---
title: "Business Impact Analysis (BIA): Definition"
description: "Erfahren Sie, wie Sie eine Business Impact Analysis durchführen, die ISO 27001, SOC 2, NIS2 und DORA erfüllt. Umfasst BIA-Methodik, RTO/RPO-Bestimmung, kritische Prozessidentifizierung und Compliance-Nachweise."
canonical: https://www.orbiqhq.com/de/glossar/business-impact-analysis
html: https://www.orbiqhq.com/de/glossar/business-impact-analysis
publisher: Orbiq GmbH
language: en
---
# Business Impact Analysis (BIA): Definition

Erfahren Sie, wie Sie eine Business Impact Analysis durchführen, die ISO 27001, SOC 2, NIS2 und DORA erfüllt. Umfasst BIA-Methodik, RTO/RPO-Bestimmung, kritische Prozessidentifizierung und Compliance-Nachweise.


## Was ist eine Business Impact Analysis?

Eine Business Impact Analysis (BIA) ist ein systematischer Prozess, der kritische Geschäftsprozesse identifiziert, die Auswirkungen von Störungen auf diese Prozesse bestimmt und Wiederherstellungsprioritäten und -ziele festlegt. Die BIA beantwortet die grundlegende Frage: Wenn dieser Prozess stoppt, was passiert mit dem Unternehmen und wie schnell muss er wiederhergestellt werden?

Für compliance-orientierte Organisationen ist die BIA eine verbindliche Anforderung unter ISO 27001, SOC 2, NIS2 und DORA und bildet die Grundlage für Business-Continuity- und Disaster-Recovery-Planung.

## BIA-Komponenten

| Komponente | Beschreibung | Ergebnis |
| --- | --- | --- |
| **Prozessidentifizierung** | Katalogisierung aller Geschäftsprozesse und ihrer Verantwortlichen | Prozessinventar mit Kritikalitätsbewertungen |
| **Auswirkungsbewertung** | Bestimmung finanzieller, operativer und regulatorischer Auswirkungen | Auswirkungsbewertungen nach Prozess und Zeitrahmen |
| **Wiederherstellungsziele** | Definition von RTO und RPO für jeden kritischen Prozess | Dokumentierte RTO/RPO-Ziele |
| **Abhängigkeitsmapping** | Identifizierung von System-, Daten-, Personal- und Lieferantenabhängigkeiten | Abhängigkeitsmatrix |
| **Ressourcenbedarf** | Bestimmung der für die Wiederherstellung benötigten Ressourcen | Wiederherstellungsressourcenplan |
| **Minimale Business Continuity** | Definition minimaler akzeptabler Servicelevel während Störungen | Mindestbetriebsanforderungen |

## Wiederherstellungsziele

| Metrik | Definition | Bestimmt |
| --- | --- | --- |
| **RTO** | Maximal akzeptable Ausfallzeit bis zur Wiederherstellung | Wiederherstellungsgeschwindigkeit, Infrastrukturdesign |
| **RPO** | Maximal akzeptabler Datenverlust | Backup-Frequenz, Replikationsstrategie |
| **MTD/MTPD** | Maximal tolerierbare Ausfallzeit vor irreversiblem Schaden | Absoluter Wiederherstellungstermin |
| **WRT** | Work Recovery Time — Zeit zur Überprüfung und Wiederherstellung nach Systemrückkehr | Gesamte Wiederherstellungszeit |
| **MBCO** | Minimum Business Continuity Objective — minimal akzeptables Servicelevel | Betrieb im eingeschränkten Modus |

## Auswirkungskategorien

| Kategorie | Messung | Beispiele |
| --- | --- | --- |
| **Finanziell** | Umsatzverlust, Strafen, Wiederherstellungskosten | 50.000 €/Stunde Umsatzverlust, SLA-Strafen |
| **Operativ** | Prozessstörung, Produktivitätsverlust | 200 Mitarbeiter können nicht arbeiten |
| **Regulatorisch** | Compliance-Verstöße, Bußgelder | NIS2-Meldefehler, DSGVO-Verletzung |
| **Reputation** | Kundenvertrauen, Markenschaden | Medienberichterstattung, Kundenabwanderung |
| **Vertraglich** | SLA-Verletzungen, Partnerverpflichtungen | Verpasste Lieferverpflichtungen |
| **Rechtlich** | Rechtsstreitigkeiten, Haftungsrisiko | Fahrlässigkeitsklagen, regulatorische Maßnahmen |

## BIA-Methodik

| Phase | Aktivitäten | Ergebnisse |
| --- | --- | --- |
| **Planung** | Umfang definieren, Stakeholder identifizieren, Fragebögen vorbereiten | BIA-Projektplan, Fragebogenvorlagen |
| **Datenerhebung** | Prozessverantwortliche befragen, Dokumentation prüfen, Prozesse abbilden | Ausgefüllte Fragebögen, Prozesslandkarten |
| **Analyse** | Auswirkungen über Zeit bewerten, Kritikalität bestimmen, RTO/RPO festlegen | Auswirkungsanalysebericht, Kritikalitätsmatrix |
| **Validierung** | Ergebnisse mit Stakeholdern prüfen, Abhängigkeiten verifizieren | Validierte BIA-Ergebnisse |
| **Berichterstellung** | Ergebnisse, Empfehlungen und Wiederherstellungsprioritäten dokumentieren | BIA-Bericht mit Management-Summary |
| **Pflege** | Jährliche Überprüfung, änderungsgetriebene Aktualisierungen | Aktualisierte BIA-Dokumentation |

## Kritikalitätsklassifizierung

| Stufe | Beschreibung | RTO-Ziel | RPO-Ziel | Beispiel |
| --- | --- | --- | --- | --- |
| **Kritisch** | Geschäftsbedrohend bei Störung | < 4 Stunden | < 1 Stunde | Zahlungsverarbeitung, kundenorientierte Plattform |
| **Hoch** | Signifikante Auswirkung innerhalb von Stunden | 4-24 Stunden | 1-4 Stunden | E-Mail, CRM, ERP-Systeme |
| **Mittel** | Spürbare Auswirkung innerhalb von Tagen | 1-3 Tage | 24 Stunden | Internes Reporting, HR-Systeme |
| **Niedrig** | Minimale kurzfristige Auswirkung | 3-7 Tage | 24-48 Stunden | Schulungssysteme, Archive |
| **Unkritisch** | Keine unmittelbare Geschäftsauswirkung | 7+ Tage | Wöchentlich | Entwicklungsumgebungen |

## Compliance-Anforderungen

### Framework-Zuordnung

| Anforderung | ISO 27001 | SOC 2 | NIS2 | DORA |
| --- | --- | --- | --- | --- |
| Business Impact Analysis | A.5.29 | A1.2 | Art. 21(2)(c) | Art. 11(5) |
| Wiederherstellungsziele (RTO/RPO) | A.5.30 | A1.2 | Art. 21(2)(c) | Art. 11(6) |
| Abhängigkeitsmapping | A.5.29 | A1.2 | Art. 21(2)(d) | Art. 11(5) |
| Tests gegen Ziele | A.5.30 | A1.3 | Art. 21(2)(c) | Art. 11(7) |
| Regelmäßige Überprüfung | A.5.29 | A1.2 | Art. 21(2)(c) | Art. 11(5) |

### Auditnachweise

| Nachweistyp | Beschreibung | Framework |
| --- | --- | --- |
| BIA-Bericht | Dokumentierte Analyse aller kritischen Prozesse | Alle Frameworks |
| RTO/RPO-Register | Definierte Wiederherstellungsziele für alle kritischen Prozesse | Alle Frameworks |
| Abhängigkeitsmatrix | Dokumentierte Prozess- und Systemabhängigkeiten | Alle Frameworks |
| Auswirkungsberechnungen | Quantifizierte finanzielle und operative Auswirkungen pro Prozess | Alle Frameworks |
| Stakeholder-Freigabe | Management-Genehmigung der BIA-Ergebnisse und Prioritäten | Alle Frameworks |
| Testergebnisse | Nachweis, dass Wiederherstellung BIA-Ziele erfüllt | ISO 27001, DORA |
| Überprüfungsaufzeichnungen | Nachweis der jährlichen BIA-Überprüfung und Aktualisierungen | Alle Frameworks |

## Häufige Fehler

| Fehler | Risiko | Lösung |
| --- | --- | --- |
| Nur IT-basierte BIA | Geschäftsprozessabhängigkeiten und -auswirkungen fehlen | Geschäftsprozessverantwortliche und Finanzen einbeziehen |
| Statische, nie aktualisierte BIA | Wiederherstellungspläne basieren auf veralteten Anforderungen | Jährliche Überprüfung plus änderungsgetriebene Aktualisierungen |
| Unrealistische RTOs | Angegebene Wiederherstellungsziele in der Praxis nicht erreichbar | RTOs durch Tests validieren, an tatsächliche Fähigkeiten anpassen |
| Fehlende Abhängigkeiten | Wiederherstellung scheitert durch unbekannte Abhängigkeiten | Alle System-, Daten-, Personal- und Lieferantenabhängigkeiten abbilden |
| Keine finanzielle Quantifizierung | Wiederherstellungsinvestitionen können nicht priorisiert werden | Umsatzverlust, Produktivitätsverlust und Strafen pro Stunde berechnen |
| Lieferkette ignoriert | Drittanbieter-Ausfälle verursachen ungeplante Geschäftsstörung | Kritische Lieferanten und Cloud-Dienste in BIA einbeziehen |

## Wie Orbiq BIA-Compliance unterstützt

Orbiq hilft Ihnen, Business-Impact-Analysis-Kontrollen nachzuweisen:

- **Nachweissammlung** — Zentralisieren Sie BIA-Berichte, RTO/RPO-Register und Testergebnisse
- **Kontinuierliches Monitoring** — Verfolgen Sie die Wiederherstellungsfähigkeit gegen BIA-Ziele
- **Trust Center** — Teilen Sie Ihre Business-Continuity-Postur über Ihr [Trust Center](/de/glossar/trust-center)
- **Compliance-Mapping** — Ordnen Sie BIA-Kontrollen ISO 27001, SOC 2, NIS2 und DORA zu
- **Audit-Bereitschaft** — Vorgefertigte Nachweispakete für Auditorenprüfungen

## Weiterführende Informationen

- [Business Continuity Planning](/de/glossar/business-continuity-planning) — Pläne basierend auf BIA-Ergebnissen erstellen
- [Disaster Recovery](/de/glossar/disaster-recovery) — Technische Wiederherstellung zur Erreichung der BIA-Ziele
- [Risikomanagement-Frameworks](/de/glossar/risikomanagement-frameworks) — Risikobewertung als Ergänzung zur BIA
- [Incident Response](/de/glossar/incident-response) — Reaktion auf durch BIA identifizierte Störungen
- [Drittparteien-Risikomanagement](/de/glossar/drittparteien-risikomanagement) — Verwaltung von Lieferantenabhängigkeiten aus der BIA