne menschliche Freigabe", heißt es laut Anbieter in der Produktdokumentation. Diese Zurückhaltung reduziert das Kontrollrisiko, verlangsamt im Gegenzug aber das Automatisierungstempo gegenüber autonomeren Ansätzen anderer Anbieter.

Konkret übernimmt der Assistent Richtlinien-Entwürfe, Maßnahmenvorschläge, Risikobewertungen, Asset-Klassifizierung, Fragebogen-Antworten, Lückenanalysen, Nachweissammlung und kontextuelle Zusammenfassungen. Die Ergebnisse landen als Entwurf im Workspace, die Freigabe bleibt beim Nutzer.

Dahinter liegt laut Anbieter ein einheitliches Datenmodell über 12+ Frameworks: ISO 27001, ISO 22301, ISO 42001, BSI IT-Grundschutz(++), NIST CSF, SOC 2, TISAX, NIS2, DORA, KRITIS-DG, DSGVO und EU AI Act. Erfasste Inhalte lassen sich so einmal erheben und mehrfach für unterschiedliche Regelwerke nutzen.

Der KI-Assistent ist nicht im Free-Tarif enthalten und steht erst ab dem Standard-Tarif kontingentiert zur Verfügung, Preisdetails folgen in einem späteren Abschnitt. KaitoSec ist eine GmbH mit Sitz in Berlin und wirbt laut eigenen Angaben mit "Made & hosted in Germany". Diese Herkunft ist bei der Bewertung von Datenschutz und Datenresidenz relevant.

Mehr zu KaitoSec als Gesamt-Tool im ISMS-Tool-Vergleich 2026.

Was leistet KAIA, der KI-Assistent von Kertos?

KAIA beantwortet laut Anbieterangabe über 90 Prozent der Fragen zu ISO 27001, DSGVO und dem EU AI Act direkt in der Plattform und füllt Vendor- sowie Systemdaten automatisch aus. Der Fokus liegt auf Dateneingabe-Automatisierung und Plattformführung, nicht auf autonomem Handeln nach außen. KAIA ist seit dem 22. September 2025 live.

Kernstück ist eine intelligente Autofill-Funktion, die Angaben zu Lieferanten und internen Systemen selbstständig ergänzt. Dazu kommt eine kontextbewusste Führung durch die Plattform, die Nutzer Schritt für Schritt durch den Zertifizierungsprozess begleitet. Im Vergleich zu anderen Anbietern in diesem Artikel bleibt KAIA damit näher an der Rolle eines Assistenten als an einem eigenständig agierenden System.

Kertos deckt mit KAIA ein breites Rahmenwerk-Spektrum ab: DSGVO inklusive DSFA, VVT und TOM, dazu ISO 27001, ISO 27701 und ISO 42001 über ein eigenes AIMS-Modul. Ergänzend kommen NIS2, SOC 2, TISAX® und C5 hinzu. Im September 2025 sicherte sich Kertos eine Series-A-Finanzierung von 14 Millionen Euro, angeführt von Portage und Sagard.

Auf der eigenen Produktseite nennt Kertos Kennzahlen wie "100 % Auditerfolg", "98 % Kundenzufriedenheit" und "rund 80 % schneller zum Audit", sämtlich laut Anbieterangabe, ohne unabhängige Bestätigung. Als Referenzkunden führt Kertos unter anderem Personio, Grohe, Blacklane, Enpal, Flink und AskUI an. Diese Kundenliste dient als Vertrauenssignal, ersetzt aber keine geprüften Fallstudien mit belegten Ergebnissen.

Quelle: kertos.io

Wie arbeitet LAiKA, das Multi-Agenten-System von Athereon?

Athereons LAiKA besteht nicht aus einem Bot, sondern aus vier spezialisierten Agenten: Assist, Infrastructure Mapper, Compliance Assistant und Questionnaire Assistant. Alle vier arbeiten explizit Human-in-the-Loop: Nichts geschieht ohne Freigabe. Entwickelt und gehostet wird LAiKA vollständig in Saarbrücken bei der Deutschen Telekom.

