Wie man eine BIA in Kertos einrichtet und durchführt

Dieser Leitfaden führt dich durch den kompletten BIA-Workflow in Kertos – von der ersten Konfiguration bis zum Abschluss deiner Auswirkungenbewertungen und der Interpretation der Ergebnisse.

Um ein BIA in Kertos auszuführen, benötigest du:

1. Geschäftsprozesse wurden als primäre Vermögenswerte hinzugefügt. Die BIA wird auf Ebene der Geschäftsprozesse durchgeführt. Wenn du deine Geschäftsprozesse noch nicht hinzugefügt hast, geh zu Inventar → Vermögenswerte und erstelle sie zuerst.

2. Verknüpfte unterstützende Vermögenswerte und Systeme. Für die nützlichsten Ergebnisse sollten deine Geschäftsprozesse mit den Systemen und unterstützenden Vermögenswerten verknüpft sein, von denen sie abhängen. Dies ermöglicht den Vergleich deiner BIA-Ergebnisse (MTPD) mit den Wiederherstellungsfähigkeiten (RTO/RPO) der zugrunde liegenden Infrastruktur.

3. Admin-Zugriff für BIA-Einstellungen. Das Konfigurieren von Auswirkungs‑Kategorien, Stufen und Zeitrahmen erfordert Administratorrechte.

Schritt 1: Konfiguriere deine BIA-Einstellungen

Bevor irgendwelche Bewertungen durchgeführt werden können, musst du deine BIA-Konfiguration einrichten. Dies ist eine einmalige Einrichtung, obwohl du sie später nach Bedarf anpassen kannst.

Navigiere zu BIA in der linken Seitenleiste, dann öffne die Einstellungen Registerkarte.

Definiere deine Auswirkungsstufen

Auswirkungsstufen beschreiben die Schwere‑Skala, die bei Bewertungen verwenden. Standardmäßig stellt Kertos vier Stufen (Niedrig, Mittel, Hoch, Kritisch) bereit, aber du kannst diese auf irgendwo zwischen 3 und 5 Stufen anpassen.

Für jede Stufe kannst du den Namen an die Terminologie anpassen, die deine Organisation bereits verwendet. Die Reihenfolge ist wichtig – Stufen werden von der geringsten bis zur höchsten Schwere rangiert.

Lege dein maximal tolerierbares Auswirkungsstufen fest

Dies ist die unternehmensweite Schwelle, die bestimmt, wann Schaden inakzeptabel wird. Wähle eine deiner definierten Auswirkungsstufen als Schwelle aus. Während der Auswirkungsbewertung wird jede Bewertung, die dieses Niveau erreicht oder überschreitet, gekennzeichnet – und der entsprechende Zeitrahmen wird zur Berechnung des MTPD verwendet.

Zum Beispiel, wenn du die Schwelle auf "Hoch" setzt, dann wird jeder Geschäftsprozess, bei dem eine Auswirkungskategorie innerhalb eines bestimmten Zeitrahmens "Hoch" erreicht, als Verstoß gegen die Toleranz angesehen.

Definieren Sie Ihre Auswirkungskategorien

Auswirkungskategorien sind die Schadensarten, die Sie für jeden Geschäftsprozess bewerten möchten. Gängige Beispiele sind Finanzen, Betrieb, Recht/Compliance und Reputation.

Sie können Kategorien hinzufügen, umbenennen oder entfernen, um sie an das Risikorahmenwerk Ihrer Organisation anzupassen. Jede Kategorie kann eine Beschreibung enthalten, die während der Bewertung angezeigt wird, um den Benutzern zu helfen, zu verstehen, was zu bewerten ist.

Beachten Sie, dass das Hinzufügen einer neuen Kategorie, nachdem Bewertungen bereits abgeschlossen wurden, diese Bewertungen auf "In Bearbeitung," zurücksetzt, da die neue Kategorie bewertet werden muss.

Definiere deine Zeitrahmen

Zeitrahmen stellen die Zeiträume der Nichtverfügbarkeit dar, die du bewerten möchtest. Dies sind die Zeilen in deiner Auswirkungs‑Bewertungs‑Matrix – zum Beispiel: bis zu 1 Stunde, bis zu 4 Stunden, bis zu 1 Tag, bis zu 3 Tagen, bis zu 1 Woche.

