ISOBusiness-Impact-Analyse (BIA) nach ISO 22301
Die Business-Impact-Analyse (BIA) ermittelt, welche Aktivitäten für die Produkte und Dienstleistungen einer Organisation kritisch sind, wie sich ihr Ausfall über die Zeit auswirkt und bis wann sie wieder laufen müssen. Aus ihr folgen die Wiederanlaufziele MTPD, RTO, RPO und der Mindestbetrieb. Die ISO 22301 verlangt sie in Abschnitt 8.2.
- Die BIA ist das Fundament jedes BCMS: ohne sie keine begründeten Prioritäten.
- Kennzahlen: MTPD (Schmerzgrenze), RTO (Wiederanlaufziel), RPO (Datenverlust), MBCO (Mindestbetrieb).
- Ziele kommen aus den Geschäftsanforderungen, nicht aus der IT-Technik.
- Lieferanten, Personal und IT-Abhängigkeiten gehören vollständig dazu.
Welche Ziele verfolgt die BIA?
- Produkte und Dienstleistungen sowie die Aktivitäten, die sie tragen, systematisch erfassen,
- die Auswirkungen eines Ausfalls über die Zeit bewerten: finanziell, rechtlich, vertraglich, für den Ruf und für Menschen,
- daraus Prioritäten und Wiederanlaufziele ableiten,
- Abhängigkeiten von Personal, IT, Gebäuden, Informationen und Lieferanten sichtbar machen.
Was bedeuten MTPD, RTO, RPO und MBCO?
| Kennzahl | Bedeutung | Beispiel |
|---|---|---|
| MTPD (maximal tolerierbare Ausfallzeit) | Zeitraum, nach dem die Auswirkungen eines Ausfalls nicht mehr hinnehmbar sind | Auftragsannahme: 3 Tage |
| RTO (Recovery Time Objective, Wiederanlaufzeit) | Bis wann eine Aktivität oder Ressource wieder verfügbar sein soll; kürzer als die MTPD | Auftragsannahme: 1 Tag |
| RPO (Recovery Point Objective) | Maximal tolerierbarer Datenverlust; bestimmt Backup-Intervalle und Replikation | ERP-Daten: 4 Stunden |
| MBCO (Mindestbetrieb) | Leistungsniveau, das während einer Störung mindestens erbracht werden muss | 50 % der Tagesaufträge |
Die Beispielwerte sind illustrativ und je Organisation selbst festzulegen.
Wie führt man eine BIA durch?
- Umfang festlegen: Welche Standorte, Produkte und Organisationseinheiten gehören in den Anwendungsbereich?
- Aktivitäten erfassen: Prozesse und Tätigkeiten je Produkt oder Dienstleistung, mit den Prozessverantwortlichen.
- Auswirkungen bewerten: Schadenskategorien und Zeitstufen (z. B. 4 Stunden, 1 Tag, 3 Tage, 1 Woche) einheitlich bewerten.
- Ziele bestimmen: MTPD, RTO, RPO und Mindestbetrieb je Aktivität festlegen und von der Leitung freigeben lassen.
- Ressourcen und Abhängigkeiten zuordnen: Personal, Arbeitsplätze, IT-Anwendungen, Daten, Dienstleister und Lieferanten; deren Wiederanlauf muss zu den Zielen passen.
- Risikobeurteilung ergänzen: Welche Bedrohungen könnten die priorisierten Aktivitäten unterbrechen, und wo besteht Handlungsbedarf?
Welche Fehler passieren in der Praxis am häufigsten?
- Wiederanlaufziele werden aus der IT übernommen, statt aus den Geschäftsanforderungen abgeleitet.
- Lieferanten und Dienstleister fehlen in der Abhängigkeitsanalyse.
- Die BIA wird einmal erstellt und danach nicht mehr gepflegt.
- Zu viele Aktivitäten werden als „kritisch“ eingestuft; dann fehlt die Priorisierung.
Eine vertiefende Anleitung bietet die technische Spezifikation ISO/TS 22317.
Häufige Fragen zur BIA
Was ist der Unterschied zwischen MTPD und RTO?
Die MTPD (maximal tolerierbare Ausfallzeit) beschreibt, ab wann ein Ausfall nicht mehr hinnehmbar ist. Die RTO (Wiederanlaufzeit) legt fest, bis wann die Aktivität wieder laufen soll. Sie muss kürzer als die MTPD sein, damit ein Puffer bleibt.
Wie oft muss die BIA aktualisiert werden?
In festgelegten Abständen, in der Praxis meist jährlich, und zusätzlich bei wesentlichen Änderungen, etwa neuen Produkten, Standorten, IT-Systemen oder Lieferanten.
Wer führt die Business-Impact-Analyse durch?
Die BC-Verantwortlichen moderieren, die Inhalte liefern die Prozessverantwortlichen der Fachbereiche. Die Wiederanlaufziele gibt die Leitung frei, weil sie über Prioritäten und Budget entscheidet.