Tipps zur Erstellung einer Business Impact Analyse (BIA)

Wie lange könnte ihr Unternehmen ohne IT-Systeme überleben? Drei Tage, drei Stunden oder nur drei Minuten?

Diese Frage wirkt auf den ersten Blick provokant, bringt aber den Kern der Business Impact Analyse (BIA) auf den Punkt: Wie abhängig sind Ihre Geschäftsprozesse von stabiler IT und wie schnell müssen sie im Krisenfall wieder verfügbar sein?

Als Berater für IT-Architektur und Continuity Management begleite ich regelmässig Unternehmen bei der Einführung von Business Continuity Management (BCM). Die Business Impact Analyse ist dabei ein entscheidender Schritt, weil sie Klarheit schafft: Welche Prozesse sind wirklich kritisch, welche Ressourcen unverzichtbar und welche Wiederanlaufzeiten (RTO) akzeptabel?

Blogserie: Business Continuity Management

Dieser Blogartikel ist der Leitartikel einer mehrteiligen Serie der sich an Entscheidungsträger und Fachverantwortliche aus BCM, Risikomanagement, IT und anderen Unternehmensbereichen richtet. Es gibt einen Überblick, wie die einzelnen Elemente des Business Continuity Management Systems aufgebaut sind und gemeinsam zur Stärkung resilienter Geschäftsprozesse beitragen.

Dies ist Teil 2 von 9 der Serie über Business Continuity Management.

Teil 1: Der Aufbau eines Business Continuity Management Systems (BCMS)
Teil 3: Risikoanalyse: Checkliste zur Erstellung einer Risikoanalyse
Teil 4: BCM-Strategie: Ziele und Elemente der BCM-Strategie
Teil 5: Konzeption und Implementierung
Teil 6: Organisation und Prozesse
Teil 7: Business Continuity Pläne BCP: Die Erstellung eines Business Continuity Plans
Teil 8: Tests, Reviews und Training
Teil 9: Pflege und Aktualisierung

Warum eine Business Impact Analyse so wichtig ist

• Sie kennen die kritischen Prozesse Ihrer Unternehmung
• Sie kennen die zwingend notwendigen Ressourcen für die kritischen Prozesse
• Sie kennen die Abhängigkeiten zu anderen Prozessen
• Sie kennen den Schaden, wenn der Prozess ausfällt, d.h. das maximale Schadenpotenzial wird fassbar
• Sie kennen den Stand der bereits getroffenen Vorbeugemassnahmen
• Sie verfügen über eine Heatmap ihrer Unternehmungsprozesse die aufzeigt, welche Prozesse zu welchem Zeitpunkt wieso kritisch werden und welcher Schaden dabei potenziell eintritt
• Sie verfügen über eine Grundlage zur Erarbeitung der Vorsorgemassnahmen (technisch, betrieblich, organisatorisch) und können diese gezielt auf die kritischen Prozesse ausrichten
• Sie decken mit der BIA die regulatorischen Anforderungen ab (FINMA, SBV, DORA, CRA)

Typische Stolperfallen

• Die Schadenszenarien sind nicht und oder unklar definiert
• Es werden unterschiedliche Massstäbe bei der Durchführung der BIA verwendet (Metriken)
• Prozessabhängigkeiten sind zu wenig bekannt
• Notwendige Ressourcen wie IT-Anwendungen / IT-Services sind nicht eindeutig definiert

Die Konsequenz ist, dass die BIA-Ergebnisse nicht vollständig / nicht korrekt oder nicht vergleichbar sind und die Durchführung zu viel Zeit in Anspruch nimmt. Wie sieht also ein bewährtes Vorgehen aus?

Ein bewährtes Vorgehen in fünf Phasen

Über die Jahre hat sich ein Vorgehen in fünf klaren Phasen bewährt:

Im Kapitel «Massnahmen im Überblick» werden die Massnahmen der 5 Phasen zur Erarbeitung und Vernehmlassung einer Business Impact Analyse beschrieben. Kursiv genannte Stichworte sind im Kapitel «Details zur Umsetzung» genauer erläutert.

