Business Impact Analyse in der BCM-Strategie

Bei der Umsetzung von BCM und BIA in Deutschland sind diverse Gesetze, Verordnungen und Normen zu beachten. Insbesondere im Facility Management – also dem Betrieb von Immobilien und technischen Anlagen – sind Unternehmen rechtlich verpflichtet, Vorkehrungen für Sicherheit und Kontinuität zu treffen. Im Folgenden werden die wichtigsten Rechtsbereiche und Standards dargestellt, die den Rahmen für BIA und BCM in deutschen Industrieunternehmen bilden.

Unter Betreiberverantwortung versteht man die Pflicht des Eigentümers oder Betreibers einer Liegenschaft, dafür zu sorgen, dass von Immobilien und technischen Anlagen keine Gefahren für Menschen und Umwelt ausgehen und alle einschlägigen gesetzlichen Pflichten erfüllt werden. Dieser Begriff, der in der deutschen Facility-Management-Praxis eine große Rolle spielt (u.a. definiert durch die Richtlinie GEFMA 190), bedeutet letztlich: Wer eine Immobilie oder Anlage betreibt, muss deren sicheren Zustand gewährleisten – sei es im Hinblick auf Gebäudesicherheit, Brandschutz, Anlagensicherheit, Arbeits- und Umweltschutz. Die Betreiberverantwortung leitet sich aus der grundlegenden Erwartung der Rechtsordnung ab, dass der Eigentümer dafür Sorge trägt, dass von seinem Eigentum keine Gefahr ausgeht. Vernachlässigt ein Betreiber diese Pflichten und kommt es zu einem Schaden (z.B. ein Unfall aufgrund mangelhafter Wartung einer Anlage), kann er zivil- und strafrechtlich haftbar gemacht werden.

Angesichts der hohen Komplexität und Vielfalt der Betreiberpflichten fühlen sich viele Unternehmen herausgefordert. Hier setzen anerkannte Managementansätze an: Gemäß GEFMA 190 soll die Betreiberverantwortung mittels Plan-Do-Check-Act-Zyklus systematisch verankert werden. Konkret bedeutet dies, zunächst alle relevanten Betreiberpflichten zu identifizieren, entsprechende Prozesse und Kontrollen zur Erfüllung dieser Pflichten zu implementieren, deren Einhaltung regelmäßig zu überprüfen und bei Bedarf anzupassen. Eine solche strukturierte Herangehensweise macht die Vielzahl der Pflichten „greifbar“ und ermöglicht es, sie sicher und nachweisbar abzuarbeiten.

Für das Business Continuity Management bedeutet Betreiberverantwortung vor allem Prävention: Durch regelmäßige Wartung und Prüfung technischer Anlagen (Aufzüge, Elektroanlagen, Brandmelder, Klima- und Lüftungstechnik etc.) sollen Störfälle und Ausfälle vermieden werden, die nicht nur Menschen gefährden, sondern auch den Betriebsablauf unterbrechen könnten. Betreiber von Gebäuden sind z.B. verpflichtet, wiederkehrende Prüfungen nach Betriebssicherheitsverordnung (BetrSichV) und anderen technischen Regeln durchzuführen – das reduziert die Wahrscheinlichkeit plötzlicher Ausfälle und erhöht die Planbarkeit von Wartungsbedingten Stillständen. Zudem müssen klare Verantwortlichkeiten intern oder vertraglich geregelt sein, insbesondere wenn externe Facility-Management-Dienstleister eingebunden sind. Letztere können vertraglich bestimmte Betreiberpflichten übernehmen, entbinden den Eigentümer aber nicht von seiner Gesamtverantwortung. Eine sauber dokumentierte Pflichtenübertragung und Kontrolle der Dienstleister ist daher essenziell, was ebenfalls Teil der Betreiberverantwortung ist.

In der Business Impact Analyse müssen die aus Gesetzen und Betreiberpflichten resultierenden Anforderungen einfließen. Beispielsweise gelten gewisse Anlagen (etwa Druckbehälter, Kessel, Aufzüge) als sicherheitsrelevant und ihr Ausfall oder Fehlbedienung kann unmittelbar rechtliche Konsequenzen (Untersagung des Betriebs, behördliche Auflagen) nach sich ziehen. Solche Prozesse müssen in der BIA als kritisch bewertet werden, nicht nur wegen wirtschaftlicher Verluste, sondern auch wegen möglicher Haftungsfolgen und Rechtsverstöße im Störungsfall.

Arbeitsschutz und allgemeine Sicherheitsanforderungen am Arbeitsplatz bilden einen weiteren wichtigen rechtlichen Rahmen. Das Arbeitsschutzgesetz (ArbSchG) verpflichtet Arbeitgeber, durch geeignete Maßnahmen die Sicherheit und Gesundheit der Beschäftigten zu gewährleisten. Insbesondere fordert § 10 ArbSchG, dass für Notfälle vorgesorgt wird: Der Arbeitgeber muss entsprechend der Art der Arbeitsstätte und Tätigkeit sowie der Anzahl der Beschäftigten die Maßnahmen ergreifen, die zur Ersten Hilfe, Brandbekämpfung und Evakuierung erforderlich sind. Zusätzlich sind Flucht- und Rettungspläne zu erstellen (gemäß Arbeitsstättenverordnung, ArbStättV §4 Abs.4), sofern Lage und Nutzung der Arbeitsstätte dies erfordern. Unternehmen müssen also organisatorisch festlegen und durch Aushänge kommunizieren, wie bei Bränden, Unfällen oder anderen Notfällen vorzugehen ist, wer Alarm schlägt, wer erste Hilfe leistet und wie eine geordnete Räumung erfolgt. Ferner verlangt das Gesetz, verbindliche Kontakte zu externen Hilfsstellen (Feuerwehr, Rettungsdienst) sicherzustellen. Auch müssen ausreichend Beschäftigte als Ersthelfer und Evakuierungshelfer benannt und ausgebildet werden.

In Branchen mit besonderen Gefahren gelten weitergehende Vorschriften. Ein Beispiel ist die Störfall-Verordnung (12. BImSchV), die für Betriebe mit großen Mengen gefährlicher Stoffe (Chemieanlagen, Raffinerien etc.) strenge Pflichten zur Unfallverhütung und Notfallplanung auferlegt. Betreiber solcher Anlagen müssen alle erforderlichen Vorkehrungen treffen, um Störfälle zu verhindern, wobei sowohl betriebliche als auch umgebungsbedingte Gefahrenquellen (z.B. Hochwasser, Erdbeben) berücksichtigt werden müssen. Zudem sind Maßnahmen zu treffen, um die Auswirkungen von Störfällen so gering wie möglich zu halten. Größere Störfall-Betriebe müssen Sicherheitsberichte vorlegen und behördlich abgestimmte Alarm- und Gefahrenabwehrpläne ausarbeiten. Diese Notfallpläne regeln detailliert, wie im Ereignisfall zu verfahren ist, um Menschen und Umwelt zu schützen, und werden regelmäßig mit Behörden und Einsatzkräften geübt.

Für das BCM und die BIA bedeutet dies: Personenbezogene Risiken (Unfälle, Gesundheitsschutz) und Anlagensicherheit dürfen nicht ausgeklammert werden. Einerseits tragen robuste Arbeitsschutz-Maßnahmen dazu bei, dass Schadensfälle mit Auswirkungen auf den Betrieb seltener eintreten. Andererseits muss man im Continuity-Kontext auch Notfälle mit Personenschäden oder Gefahr für Leib und Leben durchspielen – denn diese ziehen oft Betriebsunterbrechungen nach sich (z.B. behördliche Stilllegung nach einem schweren Unfall, Ermittlungen, psychologische Betreuung der Mitarbeiter, Verlust von Schlüsselpersonal durch Verletzungen etc.). Die BIA sollte daher Szenarien wie Brand im Gebäude, explosionsartiger Anlagenausfall, Massenunfall von Mitarbeitern etc. mitbetrachten, da hier nicht nur ökonomische Schäden relevant sind, sondern vor allem die Unversehrtheit von Personen. Auch die Dauer der Betriebsunterbrechung kann in solchen Fällen durch gesetzliche Anforderungen bestimmt werden – z.B. darf ein Produktionsbereich erst wieder betrieben werden, wenn Arbeitsschutzbehörden oder Sachverständige dies nach einem Unfall freigeben.

