Vorstände lieben klare Ampeln. Grün heißt: weiter so. Rot heißt: sofort handeln. Gelb bedeutet: beobachten, vielleicht ein Projekt starten. Eine Business Impact Analyse (BIA) liefert solche Ampelfarben scheinbar auf Knopfdruck. Sie verrät, welche Prozesse kritisch sind, welche Ausfälle schmerzen, welche RTOs und RPOs gelten sollen. Das Dokument ist sauber, die Prioritäten sind sichtbar, man nickt, unterschreibt – und geht zum Tagesgeschäft über. Wochen später kommt die Frage nach dem Budget für neue Kontrollen, redundant ausgelegte Systeme, Pen-Tests oder Backup-Modernisierung. Und plötzlich wirkt die BIA erstaunlich leise. Sie beantwortet nämlich nicht die Fragen, die jetzt wirklich zählen: Wie groß ist das Risiko? Wie wahrscheinlich ist welches Szenario? Welcher Euro investiert reduziert welchen Verlust um wie viel? Was bleibt als Rest­risiko – und ist das mit unserer Risikobereitschaft vereinbar?

Genau an dieser Stelle fehlt in vielen Organisationen der nächste, entscheidende Schritt: die Risk Impact Analysis – kurz RIA. Unter RIA verstehen wir hier die systematische Übersetzung der BIA-Erkenntnisse in quantifizierte Risiken, konkrete Steuerungsoptionen und belastbare Investitionsentscheidungen. BIA beschreibt, was passiert, wenn etwas ausfällt. RIA zeigt, wie oft das realistischerweise passieren kann, wie teuer das im Erwartungswert und in Extremszenarien wird, welche Maßnahmen welchen Risikoeffekt haben und welches Rest­risiko bewusst zu akzeptieren ist. Wer diesen Schritt auslässt, produziert schöne Folien – aber keine Steuerung.

Die Business Impact Analyse (BIA) gilt in vielen Unternehmen als kompliziertes und theoretisches Verfahren, das vor allem Berater oder Auditoren lieben, aber in der Praxis schwer greifbar ist. Tatsächlich ist sie ein zentrales Werkzeug für Business Continuity Management (BCM), Notfallplanung und Informationssicherheit – und weit weniger mysteriös, als ihr Ruf vermuten lässt. Eine gut gemachte BIA beantwortet im Kern eine einfache Frage: Was passiert, wenn ein bestimmter Geschäftsprozess oder ein bestimmtes System ausfällt – und wie schnell müssen wir wieder arbeitsfähig sein? Die Kunst besteht darin, diese Frage strukturiert, nachvollziehbar und in einer Sprache zu beantworten, die alle im Unternehmen verstehen.

Begriffe im Klartext: Prozesskritikalität, RTO, RPO, MAO

Damit alle dasselbe meinen, wenn sie diskutieren, lohnt sich eine klare Begriffswelt: