Definition Business Impact Analyse | BIA Was ist eine Business Impact Analyse?

Die Business-Impact-Analyse ist Bestandteil des Business-Continuity-Managements. Mit ihr lassen sich die potenziellen Auswirkungen von Störungen oder Unterbrechungen der Geschäftsabläufe ermitteln und bewerten. Die Ergebnisse der Analyse bilden die Basis für Notfallstrategien und Notfallkonzepte.

Das Akronym für Business-Impact-Analyse (Business Impact Analysis) ist BIA. Die Business Impact Analysis ist ein wichtiger Bestandteil des Business-Continuity-Managements (BCM) und unverzichtbar für die Fortsetzung des Geschäftsbetriebs auch unter widrigen Umständen wie bei Notfällen oder Krisen. Bei einer BIA geht es um die Ermittlung und Bewertung der potenziellen Auswirkungen der von bestimmten Ereignissen wie Notfällen, Katastrophen oder Cyberangriffen verursachten Unterbrechungen oder Störungen von Geschäftsabläufen. Unter Berücksichtigung der Abhängigkeiten zwischen den verschiedenen Geschäftsprozessen werden die operativen, die finanziellen und die reputativen Auswirkungen identifiziert und untersucht.

Die Analyse verfolgt einen systematischen, strukturierten Ansatz. Sie hat sowohl explorative als auch planerische Bestandteile. Mithilfe der Ergebnisse einer Business Impact Analysis lassen sich Strategien, Notfallkonzepte und Wiederanlaufpläne entwickeln, um die Auswirkungen von Störungen des Geschäftsbetriebs zu minimieren. Auch Vorgaben wie die maximal tolerierbare Ausfallzeit oder Wiederherstellungsziele für Systeme und Prozesse lassen sich bestimmen. Wiederherstellungsmaßnahmen für besonders kritische Prozesse können priorisiert werden. Die Gesamtwiderstandsfähigkeit eines Unternehmens wird gestärkt. Ein Leitfaden und formale Richtlinien für die Durchführung und Planung einer Business-Impact-Analyse sind unter anderem im ISO-Standard ISO/TS 22317 aufgeführt.

Die Business-Impact-Analyse und der Standard 200-4 des Bundesamts für Sicherheit in der Informationstechnik

Die Business Impact Analysis ist auch ein Bestandteil des BSI-Standards 200-4 (Business Continuity Management). Der Standard befasst sich mit dem Aufbau eines umfassenden Business-Continuity-Management-Systems (BCMS) und setzt sich mit den Aspekten des Notfallmanagements auseinander. In dem mehrere hundert Seiten umfassenden Dokument sind auch die Einzelheiten einer Business-Impact-Analyse beschrieben, mit der kritische Geschäftsprozesse und Ressourcen ermittelt und die Kenngrößen für den Wiederanlauf nach Unterbrechungen bestimmt werden können. Weitere Bestandteile des Standards sind die Durchführung einer Risikoanalyse sowie die Entwicklung eines Notfallkonzepts bestehend aus Notfallvorsorgekonzept und Notfallhandbuch.

Die Ziele einer Business Impact Analysis

Hauptziel einer BIA ist es, dazu beizutragen, dass kritische Geschäftsprozesse auch in Krisensituationen und bei Notfällen fortgeführt werden können. Die Business-Impact-Analyse trägt zur Stärkung der Widerstandsfähigkeit einer Organisation bei. Im Detail sind die Ziele einer BIA folgende:

• die kritische Geschäftsprozesse identifizieren

• die finanziellen, operativen und reputativen Auswirkungen von disruptiven Ereignissen auf Geschäftsfunktionen ermitteln und besser verstehen

• die Abhängigkeiten zwischen Funktionen, Systemen und Prozessen ermitteln und Wechselwirkungen besser verstehen

• die Schwachstellen in den Geschäftsabläufen identifizieren

• auf Krisensituationen gut vorbereitet sein

• Unterstützung bei der Festlegung von Wiederherstellungszielen wie RTO oder RPO und Optimierung der Wiederherstellungsbemühungen