LAiKA Assist nimmt Anfragen in natürlicher Sprache entgegen, priorisiert sie, weist Aufgaben zu und erinnert an offene Punkte. Der Infrastructure Mapper erfasst die IT-Landschaft und recherchiert automatisch im Web zu EOL-Terminen und bekannten Schwachstellen. Der Compliance Assistant gleicht Ist- und Soll-Zustand über verschiedene Frameworks ab, erkennt Lücken und priorisiert Maßnahmen. Der Questionnaire Assistant übernimmt Versand, Nachfassung, Ausfüllung und Auswertung von Sicherheitsfragebögen.

Verantwortung bleibt laut Anbieter durchgehend beim Menschen: Die Agenten liefern Vorschläge und Analysen, Entscheidungen trifft das Unternehmen selbst. Dieses Prinzip zieht sich durch alle vier Agenten und unterscheidet LAiKA von vollautomatisierten Ansätzen.

Fachlich deckt LAiKA sieben Frameworks ab: ISO 27001, NIS2, DORA, TISAX®, BSI IT-Grundschutz, EU AI Act und Cyber Resilience Act.

Besonders stark ist die deutsche Verankerung. LAiKA wird in Saarbrücken entwickelt, betrieben und in Rechenzentren der Deutschen Telekom AG gehostet. Das zugrundeliegende Sprachmodell lässt sich flexibel wählen, etwa Mistral AI, OpenLLaMA oder Claude, mit separaten Trainingsinstanzen je Kunde.

Nutzerbewertungen auf Capterra deuten allerdings an, dass viele Funktionen noch nicht zu Ende gedacht seien. Ein öffentliches Preis- oder Launch-Datum für LAiKA nennt Athereon aktuell nicht, diese Angaben fehlen schlicht auf der KI-Produktseite von Athereon.

Was kann Drata AI im Vergleich zu einem klassischen Chatbot?

Drata AI geht über reine Frage-Antwort-Interaktion hinaus: Der Agent ruft eigenständig Vendor-Dokumente und SOC-2-Reports ab, kommuniziert direkt mit Lieferanten und setzt Sicherheits-Policies automatisiert durch. Eine eigene Governance-Funktion erkennt sogar fremde KI-Agenten im Kundensystem. Über 8.500 Kunden weltweit nutzen Drata laut Drata-Angabe, G2-Nutzer bewerten das Tool mit 4,7 von 5 Sternen.

Drei agentische Bausteine bilden den Kern von Drata AI. Die AI Agent Governance erkennt automatisch alle KI-Agenten in der Kundenumgebung, setzt Policies vor jeder Aktionsausführung durch und überwacht kontinuierlich auf Abweichungen. Damit adressiert Drata ein Problem, das mit der Verbreitung eigener KI-Agenten in Unternehmen erst entsteht.

Das Agentic TPRM Assessment übernimmt die Lieferantenbewertung eigenständig: Es ruft Vendor-Dokumente und SOC-2-Reports ab, generiert bei Lücken automatisch Rückfragen und kommuniziert direkt mit den Lieferanten. Am Ende steht eine fertige Risikobewertung. Die AI Questionnaire Assistance wiederum beantwortet Security-Fragebögen automatisiert aus den Daten des Trust Centers und lernt dabei aus menschlichen Freigaben.

Diese drei Bausteine zeigen einen real hohen Autonomiegrad: autonome Vendor-Kommunikation, autonome Policy-Durchsetzung, autonomes Erkennen fremder Agenten. Das geht über simple Chat-Interaktion deutlich hinaus.

Drata bietet zudem eine dedizierte NIS2-Produktseite an. Wie sich Drata insgesamt als ISMS-Tool schlägt, hat NIS2Compass bereits in NIS2-Compliance: Vanta, Drata und ISMS-Tools im Vergleich eingeordnet. Die G2-Bewertung von 4,7 bis 4,8 von 5 Sternen bei über 1.300 Reviews bestätigt die breite Marktakzeptanz.

Welche Aufgaben übernehmen die Vanta AI Agents?

Vanta hat seinen ursprünglich einzelnen "Vanta AI Agent" 2026 in vier Sub-Agents aufgeteilt: Compliance Agent, Third-Party-Risk Agent, Customer Trust Agent und Agent for Risk. Anders als KAIA oder LAiKA trägt keiner davon einen Eigennamen. Automatisierte Fragebogen-Antworten erreichen laut Anbieterangabe eine Akzeptanzrate von 95 Prozent, bleiben aber an eine menschliche Freigabe gebunden.