Du kannst diese an deine tatsächlichen Geschäftszyklen anpassen. Ein Einzelhandelsunternehmen könnte während der Hochsaison stündliche Schritte berücksichtigen, während ein Beratungsunternehmen möglicherweise nur tägliche oder wöchentliche Intervalle benötigt.

Wie bei den Kategorien führt das Hinzufügen eines neuen Zeitrahmens nach Abschluss der Bewertungen dazu, dass diese Bewertungen auf "In Bearbeitung" zurückgesetzt werden.

Tipp: Stelle sicher, dass deine Konfiguration korrekt ist, bevor du großflächige Bewertungen durchführst. Änderungen an Kategorien oder Zeitrahmen erfordern, dass Benutzer bereits abgeschlossene BIAs erneut überprüfen. Die Konfiguration selbst sollte am besten in der UI (nicht importiert) vorgenommen werden, da es sich um eine einmalige Aufgabe handelt, die von sorgfältigem Nachdenken profitiert.

Schritt 2: Überprüfe deine Geschäftsprozesse

Sobald die Konfiguration abgeschlossen ist, navigiere zu dem BIA-Übersicht Tab. Du siehst eine Tabelle, die alle deine Geschäftsprozesse (primäre Vermögenswerte) mit den folgenden Spalten auflistet:

• Vermögenswert-Name - der Name des Geschäftsprozesses

• Vermögenswert-Typ - die Kategorie des primären Assets

• BIA-Status - wo die Bewertung steht (Nicht gestartet, In Bearbeitung, Abgeschlossen, Benötigt Überprüfung)

• MTPD - die berechnete maximale tolerierbare Unterbrechungsdauer (angezeigt als "-", wenn die BIA noch nicht abgeschlossen ist)

• Verknüpfte unterstützende Vermögenswerte - die Vermögenswerte und Systeme, von denen dieser Prozess abhängt

Aus dieser Ansicht kannst du filtern und sortieren, um zu priorisieren, welche Geschäftsprozesse zuerst bewertet werden sollen. Ein praktischer Ansatz ist, mit den Prozessen zu beginnen, von denen du bereits vermutest, dass sie am kritischsten sind – das liefert dir frühe Ergebnisse, die die Ressourcenallokation informieren können, während du den Rest bearbeitest.

Wenn du feststellst, dass Geschäftsprozesse fehlen, kannst du direkt aus dieser Ansicht neue hinzufügen.

Schritt 3: Durchführung der Auswirkungsbewertung

Klicke auf einen Geschäftsprozess, um dessen BIA-Detailseite zu öffnen, und starte dann die Auswirkungsbewertung.

Was du sehen wirst

Die Bewertung präsentiert eine Matrix mit deinen Auswirkungs-Kategorien als Spalten und deinen Zeitrahmen als Zeilen. Für jede Zelle wählst du eine Auswirkungs-Stufe, die die Frage beantwortet: "Wenn dieser Prozess für [Zeitraum] nicht verfügbar ist, wie schwerwiegend ist die [Kategorie] Auswirkung?"

Du kannst auch die verknüpften unterstützenden Vermögenswerte und Systeme für diesen Prozess sehen, sortiert nach ihrer Klassifizierung (die kritischsten zuerst). Das gibt dir Kontext beim Bewerten – wenn ein Geschäftsprozess von einem System mit einer sehr hohen Verfügbarkeitsklassifizierung abhängt, ist dies ein Hinweis darauf, dass eine Störung ernsthaft sein könnte.

Wie man es ausfüllt

Gehe die Matrix systematisch durch:

1. Beginne mit dem kürzesten Zeitraum und bewerte jede Auswirkungskategorie.

2. Wechsle zum nächsten Zeitraum. In der Regel nimmt die Schwere der Auswirkungen zu, je länger die Störung andauert – das ist jedoch nicht immer der Fall, daher solltest du jede Zelle anhand der tatsächlichen geschäftlichen Konsequenzen beurteilen.

3. Denke bei jeder Bewertung konkret: Welcher spezifische finanzielle Verlust würde auftreten? Welche regulatorische Frist würde verpasst werden? Welche kundenbezogene Auswirkung wäre sichtbar?