• die proaktive Priorisierung von Wiederherstellungsanstrengungen und -ressourcen für eine schnelle und effiziente Wiederaufnahme des Betriebs nach Vorfällen

• die Geschäftskontinuität durch geeignete Maßnahmen sicherstellen

• die Risiken für den Geschäftsbetrieb minimieren

Eine Abgrenzung zwischen der Business-Impact-Analyse und der Risikobewertung

Sowohl die Business-Impact-Analyse als auch die Risikobewertung sind unverzichtbare Elemente einer Business-Continuity-Planung. Sie lassen sich aber deutlich voneinander abgrenzen. Die BIA erfolgt vor der Risikobewertung und konzentriert sich auf die Ermittlung und Bewertung der Auswirkungen von Vorfällen auf wichtige Geschäftsprozesse. Eine Risikobewertung hingegen hat zum Ziel, mögliche Gefahren wie Naturkatastrophen, Feuer, Cyberangriffe, Ausfall von Personal oder Zulieferern und andere zu erkennen, ihre Eintrittswahrscheinlichkeiten zu ermitteln und die durch die Gefahren hervorgerufenen Risiken zu bewerten. Auf Basis der Risikobewertung und der BIA lassen sich Pläne zur Minimierung der Auswirkungen der erkannten Risiken entwickeln.

Die verschiedenen durchzuführenden Schritte einer Business-Impact-Analyse

Die Durchführung einer Business Impact Analysis erfolgt in mehreren Schritten. Zunächst werden die Ziele und der Umfang der BIA definiert. Anschließend erfolgt die Beschaffung von Informationen durch das Sammeln der für die BIA relevanten Informationen über die vorhandenen Geschäftsabläufe. Das kann beispielsweise durch das Befragen von Mitarbeitern, Geschäftspartnern und Führungskräften erfolgen. Die gesammelten Daten müssen anschließend strukturiert und ausgewertet werden. Es entsteht eine umfassende Übersicht über alle Geschäftsprozesse. Bei der Analyse der Daten sind die Geschäftsprozesse hinsichtlich ihrer Kritikalität zu bewerten und Abhängigkeiten zu ermitteln. Unwichtige Prozesse oder Funktionen können aussortiert werden, wichtige Prozesse oder Funktionen sind zu priorisieren. Im nächsten Schritt sind die materiellen und nicht immateriellen Auswirkungen bei einem Ausfall der als wichtig eingestuften Prozesse oder Funktionen quantitativ und qualitativ zu bestimmen. Die Auswirkungen können in Kategorien wie niedrig, normal, hoch, sehr hoch oder nicht tolerierbar eingeteilt werden. Auf Basis der ermittelten Auswirkungen lassen sich Kennzahlen wie die maximal tolerierbare Ausfallzeit (MTA), Recovery Time Objective (RTO) oder Recovery Point Objective (RPO) festlegen. Alle wichtigen im Rahmen der BIA erhobenen und ermittelten Informationen und die Ergebnisse der Analysen werden in einem BIA-Bericht zusammengefasst, dokumentiert und den Entscheidungsträgern vorgelegt. Der Bericht enthält für jeden Prozess eine Einzelbewertung mit den jeweiligen Störungsauswirkungen, Abhängigkeiten und Priorisierungen. Mit diesen Informationen lassen sich die erforderlichen Maßnahmen und Ressourcen zur Wiederherstellung und schnellstmöglichen Wiederaufnahme nach einer Unterbrechung benennen und festlegen.

Die Durchführung einer BIA ist kein einmaliger Vorgang. Abhängig von der Größe einer Organisation und den dynamischen Veränderungen der Geschäftsabläufe sind die einzelnen Schritte immer wieder neu zu durchlaufen. Die BIA-Ergebnisse und daraus abgeleiteten Maßnahmen und erforderlichen Ressourcen sind regelmäßig zu aktualisieren.

(ID:50065872)