Geschäftsauswirkungsanalyse (BIA) erklärt

Eine Business Impact Analysis hilft dir zu verstehen, welche Teile deines Unternehmens am kritischsten sind – und was passiert, wenn sie nicht mehr funktionieren. Dieser Artikel behandelt die wichtigsten Konzepte und Begriffe, denen du bei der Arbeit mit BIA in Kertos begegnest.

Was ist eine Business Impact Analyse?

Ein BIA ist ein strukturierter Prozess zur Bewertung, wie Störungen dein Unternehmen beeinflussen. Anstatt zu raten, welche Systeme oder Prozesse am wichtigsten sind, liefert ein BIA dir ein klares, dokumentiertes Bild davon, was kritisch ist und wie schnell es wiederhergestellt werden muss.

Die Kernidee ist einfach: Für jeden deiner Geschäftsprozesse bewertest du die Auswirkungen seiner Nichtverfügbarkeit über verschiedene Zeiträume und Schadenskategorien. Das Ergebnis zeigt dir, wie lange jeder Prozess ausfallen kann, bevor die Konsequenzen unakzeptabel werden – und das steuert deine Wiederherstellungsplanung.

Eine BIA fragt nicht, warum etwas fehlgeschlagen ist (dafür ist die Risikoanalyse da). Sie fragt nur: Was passiert mit dem Unternehmen, wenn dieser Prozess für X Stunden, X Tage oder länger nicht verfügbar ist?

Warum ist BIA wichtig?

Ohne eine BIA werden Wiederherstellungsentscheidungen unter Druck und mit unvollständigen Informationen getroffen. Teams können zuerst die falschen Systeme wiederherstellen, zu viel in den Schutz nicht kritischer Prozesse investieren oder unterschätzen, wie schnell der Schaden eskaliert.

Eine abgeschlossene BIA gibt dir:

• Priorisierte Wiederherstellungsreihenfolge - Du weißt, welche Prozesse zuerst wiederhergestellt werden müssen

• Begründete Investition - Du hast Nachweise dafür, wo du in Redundanz, Backups oder Notfallpläne investieren solltest

• Regulatorische Konformität - Rahmenwerke wie NIS2 und ISO 27001 verlangen, dass du nachweiset, dass du ihre kritischen Prozesse verstehen und für Störungen geplant hast

• Auditbereite Dokumentation - deine BIA-Ergebnisse dienen als Nachweis während Zertifizierungsaudits

Welche Rahmenwerke erfordern eine BIA?

NIS2 - Artikel 21(2)(c) verlangt Maßnahmen zur Geschäftskontinuität, einschließlich Backup-Management, Disaster Recovery und Krisenmanagement. Eine BIA ist die Standardmethode zur Identifizierung, welche Prozesse Kontinuitätsplanung benötigen.

ISO 27001 - Kontrolle A.5.30 (IT-Bereitschaft für Geschäftskontinuität) erwartet, dass Organisationen die IT-Kontinuität basierend auf den Zielen der Geschäftskontinuität planen und testen. Eine BIA definiert diese Ziele.

DORA - Kapitel II verlangt von Finanzinstituten, kritische Funktionen zu identifizieren und die Auswirkungen schwerer Störungen zu bewerten, was direkt einer BIA entspricht.

BSI Standard 200-4 - Die deutsche Bundesbehörde für Cybersicherheit (BSI) stellt eine detaillierte Methodik zur Durchführung einer BIA im Rahmen ihres Notfallmanagement‑Rahmens bereit. Kertos stimmt mit diesem Standard überein.

Selbst wenn dein aktuelles Rahmenwerk nicht explizit eine BIA vorschreibt, wird die Durchführung einer solchen als bewährte Praxis für jede Organisation angesehen, die auf IT-Systeme angewiesen ist, um zu operieren.

Schlüsselbegriffe

Geschäftsprozess

Ein Geschäftsprozess ist eine Aktivität, die deine Organisation ausführt, um ihre Produkte oder Dienstleistungen bereitzustellen. Beispiele umfassen die Lohnabrechnung, die Kundenaufnahme, die Auftragsabwicklung oder die Softwarebereitstellung.

In Kertos sind Geschäftsprozesse eine Art von Primärvermögen. Deine BIA wird auf der Ebene der Geschäftsprozesse durchgeführt – du beurteilst die Auswirkung jedes Prozesses, der nicht verfügbar ist.

Auswirkungskategorien

Impact-Kategorien definieren die unterschiedlichen Arten von Schäden, die dein Unternehmen erleiden könnte, wenn ein Prozess ausfällt. Übliche Kategorien sind:

• Finanziell - Umsatzverlust, Strafen, vertragliche Bußen

• Rechtlich \u0026 Regulatorisch - Verstöße gegen Gesetze oder Vorschriften, verpasste Berichtsfristen

• Ruf - Verlust des Kundenvertrauens, negative Medienberichterstattung

• Operativ - Kaskadierende Auswirkungen auf andere Prozesse, Unfähigkeit, Kunden zu bedienen

Du könnest diese Kategorien in Kertos an das Risikorahmenwerk deiner Organisation anpassen. Die meisten Unternehmen verwenden zwischen 3 und 6 Kategorien.

