Business Impact Analyse und Kontinuitätsstrategie: von der Bewertung zur Investitionsentscheidung

Problem in der Praxis

Häufig wird die BIA einmal mit großem Aufwand erstellt und danach nicht mehr aktualisiert, obwohl sich Prozesse, Systeme und Abhängigkeiten längst verändert haben. Die Strategieentscheidung, die auf ihr aufbaut, veraltet dann unbemerkt mit.

Ein zweites Muster: Für einen kritischen Prozess wird genau eine Lösung umgesetzt, meist die naheliegendste oder die, für die bereits Budget vorhanden war, ohne dass Alternativen mit ihren jeweiligen Kosten und ihrem jeweiligen Absicherungsgrad überhaupt verglichen wurden. Die Geschäftsführung entscheidet dann nicht wirklich, sie bestätigt nur, was ihr vorgelegt wird.

Ein drittes Muster betrifft die Wiederanlaufkapazität: Sie wird oft rein als IT-Kapazität verstanden. Server und Daten sind vorbereitet, aber die Personen, die den Wiederanlauf im Ernstfall tatsächlich durchführen, und die dafür nötigen eingeübten Verfahren sind nicht mitgeplant und nicht mitfinanziert.

CISO-Einordnung

ISO 22301 verlangt von der Organisation, ihre zeitkritischen Prozesse zu identifizieren und daraus Kontinuitätsstrategien und -lösungen abzuleiten; die genaue Methodik und die verbindlichen Begriffe dafür stehen in der Originalnorm. Für die Praxis lassen sich drei Strategiekategorien unterscheiden, die sich in Kosten- und Absicherungsprofil deutlich unterscheiden:

Redundanz legt Ressourcen, Systeme oder Standorte doppelt aus und senkt damit Eintrittswahrscheinlichkeit oder Dauer eines Ausfalls; sie verursacht laufende Fixkosten, unabhängig davon, ob sie je gebraucht wird. Eine Ausweichlösung hält einen vorbereiteten Alternativweg bereit, etwa einen Ausweichstandort oder einen alternativen Dienstleister, der erst im Bedarfsfall aktiviert wird; sie ist im Regelbetrieb günstiger, verlangt dafür Zeit und Zuverlässigkeit bei der Aktivierung. Wiederanlaufkapazität ist die tatsächliche Fähigkeit, einen ausgefallenen Prozess in der geforderten Zeit wiederherzustellen, und hängt ebenso von eingeübten Verfahren und verfügbarem Personal ab wie von Technik.

Diese drei Optionen gegen die aus der BIA abgeleiteten Wiederherstellungsvorgaben abzuwägen, wie sie kritis-007 für RTO und RPO bereits als Management-Vorgaben beschreibt, ist der eigentliche Kern der Investitionsentscheidung: Eine sehr kurze Wiederherstellungszeit rechtfertigt möglicherweise Redundanz trotz laufender Kosten; ein unkritischerer Prozess kommt womöglich mit einer günstigeren Ausweichlösung aus. Diese Abwägung kann nur treffen, wer beide Seiten kennt, die Anforderung aus der BIA und die Kosten der Optionen, und sie sollte von der Geschäftsführung entschieden, nicht nur zur Kenntnis genommen werden.

Umsetzungsperspektive

Der erste Schritt ist, die BIA als lebendes Instrument zu betreiben: in einem festgelegten Turnus aktualisiert, nicht als einmaliges Projektergebnis abgelegt.

Der zweite Schritt ist, für jeden wesentlichen zeitkritischen Prozess mehr als eine Strategieoption mit Kosten zu bewerten, bevor eine Entscheidung vorgelegt wird. Redundanz, Ausweichlösung und Wiederanlaufkapazität lassen sich häufig auch kombinieren, statt nur einzeln geprüft zu werden.

Der dritte Schritt ist, diese Optionen der Geschäftsführung tatsächlich als Investitionsentscheidung vorzulegen: mit Kosten, mit erreichtem Absicherungsgrad und mit der ausdrücklichen Alternative, einen längeren Ausfall oder höheren Datenverlust bewusst zu akzeptieren, statt dafür zu zahlen, ihn zu vermeiden.