Normativ bietet die internationale ISO 45001 für Arbeitsschutzmanagement einen Rahmen, der gut mit BCM verzahnt werden kann. ISO 45001 fordert u.a., Gefährdungsbeurteilungen durchzuführen und Verfahren für Notfallmaßnahmen und Notfallübungen zu etablieren. Dadurch wird sichergestellt, dass Unternehmen auf arbeitsbedingte Notfälle (wie Brände, Evakuierungen, medizinische Notfälle) vorbereitet sind. Integriert man diese Vorgaben ins BCM, ergibt sich ein konsistentes System, in dem sowohl der Schutz der Mitarbeiter als auch die Betriebsfortführung im Krisenfall gewährleistet werden. Im Facility Management muss zudem auf technische Sicherheitsanforderungen geachtet werden, z.B. regelmäßige Prüfungen gemäß DIN/VDE-Normen (elektrische Anlagen), TÜV-Abnahmen bei Druckbehältern, Brandschutzordnung und Sicherheitsbeleuchtungen nach Baurecht – all dies trägt indirekt zur Business Continuity bei, indem die Gefahr plötzlicher sicherheitsbedingter Betriebsstopps sinkt.

In Deutschland nehmen die Sektoren der Kritischen Infrastrukturen (KRITIS) – etwa Energie, Wasser, Gesundheit, Telekommunikation, Finanzwesen und Transport – eine besondere Stellung ein. Das IT-Sicherheitsgesetz von 2015 (aktualisiert 2021 als IT-SiG 2.0) sowie das zugrundeliegende BSI-Gesetz (BSIG) definieren für Betreiber Kritischer Infrastrukturen spezifische Pflichten zur Absicherung ihrer Systeme. Nach § 8a BSIG sind KRITIS-Betreiber verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer IT-Systeme zu treffen. Diese Vorkehrungen müssen dem Stand der Technik entsprechen und regelmäßig gegenüber dem BSI nachgewiesen werden (etwa durch Sicherheitsaudits oder Zertifizierungen). Außerdem müssen erhebliche IT-Sicherheitsvorfälle, die zu Beeinträchtigungen führen können, unverzüglich an das BSI gemeldet werden. Ein Verstoß gegen diese Pflichten kann mit Bußgeldern sanktioniert werden.

Obwohl das IT-Sicherheitsgesetz primär auf Cyber-Sicherheit abstellt, ergeben sich implizit Anforderungen an Business Continuity: Eine Störung der Verfügbarkeit kritischer Dienstleistungen soll ja gerade vermieden werden. Tatsächlich verlangen Aufsichtsbehörden im Rahmen von KRITIS-Prüfungen zunehmend Nachweise für ein funktionierendes Notfall- und Krisenmanagement. BCM-Methoden sind daher für KRITIS-Betreiber ein hilfreiches Werkzeug, um den gesetzlichen Pflichten nachzukommen. So wird im Prüfkatalog zur §8a-BSIG-Prüfung der Reifegrad des BCM abgefragt, obwohl BCM im Gesetz selbst nicht ausdrücklich genannt ist. Mit der Umsetzung der europäischen NIS2-Richtlinie in nationales Recht (geplant als „IT-Sicherheitsgesetz 3.0“) ist zudem absehbar, dass die Anforderungen an Notfallvorsorge für weitere Sektoren deutlich konkretisiert und verschärft werden.

