Was ist eine Business Impact Analyse (BIA)?
Eine Business Impact Analyse (BIA) bewertet die möglichen direkten und indirekten Folgen von Notfällen, Krisen oder Prozessausfällen und leitet daraus zeitkritische Prozesse, benötigte Ressourcen und Wiederanlaufprioritäten ab.
Der Normwortlaut
„Die betreffenden Einrichtungen führen eine Analyse der betrieblichen Auswirkungen durch, um die möglichen Auswirkungen schwerwiegender Störungen auf ihre Betriebsabläufe zu bewerten“
Normtext und Quellenbindung: Der Ausschnitt stammt aus Anhang Nummer 4.1.3 der Durchführungsverordnung (EU) 2024/2690. Auf Grundlage dieser Analyse müssen die betreffenden Einrichtungen Kontinuitätsanforderungen für ihre Netz- und Informationssysteme festlegen.
Rechtliche Einordnung: Für den begrenzten Adressatenkreis der unmittelbar geltenden Durchführungsverordnung ist die Analyse der betrieblichen Auswirkungen verbindlich. Davon zu unterscheiden ist die NIS-2-Richtlinie: Artikel 21 Absatz 1 verpflichtet die Mitgliedstaaten, sicherzustellen, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu beherrschen, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen. Die einrichtungsbezogene Pflicht wird über die jeweilige nationale Umsetzung vermittelt. Die Maßnahmen müssen dem bestehenden Risiko angemessen sein; bei der Beurteilung ihrer Verhältnismäßigkeit sind Risikoexposition, Größe der Einrichtung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Artikel 21 Absatz 2 verlangt einen gefahrenübergreifenden Ansatz und nennt unter Buchstabe c die Aufrechterhaltung des Betriebs einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement, aber keine BIA als bestimmte Methode.
Wozu dient die BIA?
Technische Einordnung: Die BIA ist ein fachlicher Prozess des Business Continuity Managements und kein einzelnes technisches Werkzeug. Sie untersucht Störungsfolgen, Abhängigkeiten, Prozessketten, zeitliche Kritikalität und Ressourcenbedarf. Ihre Ergebnisse unterstützen die Festlegung von Kontinuitätsanforderungen und die Priorisierung des Wiederanlaufs.
Für wen ist eine BIA verbindlich?
Normative Reichweite: Die ausdrückliche unionsrechtliche Pflicht aus Anhang Nummer 4.1.3 der Durchführungsverordnung (EU) 2024/2690 gilt nur für die von Artikel 1 Absatz 1 und Artikel 2 erfassten DNS- und TLD-Anbieter, Vertrauensdiensteanbieter sowie die dort aufgeführten Cloud-, Rechenzentrums-, CDN-, Managed-Service-, Online-Plattform- und Suchdienste, soweit sie von Artikel 3 der NIS-2-Richtlinie erfasst sind.
Die Richtlinie verpflichtet die Mitgliedstaaten, die allgemeinere NIS-2-Anforderung an Betriebskontinuität für wesentliche und wichtige Einrichtungen nach Maßgabe ihres Anwendungsbereichs durch nationales Recht sicherzustellen. Sektorspezifische Rechtsakte können nach Artikel 4 der NIS-2-Richtlinie vorrangige gleichwertige Anforderungen enthalten. Außerhalb dieser Rechtsregime bleibt die BIA eine organisationsübergreifend einsetzbare BCM-Methode; daraus folgt keine pauschale gesetzliche BIA-Pflicht für jede Organisation.
Wann wird eine BIA durchgeführt oder aktualisiert?
Eine BIA ist Vorsorge und setzt keinen bereits eingetretenen Sicherheitsvorfall voraus. Im Adressatenkreis der Durchführungsverordnung folgt ihre Durchführung unmittelbar aus Anhang Nummer 4.1.3. Erhebliche Sicherheitsvorfälle oder wesentliche Änderungen lösen nach Nummer 4.1.4 die Überprüfung des zugehörigen Notfallplans aus; zusätzlich sind dessen geplante Überprüfungsintervalle einzuhalten.
BSI-Facheinordnung: Für andere Institutionen richten sich Einführung und Aktualisierung nach dem BCM. Relevante Anlässe können wesentliche Änderungen von Prozessen, Ressourcen oder Abhängigkeiten sowie besondere Termine oder zeitkritische Ereignisse sein, wenn diese die Kritikalitätsbewertung verändern.
Welche Ergebnisse liefert eine BIA?
Die Analyse dokumentiert mögliche Ausfallfolgen und macht sichtbar, welche Geschäftsprozesse innerhalb welcher zeitlichen Priorität wieder benötigt werden und welche Ressourcen sowie Abhängigkeiten dafür maßgeblich sind. Diese Bewertung liefert eine Entscheidungsgrundlage für Kontinuitäts-, Vorsorge- und Wiederanlaufmaßnahmen; sie ist selbst noch kein Notfall- oder Wiederanlaufplan.
Wie unterscheidet sich die BIA von einer Risikoanalyse?