4. Füge im Textfeld eine Begründung hinzu, um deine Argumentation zu erklären. Das ist wichtig für Prüfungszwecke und für alle, die die BIA später überprüfen.

Wie MTPD berechnet wird

Sobald alle Zellen bewertet sind, berechnet Kertos automatisch das MTPD. Das System identifiziert den frühesten Zeitraum, in dem eine Impact-Kategorie die von dir in Schritt 1 konfigurierte maximal tolerierbare Auswirkungsstufe überschreitet.

Das Ergebnis wird visuell dargestellt: Zeitrahmen, in denen die Auswirkung innerhalb der Toleranz liegt, werden in Grün angezeigt, während diejenigen, die die Schwelle überschreiten, in Rot erscheinen. Das MTPD ist der Punkt, an dem der Übergang stattfindet.

Zuweisung eines BIA-Eigentümers

Jeder Geschäftsprozess kann einen dedizierten BIA-Eigentümer haben - die Person, die für die Durchführung und Pflege der Bewertung verantwortlich ist. Standardmäßig ist dies der Geschäftsprozesseigentümer, aber du kannst ihn ändern. Der BIA-Eigentümer erhält Erinnerungshinweise, wenn die Bewertung zur Neubewertung fällig ist.

Speichere deine Arbeit

Wenn du fertig bist, klicke Speichern BIA um die Bewertung zu speichern und zur Übersicht zurückzukehren. Wenn du zwischendurch stoppen musst, speichert das System deinen Fortschritt und setzt den Status auf "In Progress.". Du kannst auch Verwerfen Änderungen, um ohne Speichern zur Übersicht zurückzukehren.

Schritt 4: Überprüfung der RTO- und RPO-Ausrichtung

Nachdem du deine BIA-Bewertungen abgeschlossen hast, ist der wichtigste nächste Schritt die Validierung, dass deine Wiederherstellungsfähigkeiten den geschäftlichen Anforderungen entsprechen.

RTO gegen MTPD prüfen

Für jeden Geschäftsprozess gibt dir die MTPD die maximale Ausfallzeit an. Das RTO der zugrunde liegenden Systeme gibt an, wie schnell dein IT-Team die Wiederherstellung des Services plant. Wenn das RTO länger als die MTPD ist, hast du eine Lücke.

Du kannst diese Ausrichtung direkt auf den Asset-Detailseiten sehen. Systeme und unterstützende Assets zeigen ihre RTO- und RPO-Werte neben der MTPD der von ihnen unterstützten Geschäftsprozesse an.

Beispiel: Dein Payroll-Prozess hat ein MTPD von 1 Tag, aber das RTO des Payroll-Systems ist auf 3 Tage eingestellt. Das bedeutet, dass dein Wiederherstellungsplan die geschäftlichen Anforderungen nicht erfüllt – du musst entweder das RTO (schnellere Wiederherstellung) verbessern oder prüfen, ob das MTPD realistisch ist.

RPO gegen kritische Daten prüfen

Für Systeme, die kritische Daten verarbeiten, prüfe, ob das RPO (wie viel Datenverlust akzeptabel ist) mit deiner Backup-Strategie übereinstimmt. Ein Payroll-System mit einem RPO von 1 Stunde bedeutet, dass du mindestens stündlich Backups benötigst – wenn dein aktueller Backup-Plan nächtlich ist, stellt das eine Lücke dar, die du schließen musst.

Schritt 5: Pflege deine BIA im Laufe der Zeit

Eine BIA ist keine einmalige Übung. Geschäftsprozesse ändern sich, Systeme werden hinzugefügt oder ersetzt, und organisatorische Prioritäten verschieben sich.

Überprüfungszeiträume

Du kannst einen Überprüfungszeitraum für deine BIA festlegen. Wenn das Überprüfungsdatum näher rückt, erstellt Kertos eine Aufgabe für den BIA-Besitzer als Erinnerung. Ein typischer Überprüfungszyklus beträgt 12 Monate, aber du kannst kürzere Intervalle (z. B. 6 Monate) wünschen, wenn sich deine Organisation schnell verändert.