Auswirkungsstufen

Auswirkungsstufen beschreiben die Schwere des Schadens innerhalb jeder Kategorie. Eine typische Skala könnte sein:

• Niedrig - geringe oder vernachlässigbare Konsequenzen

• Mittel - bemerkbare, aber handhabbare Konsequenzen

• Hoch - schwerwiegende Konsequenzen, die erhebliche Anstrengungen zur Wiederherstellung erfordern

• Sehr hoch - schwere Konsequenzen, die die Existenz der Organisation gefährden

Du definierst deine eigenen Wirkungsebenen in Kertos, einschließlich wie viele Ebenen verwendet werden sollen (typischerweise 3 bis 5) und was jede Ebene für deine Organisation bedeutet.

Zeitrahmen

Zeitrahmen stellen die Zeiträume der Nichtverfügbarkeit dar, die du bewertest. Für jeden Geschäftsprozess bewertest du die Auswirkung in verschiedenen Intervallen – zum Beispiel: bis zu 4 Stunden, bis zu 1 Tag, bis zu 3 Tagen, bis zu 1 Woche.

Der Punkt ist, zu verstehen, wie sich der Schaden im Laufe der Zeit steigert. Ein Prozess könnte nach 4 Stunden eine niedrige finanzielle Auswirkung haben, aber nach 3 Tagen eine sehr hohe Auswirkung. Diese Eskalationsmuster sind das, was BIA-Ergebnisse handlungsfähig macht.

Maximales tolerierbares Impact-Level

Dies ist ein unternehmensweiter Schwellenwert, den du in deiner BIA-Konfiguration festlegst. Er definiert das Auswirkungsniveau, bei dem die Konsequenzen unakzeptabel werden. Zum Beispiel, wenn dein Schwellenwert auf "Hoch" gesetzt ist, dann wird jeder Prozess, bei dem die Auswirkung innerhalb eines bestimmten Zeitrahmens "Hoch" erreicht, als Überschreitung der Toleranzgrenze betrachtet – und dieser Zeitrahmen wird zur Berechnung des MTPD herangezogen.

MTPD - Maximale tolerierbare Unterbrechungsdauer

Der MTPD ist die längste Zeit, die ein Geschäftsprozess nicht verfügbar sein kann, bevor die Folgen inakzeptabel werden. Er ist das zentrale Ergebnis einer BIA.

In Kertos wird der MTPD automatisch basierend auf deiner Impact-Bewertung berechnet. Das System prüft, wann eine beliebige Impact-Kategorie erstmals das Maximum Tolerable Impact Level überschreitet – und dieser Zeitraum wird zum MTPD.

Beispiel: Wenn du "Payroll Processing" bewertest und die finanzielle Auswirkung "Hoch" im Zeitraum "bis zu 3 Tagen" erreicht, und dein Schwellenwert auf "Hoch" gesetzt ist, dann beträgt der MTPD für die Lohn- und Gehaltsverarbeitung 3 Tage.

RTO - Wiederherstellungszeitziel

Das RTO ist die Zielzeit, innerhalb der ein Prozess oder System nach einer Störung wiederhergestellt werden sollte. Es ist ein Planungsziel – es sagt deinem IT-Team, wie schnell sie die Dinge wieder zum Laufen bringen müssen.

Die entscheidende Regel: RTO muss immer kürzer sein als MTPD. Wenn dein MTPD sagt "Dieser Prozess muss innerhalb von 3 Tagen zurück sein," sollte dein RTO deutlich darunter liegen – zum Beispiel 1 Tag – um dir einen Sicherheitsspielraum zu geben.

In Kertos legst du das RTO für deine Systeme und unterstützenden Assets fest. So kannst du vergleichen, was dein Unternehmen benötigt (MTPD aus der BIA) mit dem, was dein IT-Team zu liefern plant (RTO).

RPO - Wiederherstellungspunktziel

Das RPO definiert die maximal akzeptable Datenverlustmenge, gemessen in Zeit. Es beantwortet die Frage: "Wenn wir aus einem Backup wiederherstellen müssen, wie viele Daten können wir uns leisten zu verlieren?"

Ein RPO von 4 Stunden bedeutet, dass deine Backup‑Strategie sicherstellen muss, dass du nie mehr als 4 Stunden Daten verlierst. Ein RPO von null bedeutet, dass kein Datenverlust akzeptabel ist – was typischerweise eine Echtzeit‑Replikation erfordert.

Wie beim RTO wird das RPO bei Systemen und unterstützenden Assets in Kertos festgelegt.