Die Massnahmen im Überblick

Phase 1 – Vorbereitung:

1. Definieren Sie als Basis die relevanten Schadenszenarien
2. Definieren Sie die Schadenkategorien
3. Legen Sie die Metriken für die die Schadenkategorien fest
4. Erstellen Sie einen BIA-Fragebogen und verlinken darin eine Liste mit den aktuellen IT-Anwendungen / IT-Services und – falls vorhanden – Prozessbeschreibungen
5. Schränken Sie die Anzahl der zu untersuchenden Prozesse auf die mutmasslich wichtigsten Prozesse ein

Phase 2 – Pilotphase:

6. Definieren Sie einen Pilotprozess (Kriterium ist, dass der Prozess anerkannt wichtig ist und der Prozessverantwortliche offen und bereit für eine BIA ist)
7. Führen Sie die Pilot-BIA durch und justieren bei Bedarf den Fragebogen
8. Laden Sie alle Prozessverantwortlichen der mutmasslich wichtigsten Prozesse zu einem Kickoff Meeting / Briefing ein und stellen anhand einer vorbereiteten Präsentation die Ziele, das Vorgehen, die Schadenszenarien, Metriken etc. anhand der durchgeführten Pilot-BIA vor.

Phase 3 – Hauptphase Erarbeitung übrige BIA:

9. Legen Sie den Interviewtermin mit allen Prozessverantwortlichen fest und analysieren Sie gemeinsam mit den Prozessverantwortlichen mithilfe des Fragebogens die Prozesse
10. Nach gemeinsamer Analyse und Bewertung werden die Ergebnisse durch den Vorgesetzten reviewed

Phase 4 – Konsolidierung:

11. Konsolidieren Sie die einzelnen BIA’s und erstellen Sie eine «Unternehmens-Heatmap» (welche Prozesse sind die kritischsten und warum?)

Phase 5 – Vernehmlassung und Abschluss:

12. Erarbeiten Sie ein Management Summary der konsolidierten BIA und stellen sie diese den Verantwortlichen vor
13. Vernehmlassung der konsolidierten Ergebnisse durch die Prozessverantwortlichen

Details zur Umsetzung

Die fünf Phasen klingen in der Übersicht einfach. In der Praxis entscheidet jedoch die konsequente und saubere Umsetzung darüber, ob Sie am Ende wirklich ein belastbares Steuerungsinstrument haben oder nur eine Sammlung unvollständiger Tabellen. Deshalb möchte ich die einzelnen Schritte hier vertiefen und praxisnah erläutern.

1. Klare Definition der Schadensszenarien

Ein häufiger Stolperstein liegt in der ungenauen Definition der Szenarien. Damit Ergebnisse vergleichbar sind, müssen die Szenarien so konkret wie möglich beschrieben werden.

Ein IT-Ausfall bedeutet zum Beispiel nicht einfach, dass «die Systeme nicht funktionieren». Gemeint ist, dass sämtliche zentralen IT-Services, inklusive Kommunikation, für Tage bis Wochen nicht verfügbar sind, während Gebäude, Mitarbeitende und Partner intakt bleiben. Ähnlich präzise sollten auch andere Szenarien beschrieben werden:

Wir verwenden zur Beurteilung des Impacts meist die nachfolgenden Schadenszenarien:

