Business Impact Analyse: Auswirkungen von Betriebsunterbrechungen verstehen
Eine Business Impact Analyse (BIA) untersucht, welche Folgen entstehen, wenn wesentliche Geschäfts- und Betriebsprozesse für einen bestimmten Zeitraum nicht oder nur eingeschränkt verfügbar sind. Sie schafft damit die Grundlage für Business Continuity Management, Notfallvorsorge und eine wirtschaftlich begründete Resilienzstrategie.
Im Unterschied zur klassischen Risikoanalyse steht zunächst nicht die Ursache einer Störung im Mittelpunkt. Entscheidend ist die Frage:
Was passiert mit dem Unternehmen, wenn eine wichtige Leistung für zwei Stunden, einen Tag, mehrere Tage oder länger ausfällt?
Der BSI-Standard 200-4 nutzt die BIA insbesondere zur Identifikation zeitkritischer Geschäftsprozesse und der hierfür erforderlichen Ressourcen.
Geschäftskritische Prozesse mit der BIA systematisch bewerten
Eine Betriebsunterbrechung kann unterschiedliche Schadensdimensionen betreffen:
Gefährdung von Menschen,
Produktions- und Leistungsausfälle,
Umsatz- und Ergebnisverluste,
Vertragsverletzungen und Lieferverzug,
regulatorische oder rechtliche Folgen,
Verlust von Daten und Informationen,
Beeinträchtigung von Kunden und Lieferketten,
Reputationsschäden,
langfristiger Verlust von Marktpositionen.
Dabei verändert sich das Schadensausmaß regelmäßig mit zunehmender Ausfalldauer.
Prozesse und Abhängigkeiten systematisch bewerten
|
| Geschäftsprozess | Welche Leistung muss aufrechterhalten werden? |
| Zeitkritikalität | Wie lange kann der Prozess ausfallen? |
| Personal | Welche Funktionen und Kompetenzen werden benötigt? |
| Gebäude | Welche Standorte und Flächen sind erforderlich? |
| Technik | Welche Anlagen und Medien müssen verfügbar sein? |
| IT / OT | Welche Systeme und Daten werden benötigt? |
| Dienstleister | Welche externen Leistungen sind kritisch? |
| Lieferkette | Welche Materialien oder Ressourcen werden benötigt? |
Facility Management als kritische Ressource einbeziehen
Für viele Geschäftsprozesse sind Gebäude und technische Infrastruktur zwingende Voraussetzungen. Eine BIA sollte deshalb beispielsweise berücksichtigen:
Strom- und Ersatzstromversorgung,
Wärme-, Kälte- und Medienversorgung,
Gebäudeautomation,
Sicherheits- und Zutrittssysteme,
Produktions- und Laborflächen,
Rechenzentrumsinfrastruktur,
Logistik- und Verkehrsflächen,
technische Rufbereitschaften,
kritische FM-Dienstleister.
So wird sichtbar, welche technischen Anlagen nicht nur betrieblich wichtig, sondern tatsächlich geschäftskritisch sind.
Wiederanlaufziele ableiten
Aus der BIA lassen sich Prioritäten für Wiederherstellung und Notbetrieb entwickeln. Für besonders kritische Prozesse können Zeitziele festgelegt und notwendige Mindestressourcen bestimmt werden.
Daraus entstehen konkrete Entscheidungen über:
ISO/TS 22317 stellt hierfür eine methodische Guidance zur Durchführung und Weiterentwicklung von Business Impact Analysen bereit.
BIA regelmäßig fortschreiben
Eine Business Impact Analyse verliert an Aussagekraft, wenn Prozesse, Gebäude, Technik oder Lieferketten verändert werden. Neue Produktionslinien, Digitalisierung, Standortverlagerungen oder Outsourcing können Abhängigkeiten erheblich verändern.
Eine belastbare BIA folgt daher einem wiederkehrenden Prozess:
Geschäftsprozesse erfassen → Auswirkungen bewerten → Zeitkritikalität bestimmen → Abhängigkeiten identifizieren → Ressourcen priorisieren → Wiederanlaufziele definieren → Kontinuitätsmaßnahmen ableiten.
Damit beantwortet die Business Impact Analyse eine zentrale Managementfrage: Welche Leistungen müssen nach einer Störung in welcher Reihenfolge und innerhalb welcher Zeit wieder verfügbar sein, damit das Unternehmen handlungsfähig bleibt?
