Was ist eine Business Impact Analysis (BIA)?
Die Abkürzung BIA steht für Business Impact Analysis, auf Deutsch Geschäftsauswirkungsanalyse oder Betriebsunterbrechungsanalyse.
Eine BIA ist Teil der Tätigkeiten eines Business Continuity Managementsystems (BCMS). Die formale Definition lautet: „Prozess der Analyse der Auswirkungen einer Unterbrechung auf die Organisation im Zeitverlauf“ (ISO 22301:2019, Abschnitt 3.5, „Terms and definitions“).
In einer BIA werden die Geschäftsprozesse der Organisation daraufhin untersucht, welche Auswirkungen ein Vorfall hätte, der sie unterbricht. Ziel ist es, die für das Unternehmen kritischsten Prozesse zu ermitteln.
Business Continuity sollte sich auf die Prozesse konzentrieren, deren Verfügbarkeit entscheidend ist: diejenigen, deren Unterbrechung schon nach kurzer Zeit eine für die Organisation nicht tragbare Auswirkung haben kann.
So ist das Webportal eines Onlinehändlers, das rund um die Uhr laufen muss, nicht genauso kritisch wie die Marketing- und Werbeabteilung eines Getränkeherstellers, deren Ergebnisse nicht laufend geliefert werden.
Die BIA wird für alle Prozesse des Unternehmens mit einer einheitlichen Methodik durchgeführt, damit sich die Ergebnisse vergleichen und nach Kritikalität ordnen lassen.
Wie führt man eine BIA durch?
Es gibt keinen einzigen gültigen Weg für jede Organisation: Jede muss ihre eigene Methodik festlegen.
Zu berücksichtigen sind die verschiedenen Arten von Auswirkungen, die die Unterbrechung eines Prozesses haben kann. Dazu gehören zum Beispiel:
- Betriebliche Auswirkung: Das Produkt oder Ergebnis der Dienstleistung, zu der der Prozess gehört, kann nicht erbracht werden.
- Finanzielle Auswirkung: durch Mehrkosten, Umsatzverluste, Vertragsstrafen usw.
- Reputationsauswirkung: durch Imageverlust, weil Kunden nicht normal bedient werden können.
- Rechtliche und vertragliche Auswirkung: Wird ein bestimmter Prozess unterbrochen, verstößt die Organisation möglicherweise gegen gesetzliche oder vertragliche Anforderungen, mit ernsten Folgen.
Jede Organisation legt fest, welche Auswirkungen sie betrachtet und nach welchen Kriterien sie sie bewertet.
Der nächste Faktor ist die Zeit. Meist wird eine Zeitskala verwendet, um die Auswirkung bei unterschiedlich langen Unterbrechungen zu vergleichen. Manche Prozesse haben vom ersten Moment an eine hohe Auswirkung, wie der erwähnte Onlineshop, während andere erst nach einer gewissen Zeit eine hohe Auswirkung erreichen, etwa nach 24 Stunden oder sogar mehreren Tagen.
Auch die Zeitskala legt jede Organisation selbst fest. Sie kann je nach Geschäftsart mehr oder weniger Zeitpunkte umfassen.
Die Prozesse mit der höchsten Auswirkung bei der kürzesten Unterbrechung sind die kritischsten für die Organisation. Das ist das Ergebnis, das die BIA liefern soll. Die folgende Tabelle zeigt es für ein fiktives Handelsunternehmen.
| Prozess | 4 h | 24 h | 72 h | 1 Woche | RTO | RPO |
|---|---|---|---|---|---|---|
| Onlineverkauf | Kritisch | Kritisch | Kritisch | Kritisch | 2 h | 15 min |
| Rechnungsstellung | Mittel | Kritisch | Kritisch | Kritisch | 8 h | 4 h |
| Logistik und Versand | Mittel | Hoch | Kritisch | Kritisch | 24 h | 24 h |
| Lohnabrechnung | Niedrig | Niedrig | Mittel | Hoch | 72 h | 24 h |
| Marketing | Niedrig | Niedrig | Niedrig | Mittel | 1 Woche | 1 Woche |
RTO, RPO und MTPD: die Zeiten, die sich aus der BIA ergeben
Die BIA ordnet die Prozesse nicht nur nach Kritikalität, sondern legt auch die Zeiten fest, nach denen später die Wiederherstellung geplant wird. Die ISO 22301:2019 arbeitet mit diesen:
- MTPD (Maximum Tolerable Period of Disruption, maximal tolerierbare Ausfallzeit): die Zeit, ab der die Auswirkung, ein Produkt, eine Dienstleistung oder eine Tätigkeit nicht zu erbringen, für die Organisation inakzeptabel wird.