• Ausfall IT
  • Alle zentralen IT-Services inklusive Telefonie stehen nicht zur Verfügung
  • Die Mitarbeitenden, Partner / Lieferanten, Gebäude sind unversehrt
  • Das Mobilfunknetz ist intakt
  • Die Schadenursache an sich ist unerheblich, aber man muss davon ausgehen, dass die IT-Services für Tage bis Wochen nicht zur Verfügung stehen.
• Ausfall Mitarbeitende
  • Fachpersonal und Schlüsselpersonen fallen teilweise oder ganz aus
  • Sie sind nicht verfügbar auch nicht per Telefon
  • Die IT-Services, Partner / Lieferanten, Gebäude sind unversehrt
• Ausfall Gebäude
  • Das Gebäude in welchem sich (das Gros) Ihrer Arbeitsplätze befinden ist nicht mehr zugänglich
  • Sie müssen damit rechnen, dass alles zerstört / nicht mehr brauchbar ist
  • Andere Gebäude im Umkreis von mind. 1 Kilometer sind intakt
  • Mitarbeitende, IT-Services, Partner / Lieferanten sind unversehrt
• Ausfall Lieferanten oder Logistikdienste
  • Wichtige, kritische Lieferanten / Drittfirmen sind ausgefallen. Deren Dienstleistungen beziehungsweise Produkte stehen nicht mehr zur Verfügung
  • Die Dauer der Beeinträchtigung ist nicht absehbar
  • Mitarbeitende, IT-Services, Gebäude sind unversehrt
• Weitere relevante Risiken
  • Berücksichtigen Sie allfällige weiteren externen Risiken wie Datenabflüsse, Umweltereignisse, Lieferketten-Disruption durch Geopolitik, Cyberkrieg-Szenarien, AKW-Unfall u.a. gemäss Ihrem Risikomanagement.

Zur einfacheren Darstellung der Schadenszenarien, z. B. in der Heatmap, werden Icons verwendet.

2. Schadenkategorien

Um die Auswirkungen eines Ereignisses systematisch bewerten zu können, ist eine Einteilung in klar In der Business Impact Analyse werden die Schäden bzw. Auswirkungen eines Ereignisses in der Regel in mehrere Kategorien eingeteilt, um sie systematisch bewerten zu können. Diese Kategorien helfen dabei, den Schweregrad und die Priorität von Risiken besser zu verstehen. Die gängigsten Schadenskategorien sind:

Finanzieller Schaden

• Direkte Kosten: z. B. Umsatzverluste, Vertragsstrafen, Wiederherstellungskosten
• Indirekte Kosten: z. B. entgangene zukünftige Geschäfte, Imageverlust mit finanziellen Folgen

Operativer Schaden

• Prozessausfälle: z. B. Produktion steht still, Aufträge können nicht bearbeitet werden
• Ressourceneinschränkungen: z. B. Personal, Materialien, Maschinen nicht verfügbar

Rechtlicher und regulatorischer Schaden

• Verstösse gegen Gesetze oder Richtlinien: z. B. Datenschutz, Produkthaftung

Imageschaden

• Verlust von Vertrauen bei Kunden, Partnern, Investoren, Öffentlichkeit
• Negative Medienberichterstattung

Zeitlicher Schaden

• Verpasste Fristen bei Kundenverträgen, gesetzlichen Anforderungen
• Verzögerungen bei der Wiederherstellung kritischer Prozesse

3. Schadenmetriken

Die Grafik zeigt die Auswirkungen des Ereignisses in 4 Schadenkategorien auf. Eine Heatmap für ein KMU-Industriebetrieb könnte zum Beispiel so aussehen:

4. Der BIA-Fragebogen als zentrales Werkzeug

Der BIA-Fragebogen sollte im Minimum folgende Abschnitte enthalten:

Allgemeine Informationen zum Prozess

Prozessbeschreibung, Prozesstyp, Zweck, Verantwortliche, Anzahl FTE, kritische Ressourcen, Vor-/Nachgelagerte Prozesse u.a., kritische Zeitpunkte, notwendige Services/Applikationen, notwendige Kommunikationsmittel/-kanäle

Fragen hinsichtlich der Schadenszenarien / kritischen Ressourcen

(Beispielfragen, nicht abschliessend)

• Sind Business Continuity Pläne BCP vorhanden?
• Ist ein Arbeiten / Notbetrieb möglich?
• Sind Umschaltprozeduren / Wiederanlaufpläne vorhanden?
• Welcher Minimalbestand an Personal wird für den Prozess benötigt?
• Welche Prozessbestandteile müssen im Minimum ausgeführt werden?
• Verfügen wir über ein Notfallarbeitsplatzkonzept?
• Werden Test & Übungen durchgeführt?
• Welches sind die wichtigsten externen Partner? Besteht eine direkte Abhängigkeit? Sind Verträge vorhanden?

Eruierung des Business Impacts (für alle Schadenkategorien gleich)

Wie sieht der Schaden aus auf der Zeitachse (z.B. nach 1 Tag / 2 Tage / 5 Tage / > 1 Woche?

