Business Impact Analyse (BIA): Ablauf, Kennzahlen und Vorlage
Kostenlose Vorlage: BIA-Erhebungsbogen
Ein Bogen pro Geschäftsbereich: Prozesse und Kritikalität, Ausfallfolgen über die Zeit, MTPD, RTO, RPO und Mindestbetrieb, Abhängigkeiten von IT, Dienstleistern und Personal, Notbetrieb und am Ende die Wiederanlaufreihenfolge. Orientiert an ISO 22301 Kapitel 8.2 und BSI-Standard 200-4, für den Druck optimiert. Im Browser öffnen und als PDF speichern.
Vorlage öffnen & als PDF speichernWas ist eine Business Impact Analyse?
Die Business Impact Analyse (BIA) ist die systematische Untersuchung, welche Geschäftsprozesse für eine Organisation kritisch sind und welche Folgen ihr Ausfall über die Zeit hat. Die BIA fragt, wie schwer ein Ausfall wiegt und wie schnell der Prozess zurück sein muss. Warum etwas ausfällt, klärt die Risikoanalyse. Damit ist die BIA das Fundament jeder BCM-Strategie: Aus ihr werden die Wiederanlaufprioritäten und die wichtigsten Zielkennzahlen abgeleitet. Sowohl die ISO 22301 als auch die NIST SP 800-34 setzen die BIA an den Anfang des BCM-Prozesses: ISO 22301 verlangt sie in Kapitel 8.2 zusammen mit der Risikobewertung, NIST SP 800-34 führt sie als zweiten Schritt direkt nach der Contingency-Planning-Richtlinie.
Welches Ziel verfolgt die BIA?
Ziel der BIA ist eine faktenbasierte Priorisierung. Nicht jeder Prozess ist gleich wichtig, und im Krisenfall sind die Ressourcen knapp. Die BIA zeigt, welche Prozesse zuerst wiederhergestellt werden müssen, welche Abhängigkeiten (IT-Systeme, Personal, Dienstleister, Standorte) daran hängen und ab wann ein Ausfall existenzbedrohend wird. So wird aus einem vagen „alles ist wichtig“ eine begründete Reihenfolge.
Wie läuft eine BIA ab?
Eine BIA folgt typischerweise sechs Schritten:
- Geltungsbereich festlegen: Welche Prozesse, Standorte und Ressourcen werden betrachtet? Abgrenzung zur Risikoanalyse klären.
- Prozesse erheben: Geschäftsprozesse und ihre Abhängigkeiten (IT, Personal, Dienstleister, Standorte) aufnehmen.
- Schadensverlauf bewerten: Für jeden Prozess: Wie wächst der Schaden über die Zeit (Stunden, Tage, Wochen)? Bewertet werden finanzielle und rechtliche Folgen sowie der Reputationsschaden.
- Kritikalität & MTPD bestimmen: Ab welcher Ausfalldauer wird es untragbar? Daraus ergibt sich die Priorität der Prozesse.
- RTO und RPO ableiten: Zielzeiten für Wiederanlauf und maximal tolerierbaren Datenverlust je Prozess festlegen.
- Ergebnisse dokumentieren & freigeben: BIA-Bericht erstellen, mit der Leitung abstimmen und als Grundlage der BCM-Strategie freigeben.
Welche Kennzahlen liefert die BIA?
Am Ende der BIA stehen die Wiederanlauf-Kennzahlen. Sie übersetzen die Kritikalität eines Prozesses in konkrete Zeitvorgaben:
| Kennzahl | Bedeutung |
|---|---|
| MTPD | Maximum Tolerable Period of Disruption: die maximal tolerierbare Ausfalldauer, ab der der Schaden existenzbedrohend wird. |
| RTO | Recovery Time Objective: die Zielzeit, bis ein Prozess nach der Störung wieder läuft (muss unter der MTPD liegen). |
| RPO | Recovery Point Objective: der maximal tolerierbare Datenverlust, gemessen als Zeitraum vor der Störung. |
| MBCO | Minimum Business Continuity Objective: das Mindestleistungsniveau, das im Notbetrieb aufrechterhalten werden muss. |
RTO und RPO sind die beiden wichtigsten dieser Werte. Wie sie sich unterscheiden und wie man sie berechnet, erklären wir unter RTO und RPO.
BIA und Risikoanalyse: zwei Perspektiven
BIA und Risikoanalyse werden oft verwechselt, betrachten aber Unterschiedliches: Die BIA ist wirkungsorientiert (Was passiert, wenn Prozess X ausfällt?), die Risikoanalyse ursachenorientiert (Wie wahrscheinlich ist welche Bedrohung?). Erst zusammen ergeben sie ein vollständiges Bild. Die BIA legt die Prioritäten fest, die Risikoanalyse zeigt, wo Vorbeugung ansetzen sollte.
Die BIA als Compliance-Baustein
Die BIA ist auch regulatorisch verankert. NIS2 Art. 21 fordert die Aufrechterhaltung des Betriebs, DORA verlangt die Analyse geschäftskritischer Funktionen, und der BSI-Standard 200-4 beschreibt die BIA als Kernschritt des BCM. Eine sauber durchgeführte BIA dient deshalb zugleich als Nachweis für mehrere Compliance-Anforderungen.
Häufige Fragen
Was ist eine Business Impact Analyse?
Die Business Impact Analyse (BIA) untersucht, welche Geschäftsprozesse kritisch sind und welche Folgen ihr Ausfall über die Zeit hat. Sie liefert die Kennzahlen MTPD, RTO und RPO und bildet die Grundlage jeder BCM-Strategie.
Was ist der Unterschied zwischen BIA und Risikoanalyse?
Die BIA fragt nach den Folgen eines Ausfalls (wie kritisch ist der Prozess, wie schnell muss er zurück?), unabhängig von der Ursache. Die Risikoanalyse fragt nach Eintrittswahrscheinlichkeit und Ursachen konkreter Bedrohungen. Beide ergänzen sich im BCM.
Wie oft muss die BIA aktualisiert werden?
Mindestens jährlich sowie bei wesentlichen Änderungen an Prozessen, IT oder Organisation. Nur eine aktuelle BIA liefert belastbare RTO/RPO-Werte für die Notfallplanung.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.