Mit einer Business-Impact-Analyse (BIA) ermitteln Sie, welche Geschäftsprozesse nach einem Ausfall schnell wieder laufen müssen und was sie dafür brauchen. Sie ist der Kern jedes Notfallmanagements nach BSI-Standard 200-4 und ISO 22301. Am Ende stehen je Prozess zwei Zeitwerte: wie lange er höchstens ausfallen darf und bis wann er wieder laufen soll. Daraus folgen die Reihenfolge des Wiederanlaufs und die Notfallpläne. KRITIS-Prüfer und ISO-Auditoren fragen zuerst danach.
Warum die BIA zuerst kommt
Ohne BIA wissen Sie nicht, was Sie im Notfall zuerst wiederherstellen. Dann schützt das Notfallkonzept alles gleich, also nichts richtig. Der BSI-Standard 200-4 beschreibt die BIA als strukturierte Untersuchung, die zeitkritische Geschäftsprozesse und Ressourcen ermittelt. Zeitkritisch ist ein Prozess, dessen Ausfall schon nach kurzer Zeit großen Schaden anrichtet.
Mehrere Regelwerke verlangen die BIA. Welches für Sie gilt, hängt von Ihrem Unternehmen und Ihren Kunden ab:
- BSI-Standard 200-4 und ISO 22301, wenn Sie Ihr Notfallmanagement danach aufbauen.
- ISO/IEC 27001:2022, wenn Sie zertifiziert sind oder es werden wollen (Anhang A 5.30, IKT-Bereitschaft für Business Continuity).
- Das BSI-Gesetz, wenn Ihr Unternehmen darunter fällt (§ 30 Abs. 2 Nr. 3 BSIG, Aufrechterhaltung des Betriebs und Krisenmanagement).
- DORA, wenn Sie ein Finanzunternehmen sind. Art. 11 verlangt eine Leitlinie zur Geschäftsfortführung für kritische oder wichtige Funktionen.
Als IT-Dienstleister trifft Sie das oft indirekt: Ihr Kunde fällt unter eines dieser Regelwerke und verlangt von Ihnen ein Notfallkonzept.
Die fünf Schritte
- Prozesse erfassen. Ausgangspunkt ist die Prozesslandkarte, also die Übersicht Ihrer Geschäftsprozesse. Fehlt sie, entsteht sie hier: Welche Leistungen erbringt das Unternehmen, welche Prozesse tragen sie, wer verantwortet sie? Betreiben Sie eine kritische Anlage, steht die Versorgungsleistung im Mittelpunkt, nicht die IT.
- Schaden über die Zeit bewerten. Fragen Sie je Prozess: Was passiert nach 4 Stunden, nach 1 Tag, nach 3 Tagen, nach 1 Woche Ausfall? Bewerten Sie finanziellen Schaden, rechtliche Folgen und den Ruf. Bei kritischen Anlagen kommt die Versorgung der Bevölkerung hinzu. Die Bewertung machen die Fachbereiche, nicht die IT.
- Zeitwerte festlegen. Die maximal tolerierbare Ausfallzeit (MTA, englisch MTPD) ist die Obergrenze. Danach wird der Schaden untragbar. Die Wiederanlaufzeit (WAZ, englisch RTO) liegt darunter. Bis dahin soll der Prozess wieder laufen. Dazu kommt das Notbetriebsniveau: Wie viel Leistung muss im Notbetrieb mindestens laufen?
- Ressourcen zuordnen. Welche Anwendungen, Systeme, Dienstleister, Gebäude und Personen braucht der Prozess? Die Zeitwerte des Prozesses gelten auch für diese Ressourcen. So sehen Sie, welche IT-Systeme wie schnell wieder laufen müssen. Und Sie sehen, wie viel Datenverlust höchstens tragbar ist (englisch RPO).
- Wiederanlaufreihenfolge ableiten. Sortieren Sie Prozesse und Ressourcen danach, wie zeitkritisch sie sind, und lösen Sie Abhängigkeiten auf. Das Ergebnis ist die Reihenfolge, in der Sie im Notfall arbeiten.
Was in der Praxis schiefgeht
- Jeder Fachbereich erklärt seinen Prozess für kritisch. Gegenmittel: eine feste Schadensskala und eine Entscheidung der Geschäftsleitung.
- Die IT macht die BIA allein. Dann fehlt die Sicht auf den Schaden.
- Die Prozesse sind zu fein geschnitten. Zwanzig bis fünfzig Prozesse reichen für die erste BIA. Hundert lähmen.
- Dienstleister fehlen in der Ressourcenliste. In einer KRITIS-Prüfung und bei Kunden unter DORA ist das eine sichere Feststellung.
- Die BIA wird einmal gemacht und nie aktualisiert. Der Standard verlangt, sie regelmäßig zu überprüfen.
Wie viel BIA Sie brauchen
Ein BCMS (Business Continuity Management System) ist ein geregeltes Notfallmanagement. Der BSI-Standard 200-4 kennt dafür drei Stufen. Das Reaktiv-BCMS ist der Einstieg, wenn keine Vorschrift ein Notfallmanagement verlangt. Das Aufbau-BCMS konzentriert sich auf die zeitkritischen Prozesse. Das Standard-BCMS ist das vollständige System.
Für Betreiber kritischer Anlagen und für eine Zertifizierung nach ISO 22301 ist das Standard-BCMS der Maßstab. Verlangt ein Kunde von Ihnen als IT-Dienstleister ein Notfallkonzept, reicht oft das Aufbau-BCMS. Die BIA umfasst dann die Leistungen, die der Kunde von Ihnen bezieht.