Paketpreis, keine Nutzerlizenz
Fachbereiche und Risikoverantwortliche gehören ins ISMS. Deshalb unbegrenzt Nutzer – abgerechnet nach Gesellschaften und Scope.
Control what matters · Made in Germany · Hosted in EU
Control what matters.
GRC für Mittelstand, Stadtwerke, Agenturen und Zeitarbeit.
deveca GRC hält ISMS, Risiken, Maßnahmen und Nachweise an einem Ort. ISO 27001, NIS2, BSI IT-Grundschutz und Datenschutz – mit den Fachbereichen, nicht nur der ISB-Stelle. Auditfest und ohne Excel-Chaos.
6 Wochen kostenlos testen
6 Wochen testen – ohne Vertragsbindung, ohne Kreditkarte. Danach dauerhaft Free mit Micro-ISMS. Paid-Pläne: 24 Monate.
6 Wochen kostenlosTest ohne VertragsbindungPaid-Pläne: 24 MonateKeine Kreditkarte
grc.deveca.app
Frameworks · live verfügbar
Geplante Frameworks: DORA, SOC 2, PCI DSS, HIPAA – siehe Roadmap.
ISO 27001
ISO 9001
ISO 27701
TISAX
NIS2
BSI IT-Grundschutz
DSGVO / GDPR
EU AI Act
HinSchG
Cyber Resilience Act
ISO 27001
ISO 9001
ISO 27701
TISAX
NIS2
BSI IT-Grundschutz
DSGVO / GDPR
EU AI Act
HinSchG
Cyber Resilience Act
Warum deveca GRC
Für Teams, die NIS2 und ISO 27001 im Alltag halten müssen.
Mittelstand, Stadtwerke, Agenturen und Zeitarbeit: festes Monatsbudget, unbegrenzte Nutzer, nachvollziehbare Nachweise.
Eine Akte statt zehn Excel-Dateien
Risiken, Maßnahmen, Assets, Audits und Evidenz hängen zusammen. Auditoren sehen nur den vereinbarten Scope.
NIS2 und ISO 27001 im selben System
Starter mit einem Framework, Professional mit allen live Frameworks inklusive BSI IT-Grundschutz. KRITIS als eigenes Framework: in Vorbereitung.
Meldewege, die Fristen kennen
Incident-Register mit NIS2-/DSGVO-Check. Auf der Website: Betroffenheitscheck, Startcheckliste und Meldefristen-Rechner.
Microsoft 365, wo es schon läuft
SharePoint-Sync für Richtlinien, Entra-Login ab Professional. ServiceNow-Anbindung ist angefragt und in Vorbereitung – kein SAML-Verkauf.
Hinweisgeber und Betroffenenanfragen
HinSchG-Portal mit Fall-Akte. DSGVO-Betroffenenanfragen inkl. DSR-Portal – Module, die in der Plattform stehen.
Module
Was Sie konkret steuern.
Nur Funktionen aus dem Produktkatalog. Was noch nicht live ist, steht als in Vorbereitung.
ISMS / ISO 27001
Scope, Richtlinien, Controls, SoA und Nachweise.
NIS2
Framework in der Plattform. Betroffenheit und Meldefristen kostenlos auf der Website; keine Behörden-Registrierung durch uns.
BSI IT-Grundschutz
Live Control-Set. KRITIS als eigenes Framework: in Vorbereitung.
Risikomanagement
IT- und Geschäftsrisiken mit Methodik, Matrix und KPIs/KRIs.
BCM inkl. PDF-Plan
Business-Continuity-Pläne mit Flow-Editor und PDF – im Professional-Paket.
Assets und Prozesse
Inventar mit CIA-Bewertung; Prozessmodellierung live.
Maßnahmen
Zentrales Register mit Fristen, Verantwortlichen und Verknüpfung zu Risiko, Audit, Incident.
Incident / Meldewege
Vorfälle, Root-Cause, Meldepflicht-Check.
DSGVO-Betroffenenanfragen
Art. 15–22 inkl. DSR-Portal.
Audit / Nachweise
Audit-Programm, Evidence, zeitlich begrenzter Auditor-Zugang.
Mehrgesellschaften
Starter: 1 Gesellschaft. Professional: bis 3. Group: unbegrenzt mit Konzernübersicht.
Integrationen
Microsoft 365 und Entra-Login live. ServiceNow: in Vorbereitung.
Module
Alle Module ansehen Eine Plattform. 25 Module live.
25 Module produktiv einsetzbar. Weitere Integrationen und Frameworks stehen auf der Roadmap.
Drei Pakete, unbegrenzte Nutzer.
Starter 349 €/Monat netto, Professional 849 €, Group ab 1.499 €. Nach dem Test 24 Monate Laufzeit.
Starter
Kleine NIS2-pflichtige Organisation: eine Gesellschaft, ein Framework – und alle Nutzer, die mitarbeiten sollen.
349 €/Monat netto
Jetzt starten – kostenlosProfessional
EmpfohlenMittelstand und Stadtwerke mit mehreren Gesellschaften: alle live Frameworks, BCM und Microsoft-365-/Entra-Login.
