Compeas GRC
Kontroller, policyer, risker, incidenter och bevis i en och samma plattform, med automatiska tester varje dag och bevis redo för revision.
Så fungerar Compeas GRC
Automatiska kontrolltester, policyer, risker, incidenter, cyberresiliensförordningen, revisioner och styrelserapportering, direkt i produkten.
Läs textversionen (på engelska)
NIS2, ISO 27001, GDPR. Each framework has its own rules, and each one asks for proof. In most companies, that proof is spread across spreadsheets, folders and inboxes.
Compeas GRC brings it together in one place. Every control is mapped across the frameworks, so work done once counts for ISO 27001, NIS2 and GDPR at the same time, including the NIS2 rules of the company’s own country.
Compeas connects to Google Workspace, Microsoft Entra ID and the other systems the company already uses. It brings in staff, devices and the apps they sign in to, and tests the controls automatically every day: two-step verification, encrypted devices, and access that should have ended when someone left. A failing test shows exactly what needs fixing.
A ready-made policy package is written for these frameworks. Policies are adopted with the company’s name and owners filled in, published to staff, and every acknowledgement is tracked.
Risks, suppliers and incidents are managed in the same place. Each incident carries its NIS2 and GDPR reporting deadlines, and the incident team is alerted before each report is due.
For companies that make connected devices or software, Compeas covers the Cyber Resilience Act: every product and version, its vulnerabilities and fix targets, and the reports the Act requires.
Evidence sits with the controls it proves and is flagged before it expires. Auditors review it directly in Compeas, and the board report shows management where the company stands.
Less time proving compliance. More time improving security.
Compeas. Compliance Made Easy.
Plattformsfunktioner
Automatiska kontrolltester
Anslutna system testas mot kontrollerna varje dag. Ett underkänt test visar vad som behöver åtgärdas och vem som ansvarar för det.
- Google Workspace, Microsoft Entra ID och Intune
- Tvåstegsverifiering, krypterade enheter och avslutade anställningar
- Åtgärder med måldatum
- Resultat kopplade till kontrollerna de testar
Sex ramverk
Varje kontroll är kopplad till alla ramverk den stöder, så arbete som görs en gång räknas för samtliga. NIS2 finns i nationella versioner för tio EU-länder.
- NIS2
- ISO 27001
- SOC 2
- NIST CSF 2.0
- GDPR
- Cyberresiliensförordningen
Policybibliotek
Ett färdigt policypaket skrivet för de här ramverken, som antas med organisationens namn och ansvariga ifyllda.
- Färdiga policymallar
- Versioner och schemalagda granskningar
- Distribuera i hela organisationen
- Uppföljning av kvittenser
Bevishantering
Bevisen ligger vid kontrollerna de styrker, räknas först när de är godkända och begärs in på nytt innan de löper ut.
- Bevis kopplade till kontroller och krav
- Godkännande innan beviset räknas
- Ny begäran innan beviset löper ut
- Bevisförfrågningar från revisorer
Påminnelser
Ansvariga får en påminnelse innan arbetet ska vara klart, via e-post, Slack eller Microsoft Teams.
- Åtgärder och riskgenomgångar
- Policygranskningar och kvittenser
- Bevis och avtal som snart löper ut
- Rapporteringsfrister för incidenter och sårbarheter
Revision och styrelserapportering
Revisorer granskar bevisen direkt i Compeas, och styrelserapporten visar ledningen var organisationen står.
- Revisorsåtkomst via Compeas Auditor Tool
- Bevisförfrågningar besvaras i plattformen
- Fullständig granskningslogg med export
- Styrelserapport för ledningen
Expertsupport
Compliance-specialister stödjer implementeringen och förberedelserna inför certifieringsrevisionen.
- Dedikerad kundansvarig
- Compliance-rådgivning
- Implementationsstöd
- Support på svenska och engelska
Enkel inloggning (SSO)
Inloggning via organisationens befintliga identitetsleverantör. Erbjuds på begäran utan extra kostnad med Microsoft Entra ID eller Google Workspace.
- Microsoft Entra ID
- Google Workspace
- Centraliserad åtkomsthantering
- Åtkomsten upphör med kontot i katalogen
Datalagring i EU
Compliancedata, bevis och säkerhetskopior driftas på Ploi Cloud inom EU och stannar där.
