Business Impact Analyse (BIA): Kritische Prozesse erkennen

Wozu eine BIA dient

Im Ernstfall lässt sich nicht alles gleichzeitig wiederherstellen. Die BIA beantwortet deshalb vorab die entscheidenden Fragen: Welche Prozesse müssen zuerst wieder laufen? Ab wann wird ein Ausfall existenzbedrohend? Welche IT-Systeme, Daten, Menschen und Dienstleister braucht jeder Prozess?

Aus den Antworten ergeben sich Prioritäten und Zielwerte, insbesondere die maximal tolerierbare Ausfallzeit sowie RTO und RPO für die einzelnen Systeme.

In sieben Schritten zur BIA

Schäden im Zeitverlauf bewerten

Typisch ist eine Bewertung in Zeitstufen, etwa nach vier Stunden, einem Tag, drei Tagen und einer Woche. Betrachtet werden finanzielle Schäden, Vertragsstrafen, rechtliche Folgen, Auswirkungen auf Kunden und der Imageschaden. So zeigt sich, ab welchem Zeitpunkt ein Ausfall nicht mehr hinnehmbar ist.

Abhängigkeiten sichtbar machen

Viele Prozesse hängen an denselben Grundlagen: Active Directory und Entra ID, Netzwerk, ERP-System oder ein einzelner Dienstleister. Die BIA macht diese Abhängigkeiten sichtbar. Daraus ergibt sich die Reihenfolge, in der Systeme wiederhergestellt werden müssen, und oft auch, wo es an Redundanz fehlt.

Von der BIA zur technischen Umsetzung

Aus den Zielwerten folgt die Technik: Wer für ein System nur wenige Minuten Datenverlust verkraftet, braucht Replikation oder Continuous Data Protection. Wer es innerhalb weniger Stunden komplett zurückholen muss, braucht eine schnelle Systemwiederherstellung, etwa per Bare Metal Recovery. Die BIA liefert damit die Begründung für Investitionen.

BIA, Standards und NIS2

Die BIA ist Kernbestandteil des Business Continuity Managements nach ISO 22301 und dem BSI-Standard 200-4. NIS2 verlangt von betroffenen Unternehmen Maßnahmen zur Aufrechterhaltung des Betriebs, darunter Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Eine aktuelle BIA zeigt, worauf sich diese Maßnahmen konzentrieren müssen. Mehr unter Business Continuity und NIS2.