Die BIA fragt nach den Folgen und der zeitlichen Kritikalität eines Ausfalls. Die Risikoanalyse untersucht demgegenüber Gefährdungen und Risiken für die Kontinuität und Verfügbarkeit. Beide Arbeitsschritte ergänzen einander, sind aber nicht austauschbar. Die BIA ersetzt weder die Risikoanalyse noch die konkrete Notfall- und Wiederanlaufplanung.
Gelten feste Fristen oder Schwellenwerte?
Es gibt keine allgemeine feste BIA-Frist und keinen einheitlichen numerischen Kritikalitätsschwellenwert. Auch Anhang Nummer 4.1.3 der Durchführungsverordnung nennt keine isolierte Durchführungsfrist. Geplante und anlassbezogene Überprüfungen des zugehörigen Notfallplans sind davon zu unterscheiden. Sektorale Rechtsakte, Verträge oder interne BCM-Vorgaben können eigene Fristen, Prüfintervalle, Zielzeiten oder Schwellenwerte festlegen.
Häufige Fehlannahmen
Die folgenden Abgrenzungen verhindern, dass Reichweite und Ergebnis einer BIA überschätzt werden:
- „Eine BIA ist für jede Organisation gesetzlich vorgeschrieben.“ Nein. Die ausdrückliche unionsrechtliche Pflicht gilt nur für den festgelegten Adressatenkreis der Durchführungsverordnung; darüber hinaus kann die BIA als BCM-Methode eingesetzt werden.
- „Artikel 21 NIS 2 schreibt ausdrücklich eine BIA vor.“ Nein. Er verlangt Betriebskontinuitätsmaßnahmen, benennt die BIA jedoch nicht als Methode. Die ausdrückliche Pflicht steht in Anhang Nummer 4.1.3 der Durchführungsverordnung (EU) 2024/2690.
- „Eine BIA beginnt erst nach einem Sicherheitsvorfall.“ Nein. Sie ist Teil der Vorsorge. Ein erheblicher Sicherheitsvorfall oder eine wesentliche Änderung ist im Verordnungsregime ein Anlass zur Überprüfung des Notfallplans.
- „BIA und Risikoanalyse sind dasselbe.“ Nein. Die BIA bewertet Ausfallfolgen und Zeitkritikalität; die Risikoanalyse untersucht Gefährdungen und Risiken.
- „Eine niedrige Wiederanlaufpriorität bedeutet, dass die Aktivität unwichtig ist.“ Nein. Die Einstufung betrifft ihre zeitliche Priorität nach einer Unterbrechung, nicht ihren allgemeinen Wert für die Organisation.
Was die Geschäftsleitung tun sollte
Praxisempfehlung, keine allgemeine gesetzliche BIA-Berichtspflicht: Die Geschäftsleitung sollte insbesondere folgende Schritte veranlassen:
- Methode, Betrachtungsumfang, Bewertungsperioden und nachvollziehbare Kriterien für Auswirkungen und zeitliche Kritikalität festlegen lassen.
- Fach-, Prozess- und BCM-Verantwortliche einbeziehen, damit Prozesse, Abhängigkeiten, besondere Termine und benötigte Ressourcen vollständig bewertet werden.
- Ergebnisse, Annahmen, priorisierte Prozesse und Ressourcen dokumentieren und bei wesentlichen Änderungen aktualisieren lassen.
- Die Prioritäten in konkrete Kontinuitäts-, Vorsorge-, Notfall- und Wiederanlaufmaßnahmen überführen und deren Umsetzung überwachen.
Rechtliche Governance: Artikel 20 Absatz 1 der NIS-2-Richtlinie verpflichtet die Mitgliedstaaten, sicherzustellen, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen nach Artikel 21 billigen und ihre Umsetzung überwachen; die einrichtungsbezogene Pflicht wird über die jeweilige nationale Umsetzung vermittelt. Daraus folgt keine gesondert formulierte allgemeine Pflicht, einen als solchen bezeichneten „BIA-Bericht“ zu genehmigen.
Für die Geschäftsleitung
Die BIA schafft eine nachvollziehbare Grundlage dafür, welche Prozesse und Ressourcen nach einer Störung zuerst wieder verfügbar sein müssen. Die Leitung sollte den Bewertungsrahmen, die Beteiligung der Verantwortlichen, die Überführung der Ergebnisse in Maßnahmen und deren dokumentierte Aktualisierung sicherstellen. Ob darüber hinaus eine verbindliche BIA-Pflicht besteht, hängt vom konkreten Adressatenkreis sowie von anwendbaren unionsrechtlichen, nationalen, sektoralen, vertraglichen und internen Vorgaben ab.
Quellen
- Durchführungsverordnung (EU) 2024/2690, insbesondere Artikel 1 und 2 sowie Anhang Nummern 4.1.3 und 4.1.4.
- Richtlinie (EU) 2022/2555 (NIS 2), insbesondere Artikel 3, 4, 20 Absatz 1 und 21 Absätze 1 und 2 Buchstabe c.
- BSI-Standard 200-4: Business Continuity Management, insbesondere Kapitel 7 zur Business-Impact-Analyse.
