Business Impact Analyse in fünf Workshops strukturieren

Mit einer Business Impact Analyse, kurz BIA, untersuchen die Verantwortlichen, welche Folgen die Unterbrechung von Geschäftsleistungen über die Zeit hat. Sie ermitteln zeitkritische Leistungen, Wiederanlaufanforderungen und benötigte Ressourcen. Damit legen sie fest, was wie schnell wieder funktionieren muss. Wie wahrscheinlich ein bestimmter Auslöser ist, gehört in die ergänzende Risikoanalyse.

Fünf Workshops können einen ersten, klar begrenzten Analysezyklus strukturieren. Das ist ein Arbeitsmodell, keine Zusage für jede Organisation und keine Vorgabe einer Norm. Bei vielen Standorten, komplexen Abhängigkeiten oder fehlenden Prozessdaten sind weitere Termine nötig. Bereiten Sie in jedem Termin eine konkrete Entscheidung vor.

Vor dem ersten Termin: Umfang und Material vorbereiten

Beginnen Sie beispielsweise mit acht bis zwölf Leistungen eines überschaubaren Geschäftsbereichs. Laden Sie Verantwortliche ein, die Folgen und Abläufe erklären können. Ergänzen Sie IT, Personal, Gebäudebetrieb oder Einkauf dort, wo ihre Ressourcen benötigt werden. Eine einzige große Besprechung mit allen Beteiligten ist dafür selten der beste Start.

Bereiten Sie vorhandene Prozessbeschreibungen, Mengengerüste, relevante Leistungszusagen und bekannte Abhängigkeiten vor. Lassen Sie offene Angaben als offen stehen. Fehlende Daten mit plausibel klingenden Zahlen zu ersetzen spart im Termin Zeit, macht aber spätere Entscheidungen unsicher. Eine Einführung zur Methodik finden Sie im Knowledge-Artikel zur Business Impact Analyse.

Als Planungsansatz können Sie je Workshop ungefähr zwei Stunden vorsehen. Zwischen den Workshops liegt Arbeitszeit für Datenprüfung und Rückfragen. „Fünf Workshops“ bedeutet deshalb weder fünf Stunden Aufwand noch automatisch eine vollständige BIA des gesamten Unternehmens.

Workshop 1: gemeinsam bewerten können

Das erste Ergebnis ist eine vereinbarte Bewertungslogik. Legen Sie fest, welche Leistungen betrachtet werden, wo ihre Grenzen liegen und wer die Ergebnisse verantwortet. Definieren Sie passende Zeitstufen und Schadenskategorien. Trennen Sie beispielsweise finanzielle Folgen, Nichterfüllung wichtiger Leistungen und Auswirkungen auf Menschen.

Beschreiben Sie die Schwelle „nicht mehr akzeptabel“ so, dass zwei Bereiche zu vergleichbaren Urteilen kommen können. „Hoher Reputationsschaden“ bleibt ohne Erläuterung beliebig. Hilfreicher sind konkrete Folgen: Welche Leistung fällt für wen aus, welche Zusage wird verletzt, und was wäre daran nicht hinnehmbar?

Testen Sie die Logik an einer Leistung gemeinsam. Wenn dieselben Fakten unterschiedlich bewertet werden, präzisieren Sie die Kategorien jetzt. Das verhindert, dass die späteren Ranglisten vor allem die unterschiedlichen Bewertungsstile der Beteiligten abbilden.

Workshop 2: Schäden über die Zeit beschreiben

Gehen Sie jede Leistung entlang derselben Zeitstufen durch. Fragen Sie bei jeder Zahl nach den Folgen und ihrer Grundlage. Beispiel: Nach vier Stunden entstehen Rückstände, nach einem Arbeitstag werden Lieferzusagen verfehlt, nach zwei Tagen reicht die Aufholkapazität nicht mehr aus. Solche Verläufe sind zu begründen und dürfen je Leistung anders aussehen.

Berücksichtigen Sie besondere Tage und Zeiten. Eine monatliche Abrechnung kann fast den ganzen Monat wenig zeitkritisch sein und kurz vor dem Zahlungstermin hohe Anforderungen stellen. Halten Sie fest, ob Sie diesen Zeitpunkt separat bewerten oder bewusst einen ungünstigen Ausgangszeitpunkt wählen.

Die Erhebung und Auswertung der BIA sind in Kapitel 7 des BSI-Standards 200-4 beschrieben. Befüllen Sie den Erhebungsbogen vorab mit bekannten Stammdaten. Dann haben die Beteiligten im Termin Zeit, Bewertungen zu klären.