Konkret übernehmen die Sub-Agents Policy-Entwürfe, die Beantwortung von Compliance-Fragen mit Quellenangabe sowie die Prüfung vorhandener Evidenz. Der Third-Party-Risk Agent überwacht zusätzlich Drittanbieter-Risiken und meldet Inkonsistenzen zwischen dokumentierter Policy und gelebter Praxis. Für erkannte Lücken liefern die Agents Remediation-Snippets als konkreten Lösungsvorschlag.

Die Ausführung ist teilautomatisiert, aber nicht autonom. Menschen geben Freigaben, die Agents erledigen die vorbereitende Recherche- und Formulierungsarbeit selbstständig. Das unterscheidet die Sub-Agents von einem reinen Chatbot, der nur auf Anfrage antwortet.

Offiziell gestartet ist die sogenannte Agentic Trust Platform am 19. November 2025 auf der VantaCon. Die vier Sub-Agents kamen zwischen März und Juni 2026 schrittweise hinzu, seither wird quartalsweise weiterentwickelt. Auf G2 liegt Vanta je nach Erhebungszeitpunkt bei rund 4,5 bis 4,6 von 5 Punkten bei etwa 2.700 Reviews.

Nach diesen fünf Einzelporträts folgt nun der direkte Quervergleich entlang von Funktionsumfang und Autonomiegrad, NIS2-Abdeckung, Zielgruppe, Reifegrad und Preis.

Autonomiegrad vs. Kontrollrisiko: Wie viel Entscheidungsfreiheit sollte ein KI-Agent im GRC-Tool haben?

Mehr Autonomie ist bei KI-Agenten in GRC-Tools kein reiner Vorteil: Sie vergrößert die Fläche für Fehlklassifizierungen oder ungewollte Policy-Änderungen, bevor ein Mensch sie überhaupt sieht. NIS2Compass ordnet die fünf Anbieter deshalb nicht nach "wer ist am meisten agentisch", sondern entlang der Trade-off-Achse Autonomiegrad vs. Kontrollrisiko.

Kontrolliertes Ende: KaitoSec und Athereon/LAiKA setzen Human-in-the-Loop als festes, nicht umgehbares Designprinzip ein, der Agent bereitet Arbeit vor, der Mensch entscheidet. KaitoSec ist von der Integrationsbreite her am umfangreichsten, mit über 12 Frameworks in einem gemeinsamen Datenmodell, arbeitet dabei aber bewusst langsamer und risikoärmer.

Dazwischen: Kertos/KAIA liegt mit Autofill und Q&A in der Mitte der Achse. Anders als Drata handelt der Agent nicht eigenständig gegenüber Dritten, etwa in der Lieferanten-Kommunikation.

Autonomeres Ende: Drata kann laut eigenen Angaben eigenständig mit Lieferanten kommunizieren und Policies durchsetzen, ohne dass jeder Einzelschritt einzeln freigegeben wird. Vanta bewegt sich ähnlich weit auf dieser Achse und hat seinen Agenten dafür in vier eigenständige Sub-Agents aufgeteilt: Compliance, TPRM, Customer Trust und Risk.

Mit der Autonomie wächst auch die Angriffsfläche. Ein Agent, der eigenständig mit Lieferanten kommuniziert oder Policies durchsetzt, kann durch manipulierte Eingaben oder fehlerhafte Automatisierung falsche Entscheidungen treffen, bevor ein Mensch eingreift. Drata begegnet diesem Risiko direkt mit der eigenen AI Agent Governance, die auch fremde KI-Agenten im Kundensystem überwacht, ein Hinweis darauf, dass der Anbieter selbst dieses Risiko als real einstuft.

Kein Kandidat ist auf dieser Achse "besser", beide Enden haben einen klaren Trade-off. Nach Einschätzung von NIS2Compass ist mehr Eigenhandlung kein automatischer Vorteil, sondern verschiebt Verantwortung von der Ausführung auf die Kontrolle davor und danach. Wer wenig Kapazität für diese Kontrolle hat, fährt mit einem konservativeren Agenten oft besser als mit dem autonomsten am Markt.

Wie gut decken die fünf KI-Agenten NIS2 und das deutsche NIS2UmsuCG ab?