Rekapitulation

Die entscheidende Konklusion folgt nun auf Basis des eruierten Impacts:

• Wie wird die Prozesskritikalität eingestuft?
• Wie hoch ist der maximal tolerierbare Ausfall (Recovery Time Objective)?
• Wie hoch ist der maximal tolerierbare Datenverlust (Recovery Point Objective)?
• Existieren alternative Prozesse?
• Ist ein Notfallplan vorhanden?
• Wie wird der BCM-Bereitschaftsgrad eingestuft?
• Welche Sofortmassnahmen/mittelfristigen Massnahmen verbessern die Situation?

Ob der BIA-Fragebogen mit einfachen Werkzeugen erstellt (Word, Excel, Power BI) oder in einem BIA Tool umgesetzt wird hängt von den Präferenzen und Möglichkeiten der Unternehmungen ab. Wichtig sind die Qualität und Aktualität der Informationen.

5. Die mutmasslich wichtigsten Prozesse

Die mutmasslich wichtigsten Prozesse finden sie in Gesprächen mit langjährigen Mitarbeitenden bzw. Vorgesetzten schnell. Verlieren Sie sich nicht in Subprozessen, diese können später in der Analyse immer noch beliebig vertieft werden. Haben Sie Mut zur Lücke.

Bei der Durchführung der BIA werden allfällig vergessen gegangene Prozesse ans Licht kommen, spätestens bei den Fragen zu den Abhängigkeiten (notwendiger Input / Prozessnachfolger). 

6. Pilotprozess

Testen Sie Ihren Fragebogen anhand eines Pilotprozesses. Wählen Sie einen Prozess, den viele kennen und der eine hohe Wichtigkeit im Unternehmen hat. Gewinnen Sie den Prozessverantwortlichen für Ihr Vorhaben, denn sie/er unterstützt Sie später bei der Umsetzung.

7. Pilot-BIA

Führen Sie die BIA gemeinsam mit dem Prozessverantwortlichen durch und reflektieren Sie danach Ihre Arbeit bzw. die eingesetzten Hilfsmittel. Passen Sie diese bei Bedarf an.

8. Kick-off Meeting mit den Prozessverantwortlichen

Stellen Sie anlässlich des Kickoff Meetings den Sinn und Zweck der BIA, die Vorgehensweise und die Hilfsmittel vor. Erläutern Sie genau die Szenarien und Metriken, damit alle das gleiche darunter verstehen. Präsentieren Sie gemeinsam mit dem Prozessverantwortlichen die Ergebnisse des Pilotprozesses vor und stellen diese als Anschauungsexemplar zur Verfügung

9. Gemeinsame Durchführung der BIA

Führen Sie mithilfe des vorbereiteten Fragebogens gemeinsam mit den Prozessverantwortlichen die BIA durch. Stellen Sie sicher, dass alle Beteiligen verstehen, dass es sich um ausserordentliche (und hoffentlich seltene) Ereignisse und nicht um kleinere Störungen handelt. Letztere sind Verfügbarkeitsthemen (Availability Management), wo es um das Vermeiden von Ausfällen geht, während die BIA als Werkzeug des IT Service Continuity Management reaktiv und strategisch ist.

Wichtig: ohne geführten Prozess entsteht meist hier das Problem, dass die Prozessverantwortlichen die Ausgangslage unterschiedlich einschätzen und den eigenen Prozess überbewerten, so dass zu hohe Anforderungen resultieren!

10. Review & Vernehmlassung der BIA-Ergebnisse

Lassen Sie die Ergebnisse durch den Vorgesetzten der Prozessverantwortlichen verifizieren. Damit stellen Sie sicher, dass die Vorgesetzten Kenntnisse der Analyseergebnisse haben und diese für richtig befinden. Damit liegt grünes Licht vor, zur Konsolidierung sämtlicher BIA im nächsten Schritt.

11. Konsolidierung der Ergebnisse

Stellen Sie übergeordnet die wichtigsten Erkenntnisse pro Schadenszenario in einer Übersicht dar. Fassen Sie die ausserdem die kritischen Ressourcen / Applikationen / Abhängigkeiten zu Provider etc. zusammen und stellen sie den aktuellen Vorbereitungsstand bzw. Handlungsbedarf dar.