849 €/Monat netto
Jetzt starten – kostenlosGroup
Konzernweite Übersicht über unbegrenzt viele Gesellschaften – mit Entra-Gruppen→Rollen und begleitetem Start.
ab1.499 €/Monat netto
Gespräch anfragenSouveräne IT
Deutsche Daten. Deutsche Server. Deutsche Verantwortung.
100 % Made in Germany, gehostet in der EU. Deutsche Datenresidenz: Anbieter- und Subprozessorenprüfung nach dokumentierten Souveränitätskriterien – transparent und nachvollziehbar für Audits und Beschaffung.
- Hosting in Nürnberg · ISO 27001 zertifiziertes RZ
- Backup-RZ in Falkenstein · geografisch getrennt
- Deutsche Datenresidenz · Hosted in EU
- Vollständige AVV nach Art. 28 DSGVO
- Anbieter- und Subprozessorenprüfung nach Souveränitätskriterien
- TOMs nach BSI-Grundschutz (technisch & organisatorisch)
Souveränitäts-Garantie
Made in Germany · Hosted in EU
- RZ-Standort
- Nürnberg
- Backup-Standort
- Falkenstein
- Datenresidenz
- Deutschland
- KI-Inferenz
- EU-private
- Verschlüsselung
- AES-256 / TLS 1.3
- Auftragsverarbeitung
- AVV inkludiert
Vollständige Sicherheits-Doku
Sicherheit & DatenschutzHighlights
Vier Funktionen, die Sie woanders schmerzlich vermissen.
Root-Cause-Analyse, die wirklich genutzt wird
5-Why, Ishikawa, Fehlerbaumanalyse, Zeitachsen-Analyse und frei konfigurierbare Methoden – integriert in jeden Incident, nicht in einer separaten Excel.
5-WhyIshikawaFehlerbaum (FTA)ZeitachseCustom MethodenLessons Learned
ISMS automatisch in SharePoint – inkl. Newsverteilung
Veröffentlichen Sie Policies, Anweisungen und News mit einem Klick in die richtigen SharePoint-Bibliotheken. Lese-Bestätigungen, Versionierung und automatische Reminder inklusive.
- 1Policy in deveca erstellen & freigeben
- 2deveca synct in SharePoint inkl. Berechtigungen
- 3News-Post an Standort / Abteilung / Funktion
- 4Lesebestätigung & Reminder automatisch eingefordert
HinSchG-Portal mit echter Fall-Akte
Anonymes Hinweisgeber-Portal mit Zwei-Wege-Postfach, verschlüsselten Anhängen, Untersuchungsschritten und automatischer Fristenüberwachung (7 Tage Bestätigung, 3 Monate Rückmeldung).
Zum HinSchG-ModulForce-directed Graph: Was hängt wirklich zusammen?
Aggregiert über 20+ Beziehungen – Assets, Risiken, Controls, Lieferanten, Standorte. Filter nach Schutzbedarf oder Owner, Drill-down auf jedes Element. Sieht aus wie eine Karte, dient als Audit-Beweis.
Graph erkundenRoadmap
Was als nächstes kommt.
Transparenz statt Vaporware. Diese Module sind in aktiver Entwicklung und werden nach und nach ausgerollt.
In Planung
Atlassian-Bridge (Jira & Confluence)
Bidirektionale Anbindung an Jira (Incidents, Maßnahmen, CAPA) und Confluence (Policy-Spiegelung). Issues, Statuswechsel und Evidenzen fließen ohne Medienbruch.
In Planung
Vulnerability-Connectors (Greenbone, OpenVAS, Nessus)
Import von Scan-Ergebnissen aus Greenbone / OpenVAS, Tenable Nessus und OWASP Dependency-Check. Automatisches CVE-/CVSS-Matching auf Assets und Controls.
Research
CMDB-Sync (ServiceNow, i-doit)
Zwei-Wege-Sync gegen ServiceNow und i-doit: Assets, Besitzer und Abhängigkeiten werden automatisch übernommen — deveca ergänzt Schutzbedarf und Control-Mapping.
Coming Soon
DORA Framework
Vorkonfiguriertes Control-Set für den Digital Operational Resilience Act im Finanzsektor.
Coming Soon
SOC 2 Type II Framework
Trust Services Criteria als natives Mapping mit Crosswalks zu ISO 27001.
Coming Soon
PCI DSS v4 Framework
Payment Card Industry Controls für Zahlungsdienstleister und Händler.
Check, Checkliste, Lieferantenantwort – bevor jemand verkauft.
NIS2-Betroffenheitscheck8–12 Fragen zu Sektor, Größe und Umsatz. Ergebnis sofort im Browser.NIS2-/ISMS-Startcheckliste§ 30 und § 32 BSIG als abhakbare Liste. Download gegen geschäftliche E-Mail.Lieferantenanfrage beantwortenFür Agenturen, Zeitarbeit und Mittelstand, die Fragebögen von NIS2-Kunden bekommen.Meldefristen-Rechner24 Stunden, 72 Stunden, ein Monat – Zeitplan ab Kenntnis des Vorfalls.
Sechs Wochen testen. Dann entscheiden.
Ohne Kreditkarte, ohne Bindung im Test. Danach Free mit Micro-ISMS oder ein Paid-Paket mit 24 Monaten. Group und individuelles Onboarding: Gespräch anfragen.