GRC-Markt 2026: Was Forrester, Verdantix und GRC 20/20 über KI und Plattformen sagen

Warum sich ein Blick auf die Analysten 2026 lohnt

Fast jeder Anbieter von GRC-Software spricht 2026 von KI-Agenten. Wer die aktuellen Analysen der großen Marktbeobachter liest, findet allerdings eine deutlich nüchternere Bilanz. Forrester, Verdantix und GRC 20/20 Research kommen unabhängig voneinander zu einem ähnlichen Ergebnis: GRC-Plattformen müssen sich grundlegend verändern, und die KI-Funktionen, die heute verkauft werden, leisten das bisher kaum.

Für Unternehmen, die gerade eine GRC-Plattform auswählen oder ihr Informationssicherheits-Managementsystem modernisieren, ist das eine wichtige Orientierung. Dieser Beitrag fasst die öffentlich verfügbaren Ergebnisse der drei Analysen zusammen, zeigt die Gemeinsamkeiten und leitet Prüffragen für die Auswahl ab.

Die drei Analysen auf einen Blick

Forrester: Vom System of Record zum System of Action

Ende Mai 2026 hat Forrester die Wave für Governance-, Risk- und Compliance-Plattformen veröffentlicht und dafür zwölf Anbieter bewertet. Die Analysten Paul McKay und Cody Scott beschreiben einen Markt mit viel Gegenwind: Viele Plattformen verlangen noch zu viel manuelle Dateneingabe, bieten nur einfache Workflow-Automatisierung und sind für ihren heutigen Zweck zu komplex, zu schwerfällig und zu teuer. Forrester

Gleichzeitig erwartet Forrester, dass sich der Zweck dieser Plattformen in den nächsten 18 bis 24 Monaten grundlegend ändert. Bisher waren GRC-Werkzeuge vor allem ein System of Record: Sie halten die Ergebnisse von Risikobewertungen, Compliance-Prüfungen und internen Audits fest. Künftig sollen sie zu einem System of Action werden, das Arbeit orchestriert und Ergebnisse liefert, statt nur Daten abzulegen. Die Plattform bleibt dabei der Ort der maßgeblichen Daten, nutzt aber Automatisierung über ein breiteres Ökosystem hinweg. Anbieter arbeiten dafür zunehmend mit Spezialisten für Risikodaten und regulatorische Inhalte zusammen, statt alles selbst zu bauen.

Vier weitere Befunde sind für die Auswahl einer Plattform besonders relevant:

• KI bringt heute wenig Mehrwert. Die meisten KI-Funktionen verbessern Bestehendes, statt Arbeit grundlegend zu verändern. Kunden nennen funktionale Grenzen und hohe Kosten als Hürden. Am gefragtesten ist etwas sehr Konkretes: deutlich schnellere Risikobewertungen und Compliance-Prüfungen.
• Continuous Controls Monitoring ist das schwächste Kriterium der gesamten Bewertung. Viele Plattformen nutzen es nur, um Nachweise für die interne Revision einzusammeln. Der eigentliche Wert liegt laut Forrester darin, laufend zu überwachen, ob Kontrollen wirken, ob Richtlinien eingehalten werden, und bei Abweichungen Korrekturen anzustoßen. Mehr zu diesem Ansatz lesen Sie in Kontinuierliche Maßnahmenüberwachung.
• Mehr Daten sind nicht automatisch besser. Forrester zieht eine Parallele zur Security-Analytik: Dort brachte erst die Konzentration auf klar definierte Anwendungsfälle echten Nutzen. Für GRC empfehlen die Analysten Bibliotheken mit konkreten Überwachungsfällen und üblichen Schwellenwerten, damit nur die Daten gesammelt werden, die wirklich gebraucht werden.
• Niemand weiß, wie KI bepreist werden soll. Die Modelle reichen von kostenlos inklusive über feste Zusatzpakete bis zur Abrechnung pro gesteuertem KI-Anwendungsfall. Häufig zahlen Kunden doppelt, für KI in der Plattform und für ein separates Modul zur KI-Governance. Viele Referenzkunden konnten den Gegenwert ihrer KI-Investition nicht einschätzen.

Verdantix: Funktionen wachsen schneller als ihre Erklärbarkeit

Verdantix hat für den Green Quadrant GRC Software 2025 15 Anbieter in zehn Fähigkeitskategorien verglichen und die Ergebnisse mit Finanz- und Kundendaten abgeglichen. Verdantix Im begleitenden Beitrag zu KI in GRC steht ein Befund, der aufhorchen lässt: Jede Plattform, die bei eingebetteten KI-Funktionen die Höchstwertung erreichte, kam bei Erklärbarkeit und Governance der Modelle nur auf ein bis zwei Punkte. Verdantix-Blog

Chatbots und automatisierte Kontrolltests kommen also schneller auf den Markt als die Prüfpfade, Konfidenzangaben und Modellrisiko-Berichte, die Aufsichtsbehörden künftig verlangen werden. Verdantix verweist ausdrücklich auf den EU AI Act: Die Rechnung für fehlende Erklärbarkeit werde bald fällig. Welche Normen hier gerade entstehen, lesen Sie in Die 3 neuen KI-Governance-Standards 2026 im Überblick.