Alle fünf Anbieter listen NIS2 explizit als abgedecktes Framework. Keiner bildet öffentlich nachweisbar das deutsche NIS2-Umsetzungsgesetz beziehungsweise §30 BSIG feingranular ab, durchgängig bleibt die Abdeckung auf EU-Richtlinien-Ebene wie Artikel 21. Am konkretesten wird es bei Drata mit einer eigenen NIS2-Produktseite zu Meldefristen, am granularsten beim deutschen Gesetz bleibt weiterhin der NIS2Compass Guide.

Bei der schieren Framework-Breite unterscheiden sich die Anbieter deutlich:

• KaitoSec: über 12 Frameworks in einem gemeinsamen Datenmodell, NIS2 als einer davon.
• Kertos (KAIA): deckt unter anderem DSGVO, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX und C5 ab.
• Athereon (LAiKA): 7 Frameworks, schmaleres, aber fokussiertes Portfolio.
• Drata und Vanta: jeweils mit dediziertem NIS2- und EU-AI-Act-Fokus, ergänzt um klassische US-Rahmenwerke wie SOC 2, HIPAA, FedRAMP und bei Drata zusätzlich CMMC.

Drata bietet mit seiner NIS2-Produktseite die konkreteste NIS2-spezifische KI-Funktionalität aller fünf Anbieter: Unterstützung bei Incident-Reporting und den allgemeinen NIS2-Meldepflichten. Das bleibt jedoch EU-Ebene, nicht §30-BSIG-Ebene. Eine externe Einschätzung bestätigt das: NIS2-Funktionalität sei bei Drata "fine if NIS2 is a secondary obligation", also keine Kernstärke.

Vanta verfolgt einen anderen Ansatz: Bestehende ISO-27001-Kontrollen werden auf NIS2-Anforderungen gemappt, Evidenz wird zentralisiert. Auch hier bleibt die Abdeckung auf EU-Richtlinien- und ISO-Mapping-Ebene stehen.

Wer die deutsche Gesetzeslage granular abgebildet braucht, findet das bei keinem der fünf KI-Agenten. Der NIS2Compass Guide führt durch alle 12 Maßnahmen nach §30 Abs. 2 BSIG in 8 Kapiteln und rund 124 Schritten, mit expliziter Zuordnung zum deutschen Gesetz statt nur zur EU-Richtlinie.

Für welche Unternehmensgröße und welchen Markt passt welcher KI-Agent?

KaitoSec, Kertos und Athereon sind DACH-fokussiert mit deutschem oder europäischem Hosting. Drata und Vanta sind US-Unternehmen mit Enterprise-Schwerpunkt, ohne erkennbare EU-Hosting-Garantie oder deutschsprachige Oberfläche. Für einen typischen deutschen Mittelstandsbetrieb mit 30 bis 250 Mitarbeitenden passen die drei DACH-Anbieter tendenziell besser als die beiden US-Plattformen.

KaitoSec: Zielgruppe sind Startups, KMU/Mittelstand und der öffentliche Sektor, etwa Kommunen und Landkreise. Auch Beratungshäuser nutzen die Plattform per White-Label. Sitz in Berlin, laut eigener Angabe "Made & hosted in Germany".

Kertos: Adressiert Startups, Scale-ups und Mittelstand, mit Branchenschwerpunkt SaaS, Healthtech, Fintech und Automotive. Gegründet in München, positioniert sich laut eigener Angabe als europäischer Compliance-Partner mit agentischer Automatisierung.

Athereon: Richtet sich an Compliance-Verantwortliche, CISOs und BCM-Manager, laut eigener Angabe von "Start-ups bis Enterprise" ohne explizite KMU-Eingrenzung. Sitz in Saarbrücken, Hosting in Rechenzentren der Deutschen Telekom.

Drata: Enterprise- und Mid-Market-Fokus, US-Unternehmen ohne erkennbares EU-Hosting und ohne dezidiert deutschsprachige Oberfläche.

Vanta: Deckt Startups bis Enterprise ab, mit Schwerpunkt Healthcare, Government und Fintech, tendenziell eher größere Organisationen als der klassische Mittelstand mit 30 bis 250 Mitarbeitenden.

Insgesamt sind 3 von 5 verglichenen Anbietern im DACH-Raum gegründet und hosten in Deutschland oder der EU, nur KaitoSec, Kertos und Athereon.

Eine Wissenslücke bleibt bei allen bis auf einen Anbieter bestehen: Nur Athereon macht öffentlich konkrete Angaben zur Datenverarbeitung des eigenen KI-Agenten, etwa zur flexiblen LLM-Wahl und zu getrennten Trainingsinstanzen pro Kunde. Für KaitoSec, Kertos, Drata und Vanta liegen keine öffentlichen Angaben vor, wie der jeweilige Agent selbst auftragsverarbeitungsrechtlich eingeordnet ist oder ob Kundendaten zum Training verwendet werden. Diese Frage sollten Unternehmen vor einer Entscheidung direkt beim Anbieter klären.

Wie ausgereift und belegt sind die fünf KI-Funktionen?

Drata und Vanta liefern mit über 1.300 beziehungsweise rund 2.700 G2-Bewertungen die belastbarsten öffentlichen Reviewzahlen. KaitoSec ist die größte Blackbox: keine auffindbaren Reviews auf G2, Capterra oder Trustpilot, auch Gründungsjahr und Funding bleiben unklar. Athereon trägt unveränderte Kritik an teils unfertigen Funktionen weiter, Kertos ist mit Launch im September 2025 am jüngsten.

KaitoSec bleibt eine Wissenslücke, keine Bewertung. Weder Gründungsjahr noch Funding-Runden sind öffentlich verifizierbar, und Stand September 2026 finden sich keine Nutzerbewertungen auf gängigen Plattformen. Diese Lücke sollte man als offene Frage behandeln, nicht als Hinweis auf Qualität in die eine oder andere Richtung.

Kertos/KAIA ist mit Launch am 22. September 2025 der jüngste Agent im Vergleich. Im selben Monat folgte eine Series-A-Finanzierung über 14 Millionen Euro. Angaben zu Kundenzufriedenheit oder Auditerfolg stammen dagegen ausschließlich vom Anbieter selbst.

Athereon/LAiKA hat kein öffentliches Launch-Datum. Auf ProvenExpert steht eine Bewertung von 5,00 von 5, allerdings bei sehr wenigen Stimmen, ein schwaches Signal statt einer belastbaren Kennzahl. Auf Capterra (DE) loben Nutzer Support und Preisgestaltung, kritisieren aber, dass viele Funktionen noch nicht zu Ende gedacht seien.

Drata hat sein agentisches Vendor-Risk-Feature seit August 2025 live, die neuere "AI Agent Governance" hat kein festes Launch-Datum. Bei über 1.300 G2-Bewertungen liegt Drata bei 4,7 bis 4,8 von 5 Punkten. Gelobt werden Dashboard und Auditor-Kollaboration, kritisiert Preiserhöhungen bei Vertragsverlängerung sowie Automatisierungslücken in Nicht-Standard- und On-Prem-Umgebungen.

Vanta führt den Agenten seit Mitte 2025, der offizielle Launch der "Agentic Trust Platform" folgte am 19. November 2025, Sub-Agents kamen zwischen März und Juni 2026 nach. Mit rund 2.700 G2-Bewertungen erreicht Vanta je nach Erhebungszeitpunkt 4,5 bis 4,6 von 5 Punkten. Reviews beschreiben eine quartalsweise Verbesserung, Kritikpunkte betreffen eher Preistransparenz und Support.

Wer KI-gestützte Antworten mit belastbarem Stand-Datum statt unbelegter Eigenangaben sucht, findet im NIS2Compass Knowledge Hub über 40 fachlich geprüfte Artikel mit Aktualisierungsdatum.

Was kosten KI-Agenten in GRC-Tools 2026?

Nur KaitoSec veröffentlicht eine Preisliste: Standard ab 240 Euro pro Monat mit 100 KI-Aufrufen, Professional ab 575 Euro pro Monat mit 500 KI-Aufrufen. Kertos, Athereon, Drata und Vanta nennen ihre Preise ausschließlich auf Anfrage. Bei Drata und Vanta liegen Drittquellen-Schätzungen oft deutlich über einem typischen KMU-Budget.

KaitoSec legt seine Preisstaffel vollständig offen:

• Free: kein Zugriff auf den KI-Assistenten.
• Standard: ab 240 Euro pro Monat bei jährlicher Zahlung (290 Euro bei monatlicher Zahlung), 100 KI-Aufrufe inklusive.
• Professional (von KaitoSec als "Empfohlen" markiert): ab 575 Euro pro Monat bei jährlicher Zahlung (690 Euro monatlich), 500 KI-Aufrufe, Zugriff auf alle vier Systeme.
• Enterprise: Preis auf Anfrage, 2.000 KI-Aufrufe, mit On-Premise-Option.

Details dazu liefert die Preisseite von KaitoSec.

Die übrigen vier Anbieter machen ihre Preise dagegen nicht öffentlich:

• Kertos: nur "Angebot anfordern", keine Zahlen einsehbar. Der Anbieter wirbt mit "über 60 Prozent günstiger", die Vergleichsbasis dafür bleibt jedoch offen.
• Athereon: keine Preise auf der KI-Produktseite. Capterra spricht von "fairer Preisgestaltung mit verschiedenen Abozyklen", ohne konkrete Beträge zu nennen.
• Drata: nur ein Angebot nach Bedarfsanalyse. Drittquellen berichten von Jahreskosten zwischen 9.649 und 60.000 US-Dollar, der Advanced-Plan liegt meist zwischen 15.000 und 25.000 US-Dollar pro Jahr.
• Vanta: ebenfalls nur ein Vertriebsgespräch statt Preisliste. Schätzungen reichen von 10.000 bis 20.000 US-Dollar pro Jahr im Essentials-Tarif bis zu 50.000 bis über 100.000 US-Dollar im Enterprise-Tarif, KI-Agent-Funktionen sind je nach Tarif gestaffelt.

Unter den fünf Anbietern ist KaitoSec damit die Ausnahme: Nur hier lässt sich das Budget vorab kalkulieren, ganz ohne Vertriebsgespräch.

Häufig gestellte Fragen

Welcher KI-Agent in einem GRC-Tool ist 2026 am weitesten entwickelt?

Kein Anbieter ist objektiv am weitesten entwickelt, die fünf verglichenen KI-Agenten setzen unterschiedliche Prioritäten. Drata und Vanta handeln autonomer und sammeln die meisten Nutzerbewertungen, was Prozesse beschleunigt, aber auch die Fläche für ungewollte Änderungen vergrößert. KaitoSec und Athereon setzen bewusst auf menschliche Freigabe statt Autonomie, risikoärmer, aber langsamer.

Deckt ein KI-Agent im GRC-Tool auch das deutsche NIS2-Umsetzungsgesetz ab?

Nein. Weder KaitoSec, Kertos, Athereon, Drata noch Vanta bilden das NIS2-Umsetzungsgesetz granular ab, alle fünf bleiben auf der Ebene der EU-Richtlinie NIS2. Keiner weist öffentlich nach, dass er einzelne Pflichten nach §30 BSIG konkret abdeckt. Für die nationale Umsetzung braucht es zusätzliches, spezifisches Fachwissen.

Ist ein KI-Agent in einem GRC-Tool ein Ersatz für eine NIS2-Beratung?

Nein. Die verglichenen KI-Agenten automatisieren Teilaufgaben innerhalb eines bestehenden GRC-Tools, etwa Evidenzsammlung oder Richtlinien-Vorschläge. Sie ersetzen keine rechtliche Einordnung, keine Betroffenheitsprüfung und keine Erstberatung durch Fachpersonal. Für die Einordnung der eigenen NIS2-Pflichten bleibt fundiertes Fachwissen unverzichtbar, unabhängig davon, welches Tool im Einsatz ist.

Was kostet ein GRC-Tool mit KI-Agent für ein kleines oder mittelständisches Unternehmen?

Nur KaitoSec veröffentlicht Preise: 240 bis 690 Euro pro Monat, je nach Tarif und Zahlweise. Die übrigen vier Anbieter verhandeln individuell nach Bedarfsanalyse. Bei Drata und Vanta liegen Drittquellen-Schätzungen häufig über 10.000 US-Dollar pro Jahr, damit tendenziell außerhalb eines typischen Budgets für kleine und mittelständische Unternehmen.

Können KI-Agenten in GRC-Tools eigenständig Richtlinien ändern oder mit Lieferanten kommunizieren?

Bei Drata und Vanta ist das laut Anbieterangabe möglich: automatisierte Richtlinien-Durchsetzung und eigenständige Kommunikation mit Lieferanten. KaitoSec und Athereon verzichten bewusst darauf, jede Änderung braucht dort eine menschliche Freigabe. Kertos/KAIA liegt dazwischen: Der Agent füllt Formulare automatisch aus, kommuniziert aber nicht eigenständig mit externen Parteien.