- Driftad på Ploi Cloud (EU)
- Inga tredjelandsöverföringar
- Europeiskt supportteam
- Byggd för GDPR
Rapportera i tid, varje gång
Register byggda kring rapporteringsfristerna i NIS2, GDPR och cyberresiliensförordningen. Varje register visar vad som ska rapporteras och när, och sparar varje rapport som bevis.
Incidentregister
När en incident registreras visas de tidsfrister som gäller direkt: NIS2 för företagets eget land, GDPR:s anmälan av personuppgiftsincidenter och, för berörda produkter, cyberresiliensförordningen.
- Tidsfrister för tidig varning, anmälan och slutrapport
- Påminnelser innan en rapport ska lämnas in
- Filer, anteckningar och hela aktivitetshistoriken
- Ett daterat registerutdrag sparat som bevis
Produktregister
Varje produkt med digitala element som företaget släpper ut på EU-marknaden: om cyberresiliensförordningen omfattar den, dess klass, var den säljs och hur länge den får support.
- Versioner och varianter, med väsentliga ändringar
- De förfaranden för bedömning av överensstämmelse som varje klass tillåter
- Anmält organ, EU-försäkran om överensstämmelse och CE-märkning
- Bevis för varje produkt, med en SBOM för varje version
Sårbarhetsregister
Varje sårbarhet följs från mottagande till säkerhetsmeddelande. När en sårbarhet bedöms vara aktivt utnyttjad börjar cyberresiliensförordningens rapporteringsfrister att löpa.
- Allvarlighetsgrad enligt CVSS utifrån frågor i klarspråk eller en inklistrad vektor
- Tidsmål för åtgärd per allvarlighetsgrad
- Rapportutkast med fälten i ENISA:s gemensamma rapporteringsplattform
- Rapporter till komponentens underhållare och säkerhetsmeddelanden
Varje leverantör och varje avtal i ett register
Leverantörsregistret samlar varje leverantörs avtal, personuppgiftsbiträdesavtal och säkerhetsrapporter, påminner innan ett avtal upphör och testar varje dag att inget har löpt ut.
Leverantörsregister
Varje leverantör med tjänster, kontaktuppgifter, riskklassning och status, från aktiv till avslutad. Tidigare leverantörer finns kvar i registret med sina avtal och dokument.
- Riskklassning från kritisk till låg
- Aktiv, under granskning, avstängd eller avslutad
- Underbiträden för varje leverantör
- Var personuppgifter behandlas och på vilken grund de får lämna EU/EES
Avtal och dokument
Start-, slut- och förnyelsedatum för varje leverantörs avtal, med det undertecknade avtalet och övriga dokument sparade intill.
- Avtal, personuppgiftsbiträdesavtal, SOC 2-rapporter, ISO-certifikat och försäkringsbevis
- Informationsklassning på varje dokument; skyddade filer öppnas bara av dem som hanterar leverantörer och av revisorer
- Påminnelser innan ett avtal upphör eller ska förnyas
Leverantörstester
Fem automatiska tester kontrollerar registret varje dag och kopplar varje resultat till rätt kontroll i ISO 27001.
- Varje aktiv leverantör har ett undertecknat avtal som inte har löpt ut
- Varje aktiv leverantör har en riskklassning
- Kritiska leverantörer och leverantörer med hög risk har en giltig SOC 2-rapport eller ett giltigt ISO-certifikat
- Personuppgiftsbiträden har ett personuppgiftsbiträdesavtal
- Personuppgifter som lämnar EU/EES har en laglig överföringsmekanism
Gör jobbet en gång, uppfyll flera ramverk
De flesta ramverk efterfrågar samma saker på olika sätt. Compeas kopplar ihop de gemensamma kraven, så att en kontroll räknas för varje ramverk den stöder.
Åtkomstkontroll
Definierad, implementerad och dokumenterad en gång, på ett ställe.
- NIS2
- ISO 27001
- SOC 2
- NIST CSF 2.0
- GDPR
Gör jobbet en gång. Återanvänd det överallt.
Redo att förenkla compliance-arbetet?
Boka en genomgång eller starta en kostnadsfri testperiod på 14 dagar.