Der vierte Schritt ist, Wiederanlaufkapazität nicht nur technisch zu planen: Personal, Vertretungsregelungen und eingeübte Verfahren gehören in dieselbe Kosten- und Ressourcenplanung wie die Technik.

Typische Fehler

1. Die BIA wird einmalig erstellt und nicht aktualisiert, obwohl sich Prozesse und Abhängigkeiten verändert haben.
2. Für einen kritischen Prozess wird nur eine Strategieoption geprüft, sodass die Geschäftsführung keine echte Alternative sieht.
3. Die Kosten einer Strategie werden dem erreichten Absicherungsgrad nie explizit gegenübergestellt.
4. Redundanz wird aufgebaut, wo eine günstigere Ausweichlösung ausgereicht hätte, oder umgekehrt eine zu knappe Ausweichlösung gewählt, wo Redundanz nötig gewesen wäre.
5. Wiederanlaufkapazität wird an der Technik gemessen, ohne dass Personal und eingeübte Verfahren mitgeplant und mitfinanziert werden.
6. Ausweichlösungen hängen von einzelnen Dritten ab, deren eigene Verfügbarkeit im Ernstfall nie geprüft wurde.

Risiken und Trade-offs

Jede Strategieoption hat ihren Preis: Redundanz kostet dauerhaft, auch wenn sie nie gebraucht wird; eine Ausweichlösung ist günstiger, aber im Ernstfall abhängig von einer fristgerechten Aktivierung, die selbst scheitern kann. Wiederanlaufkapazität ohne geübtes Personal ist auf dem Papier vorhanden und im Ernstfall trotzdem nicht verlässlich.

Ein zu detailliertes BIA-Vorgehen bindet Erhebungsaufwand, ohne dass die Erkenntnistiefe im gleichen Maß steigt; ein zu grobes Vorgehen übersieht kritische Abhängigkeiten. Die richtige Tiefe ist eine bewusste Entscheidung, keine Fleißaufgabe.

Auslagerung an Dritte verschiebt nur einen Teil des Risikos: Die Verantwortung für die eigene Geschäftsfortführung bleibt im Haus, auch wenn eine Ausweichlösung technisch bei einem Dienstleister liegt. Wird diese Abhängigkeit nicht selbst bewertet, wird das Risiko nicht kleiner, sondern nur unsichtbarer.

Entscheidungspunkte

• Wie aktuell ist unsere BIA, und nach welchem Turnus wird sie überprüft und aktualisiert?
• Werden für jeden wesentlichen zeitkritischen Prozess mindestens zwei Strategieoptionen mit Kosten bewertet, bevor entschieden wird?
• Wer trifft die Investitionsentscheidung für die gewählte Kontinuitätsstrategie, und ist diese Entscheidung dokumentiert?
• Ist unsere Wiederanlaufkapazität auch personell und verfahrensseitig finanziert, nicht nur technisch?
• Hängen unsere Ausweichlösungen von einzelnen Dritten ab, und wurde deren eigene Verfügbarkeit im Ernstfall geprüft?

Praktische Empfehlungen

1. Betreiben Sie die BIA als wiederkehrenden Prozess mit festem Turnus, nicht als einmaliges Projekt.
2. Bewerten Sie für jeden wesentlichen Prozess mehrere Strategieoptionen mit Kosten, bevor Sie eine Entscheidung vorlegen.
3. Legen Sie der Geschäftsführung Kosten und Absicherungsgrad jeder Option explizit gegenüber, einschließlich der Option, einen Ausfall bewusst länger zu akzeptieren.
4. Planen und finanzieren Sie Wiederanlaufkapazität einschließlich Personal und eingeübter Verfahren, nicht nur Technik.
5. Prüfen Sie die eigene Verfügbarkeit jedes Dritten, von dem eine Ausweichlösung abhängt.
6. Nutzen Sie kritis-007 für die gesetzliche Herleitung von RTO und RPO, statt sie in diesem Artikel neu zu erklären.

Relevante Normreferenzen

• ISO 22301:2019 (Security and resilience - Business continuity management systems - Requirements): macht Bewertung und Strategiewahl zum festen Bestandteil des Managementsystems, aktuelle Ausgabe (Referenz).
• BSI-Standard 200-4: deutschsprachige BIA-Methodik einschließlich Vorfilter, siehe gs-bcm-007 (Referenz).