Det europeiska alternativet till Vanta

Q: Varför spelar det roll att GRC-plattformen är europeisk?

Plattformen innehåller ert riskregister, era gapanalyser, er incidenthistorik och era kontrollbevis – en karta över var ni är svaga. NIS2 artikel 21 gör säkerheten i leveranskedjan till ett ledningsansvar, så den plattform där ni hanterar tredjepartsrisk är i sig en tredje part som ni måste bedöma. Den bedömningen blir kortare när det inte finns någon överföring ut ur EES.

Börja här om det är SOC 2 som fört er hit

Vanta byggde sin affär på SOC 2, en amerikansk revisionsstandard, och det gör de bra. Compeas stödjer SOC 2, både typ 1 och typ 2. SOC 2 har egna kontroller i plattformen, och de är länkade till ISO 27001-kontrollerna så att samma bevis räcker för båda.

SOC 2 är nytt hos oss sedan september 2026, medan Vanta har arbetat med det i många år. Är SOC 2 ert enda ramverk och era kunder finns i USA är Vanta ett rimligt val. Behöver ni SOC 2 bredvid ISO 27001 och NIS2, och vill att era data stannar i Europa, är resten av sidan skriven för er.

Rapporten utfärdas alltid av en oberoende revisor. Compeas ger er och revisorn underlaget. Så fungerar SOC 2 i Compeas.

Er GRC-plattform är i sig en risk i leveranskedjan

Det finns ett argument för en europeisk GRC-plattform som inte har med flaggor att göra, och det är det argumentet som borde avgöra frågan.

En GRC-plattform är inget vanligt SaaS-verktyg. Den innehåller ert riskregister, era gapanalyser, er incidenthistorik, era oåtgärdade avvikelser och bevisen bakom varje kontroll. Samlat på ett ställe blir den en exakt karta över var er verksamhet är svag.

NIS2 artikel 21 gör säkerheten i leveranskedjan till ett uttryckligt ledningsansvar, och ledningen är personligt ansvarig för den. DORA går längre för finansiella entiteter, med register över tredjepartsleverantörer av IKT-tjänster och koncentrationsrisk att bedöma. Enligt båda regelverken är den plattform där ni hanterar tredjepartsrisk i sig en tredje part som ni måste bedöma.

Den bedömningen blir svårare när leverantören är amerikansk. Den amerikanska CLOUD Act når data hos amerikanska leverantörer oavsett var servrarna står. Därför avgör inte en EU-region hos en amerikansk plattform frågan – och därför kräver varje överföring en dokumenterad bedömning som ni ska hålla uppdaterad, ompröva och kunna försvara inför en tillsynsmyndighet.

Med Compeas blir den analysen kort. Svenskt bolag, svensk infrastruktur, kunddata inom EES, svensk och europeisk rätt. Det finns ingen överföring att bedöma.

Sida vid sida

	Compeas	Vanta
Bolagets hemvist	Sverige (EU/EES)	USA
Tillämplig rätt	Svensk och europeisk rätt	Amerikansk federal och delstatlig rätt
Var kunddata lagras	Inom EU och EES	Se Vantas egen dokumentation
Ramverket som produkten växte fram ur	EU-reglering – NIS2, ISO 27001	SOC 2
SOC 2	Ja, typ 1 och typ 2, sedan september 2026	Ja, kärnan i produkten
NIS2 i varje lands nationella version	Ja, för tio länder, som fullvärdigt ramverk	Se Vantas egen dokumentation
Pris	240 000 kr per år per organisation, 120 000 kr första året. Inte per användare	Se Vantas prissida
Single sign-on	Ingår i priset	Se Vantas prissida
Språk i plattform och support	Svenska och engelska	Engelska

Senast verifierat den 31 augusti 2026. Vi beskriver vår egen produkt i detalj och hänvisar till Vantas dokumentation för deras produkt, i stället för att återge funktioner och priser som ändras utan förvarning – vi lämnar hellre en lucka än blir källan till ett inaktuellt påstående om en konkurrent. Är något här fel, hör av er så rättar vi det.

Det vi inte gör

Varje jämförelsesida som någonsin skrivits slutar med att den som skrev den vinner. Här är den del som brukar utelämnas.

SOC 2 är nytt hos oss. Stödet finns sedan september 2026. Vanta har längre erfarenhet av just SOC 2, och det är värt att väga in om SOC 2 är ert enda ramverk.
DORA – planerat, inte levererat. Vi skriver om det och vår vd:s bok tar upp det, men det är inget ramverk ni kan köra i produkten idag.
Färre integrationer. Vanta har byggt på sitt integrationsutbud under längre tid, och det är bredare. Bygger er bevisinsamling på många amerikanska SaaS-verktyg bör ni kontrollera vår lista innan ni bestämmer er.
Vi är mindre. Det är på gott och ont: ni når någon som kan ändra produkten, men ni köper inte tryggheten i att välja det största namnet i kategorin.

