Business Impact Analyse (BIA) einfach durchführen
Lernen Sie, wie Sie eine Business Impact Analyse (BIA) nach BSI-Standard 200-4 einfach durchführen, um kritische Prozesse zu identifizieren und Ihr Notfallmanagement zu stärken.
Eine Business Impact Analyse (BIA) hilft Ihnen, die wichtigsten Abläufe in Ihrem Unternehmen zu identifizieren. So können Sie einfach durchführen, was im Notfall als Erstes wieder funktionieren muss. Sie finden heraus, welche Geschäftsprozesse (z. B. Auftragsbearbeitung, Produktion) überlebenswichtig sind und wie lange ein Ausfall tolerierbar ist, bevor ein kritischer Schaden entsteht.
Nutzen: Mit einer BIA investieren Sie gezielt in die Absicherung Ihrer «Kronjuwelen». Im Ernstfall können Sie den Betrieb schneller wieder aufnehmen, weil Sie Ihre Prioritäten kennen. Das spart Zeit, Geld und schützt den Ruf Ihres Unternehmens. Die BIA ist die Grundlage für jeden wirksamen Notfallplan.
Risiko: Ohne eine BIA handeln Sie im Notfall blind. Sie riskieren, wertvolle Ressourcen für die Wiederherstellung unwichtiger Systeme zu verschwenden, während der Ausfall eines wirklich kritischen Prozesses Ihr Unternehmen lahmlegt und zu irreparablen finanziellen oder rechtlichen Schäden führt.
Nächster Schritt: Benennen Sie eine verantwortliche Person für das Notfallmanagement. Beginnen Sie klein und identifizieren Sie gemeinsam mit den Fachabteilungen die 3–5 wichtigsten Prozesse. Fragen Sie für jeden Prozess: «Wie hoch ist der Schaden für uns, wenn dieser Ablauf für vier Stunden, einen Tag oder eine Woche ausfällt?»
Die Business Impact Analyse (BIA) ist ein zentraler Baustein des Notfallmanagements nach BSI-Standard 200-4 (Business Continuity Management). Ihr Ziel ist es, die zeitkritischen Geschäftsprozesse einer Organisation und die zugehörigen, unterstützenden Ressourcen zu identifizieren. Das Ergebnis der BIA bildet die Grundlage für alle weiteren Schritte der Notfallplanung, insbesondere für die Entwicklung von Geschäftsfortführungs- und Wiederanlaufplänen.
Der Zweck einer Business Impact Analyse
Eine BIA untersucht die Auswirkungen, die der Ausfall eines Geschäftsprozesses über einen bestimmten Zeitraum hätte. Im Gegensatz zur Risikoanalyse, die sich mit Eintrittswahrscheinlichkeiten von Bedrohungen befasst, konzentriert sich die BIA ausschließlich auf die Folgen eines Ausfalls. Sie beantwortet folgende Schlüsselfragen:
- Welche Geschäftsprozesse sind für die Erreichung der Unternehmensziele am wichtigsten?
- Welcher Schaden (finanziell, Reputation, rechtlich) entsteht, wenn ein Prozess ausfällt?
- Wie schnell muss ein Prozess spätestens wieder funktionieren? Daraus leiten sich Kennzahlen wie die maximal tolerierbare Ausfallzeit (MTA), im Englischen Maximum Tolerable Period of Disruption (MTPD), und die Wiederanlaufzeit (RTO), Recovery Time Objective, ab.
- Welche Ressourcen (Personal, IT-Systeme, Daten, Gebäude, Dienstleister) sind für die Ausführung dieser kritischen Prozesse zwingend erforderlich?
Die Ergebnisse fließen direkt in das Notfallkonzept ein, wie es der IT-Grundschutz-Baustein CON.1 «Notfallmanagement» (Edition 2023) fordert.
Vorbereitung: Der BIA-Vorfilter für einen einfachen Einstieg
Gerade für kleine und mittlere Unternehmen kann eine vollumfängliche BIA aller Prozesse zu aufwendig sein. Der BSI-Standard 200-4 schlägt daher für den Einstieg (im sogenannten Reaktiv-BCMS) einen BIA-Vorfilter vor. Dieser dient dazu, den Untersuchungsbereich schnell und pragmatisch auf die offensichtlich zeitkritischsten Bereiche einzugrenzen.
Sie können den Filter auf verschiedene Weisen anwenden:
- Prozessbasiert: Identifizieren Sie Prozesse, die direkt zur Wertschöpfung beitragen (z. B. Produktion, Verkauf).
- Organisationsbasiert: Betrachten Sie Ihr Organigramm und wählen Sie die Abteilungen aus, deren Ausfall den Betrieb sofort stilllegen würde.
- Produkt-/Servicebasiert: Konzentrieren Sie sich auf die Prozesse, die zur Erbringung Ihrer wichtigsten Produkte oder Dienstleistungen notwendig sind.
Durch diesen Vorfilter reduzieren Sie den Aufwand der eigentlichen Analyse erheblich, ohne die wichtigsten Aspekte zu vernachlässigen.