Workshop 3: Wiederanlaufziele und Mindestleistung festlegen

Übersetzen Sie den Schadensverlauf in Anforderungen. Wann überschreitet die Unterbrechung die akzeptierte Grenze? Bis wann muss eine Mindestleistung wieder möglich sein? Welcher Datenverlust ist tragbar? Dokumentieren Sie MTPD, RTO und RPO mit ihrem jeweiligen Zeitbezug.

Eine Mindestleistung braucht eine prüfbare Beschreibung. Als frei gewähltes Beispiel: „Die Disposition bearbeitet mit zwei Personen täglich 40 priorisierte Aufträge; Standardanfragen können warten.“ Diskutieren Sie, wie Aufträge priorisiert werden und ob der Rückstand im gewählten Notbetrieb weiter anwächst. Lesen Sie bei Begriffsfragen den Artikel RTO, RPO und MTPD unterscheiden.

Workshop 4: Abhängigkeiten und tatsächliche Fähigkeiten abgleichen

Erst jetzt werden die Ressourcen verbindlich zugeordnet. Welche Personen, Informationen, Anwendungen, Räume und externen Leistungen braucht der beschriebene Notbetrieb? Prüfen Sie besonders die Ressourcen, die mehrere zeitkritische Leistungen gleichzeitig benötigen.

Prüfen Sie konkrete Konflikte. Sind dieselben zwei Beschäftigten für drei Notbetriebe eingeplant? Beginnt die Rufbereitschaft erst nach der geforderten Reaktionszeit? Kann eine Ersatzfläche die benötigte Arbeit überhaupt aufnehmen?

Nutzen Sie Tests, Zusagen und vorhandene Pläne als Nachweise. Kennzeichnen Sie jede Fähigkeit als nachgewiesen, zugesagt oder ungeprüfte Annahme. Wenn ein Lieferant zeitkritisch wird, helfen die vertiefenden Hinweise zu Lieferanten im BCMS.

Workshop 5: Prioritäten beschließen und Arbeit übergeben

In der Abschlussrunde entscheiden die Beteiligten über offene Zielkonflikte. Sie bestätigen Anforderungen und priorisieren Lücken nach ihren Folgen. Eine nicht erfüllte Wiederanlaufanforderung bleibt sichtbar, auch wenn eine Lösung kurzfristig nicht finanzierbar ist. Legen Sie für jeden Maßnahmenauftrag Verantwortlichen, Termin, Entscheidungskompetenz und einen geplanten Wirksamkeitsnachweis fest.

Workshop	Verbindliches Ergebnis	Abschlussfrage
1. Bewertungslogik	Umfang, Kategorien und Zeitstufen	Bewerten alle nach denselben Kriterien?
2. Auswirkungen	Begründeter Schadensverlauf	Ist jede wichtige Annahme erkennbar?
3. Ziele	Mindestleistung und Zeitvorgaben	Lässt sich Zielerreichung beobachten?
4. Abhängigkeiten	Ressourcenbedarf und Fähigkeitslücken	Sind Konflikte zwischen Leistungen geklärt?
5. Freigabe	Bestätigte Prioritäten und Maßnahmen	Wer entscheidet und arbeitet als Nächstes?

Hinweise zur Organisation bei knappen Rollen finden Sie unter KaitoSec für den Mittelstand. Fachlich gehören Analyse, Maßnahmen und Überprüfung in einen gemeinsamen Rahmen nach ISO 22301.

Häufige Fragen

Schreibt eine Norm genau fünf Workshops vor?

Nein. In der ISO/TS 22317:2021 finden Sie Leitlinien für einen geeigneten BIA-Prozess; ein einheitliches Verfahren ist dort ausdrücklich nicht vorgeschrieben. Der Ablauf hier ist ein anpassbarer Arbeitsvorschlag.

Wer muss in jedem Termin dabei sein?

Eine durchgängige Moderation und die Verantwortlichen des betrachteten Umfangs. Spezialisten kommen zu den Fragen hinzu, für die ihre Kenntnisse oder Zusagen gebraucht werden.

Reichen Schätzungen für die erste Runde?

Begründete Schätzungen können helfen. Kennzeichnen Sie sie, dokumentieren Sie ihre Grundlage und prüfen Sie diejenigen zuerst nach, die wichtige Entscheidungen beeinflussen.

Wann ist der Zyklus fertig?

Wenn Anforderungen und Prioritäten für den vereinbarten Umfang freigegeben sind und offene Punkte verbindliche Aufträge haben. Die Pflege der BIA endet damit nicht.