Konsolidieren Sie die Ergebnisse der einzelnen BIA, indem sie unter anderem eine Unternehmens-Heatmap erstellen. Diese Heatmap zeigt die Gesamtkritikalität in einer Matrix mehrdimensional auf, in welchen Prozessen nach welcher Zeit der grösste Business Impact entsteht und welche Schadenszenarien diesen auslösen.

12. Vernehmlassung der konsolidierten Ergebnisse

Stellen Sie dem Teilnehmerkreis des Kickoff Meetings (Schritt 8) die konsolidierten Ergebnisse vor. Damit ist gewährleistet, dass alle Prozessverantwortlichen Ihren Prozess im Kontext der anderen wichtigen Prozesse einsehen und verstehen können. Sollten noch Anpassungen / Präzisierungen notwendig sein, wäre dies nun der letzte Zeitpunkt vor der Abschlusspräsentation. 

13. Abschlusspräsentation Management

Für das Management werden die wichtigsten Punkte der BIA zusammengefasst und präsentiert. Die Präsentation enthält die wichtigsten Ergebnisse – allen voran die Unternehmens-Heatmap – wie auch Empfehlungen und Anträge zur Freigabe der nächsten Schritte z.B.:

• z.B. Umsetzung Sofortmassnahmen zur Verbesserung der aktuellen Vorsorge mit Fokus auf den wichtigsten Prozessen
• Erarbeitung der übergeordneten oder prozess-spezifischen BCM-Strategie
• Erstellung / Aktualisierung der Business Continuity Pläne

Damit verfügen Sie über eine aussagekräftige BIA auf welcher Basis sie wirkungsvolle und angemessene Vorsorgemassnahmen aufbauen können.

Kontinuität statt Einmalprojekt

Eine Business Impact Analyse ist kein Dokument, das man einmal erstellt und dann ablegt. Sie muss regelmässig überprüft und aktualisiert werden, sei es jährlich, nach organisatorischen Veränderungen oder bei neuen regulatorischen Anforderungen. Nur dann bleibt sie ein wirksames Steuerungsinstrument.

Fazit

Die Business Impact Analyse ist weit mehr als eine Checkliste. Sie ist ein strategisches Steuerungsinstrument, das Ihnen hilft, klare Prioritäten zu setzen, Risiken zu verstehen und regulatorischen Anforderungen gerecht zu werden. Wenn Sie pragmatisch starten, methodisch konsequent vorgehen und die Ergebnisse regelmässig aktualisieren, schaffen Sie eine solide Basis, um Ihr Unternehmen auch in Ausnahmesituationen handlungsfähig zu halten.

---

Anhänge

Anhang 1 – Die BIA in internationalen Standards:

Weitere Informationen zur Durchführung einer BIA finden Sie in verschiedenen internationalen Standards:

ISO/IEC 22301:2019 – Security and resilience – Business continuity management systems – Requirements

• Internationaler BCM-Standard
• BIA ist Pflichtbestandteil zur Ermittlung kritischer Aktivitäten, Auswirkungen und Wiederanlaufzeiten.
• Kapitel 8.2: Business Impact Analysis and Risk Assessment
• Grundlage für Aufbau eines zertifizierbaren BCM-Systems.

BSI-Standard 200-4 (DE)

• Deutscher Standard für Business Continuity Management (Nachfolger des BSI 100-4)
• Modul 3: Business-Impact-Analyse
• Detaillierte Anleitung zur Durchführung der BIA (inkl. Prozesse, Kriterien, Bewertungsmethodik)
• Anwendung v. a. in Behörden, KRITIS-Unternehmen, öffentliche Verwaltung

NIST SP 800-34 Rev. 1 – Contingency Planning Guide for Federal Information Systems (USA)

• Führt die BIA als wesentlichen Bestandteil der Notfallplanung auf
• Teil des übergeordneten IT-Risikomanagements

FINMA Rundschreiben 2023/1 „Operational risks and resilience“ (CH)