Wann früher überprüfen

Auch außerhalb des regulären Überprüfungszyklus solltest du deine BIA neu bewerten, wenn:

• Neue Systeme oder Vermögenswerte werden zu einem Geschäftsprozess hinzugefügt

• Ein signifikanter Vorfall tritt auf, der das MTPD überschreitet (oder annähert)

• Das Unternehmen restrukturiert oder führt neue Produkte/Dienstleistungen ein

• Regulatorische Anforderungen ändern sich (z. B. neue NIS2-Implementierungsrichtlinien)

Automatische Statusänderungen

Kertos hilft dir, Änderungen im Blick zu behalten. Wenn du deine BIA‑Einstellungen änderst – zum Beispiel eine neue Auswirkungs‑Kategorie oder einen Zeitrahmen hinzufügst – werden alle betroffenen, bereits abgeschlossenen Bewertungen automatisch auf "In Bearbeitung," setzen, sodass der BIA‑Eigentümer die neuen Dimensionen überprüfen und neu bewerten kann.

Verständnis der BIA-Status

Fehlerbehebung

Mein MTPD zeigt "-" an, obwohl ich die Bewertung abgeschlossen habe.

Überprüfe, dass dein Maximum Tolerable Impact Level in den BIA-Einstellungen konfiguriert ist. Wenn kein Schwellenwert festgelegt ist, kann das System nicht bestimmen, wann die Auswirkung inakzeptabel wird, sodass es das MTPD nicht berechnen kann. Stelle zudem sicher, dass alle Zellen in der Impact-Matrix bewertet wurden – das Freilassen einer Zelle lässt den Status bei "In Progress."

Ich habe eine neue Auswirkungen-Kategorie hinzugefügt und alle meine abgeschlossenen BIAs wurden wieder auf "In Bearbeitung." gesetzt.

Dies ist das erwartete Verhalten. Eine neue Kategorie erstellt eine neue Spalte in der Bewertungsmatrix, die für jeden Geschäftsprozess bewertet werden muss. Überprüfe jede betroffene BIA und bewerte die neue Kategorie über alle Zeitrahmen hinweg, dann speichere, um zu "Abgeschlossen." zurückzukehren.

Mein RTO ist länger als meine MTPD – was soll ich tun?

Dies ist ein echter Befund, kein Fehler. Es bedeutet, dass dein Wiederherstellungsplan die von der BIA identifizierte Geschäftsanforderung nicht erfüllt. Du hast zwei Optionen: Arbeite mit deinem IT-Team zusammen, um die RTO zu reduzieren (z.B. durch redundante Systeme, schnellere Umschaltung oder bessere Backup-Infrastruktur), oder überprüfe die BIA erneut, um zu bestätigen, dass die Impact‑Bewertungen korrekt sind – manchmal schätzen Teams die Dringlichkeit zu hoch ein.

Ich möchte meine Auswirkungen‑Level ändern, aber ich bin besorgt, Daten zu verlieren.

Das Umbenennen einer Auswirkungsstufe hat keine Auswirkung auf bestehende Bewertungen – es ändert nur die Bezeichnung. Das Löschen einer Auswirkungsstufe, die verwendet wird, löscht die Bewertungen, bei denen diese Stufe ausgewählt war, und betroffene BIAs werden auf "In Bearbeitung" gesetzt, damit sie neu bewertet werden können. Dieses Verhalten ist so konzipiert, dass veraltete oder falsche Daten nicht erhalten bleiben.

Wer kann BIA-Einstellungen konfigurieren?

BIA-Einstellungen (Auswirkungsstufen, Kategorien, Zeitrahmen, Schwelle) erfordern Administratorzugriff. Normale Benutzer können Auswirkungenbewertungen für die ihnen zugewiesenen Geschäftsprozesse durchführen, aber sie können die unternehmensweite Konfiguration nicht ändern.

Können mehrere Personen gleichzeitig an BIA-Bewertungen arbeiten?

Ja. Jeder Geschäftsprozess hat seine eigene unabhängige Bewertung. Verschiedene BIA-Besitzer können gleichzeitig an ihren zugewiesenen Prozessen arbeiten, ohne sich gegenseitig zu beeinträchtigen.