- RTO (Recovery Time Objective): die Frist, innerhalb derer die Organisation die Tätigkeit nach der Unterbrechung wieder aufnehmen will. Sie muss kürzer sein als die MTPD, damit eine verzögerte Wiederherstellung nicht direkt zu einer inakzeptablen Auswirkung führt.
- RPO (Recovery Point Objective): der Punkt, bis zu dem die Informationen der Tätigkeit wiederhergestellt werden können müssen, also wie viele Daten (in Zeit gemessen) verloren gehen dürfen. In der Praxis bestimmt er, wie oft gesichert oder repliziert wird.
- MBCO (Minimum Business Continuity Objective): das Mindestniveau an Leistung, das die Organisation während der Unterbrechung für akzeptabel hält. Bei Erreichen der RTO genügt dieses Minimum, die vollen 100 % können später folgen.
Diese Zeiten bestimmen später die Strategien und die Wiederherstellungspläne. Für die Durchführung der Analyse gibt es zudem einen eigenen Leitfaden, die ISO/TS 22317, mit Richtlinien für die Business Impact Analysis.
Wer führt die BIA durch?
Der oder die Business-Continuity-Verantwortliche der Organisation legt die Methodik fest. Sie muss von dem Gremium geprüft und genehmigt werden, das in der Organisation als oberste Instanz für Business Continuity bestimmt ist. Meist ist das ein Ausschuss mit Vertretern der wichtigsten Abteilungen und der Geschäftsleitung, damit er das nötige Gewicht hat.
Sind die Methodik festgelegt und die Prozesse der Organisation identifiziert, werden die beteiligten Abteilungen für die Datenerhebung oder Bewertung einbezogen. Die Abteilungen, die die Prozesse ausführen, kennen die möglichen Folgen einer Unterbrechung im Detail.
Das Ergebnis der BIA muss von der Geschäftsleitung oder dem zuständigen Gremium geprüft und abgestimmt werden.
Die BIA im Jahr 2026: geltende Norm und Regulierung
Die Referenznorm für Business Continuity ist weiterhin die ISO 22301:2019, die aktuelle Ausgabe. Die Business Impact Analysis steht in Abschnitt 8.2, zusammen mit der Risikobeurteilung.
Am stärksten verändert hat sich der regulatorische Druck. Im europäischen Finanzsektor verlangt die seit dem 17. Januar 2025 anwendbare Verordnung (EU) 2022/2554, DORA im Rahmen der IKT-Geschäftsfortführungsleitlinie eine Business Impact Analysis der Anfälligkeit für schwerwiegende Störungen (Artikel 11). Eine BIA nach ISO 22301 deckt einen großen Teil dieser Arbeit ab und ist für beides ein guter Ausgangspunkt.
Wie GlobalSuite Solutions Sie unterstützt
Das Beratungsteam von GlobalSuite Solutions hat umfangreiche Erfahrung mit BIAs und mit der Einführung von Business-Continuity-Plänen in Organisationen aller Branchen, Größen und Anforderungen.
Außerdem empfehlen wir die Software GlobalSuite®, die vollständig von unserem Team entwickelt wurde. Mit ihr konfigurieren Sie Ihre BIA-Methodik, erstellen die Fragebögen für die Abteilungen und verwalten die Informationen und Ergebnisse.
Möchten Sie sehen, wie das in Ihrer Organisation funktionieren würde? Fordern Sie eine Demo an, und wir zeigen es Ihnen.
