Eine Business Impact Analyse (BIA) ist ein wesentlicher Bestandteil im Business Continuity Management in Unternehmen. Sie hilft, die kritischen Prozesse und Systeme zu identifizieren, die für den Unternehmenserfolg unerlässlich sind. In diesem Blog werfen wir zunächst einen Blick auf die grundlegenden Prinzipien der BIA. Anschließend betrachten wir, wie sie speziell im Kontext der ISO/IEC 27001:2022 angewandt wird.
Der Inhalt im Überblick
Grundlagen der Business Impact Analyse
Die Business Impact Analyse dient dazu, die potenziellen Auswirkungen von Störungen auf die Geschäftsprozesse eines Unternehmens zu bewerten. Ziel ist es, die Abhängigkeiten zwischen Prozessen, Ressourcen, Systemen und anderen potenziellen Einflussfaktoren zu verstehen. Dabei wird untersucht, welche Prozesse für das Unternehmen kritisch sind und welche Ressourcen benötigt werden, um diese Prozesse aufrechtzuerhalten.
Neben der intrinsischen Motivation des Unternehmens, resilienter zu werden, gibt es auch externe Einflüsse, die die Durchführung einer BIA erfordern können. So ist die Kontinuität der Geschäftsprozesse eine Anforderung der NIS-2 Richtlinie und die Durchführung einer BIA indirekt auch eine der Anforderungen der ISO 27001.
Fokus auf IKT-Systeme in der ISO/IEC 27001:2022
Im Kontext eines ISMS nach ISO 27001 führen Unternehmen häufig eine BIA durch. Diese dient dazu, die IKT-Systeme zu identifizieren, die für die Unternehmensprozesse essenziell sind. Die Norm fordert in Maßnahme 5.30, dass die Verfügbarkeit und Wiederherstellbarkeit der IKT-Systeme innerhalb der tolerablen Ausfallzeiten der verbundenen Prozesse liegen.
Warum sind IKT-Systeme so wichtig?
IKT-Systeme sind das Rückgrat moderner Geschäftsprozesse. Ein Ausfall dieser Systeme kann weitreichende Auswirkungen auf die gesamte Prozesskette haben. Beispiel: Fällt ein zentrales ERP-System aus, können Produktions-, Logistik- und Finanzprozesse gleichzeitig beeinträchtigt werden. Die ISO 27001 hilft, durch gezielte Maßnahmen sicherzustellen, dass kritische IKT-Systeme robust und widerstandsfähig sind.
Festlegung der Ausfallzeiten
Ein essenzieller Schritt der BIA ist die Bewertung der maximal tolerierbaren Ausfallzeit (Maximum Tolerable Period of Disruption, MTPD) für jedes IKT-System basierend auf den Anforderungen der zugrunde liegenden Prozesse. Diese Bewertung hilft, Prioritäten bei der Risikominimierung zu setzen. Systeme mit einer besonders kurzen MTPD erfordern meist höhere Investitionen in Redundanz und Sicherheit.
Hier muss berücksichtigt werden, dass das ERP-System aus obigem Beispiel eventuell in der Logistik nur wöchentlich verwendet wird, wohingegen die Fertigung täglich darauf zugreifen muss. Hieran zeigt sich, dass die Verfügbarkeitsanforderung des ERP-Systems falsch eingeschätzt werden könnte, wenn man nur die Logistik betrachten würde.
Prozessketten und ihre Abhängigkeiten
Ein wesentlicher Aspekt der BIA ist die Analyse der Prozessketten und ihrer Abhängigkeiten. In vielen Unternehmen sind Prozesse nicht isoliert, sondern eng miteinander verknüpft. Die Identifikation dieser Abhängigkeiten ist entscheidend, um die Auswirkungen eines Ausfalls zu verstehen.
IKT-Systeme als Schlüsselfaktor
In der Praxis zeigt sich oft, dass bestimmte IKT-Systeme eine übergeordnete Rolle spielen. Diese sogenannten Schlüsselsysteme müssen besonders geschützt werden. Die ISO 27001 fordert deshalb nicht nur eine Analyse, sondern auch die Umsetzung von Maßnahmen und eine kontinuierliche Überwachung dieser Systeme, um Risiken frühzeitig zu erkennen.
Den Fokus nicht zu eng setzen
Maßnahme 5.30 der ISO 27001:2022 konzentriert sich zwar namentlich auf die IKT-Systeme, aber im Hinblick auf das Schutzziel „Verfügbarkeit“ geht es im ISMS nicht nur um diese Systeme. Ein ISMS sollte auch sicherstellen, dass die Unternehmensprozesse als zentraler Wert geschützt werden.
In diesem Sinne lohnt der Blick auf andere Abhängigkeiten und Einflussfaktoren, bspw. externe Dienstleister und Lieferanten, und kann „Aha-Momente“ bewirken – und eine Änderung von Service-Level Agreements erfordern.
Den Mehrwert der Business Impact Analyse erkennen
Die Durchführung einer Business Impact Analyse im Rahmen der ISO/IEC 27001:2022 bietet erhebliche Vorteile. Unternehmen erhalten nicht nur einen klaren Überblick über kritische Prozesse, sondern identifizieren gleichzeitig solche Systeme, deren Ausfall den Stillstand mehrerer Prozesse verursachen würden. Damit können Ausfallrisiken gezielt behandelt und die Betriebssicherheit nachhaltig erhöht werden.
Durch die Fokussierung auf IKT-Systeme und die Verknüpfung mit Prozessketten wird die BIA zu einem unverzichtbaren Instrument für jedes Unternehmen, das seine IT-Sicherheit optimieren möchte. Die Investition in eine fundierte BIA zahlt sich durch gesteigerte Resilienz und langfristige Wettbewerbsfähigkeit aus.
