Business-Impact-Analyse: Erst wissen, was kritisch ist, dann absichern
Die BIA ist der erste inhaltliche Schritt jedes Business Continuity Managements. Sie klärt, welche Geschäftsprozesse das Unternehmen wie lange entbehren kann, welche Ressourcen sie brauchen und in welcher Reihenfolge sie zurückkommen müssen. Diese Seite erklärt Methode, Kennzahlen, Workshop-Format und das Ergebnisdokument.
- 3 Kennzahlen je Prozess: MTPD, RTO, RPO
- Fachbereiche liefern die Ausfalltoleranz, nicht die IT
- BSI 200-4 beschreibt die Methodik der BIA im Detail
- § 30 BSIG NIS2 verlangt Betriebskontinuität und Wiederherstellung
Was die Business-Impact-Analyse leistet
Ohne BIA wird Notfallvorsorge nach Gefühl dimensioniert: zu viel für Unwichtiges, zu wenig für das, was den Betrieb trägt. Die BIA ersetzt Gefühl durch begründete Zahlen.
- 1
Kritische Prozesse identifizieren
Welche Geschäftsprozesse verursachen bei Ausfall den größten Schaden: finanziell, rechtlich, für Kunden, für die Reputation? Die BIA bewertet jeden Prozess nach dem Schadensverlauf über die Zeit und trennt kritische von aufschiebbaren Prozessen.
- 2
Abhängigkeiten sichtbar machen
Jeder kritische Prozess braucht Ressourcen: IT-Systeme, Daten, Personal mit bestimmtem Wissen, Gebäude, Maschinen, Dienstleister, vorgelagerte Prozesse. Die BIA erfasst sie und deckt Einzelabhängigkeiten auf, die bisher niemandem aufgefallen sind.
- 3
Wiederanlauf begründen
Aus den Kennzahlen folgt die Reihenfolge, in der Prozesse und Systeme zurückkommen müssen, und wie viel Vorsorge angemessen ist. Backup-Frequenz, Redundanzen und Notbetriebsverfahren lassen sich damit gegenüber Geschäftsleitung und Prüfern begründen.
MTPD, RTO und RPO erklärt
Drei Kennzahlen je kritischem Prozess, die zusammenhängen: Das RTO muss unter der MTPD liegen, das RPO bestimmt das Backup-Konzept.
| Kennzahl | Bedeutung | Typischer Fehler |
|---|---|---|
| MTPD (Maximum Tolerable Period of Disruption) | Die maximal tolerierbare Ausfallzeit: der Zeitpunkt, ab dem der Schaden für das Unternehmen nicht mehr hinnehmbar ist, etwa weil Vertragsstrafen greifen, Kunden abwandern oder gesetzliche Pflichten verletzt werden. | Die MTPD wird mit der Wunschzeit der Fachbereiche verwechselt. Sie beschreibt die Schmerzgrenze, nicht das Ziel. |
| RTO (Recovery Time Objective) | Die Zeit, innerhalb der der Prozess wieder verfügbar sein soll, mindestens im Notbetrieb. Das RTO liegt mit Sicherheitsabstand unter der MTPD und ist die Vorgabe an die IT und die Notfallorganisation. | Die IT nennt ein RTO, das technisch möglich ist, ohne dass jemand geprüft hat, ob es für den Fachbereich reicht. |
| RPO (Recovery Point Objective) | Der maximal hinnehmbare Datenverlust, gemessen als Zeitraum vor dem Ausfall. Ein RPO von vier Stunden bedeutet: Daten der letzten vier Stunden dürfen verloren gehen oder müssen manuell nacherfasst werden. | Das Backup läuft nachts, das RPO der Fachbereiche liegt bei einer Stunde. Niemand hat beides nebeneinandergelegt. |
Zusammenhang: Die MTPD kommt aus dem Geschäft, das RTO ist die daraus abgeleitete Vorgabe, das RPO bestimmt die Backup-Frequenz. Wenn das RTO über der MTPD liegt oder das Backup-Konzept das RPO nicht hält, hat die BIA eine Lücke gefunden, die vor dem nächsten Ausfall geschlossen werden sollte.
Welche Ressourcen ein Prozess wirklich braucht
Der Ausfall trifft selten den Prozess direkt, sondern eine seiner Ressourcen. Die BIA erfasst sie systematisch, damit Risikoanalyse und Notfallvorsorge an der richtigen Stelle ansetzen.
-
IT-Systeme und Daten
Anwendungen, Server, Netz, Cloud-Dienste, Schnittstellen. Dazu die Daten, ohne die der Prozess nicht arbeiten kann, und die Frage, ob sie sich nachträglich rekonstruieren lassen.