Det ni kan köra i Compeas idag

NIS2 i ert lands nationella version – Sverige, Danmark, Finland, Tyskland, Österrike, Belgien, Nederländerna, Polen, Italien och Bulgarien: de nationella skyldigheterna, ert lands frister för incidentrapportering och de kontroller av leveranskedjan som artikel 21 kräver.
ISO 27001 – från införande av ledningssystemet till certifieringsrevision, med uttalandet om tillämplighet (SoA) uppdaterat under arbetets gång.
SOC 2 – typ 1 och typ 2, med egna kontroller mot Trust Services Criteria som är länkade till ISO 27001.
NIST CSF 2.0 – styra, identifiera, skydda, upptäcka, hantera och återställa.
GDPR – registerförteckning, dataskyddskontroller och bevisen bakom dem.

Kontroller hanteras en gång och mappas mot varje ramverk ni kör, så att ISO 27001, NIS2 och SOC 2 inte blir tre parallella program med tre uppsättningar bevis. Se hur ramverksmotorn fungerar.

Vad Compeas kostar

Ett pris per organisation, och det står här. Alla belopp är exklusive moms. Samma uppgifter finns på prissidan.

Första avtalsåret: 120 000 kr. Ett introduktionspris, eftersom det första året går åt till att bygga upp ert arbete i plattformen.
Därefter: 240 000 kr per år.
Treårsavtal efter det första året: 540 000 kr, alltså 180 000 kr per år.

Det här ingår

Tre ramverk. GDPR ingår alltid, och ni väljer två till. De flesta väljer ISO 27001 och NIS2.
Compeas Auditor Tool. Er revisor följer arbetet i realtid, och revisorer och rådgivare tar inte upp några betalda licenser. Att ta in er revisor i plattformen ska sänka era kostnader, inte lägga till nya.
Införande och utbildning. Ni betalar inte extra för att komma igång.
En timmes rådgivning i månaden med vår CISO.
Alla era användare. Priset gäller per organisation, inte per användare. Efterlevnad är ett lagarbete. Att ta betalt per person får verksamheter att ge färre personer åtkomst till just det system som ska göra risker synliga.
Single sign-on. SSO är en säkerhetskontroll. Att lägga den bakom en dyrare nivå gör att mindre organisationer inte har råd med ett skydd de borde ha, och vi tänker inte sälja säkerhet genom att undanhålla den.

Två saker kostar extra: fler ramverk än tre, och fler instanser för den koncern som behöver hålla isär sina bolag. Fråga oss så får ni en siffra, inte ett möte om er budget.

Jämför på samma omfattning

Vi skriver ut vårt pris. Vantas prissida visar fyra nivåer och en knapp för personlig offert, men inga belopp (kontrollerat den 21 september 2026). Det gör en jämförelse svår, så gör den på era villkor: be om en offert som täcker samma sak.

Tre ramverk, inte ett.
Alla era användare, även när ni växer.
Single sign-on.
Införande och utbildning.
Åtkomst för er revisor.
Löpande rådgivning från en CISO.
Priset år två, tre och fyra, inte bara det första.

Vårt svar på den frågan är 240 000 kr per år, och 120 000 kr det första året.

Prova först

Innan ni bestämmer er provar ni plattformen mot era egna krav i 14 dagar, utan kostnad. Lämna era uppgifter så sätter vi upp testperioden tillsammans med er.

Offentlig sektor

Det första året och ett treårsavtal kostar sammanlagt 660 000 kr exklusive moms. Direktupphandlingsgränsen är 700 000 kr enligt LOU och 1 200 000 kr enligt LUF. Om ni kan direktupphandla avgör ni själva, efter er sammanräkning av köp av samma slag under räkenskapsåret.

Vanliga frågor

Stödjer Compeas SOC 2?

Ja, både typ 1 och typ 2, sedan september 2026. SOC 2 har egna kontroller som är länkade till ISO 27001, så att samma bevis räcker för båda. Rapporten utfärdas av en oberoende revisor.

Var lagras våra data?

På infrastruktur inom EU, och alla kunddata stannar inom EES. Det finns ingen tredjelandsöverföring för er att bedöma eller dokumentera.

Varför spelar det roll att plattformen är europeisk?

För att den innehåller kartan över var ni är svaga. NIS2 artikel 21 gör säkerheten i leveranskedjan till ett ledningsansvar, så den plattform där ni hanterar tredjepartsrisk är i sig en tredje part som ni måste bedöma.

Kan vi migrera från en annan GRC-plattform?

Ja. Policyer, riskregister och kontrollbevis går att ta med och mappa mot de ramverk ni kör. Beskriv er nuvarande lösning så säger vi ärligt hur mycket som följer med.