Drei weitere Ergebnisse passen dazu:

• Ein hoher KI-Score allein verkauft nicht. Fortgeschrittene KI weckt Interesse, aber wenn die zugrunde liegenden GRC-Module dünn sind, zögern Interessenten. Nachhaltiges Wachstum hängt weiter an der Breite der Abdeckung und an der Umsetzung nach dem Kauf.
• KI-Stärke führt nicht zu höheren Verlängerungsraten. Verdantix fand keinen verlässlichen Zusammenhang. Kunden achten mehr auf Plattformstabilität, eine schnelle Einführung und guten Support.
• Tiefe braucht Investition. Am deutlichsten war der Zusammenhang zwischen Entwicklungsbudget und echter KI-Reife. Ohne dauerhafte Investition bleibt es bei oberflächlichen KI-Widgets.

Für die nächsten Jahre erwartet Verdantix, dass einfache KI-Funktionen wie generative Suche und Zusammenfassungen zum Standard werden. Der Wettbewerb verlagert sich damit auf Transparenz, Aufsicht und regulatorische Passung. Für Anbieter mit hohem Entwicklungsanteil sieht Verdantix ein seltenes Zeitfenster, etablierte Anbieter zu überholen, sofern sie bei KI-Tiefe, Datenqualität und Transparenz liefern.

GRC 20/20: Orchestrierung braucht Verantwortung

Michael Rasmussen, Gründer von GRC 20/20 Research, hat im Oktober 2026 eine 143-seitige Market Perspective zu „GRC 7.0 – GRC Orchestrate“ veröffentlicht. GRC 20/20 Seine These: KI macht sichtbare Software-Funktionen billig und austauschbar. Wertvoll werden dagegen verlässliche Informationen, Geschäftskontext, Fachmethodik und verantwortete Ausführung.

GRC 7.0 beschreibt er als Architektur, die drei Systeme um die maßgeblichen Systems of Record legt: eines, das Veränderungen erkennt und einordnet, eines, das Arbeit im Rahmen klarer Befugnisse ausführt und ihr Ergebnis prüft, und eines, mit dem sich GRC-Fähigkeiten nachvollziehbar anpassen lassen. Rasmussen grenzt das ausdrücklich von einer bloßen Ansammlung von KI-Funktionen ab. Wie dieses Modell im Detail aussieht und was es für die Praxis bedeutet, haben wir in GRC 7.0: Was Michael Rasmussens GRC Orchestrate für Unternehmen bedeutet zusammengefasst.

Was die drei Analysen gemeinsam haben

Liest man die drei Analysen nebeneinander, ergeben sich vier gemeinsame Linien:

Die Analysen widersprechen sich in keinem wesentlichen Punkt. Sie beleuchten denselben Wandel aus drei Richtungen: Forrester aus Sicht der Kundenbewertungen, Verdantix aus dem Abgleich von Funktionen mit Geschäftszahlen und GRC 20/20 aus der Perspektive der Architektur.

Worauf Unternehmen bei der Auswahl achten sollten

Für Unternehmen, die gerade eine GRC-Plattform auswählen, etwa für NIS2, ISO/IEC 27001 oder den EU AI Act, ergeben sich aus den Befunden von Forrester und Verdantix vier Prüffragen:

• Woher kommt eine Bewertung? Lässt sich für jedes Ergebnis eines KI-Agenten nachvollziehen, auf welche Anforderung, welchen Nachweis und welche Begründung es sich stützt?
• Was wird überwacht? Sammelt die Plattform nur Nachweise für das nächste Audit, oder zeigt sie laufend, ob Maßnahmen wirken?
• Was spart das konkret? Wie viel schneller werden Risikobewertungen und Gap-Analysen? Das ist laut Forrester der Nutzen, den Kunden am meisten suchen.
• Wie wird KI bepreist? Ist klar, was die KI-Funktionen kosten und was sie leisten, oder kommt für KI-Governance ein weiteres Modul hinzu?

Den vollständigen Kriterienkatalog für die Auswahl finden Sie in GRC-Software auswählen.

Wie wir das bei Secani sehen

Die Analysen bestätigen eine Richtung, die wir mit Secani verfolgen. Der Secani-Agent soll umfangreiche Vorarbeit übernehmen: Informationen erschließen, Zuordnungen vorschlagen, Nachweise zusammenführen und Lücken erklären. Die Entscheidung bleibt beim Menschen, und sie muss sich später nachvollziehen lassen. Wie wir über die Verbindung zwischen Anforderung, Nachweis und Urteil denken, beschreibt der Beitrag KI in GRC: Zitieren ist nicht Prüfen.

Der Maßstab ist deshalb nicht, wie viele KI-Funktionen eine Plattform hat. Sondern ob sich zu jeder Bewertung beantworten lässt, warum sie gilt, wer sie verantwortet und was sich ändern müsste, damit sie neu geprüft wird.

Fazit

Forrester, Verdantix und GRC 20/20 beschreiben 2026 denselben Wandel: GRC-Plattformen sollen Arbeit erledigen und Ergebnisse liefern, statt nur Daten abzulegen. KI ist dafür ein wichtiges Werkzeug, aber kein Unterscheidungsmerkmal mehr. Den Unterschied machen Nachvollziehbarkeit, klare Verantwortung und solide Grundlagen. Wer eine GRC-Plattform auswählt, sollte genau danach fragen und sich die Antworten am eigenen Anwendungsfall zeigen lassen.

Quellen

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29.05.2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27.08.2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, Oktober 2026)