• Schweizer Finanzmarktaufsicht (für Banken und Versicherer)
• BIA ist verbindlich vorgeschrieben zur Ermittlung kritischer Geschäftsprozesse und Abhängigkeiten
• Bezieht sich auf das Prinzip der operationalen Resilienz

EU DORA – Digital Operational Resilience Act (seit 2025 vollständig wirksam)

• Verordnung für Finanzunternehmen in der EU
• BIA wird implizit verlangt, z. B. zur Bestimmung kritischer Funktionen, Toleranzgrenzen (z. B. MTPD), und für Ausfallszenarien.
• Relevant für Banken, Versicherungen, Kryptoanbieter, ICT-Dienstleister

ENISA Guidelines (EU) – für kritische Informationsinfrastrukturen

• Empfehlung zur Durchführung einer BIA im Rahmen der Risikoanalyse
• Teil der Umsetzung der NIS2-Richtlinie

MaRisk (AT 7.3 / BAIT / VAIT) – Deutschland (BaFin)

• In MaRisk: „angemessene Notfallkonzepte“ → BIA ist faktisch erforderlich
• In BAIT/VAIT (für IT bei Banken/Versicherern): BIA zur Bestimmung des Schutzbedarfs und kritischer Anwendungen

CRA – Cyber Resilience Act (EU, seit Dezember 2024 in Kraft, gültig ab 2027)

Der CRA gilt für alle Unternehmen, die digitale Produkte oder Software auf dem EU-Markt bereitstellen, unabhängig vom Sitz – sofern sie kommerziell vertrieben werden. Es besteht eine indirekte Anforderungen zur Durchführung einer Business Impact Analyse, da für betroffene Unternehmen folgende Pflichtaufgaben haben (nicht abschliessende Liste):

• Cybersicherheitsrisiken während des gesamten Lebenszyklus bewerten (Art. 10 CRA),
• Bedrohungen und Schwachstellen identifizieren,
• Auswirkungen auf Benutzer und deren Daten analysieren.

---

Anhang 2 – Glossar

Business Continuity Management BCM

BCM ist ein Managementsystem mit dem Ziel, die Widerstandsfähigkeit einer Organisation gegenüber schwerwiegenden Störungen zu erhöhen und die Fortführung kritischer Geschäftsprozesse sicherzustellen.

Business Impact Analyse BIA

Die BIA ist ein Verfahren zur Identifikation kritischer Geschäftsprozesse, ihrer Abhängigkeiten und der Auswirkungen von Ausfällen. In der BIA werden Auswirkungskennzahlen wie maximale Wiederanlaufzeiten (RTO) und der maximale Datenverlust (RPO) bestimmt.

Business Continuity Plan BCP

Der BCP ist die dokumentierte Umsetzung der BCM-Strategie für definierte Ausfallszenarien. Er enthält detaillierte Notfallverfahren, Verantwortlichkeiten, Kommunikationswege und Massnahmen zur Wiederherstellung, inklusive Übergaben an Disaster‑Recovery‑Pläne, um kontrollierte Reaktionen sicherzustellen.

Recovery Time Objective RTO

Das RTO ist der maximal tolerierbare Zeitraum, innerhalb dessen ein Prozess oder System nach einem Ausfall wieder einsatzfähig sein muss. Es wird prozessspezifisch festgelegt, basierend auf den Ergebnissen der BIA (z. B. Wiederherstellung innerhalb 4 Stunden)

Recovery Point Objective RPO

Das RPO beschreibt die maximal zulässige Datenverlustspanne im Falle eines Ausfalls – d. h. wie weit zurück (z. B. eine Stunde) Daten wiederhergestellt werden müssen, um den Betrieb fortzusetzen. Auch dieser Wert wird prozessabhängig über die BIA bestimmt.

Risikoanalyse RA

Die Risikoanalyse ist der strukturierte Prozess zur Identifikation, Bewertung und Priorisierung von Risiken, die sich aus potenziellen Bedrohungen und Schwachstellen ergeben. Ziel ist es, fundierte Entscheidungen über Schutzmassnahmen, Vorsorge und Risikobehandlung zu ermöglichen.