BIA-Status

Jeder Geschäftsprozess in Kertos hat einen BIA-Status, der dir sagt, wo er steht:

• Nicht gestartet - die BIA wurde noch nicht initiiert

• In Bearbeitung - die Impact-Bewertung wurde begonnen, aber nicht abgeschlossen (oder wurde aufgrund einer Konfigurationsänderung erneut geöffnet)

• Abgeschlossen - alle Impact-Bewertungen wurden ausgefüllt und das MTPD wurde berechnet

• Benötigt Überprüfung - die BIA wurde zuvor abgeschlossen, aber es hat sich etwas geändert (z. B. wurden neue Impact-Kategorien hinzugefügt, verbundene Assets wurden geändert) und sie sollte auf Genauigkeit überprüft werden

Wie BIA mit anderen Bereichen verbunden ist

BIA existiert nicht isoliert. Es ist der Ausgangspunkt für mehrere nachgelagerte Aktivitäten:

Asset-Management - Deine BIA-Ergebnisse sind mit deinen primären Vermögenswerten, unterstützenden Vermögenswerten und Systemen verknüpft. Die RTO- und RPO-Werte deiner Systeme sollten mit den MTPD-Werten deiner BIA übereinstimmen.

Risikomanagement - Risiken, die mit kritischen Geschäftsprozessen verknüpft sind (die kurze MTPDs haben), können eine höhere BehandlungsPriorität benötigen. Deine BIA hilft dir zu begründen, warum bestimmte Risiken mehr Aufmerksamkeit erfordern.

Business-Continuity-Planung - BIA-Ergebnisse fließen direkt in deine Kontinuitäts- und Wiederherstellungspläne ein. Das MTPD und RTO definieren die Ziele, und deine Pläne beschreiben, wie diese erreicht werden können.

Wer sollte in eine BIA einbezogen werden?

Eine BIA erfordert Input von Personen, die die geschäftlichen Auswirkungen von Störungen verstehen – nicht nur die technischen Details. Typische Teilnehmer sind:

• Geschäftsprozessverantwortliche - die Personen, die am besten verstehen, was passiert, wenn ein Prozess stoppt (z. B. Leiter Finanzen für die Gehaltsabrechnung, Leiter Betrieb für die Logistik)

• IT-/Sicherheitsteam - zur Bewertung von Abhängigkeiten von Systemen und Bereitstellung von RTO/RPO-Daten

• Compliance- oder Risikomanager - um sicherzustellen, dass die BIA die regulatorischen Anforderungen erfüllt und mit dem Risikorahmen der Organisation im Einklang steht

• Management - um das maximal tolerierbare Schadensniveau zu validieren und die daraus resultierenden Prioritäten zu genehmigen

In kleineren Unternehmen können ein oder zwei Personen mehrere Rollen übernehmen. In größeren Organisationen wird das BIA typischerweise vom Compliance- oder Risikoteam koordiniert, mit Beiträgen aus jeder Abteilung.

Häufig gestellte Fragen

Muss ich jeden einzelnen Geschäftsprozess bewerten? Du solltest jeden Prozess bewerten, der in Kertos als primäres Asset klassifiziert ist. Nicht alle werden als kritisch eingestuft – der Zweck der BIA besteht darin, die zeitkritischen Prozesse von denen zu trennen, die längere Ausfallzeiten tolerieren können.

Wie oft sollte ich mein BIA überprüfen? Mindestens einmal im Jahr. Du solltest auch nach bedeutenden Änderungen überprüfen – beispielsweise beim Hinzufügen neuer Systeme, bei Umstrukturierungen von Abteilungen oder bei einem größeren Vorfall. Kertos unterstützt Prüfungszeiträume und erstellt Aufgaben, um BIA‑Eigentümern eine Erinnerung zu senden, wenn eine Überprüfung fällig ist.

Was, wenn ich nicht weiß, wie ich die Auswirkung bewerten soll? Beginne mit dem, was du weißt. Denk darüber nach, was praktisch geschehen würde: Verlierst du Umsatz? Verpasst du eine gesetzliche Frist? Verlassen Kunden? Wenn du unsicher bist, beziehe den Prozesseigentümer ein – er hat in der Regel ein klareres Bild von den realen Konsequenzen als jeder andere.

Ist ein BIA dasselbe wie eine Risikobewertung? Nein. Ein BIA fragt "was passiert, wenn dieser Prozess ausfällt?", ohne die Ursache zu berücksichtigen. Eine Risikobewertung fragt "was könnte diesen Prozess zum Ausfall bringen und wie wahrscheinlich ist das?". Sie ergänzen einander: BIA sagt dir, was zu schützen ist, Risikobewertung sagt, wogegen es zu schützen ist.

Was ist der Unterschied zwischen MTPD und MTD? Sie bedeuten dasselbe. MTPD (Maximum Tolerable Period of Disruption) und MTD (Maximum Tolerable Downtime) werden in verschiedenen Standards austauschbar verwendet. Kertos verwendet MTPD, das mit dem BSI-Standard 200-4 und ISO 22301 übereinstimmt.