-
Personal und Wissen
Wie viele Personen braucht der Prozess mindestens, und gibt es Wissen, das nur eine Person hat? Kopfmonopole sind eine häufige Einzelabhängigkeit, die keine Technik ausgleicht.
-
Dienstleister
Rechenzentrum, Cloud-Anbieter, Lohnabrechnung, Logistik, Wartung. Für jeden: Was ist vertraglich zugesagt, wie schnell reagiert er, gibt es eine Alternative?
-
Gebäude und Infrastruktur
Standort, Arbeitsplätze, Strom, Klima, Netzanbindung, Maschinen. Relevant ist, ob der Prozess an einem anderen Ort oder im Homeoffice fortgeführt werden kann.
-
Vor- und nachgelagerte Prozesse
Ein Prozess kann selbst unkritisch sein, aber ein kritischer Prozess hängt von ihm ab. Diese Ketten werden in der BIA sichtbar und verändern die Priorisierung.
-
Dokumente und Arbeitsmittel
Verträge, Zeichnungen, Rezepturen, Berechtigungen, Schlüssel, Zertifikate. Alles, was im Notbetrieb greifbar sein muss, auch wenn die zentrale Ablage nicht erreichbar ist.
Die BIA als Workshop-Format
Eine BIA entsteht nicht am Schreibtisch, sondern in moderierten Gesprächen mit den Verantwortlichen der Fachbereiche. Sechs Schritte, die in wenigen Wochen durchlaufen werden.
-
Vorbereitung: Prozesslandkarte und Bewertungsmaßstab
Welche Prozesse gibt es, wer verantwortet sie, welche Schadenskategorien und Skalen werden verwendet? Die Geschäftsleitung legt fest, was als kritisch gilt, damit alle Fachbereiche mit demselben Maßstab bewerten.
-
Workshop je Fachbereich
Zwei bis drei Stunden mit den Prozessverantwortlichen. Für jeden Prozess: Was passiert bei Ausfall nach Stunden, Tagen, Wochen? Welche Notbetriebsverfahren gibt es? Daraus entstehen MTPD und ein erstes RTO.
- Teilnehmende: Prozessverantwortliche und Stellvertretung, nicht die Abteilungsleitung allein
- Moderation stellt nach, statt Zahlen zu übernehmen
-
Ressourcen und Abhängigkeiten erfassen
Für die kritischen Prozesse werden IT-Systeme, Daten, Personal, Dienstleister und Infrastruktur erfasst. Die IT ergänzt die technischen Abhängigkeiten zwischen Systemen, die den Fachbereichen nicht bekannt sind.
-
Konsolidierung
Die Ergebnisse aller Workshops werden zusammengeführt. Ein System, das mehrere kritische Prozesse trägt, erbt das kürzeste RTO. Widersprüche zwischen Fachbereichen und IT werden benannt und aufgelöst.
-
Abstimmung mit der Geschäftsleitung
Die priorisierte Liste kritischer Prozesse, die Kennzahlen und die Lücken werden vorgestellt. Die Geschäftsleitung entscheidet, wo Vorsorge investiert wird und welches Restrisiko sie bewusst trägt.
-
Freigabe und Übergabe
Das Ergebnisdokument wird freigegeben und an Risikoanalyse, Notfallhandbuch und Backup-Konzept übergeben. Ein Termin für die jährliche Aktualisierung wird festgelegt.
Was am Ende der BIA vorliegt
Das Ergebnisdokument ist Arbeitsgrundlage für alle weiteren BCM-Bausteine und zugleich Nachweis gegenüber Aufsicht, Auditor und Versicherer.
| Bestandteil | Inhalt | Wofür es gebraucht wird |
|---|---|---|
| Prozessliste mit Kritikalität | Alle Geschäftsprozesse mit Verantwortlichem, Bewertung des Schadensverlaufs und Einstufung als kritisch oder nicht kritisch, mit Begründung. | Abgrenzung des Geltungsbereichs, Nachweis, dass die Auswahl systematisch erfolgt ist. |
| Kennzahlentabelle | MTPD, RTO und RPO je kritischem Prozess, dazu das abgeleitete RTO und RPO je IT-System. | Vorgabe an Backup-Konzept, Redundanzen und Wiederanlaufpläne. |
| Ressourcen- und Abhängigkeitsmatrix | Welcher Prozess welche Systeme, Daten, Personen, Dienstleister und Infrastruktur braucht, mit Einzelabhängigkeiten markiert. | Grundlage der Risikoanalyse und der Kontinuitätsstrategien. |
| Wiederanlaufreihenfolge | Priorisierte Reihenfolge der Prozesse und Systeme, abgeleitet aus Kennzahlen und Abhängigkeiten. | Kern des Notfallhandbuchs und der Wiederanlaufpläne. |
| Lückenliste | Stellen, an denen die heutige Vorsorge die Kennzahlen nicht erfüllt: Backup zu selten, kein Ersatz für einen Dienstleister, Kopfmonopol. | Maßnahmenplan mit Prioritäten und Budget. |
| Beschlussvorlage | Zusammenfassung für die Geschäftsleitung mit Entscheidungsbedarf und bewusst getragenen Restrisiken. | Nachweis, dass die Geschäftsleitung die Maßnahmen gebilligt hat, wie § 30 und § 38 BSIG es verlangen. |
Zur Business-Impact-Analyse
Wer sollte die BIA durchführen: die IT oder die Fachbereiche?