Eine Business Impact Analyse (BIA) einfach durchführen: Schritt für Schritt
Nachdem Sie den Untersuchungsbereich eingegrenzt haben, führen Sie die eigentliche BIA durch. Die besten Ergebnisse erzielen Sie durch eine Kombination aus Fragebögen und gezielten Interviews mit den Prozessverantwortlichen und Fachexperten aus den Abteilungen.
Geschäftsprozesse und Schäden analysieren: Erfassen Sie die ausgewählten Prozesse. Bewerten Sie für jeden Prozess die zu erwartenden Schäden in verschiedenen Kategorien (z. B. Finanzen, Reputation, Vertragsstrafen, rechtliche Folgen) über eine Zeitachse. Fragen Sie konkret: Was ist der Schaden nach 4 Stunden, 8 Stunden, 24 Stunden, 3 Tagen und einer Woche?
Wiederanlaufparameter festlegen: Leiten Sie aus dem zeitlichen Schadensverlauf die maximal tolerierbare Ausfallzeit (MTA/MTPD) ab. Das ist der Zeitpunkt, an dem der Schaden für das Unternehmen inakzeptabel wird. Die Wiederanlaufzeit (RTO) gibt an, wie schnell der Prozess wieder auf einem definierten Notbetriebsniveau laufen muss. Die RTO muss immer kürzer sein als die MTA.
Abhängigkeiten von Ressourcen ermitteln: Identifizieren Sie für jeden als zeitkritisch eingestuften Prozess alle notwendigen Ressourcen. Dazu gehören:
- IT-Systeme: Server, Fachanwendungen, Netzwerkkomponenten
- Informationen: Datenbanken, Dateifreigaben, Archive
- Personal: Mitarbeitende mit speziellem Wissen
- Infrastruktur: Gebäude, Räume, Stromversorgung
- Dienstleister: Externe IT-Dienstleister, Lieferanten, Cloud-Anbieter
Ressourcen priorisieren: Die Kritikalität eines Prozesses vererbt sich auf die von ihm abhängigen Ressourcen. Eine Anwendung, die für einen Prozess mit einer RTO von 4 Stunden benötigt wird, muss ebenfalls innerhalb dieser Zeit wieder verfügbar sein. So erstellen Sie eine priorisierte Liste aller relevanten Ressourcen.
Ergebnisse dokumentieren: Fassen Sie alle Ergebnisse übersichtlich zusammen. Diese Dokumentation ist die entscheidende Grundlage für Ihre Notfall- und Wiederanlaufpläne. Das BSI stellt dafür Hilfsmittel wie einen BIA-Auswertungsbogen als Excel-Datei zur Verfügung.
Soll-Ist-Vergleich und nächste Schritte
Nach Abschluss der BIA vergleichen Sie die ermittelten Anforderungen (Soll) mit den bestehenden technischen und organisatorischen Gegebenheiten (Ist). Können Sie die geforderte Wiederanlaufzeit von 4 Stunden für Ihr ERP-System mit Ihrer aktuellen Backup-Strategie einhalten? Wenn nicht, haben Sie eine Lücke identifiziert, die Sie durch entsprechende Maßnahmen schließen müssen. Die BIA liefert Ihnen somit eine fundierte, nachvollziehbare Begründung für Investitionen in die Informationssicherheit und Ausfallsicherheit.
Häufige Fragen
Was ist eine Business Impact Analyse (BIA)?
Eine Business Impact Analyse ist ein systematisches Verfahren, um die zeitkritischen Geschäftsprozesse eines Unternehmens und die potenziellen Auswirkungen ihrer Unterbrechung zu ermitteln. Sie ist die Grundlage für das Notfallmanagement.
Warum ist eine BIA wichtig für mein Unternehmen?
Die BIA hilft Ihnen, Prioritäten für Sicherheitsmaßnahmen und die Notfallplanung zu setzen. Sie stellt sicher, dass nach einem Störfall die überlebenswichtigen Teile Ihres Unternehmens zuerst wiederhergestellt werden, was den Gesamtschaden minimiert.
Was ist der Unterschied zwischen BIA und Risikoanalyse?
Die BIA bewertet die Auswirkungen (den Schaden) eines Prozessausfalls, unabhängig von der Ursache. Die Risikoanalyse identifiziert konkrete Bedrohungen (z. B. Brand, Cyberangriff) und bewertet deren Eintrittswahrscheinlichkeit. Die BIA beantwortet die Frage «Was ist am wichtigsten?», die Risikoanalyse die Frage «Was kann dem Wichtigsten zustoßen?».
Wie fange ich mit einer BIA am besten an?
Beginnen Sie klein. Nutzen Sie den BIA-Vorfilter aus dem BSI-Standard 200-4, um Ihre 3–5 wichtigsten Prozesse zu identifizieren. Führen Sie die Analyse zunächst nur für diesen begrenzten Bereich durch. Das BSI stellt zudem Vorlagen und Excel-Hilfsmittel zur Verfügung.