Business Impact Analyse

Bevor man Notfallpläne schreibt, muss man wissen, wofür. Die Business Impact Analyse klärt das: Sie ermittelt, welche Ihrer Geschäftsprozesse kritisch sind, welche Ressourcen sie benötigen und wie lange ihr Ausfall tragbar ist.

Erstgespräch vereinbaren

Warum die BIA am Anfang steht

Ohne sie bleibt jedes Notfallkonzept Vermutung. Wer nicht weiß, welcher Prozess das Geschäft trägt, kann auch nicht entscheiden, welcher zuerst wieder anlaufen muss.

Ausgangspunkt sind deshalb nicht Systeme, sondern Ihre Unternehmensziele und Ihre Wertschöpfung. Von dort aus wird nach unten gearbeitet: Welche Prozesse tragen zur Wertschöpfung bei, und was brauchen diese Prozesse, um zu funktionieren?

Das Ergebnis ist regelmäßig unbequem. In fast jedem Unternehmen zeigt die Analyse Abhängigkeiten, die vorher niemand vollständig überblickt hat – eine Einzelperson, ohne die ein Ablauf stillsteht, oder ein Dienstleister, dessen Ausfall Sie mittelbar trifft.

Was die Business Impact Analyse erhebt

Die Prozesse. Welche Abläufe existieren, wer verantwortet sie, was leisten sie für das Geschäft.

Die Ressourcen. Was jeder Prozess braucht: Personal mit bestimmten Kenntnissen, IT-Systeme, Daten, Räume, Maschinen, Zulieferungen. Die IT ist dabei häufig der wichtigste Unterstützungsprozess – aber eben nicht der einzige.

Die Verfügbarkeitsanforderungen. Wie lange darf ein Prozess ausfallen, bevor der Schaden nicht mehr tragbar ist? Diese Frage ist der Kern der Analyse, und sie ist von der Geschäftsleitung zu beantworten, nicht von der IT.

Die Kritikalität. Aus Wertschöpfungsbeitrag und Verfügbarkeitsanforderung ergibt sich die Einstufung. Sie entscheidet darüber, welcher Prozess im Notfall Vorrang hat.

Methodisch arbeiten wir entlang des BSI-Standards 200-4; für zertifizierungsorientierte Vorhaben nach ISO 22301.

Was aus der Analyse folgt

Die BIA liefert kein Ergebnis, das für sich steht. Sie ist die Grundlage für drei weitere Schritte:

  1. Die Risikobewertung untersucht, was die als kritisch erkannten Prozesse unterbrechen könnte.
  2. Die Notfallkonzepte legen fest, wie der Mindestbetrieb aussieht und wie der Wiederanlauf abläuft.
  3. Die Übungen prüfen, ob das Festgelegte trägt.

Wer diese Reihenfolge umstellt und mit Plänen beginnt, plant für den falschen Fall.

Eine Überschneidung ist dabei nützlich: Die Erhebung der Prozesse und Systeme deckt sich weitgehend mit der Risikoanalyse im ISMS und mit dem Verarbeitungsverzeichnis im Datenschutz. Wer alle drei ohnehin braucht, sollte sie gemeinsam erheben statt dreimal dieselben Fragen zu stellen.

Wie wir vorgehen

Die Analyse läuft über Interviews mit den Prozessverantwortlichen, nicht über Fragebögen. Der Grund ist praktisch: Die entscheidenden Abhängigkeiten nennt niemand von sich aus, weil sie im Alltag selbstverständlich sind. Sie kommen erst zur Sprache, wenn nachgefragt wird.

Das Ergebnis erhalten Sie dokumentiert und in einer Form, die sich fortschreiben lässt – denn mit jedem neuen Prozess und jedem Systemwechsel verändert sich das Bild.

Kontakt

Sie wollen wissen, wie aufwendig eine BIA in Ihrem Haus wäre? Das hängt an der Zahl Ihrer Prozesse – wir schätzen es im Erstgespräch ein.