Die Fachbereiche liefern die Bewertung, die IT liefert die Abhängigkeiten. Wie lange die Auftragsabwicklung ausfallen darf, weiß nur der Vertrieb; welche Systeme die Auftragsabwicklung braucht, weiß nur die IT. Eine BIA, die allein von der IT geschrieben wird, bewertet Systeme statt Prozesse und übersieht Notbetriebsverfahren, die ohne IT auskommen. Moderiert wird sie von einer Stelle, die beide Seiten versteht.
Wie viele Prozesse müssen in die BIA?
Alle Geschäftsprozesse werden erfasst, aber nur die kritischen im Detail bewertet. In der Praxis zeigt eine erste Grobbewertung schnell, dass ein kleiner Teil der Prozesse den größten Teil des Schadens verursacht. Diese Prozesse erhalten eine vollständige Bewertung mit Kennzahlen und Ressourcen, die übrigen eine kurze Begründung, warum sie nicht kritisch sind. Auch diese Begründung ist Teil des Nachweises.
Was, wenn Fachbereiche sehr kurze Ausfalltoleranzen nennen?
Das ist der Normalfall im ersten Workshop. Die Moderation fragt dann nach dem konkreten Schadensverlauf: Was passiert nach vier Stunden, nach einem Tag, nach drei Tagen? Meist zeigt sich, dass ein Notbetrieb mit Papier, Telefon oder manueller Abwicklung deutlich länger trägt als zunächst angenommen. Die Kennzahl, die am Ende steht, ist begründet und mit der Geschäftsleitung abgestimmt, nicht das Bauchgefühl vom Anfang.
Wie oft muss die BIA aktualisiert werden?
Mindestens jährlich und zusätzlich bei wesentlichen Änderungen: neue Produkte, neue Standorte, Wechsel zentraler Systeme oder Dienstleister, Zukäufe. Die Aktualisierung ist deutlich weniger Aufwand als die Erstellung, weil nur Abweichungen geprüft werden. Wichtig ist, dass die Aktualisierung dokumentiert wird, weil Prüfer nach dem Datum der letzten Überprüfung fragen.
Was hat die BIA mit dem Backup-Konzept zu tun?
Das RPO je Prozess bestimmt, wie oft die zugehörigen Daten gesichert werden müssen, das RTO bestimmt, wie schnell die Wiederherstellung funktionieren muss. Ohne BIA ist das Backup-Konzept eine technische Annahme. Mit BIA ist es aus dem Geschäft abgeleitet und begründbar, gegenüber der Geschäftsleitung ebenso wie gegenüber Aufsicht und Auditor.
Vertiefung zum Business Continuity Management
-
Notfallhandbuch
Wie Alarmierung, Krisenstab, Sofortmaßnahmen, Wiederanlaufpläne und Kontaktlisten aufgebaut werden und wie das Handbuch im Ernstfall verfügbar bleibt.
-
BCM und NIS2
Was § 30 BSIG zur Betriebskontinuität verlangt, wie ISO 22301 und BSI 200-4 als Rahmen dienen und welche Nachweise das BSI erwartet.
-
BCM-Beratung im Überblick
Bausteine, Kennzahlen, regulatorische Treiber, unser Vorgehen und die häufigsten Fragen auf der Startseite.
Tobias Mogk
Wissen Sie, welche Prozesse Ihr Unternehmen tragen?
Im kostenlosen Erstgespräch klären wir, wie eine BIA in Ihrer Organisation aussieht: welche Fachbereiche beteiligt sind, wie viele Workshops nötig sind und was am Ende vorliegt.
- Einschätzung von Umfang und Dauer für Ihre Prozesslandschaft
- Bewertungsmaßstab, der zu Ihrer Unternehmensgröße passt
- Ergebnisdokument, das Prüfern und Versicherern standhält
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen