Kritikalität erkennen, Risiken priorisieren – Business-Impact-Analyse und Risikoanalyse

Warum ist das Thema für ALLE Unternehmen so relevant?

Resilienz entsteht nicht dadurch, dass alle Systeme gleich behandelt werden. Entscheidend ist die Frage: Welche Prozesse, Anwendungen und Ressourcen sind wirklich kritisch für den Geschäftsbetrieb? Organisationen stehen zunehmend vor der Aufgabe, ihre geschäftskritischen Prozesse, Anwendungen und Systeme nachvollziehbar abzusichern.

Die zentrale Frage lautet daher nicht: „Was ist technisch alles vorhanden?“, sondern: „Was muss aus Sicht des Unternehmens wirklich funktionieren, damit Wertschöpfung, Lieferfähigkeit, Sicherheit und Nachweispflichten erhalten bleiben?“

Genau hier setzt die Business-Impact-Analyse an. Sie schafft Transparenz darüber, welche Geschäftsprozesse besonders kritisch sind, welche Ressourcen diese Prozesse benötigen und ab wann ein Ausfall nicht mehr tragbar ist. Damit bildet sie eine belastbare Grundlage für Managemententscheidungen, Investitionsprioritäten, Notfallplanung und Risikosteuerung.

Gefordert wird dieser Ansatz auch durch regulatorische Anforderungen – handels- und gesellschaftsrechtliche Pflichten, Vorgaben aus dem BSI-Gesetz, das die Anforderungen der IT-Sicherheitsgesetze umfasst, Anforderungen des NIS2-Umsetzungsgesetzes sowie weitere Anforderungen bezüglich kritischer Dienstleistungen (kDL; KRITIS). Auch Normen, die häufig in der Lieferkette gefordert werden, wie die ISO/IEC 27001, sowie branchenspezifische Standards (z. B. TISAX) und Versicherungsanforderungen zielen alle in eine Richtung: Risiken sollen verstanden, bewertet, gesteuert und dokumentiert werden.

Das Ziel ist eine umfassende Perspektive auf Resilienz: kritische Prozesse identifizieren, abhängige Ressourcen erkennen, Risiken priorisieren und daraus wirksame Maßnahmen ableiten. Business-Impact-Analyse und Risikoanalyse sind dabei keine isolierten Übungen, sondern aufeinander aufbauende Bausteine einer belastbaren Sicherheits- und Resilienzstrategie.

Mein Anliegen an Sie ist: Normen und Standards sollten an dieser Stelle nicht als Belastung verstanden werden, sondern als strukturierende Hilfsmittel. Sie liefern Begriffe, Vorgehensmodelle und Mindestanforderungen.

Was leistet die Business-Impact-Analyse?

Die Business-Impact-Analyse (BIA) zeigt, welche Geschäftsprozesse bei einer Unterbrechung besonders hohe Auswirkungen verursachen würden. Sie betrachtet dabei den geschäftlichen Schaden: operative Einschränkungen, finanzielle Folgen, regulatorische Konsequenzen, Reputationsschäden oder Auswirkungen auf Kunden und Lieferfähigkeit.

Das Ergebnis ist eine priorisierte Sicht auf kritische Prozesse und deren Abhängigkeiten. Damit wird sichtbar, welche Ressourcen für die Organisation tatsächlich kritisch sind – und welche nur auf den ersten Blick wichtig erscheinen.

Wie läuft die Business-Impact-Analyse ab?

Zunächst wird der Betrachtungsrahmen definiert. Dazu gehören die betroffenen Organisationseinheiten, Prozessbereiche, Standorte, Anwendungen oder Systemlandschaften. Im nächsten Schritt werden Schadensszenarien, Schadenskategorien und Zeithorizonte festgelegt. Eine Unterbrechung kann nach wenigen Minuten unkritisch sein, nach mehreren Stunden relevant werden und nach Tagen existenzielle Folgen haben. Deshalb sollte die Bewertung zeitlich gestaffelt erfolgen. Für jeden Zeithorizont wird betrachtet, welche Auswirkungen ein Ausfall hätte und ab wann ein definierter Schwellenwert überschritten wird – das sogenannte Untragbarkeitsniveau.

Die Prozesse werden mit den jeweiligen Verantwortlichen bewertet. Die Prozessverantwortlichen können am besten einschätzen, welche Auswirkungen eine Unterbrechung hätte, welche Abhängigkeiten bestehen und welche (IT-)Ressourcen für die Leistungserbringung erforderlich sind. Ein zentraler Schritt ist dabei die Abhängigkeitsanalyse. Viele kritische Prozesse hängen nicht nur von einer einzelnen Anwendung oder einem einzelnen System ab. Häufig bestehen Abhängigkeiten zu Datenbanken, Steuerungssystemen, Netzwerken, Sensorik, manuellen Tätigkeiten, Dienstleistern oder Gebäudetechnik. Die BIA macht diese Abhängigkeiten sichtbar und bewertet ihre Bedeutung für den jeweiligen Prozess.

Am Ende steht ein verwertbares Ergebnis: eine priorisierte Sicht auf Prozesse, Anwendungen, Systeme und weitere Ressourcen. Sie zeigt auf, welche Prozesse und darunterliegenden Objekte besonders schutzbedürftig sind, welche Wiederanlaufziele gelten und wo Abhängigkeiten bestehen. All das sollte bei Notfallplanungen, Sicherheitsmaßnahmen und Investitionsentscheidungen berücksichtigt werden.

Der ideale Einstieg für eine Risikoanalyse

Die BIA beantwortet die Frage: Was ist für die Organisation besonders wichtig?

Die Risikoanalyse beantwortet anschließend: Wodurch kann es gefährdet werden und mit welcher Priorität müssen wir handeln?

Damit ist die BIA ein sehr guter Startpunkt für jede Risikoanalyse. Ohne diesen geschäftlichen Kontext besteht die Gefahr, Risiken rein technisch oder zu breit zu bewerten. Mit einer vorgelagerten BIA ändert sich die Perspektive. Die Risikoanalyse startet nicht bei einer beliebigen Systemliste, sondern bei den Prozessen und Ressourcen, deren Ausfall besonders schwerwiegende Folgen hätte. Dadurch wird die Risikoanalyse fokussierter, nachvollziehbarer und entscheidungsorientierter.

Statt einer allgemeinen Risikobetrachtung entsteht so eine fokussierte Analyse mit klarem Bezug zum Geschäftsbetrieb.

Die anschließende Risikoanalyse

Für die Durchführung der Risikoanalyse stehen unterschiedliche methodische Ansätze zur Verfügung, darunter qualitative, quantitative sowie hybride Verfahren. Hierbei sollte man sich nicht im Detail verlieren, denn entscheidend ist weniger die Wahl einer einzelnen Methode (die sich im Allgemeinen häufig ähneln) als vielmehr die stringente, nachvollziehbare Logik der Analyse.

Für die im Rahmen der Business-Impact-Analyse identifizierten kritischen Ressourcen werden relevante Gefährdungen und bestehende Schwachstellen systematisch betrachtet und bewertet. Dabei werden in der Regel die Eintrittswahrscheinlichkeit und die Auswirkung (der potenzielle Schaden) in einer Matrixdarstellung betrachtet.

Auf dieser Basis lassen sich Risikowerte ableiten, Risiken priorisieren und geeignete Behandlungsoptionen bestimmen.
Risiken können bis zu einem gewissen Maß bewusst akzeptiert werden. Die Regel sollte jedoch sein, dass Risiken durch Maßnahmen vermieden, reduziert oder übertragen werden.

Eine kurze Zusammenfassung

Die Business-Impact-Analyse schafft Fokus. Sie hilft, begrenzte Ressourcen dort einzusetzen, wo sie den größten Beitrag zur Resilienz leisten: bei den kritischen Prozessen, Anwendungen und Systemen.

Sie macht Abhängigkeiten transparent, unterstützt eine nachvollziehbare Priorisierung von Maßnahmen und bildet eine Grundlage für Managemententscheidungen. In Kombination mit einer Risikoanalyse entsteht daraus ein wirkungsvolles Gesamtkonzept, um Risiken nicht nur zu erfassen, sondern strukturiert und zielgerichtet zu steuern.

Kurz gesagt: Die BIA zeigt, was wirklich geschützt werden muss. Die Risikoanalyse zeigt, wovor und mit welcher Priorität.