Für einen Industriebetrieb im Bereich Facility Management kann KRITIS-Relevanz z.B. bestehen, wenn er kritische Dienstleistungen erbringt (z.B. Energieversorgung, Chemieproduktion für die Wasserversorgung oder Betreiber großer Rechenzentren). In solchen Fällen müssen BCM und BIA implementiert sein, um die Auflagen von IT-SiG/BSIG zu erfüllen. Selbst wenn ein Unternehmen formal nicht KRITIS ist, dienen die Gesetzesvorgaben als Best Practice: „Angemessene Vorkehrungen zur Vermeidung von Störungen“ decken sich mit den Zielen von BIA und BCM. Konkret fließen KRITIS-Anforderungen in die BIA ein, indem man prüft, ob bestimmte Prozesse zur Aufrechterhaltung von kritischen Dienstleistungen nötig sind und welche Folgen ein Ausfall hätte. Z.B. wird ein Energieversorger im Rahmen der BIA jene Prozesse priorisieren, deren Unterbrechung die Versorgungsleistung unterbrechen würde, und entsprechende Wiederanlaufzeiten definieren, die ggf. auch von der Bundesnetzagentur oder anderen Behörden vorgegeben sind. Das BSI stellt Hilfsmittel wie den BSI-Standard 200-4 zur Verfügung, der auch für KRITIS-Betreiber als Leitfaden dient.

Es verpflichten IT-Sicherheitsgesetz und BSI-Gesetz die Betreiber wesentlicher Infrastrukturen zu hoher Ausfallsicherheit. Die Business Impact Analyse ist ein zentrales Instrument, um diese Ausfallsicherheit zu planen: Sie ermöglicht es, kritische Geschäftsprozesse und IT-Assets zu identifizieren und gezielte Maßnahmen abzuleiten, was im KRITIS-Umfeld sowohl zur internen Risikosteuerung als auch als Nachweis gegenüber Prüfern dient.

Neben Gesetzen bilden Normen ein wichtiges Gerüst, um Best Practices im BCM und Facility Management umzusetzen.

• DIN EN 50600: Planung und Betrieb von Rechenzentren: Diese europäische Normenreihe definiert erstmals einen ganzheitlichen Standard für Rechenzentrumsinfrastruktur. Sie umfasst Vorgaben für Gebäudeplanung, Stromversorgung, Klimatisierung, Verkabelung, Sicherheits- und Überwachungssysteme sowie Kennzahlen zur Energieeffizienz. Ein Kernelement der DIN EN 50600 ist die Definition von vier Verfügbarkeitsklassen (VK 1–4) für Rechenzentren. Diese Klassen entsprechen steigenden Anforderungen an Redundanz und Ausfallsicherheit – VK1 steht für einfache Infrastruktur ohne zugesicherte Verfügbarkeit, während Verfügbarkeitsklasse 4 als höchste Stufe beschreibt, dass der Betrieb auch bei Fehlern und technischen Störungen zuverlässig aufrechterhalten werden kann. Durch die Norm wird also festgelegt, welche baulichen und technischen Maßnahmen nötig sind, um eine bestimmte Verfügbarkeitsanforderung zu erfüllen (ähnlich den Tier-Klassen des Uptime Institute, aber erweitert für europäische Belange). Eine Zertifizierung nach DIN EN 50600 bescheinigt, dass ein Rechenzentrum nach dem Stand der Technik gegen Ausfälle geschützt ist. Dies bringt praktische Vorteile: Verbesserung der physikalischen Sicherheit und Versorgungssicherheit des RZ, Reduzierung der Ausfallwahrscheinlichkeit und Erkennen von Verbesserungspotentialen. Im BCM-Kontext sorgt die Umsetzung von DIN EN 50600 dafür, dass die Facility-Strukturen (Strom, Klima, etc.) so robust sind, dass definierte Wiederanlaufzeiten für IT-Services überhaupt eingehalten werden können. Gerade industrielle Unternehmen mit eigenen kritischen IT-Bereichen oder Datenzentren profitieren von den Leitlinien dieser Norm, da sie eine Brücke zwischen Facility Management und Business Continuity schlägt – etwa durch Empfehlungen zu Redundanzen (USV, Notstromaggregate, Doppelkühlanlagen), die direkt dem Ziel dienen, IT-Ausfälle zu verhindern oder minimal zu halten.

• ISO 22301: Business Continuity Management Systems: Die ISO 22301:2019 ist der internationale Standard für BCM und legt Anforderungen fest, um ein BCM-System zu planen, einzuführen, aufrechtzuerhalten und kontinuierlich zu verbessern. Die Norm orientiert sich an der High Level Structure, was die Integration mit anderen Managementsystemen (z.B. ISO 9001 Qualitätsmanagement, ISO 27001 ISMS) erleichtert. Zentrale Bestandteile der ISO 22301 sind: Analyse des organisatorischen Kontexts, Verantwortung der Leitung (Top-Management Commitment), Risikobewertung und Business Impact Analyse (BIA), Strategien zur Aufrechterhaltung der Geschäftstätigkeit und regelmäßige Übungen, Überprüfungen und Verbesserungen. Besonders hervorzuheben ist, dass die Norm explizit die Durchführung einer BIA verlangt und diese als Grundlage für die Entwicklung von Kontinuitätsstrategien und -plänen sieht. Für ein deutsches Unternehmen bietet ISO 22301 einen strukturierten Rahmen, an dem man sich bei der Implementierung des BCM orientieren kann – viele Inhalte decken sich mit BSI-Standard 200-4. Eine Zertifizierung nach ISO 22301 zeigt Kunden und Partnern, dass man systematisch für betriebliche Kontinuität sorgt, was Vertrauen schafft und in sicherheitskritischen Branchen oft Voraussetzung für Geschäftsbeziehungen ist. In der vorliegenden Arbeit dienen die Anforderungen der ISO 22301 als Referenzmodell, insbesondere für den BIA-Prozess und die Verankerung in organisatorische Abläufe.

• ISO 31000: Risikomanagement-Leitlinien: Diese Norm (aktuell ISO 31000:2018) bietet Leitlinien für das Risikomanagement in Organisationen. Zwar ist ISO 31000 keine Zertifizierungsnorm, aber sie ist international weit verbreitet als Best Practice für den systematischen Umgang mit Risiken. ISO 31000 definiert Prinzipien (wie Mehrwert, Einbindung der Führung, Anpassbarkeit) und einen generischen Prozess zur Risikoidentifizierung, -bewertung, -behandlung und Überwachung. Für das BCM und die BIA ist ISO 31000 insofern relevant, als sie sicherstellt, dass auch Nicht-Verfügbarkeitsrisiken in das allgemeine Risikomanagement einbezogen werden. Praktisch kann die BIA als Vertiefung der Auswirkungsanalyse im Rahmen der Risikoanalyse gesehen werden – in vielen Unternehmen wird die BIA in das Risikomanagement-Prozessmodell integriert. Beispielsweise identifiziert man zunächst Risiken (Gefährdungen) mit ISO-31000-Methodik, und für jene Risiken, die zu Geschäftsunterbrechungen führen könnten, wird dann eine BIA durchgeführt, um die Geschäftsauswirkungen detailliert zu quantifizieren. ISO 31000 betont auch Kommunikation und Konsultation aller Stakeholder sowie die regelmäßige Überprüfung von Risiken; diese Grundsätze decken sich mit den BCM-Grundsätzen (z.B. BIA-Ergebnisse regelmäßig aktualisieren, Fachbereiche einbinden). Gerade im Facility Management ist Risikomanagement etabliert (Gefahrstoffmanagement, Gebäuderisiken, Umweltauflagen etc.), sodass ISO 31000 als gemeinsame Sprache dienen kann, um Facility-Risiken und Business-Continuity-Risiken gemeinsam zu betrachten.

• ISO 45001: Managementsystem für Sicherheit und Gesundheit bei der Arbeit: ISO 45001:2018 spezifiziert die Anforderungen an ein systematisches Arbeitsschutzmanagement. Warum ist das im Kontext BCM/BIA relevant? Weil Unfälle, Brände oder andere arbeitsplatzbezogene Notfälle häufig sowohl Personenschäden als auch Betriebsunterbrechungen bedeuten. ISO 45001 verlangt unter anderem, dass Organisationen Gefahren ermitteln und beurteilen, Notfallpläne für plausible Szenarien erstellen und diese regelmäßig üben. Dadurch stellt die Norm sicher, dass beispielsweise Evakuierungsabläufe, Alarmierungsprozesse, Feuerlöschübungen oder medizinische Notfallversorgungen eingeübt sind. In Kombination mit BCM ergibt sich ein umfassendes Notfallmanagement: ISO 45001 deckt die unmittelbare Gefahrenabwehr für Mitarbeiter ab, während BCM und BIA die Wiederherstellung der Geschäftsprozesse adressieren. Die beiden Ansätze überschneiden sich – etwa in der Pflicht, Notfallsituationen vorherzusehen und durchzuspielen. Beispielsweise könnte ein Chemieunfall betrachtet werden: ISO 45001 fokussiert auf die sofortige Rettung und Erstmaßnahmen, BCM/BIA bewerten die mittelbaren Folgen wie Anlagenstillstand, Lieferausfälle, behördliche Ermittlungen. In deutschen Unternehmen ist Arbeitsschutz gesetzlich verpflichtend (ArbSchG, DGUV-Vorschriften), daher bietet ISO 45001 ein Werkzeug zur Erfüllung dieser Pflichten und gleichzeitig zur Stärkung der betrieblichen Resilienz. Ein Unternehmen, das beide Systeme – BCMS und OH&S-MS – implementiert hat, wird in der Lage sein, sowohl seine Mitarbeiter zu schützen als auch den Geschäftsbetrieb im Ereignisfall geordnet weiterzuführen oder wiederaufzunehmen.

Es stellen die genannten Normen sicher, dass technische Infrastruktur, organisatorische Prozesse und Menschenschutz so gestaltet sind, dass Betriebsunterbrechungen minimiert werden. Für das Facility Management bedeutet dies: Von der Gebäudetechnik gemäß DIN EN 50600 über organisationsweite BCM-Prozesse nach ISO 22301 bis zur Notfallübung nach ISO 45001 greifen die Anforderungen ineinander, um ein robustes Gesamtsystem zu schaffen. In der BIA sollten daher sowohl Normvorgaben als auch gesetzliche Pflichten berücksichtigt werden, um Compliance und Best Practice in Einklang zu bringen.

Der typische Ablauf einer Business Impact Analyse gliedert sich in die Schritte Vorbereitung, Datenerhebung, Analyse/Bewertung der kritischen Prozesse und Ableitung von Recovery-Zeiten und Maßnahmen. Dieser Ablauf wird im industriellen Umfeld meist als wiederkehrender Zyklus (z.B. jährlich oder bei wesentlichen Änderungen) durchlaufen und eng mit übergeordneten BCM-Aktivitäten verzahnt.

Eine gründliche Vorbereitung ist essenziell für den Erfolg der Business Impact Analyse. In dieser Phase werden die Rahmenbedingungen und Ziele der BIA festgelegt. Zunächst muss ein geeigneter BIA-Geltungsbereich (Scope) definiert werden: Welche Unternehmensteile, Standorte, Prozesse und Produkte sollen betrachtet werden? Da eine BIA mit erheblichem Aufwand verbunden sein kann, ist es sinnvoll, den Scope auf die wirklich kritischen Bereiche zu fokussieren. Die Festlegung des BIA-Scopes erfolgt idealerweise durch die Geschäftsleitung im Rahmen einer strategischen Betrachtung – gemäß ISO 22317 (Leitfaden für BIA) kann dies als Strategische BIA bezeichnet werden, bei der auf Top-Management-Ebene prioritäre Produkte/Dienstleistungen bestimmt werden, die im Notfall aufrechterhalten werden müssen. Diese Priorisierung liefert die Grundlage, um anschließend die dafür erforderlichen Geschäftsprozesse zu identifizieren (taktische BIA) und deren benötigte Ressourcen zu erheben (operative BIA).

Bereits in der Vorbereitungsphase sollten wesentliche Parameter und Begriffe festgelegt werden. Dazu gehört die Definition von Auswirkungs- bzw. Schadenskategorien, die später zur Bewertung der Folgen dienen. Typische Schadenskategorien sind finanziell, operativ, reputativ, regulatorisch (rechtlich). Hier lohnt es sich, klare Kriterien oder Schwellenwerte zu bestimmen, wann ein Schaden als „hoch“ oder „gering“ einzustufen ist (etwa: finanzieller Verlust > 1 Mio € = hoch). Ebenso sind relevante Zeithorizonte zu definieren: z.B. Betrachtung der Auswirkungen nach 1 Tag, 1 Woche, 1 Monat Ausfall. Dies ermöglicht es später, die zeitabhängige Kritikalität von Prozessen zu analysieren. Ebenso ist zu entscheiden, ob man im Worst-Case-Szenario denkt (vollständiger Ausfall eines Prozesses) oder auch Teilausfälle betrachtet.

Ein weiterer Aspekt der Vorbereitung ist die Zusammenstellung des BIA-Teams und die Einbindung aller nötigen Stakeholder. Da die BIA verschiedene Geschäftsbereiche betrifft (Produktion, Logistik, IT, Gebäudebetrieb, Personal etc.), sollte ein interdisziplinäres Team unter Leitung des BCM- oder Risikomanagers die Durchführung planen. Wichtig ist das Commitment der Führungsebene, damit die Fachbereiche die nötige Zeit investieren und transparente Informationen liefern. Oftmals wird ein BIA-Koordinator ernannt, der die Befragungen vorbereitet, dokumentiert und als Ansprechpartner dient.

Bereits vor der eigentlichen Datenerhebung sollte verfügbares Vorwissen und Dokumentation gesammelt werden, um Redundanzen zu vermeiden. So empfiehlt es sich, vorhandene Unterlagen aus dem Risikomanagement, IT-Service-Katalogen, Notfallhandbüchern oder Lieferantenlisten heranzuziehen, bevor man die Fachabteilungen befragt. Beispielsweise kann man aus dem IT-Servicekatalog bereits entnehmen, welche Anwendungen es gibt und welche Wichtigkeit sie haben; aus dem Risikomanagement vielleicht schon identifizierte Ausfallrisiken und frühere Schadensschätzungen. Dies entlastet die Fachbereiche und signalisiert, dass die BIA auf bestehende Informationen aufbaut statt alles neu abzufragen.

Auch die Wahl der Methodik für die Datenerhebung wird in der Vorbereitungsphase getroffen. Bewährt hat sich ein Mix aus Fragebögen, Interviews und Workshops, um sowohl strukturiert quantifizierbare Daten zu erhalten als auch qualitative Einschätzungen und Kontext. Ein vorab erstellter BIA-Fragebogen, der individuell auf das Unternehmen zugeschnitten ist, dient meist als Leitfaden. Dieser Fragebogen sollte klar gegliedert sein (etwa in Abschnitte: Prozessbeschreibung, Ressourcen, Auswirkungen, Abhängigkeiten, vorhandene Notfallmaßnahmen, gewünschte Wiederanlaufzeiten). Er wird den Fachbereichen oft im Vorfeld zur Vorbereitung ausgehändigt.

Parallel dazu ist es sinnvoll, die Prozesseigner bzw. Verantwortlichen der Geschäftsprozesse zu identifizieren und offiziell zu benennen. Diese Prozess-Owner werden dann informiert, welchen Zweck die BIA hat und welche Rolle sie dabei spielen. Kommunikation ist hier wichtig, um Akzeptanz zu schaffen: Den Beteiligten muss bewusst gemacht werden, dass es nicht um die Bewertung ihrer persönlichen Performance geht, sondern um ein Worst-Case-Szenario für den Prozess. Ein Anschreiben der Geschäftsführung, das die BIA ankündigt und unterstützt, kann hilfreich sein.

Scope-Definition, Aufstellen von Bewertungskriterien (Schadenskategorien, Zeitstufen), Zusammenstellen des Teams, Sichtung vorhandener Informationen, methodische Planung (Fragebogen, Interviewrunden) und Stakeholder-Kommunikation. Je sorgfältiger diese Phase erfolgt, desto effizienter und fundierter wird die anschließende Datenerhebung verlaufen. Erfahrungsgemäß ist die investierte Zeit in der Vorbereitung gut angelegt, da klare Parameter und Ziele Missverständnisse vermeiden und zu präziseren Ergebnissen führen.

In dieser Phase wird die eigentliche Business Impact Analyse durchgeführt, d.h. die zuvor geplanten Befragungen und Datenanalysen finden statt. Ziel ist es, aus den relevanten Unternehmensbereichen die Informationen zu sammeln, mit denen sich die Kritikalität der Prozesse und die Auswirkungen eines Ausfalls bestimmen lassen.

Zu Beginn werden alle Prozesse im betrachteten Scope erfasst und auf ihre grundsätzliche Geschäftskritikalität hin eingeschätzt. Oft existieren in Unternehmen Prozesslandschaften oder ein Prozessverzeichnis, aus dem man eine erste Liste entnehmen kann. Falls nicht, müssen die Prozesse gemeinsam mit den Fachbereichen erarbeitet werden. Ein pragmatischer Ansatz ist, die Produkte und Dienstleistungen anzuschauen, die im Notfall unbedingt weiter erbracht werden müssen (das wurde idealerweise im Scope durch die Geschäftsleitung bestimmt), und rückwärts zu fragen: Welche Prozesse tragen direkt zu diesen Produkten bei? Welche Support-Prozesse sind unverzichtbar, damit Kernprozesse funktionieren (z.B. IT-Betrieb, Facility Services wie Strom/Wasser, interne Logistik)? Diese Prozesse werden als zeitkritische Kernprozesse identifiziert. Weniger kritische oder nicht zeitgebundene Prozesse (z.B. Grundlagenforschung, langfristige Entwicklungsprojekte, Admin-Tätigkeiten wie Archivierung) können in einer Notfalllage unterbrochen oder verschoben werden, ohne dass das Überleben des Unternehmens gefährdet ist. Solche Prozesse werden in der BIA entweder gar nicht erst detailliert analysiert oder zumindest nachrangig behandelt.

Es ist hilfreich, die Identifikation der kritischen Prozesse in einem Workshop mit Vertretern aller Hauptabteilungen durchzuführen. Dabei zeigt sich meist schnell ein gemeinsames Verständnis darüber, was „lebenswichtig“ ist und was im Ernstfall verzichtbar. Das Ergebnis kann z.B. eine Prozessliste sein, kategorisiert nach Priorität A, B, C. Priorität A könnten die Prozesse sein, die unbedingt aufrechterhalten oder sehr schnell (innerhalb von Stunden/1 Tag) wiederhergestellt werden müssen; B-Prozesse innerhalb von einigen Tagen; C-Prozesse können länger ausfallen (mehrere Wochen) ohne existenzielle Schäden. Diese Einteilung fließt später in die Festlegung der Recovery-Zeiten ein.

Für jeden der identifizierten kritischen Prozesse wird nun eine Detailanalyse durchgeführt. In der Praxis geschieht dies häufig durch strukturierte Interviews der BIA-Teams mit den jeweiligen Prozesseignern und Fachexperten. Der vorbereitete BIA-Fragebogen dient als Leitfaden.

• Allgemeine Prozessinformationen: Name, verantwortliche Abteilung, Prozessverantwortlicher, kurze Beschreibung des Prozesses und seiner Hauptaufgaben.

• Prozessabhängigkeiten: Welche Eingaben und Ausgaben hat der Prozess? (z.B. benötigt Vorprodukte von anderen Werken, IT-System X, externe Dienstleister Y; liefert Produkte/Informationen an Kunden oder interne Folgebereiche). Hier werden interne und externe Abhängigkeiten erfasst, um Kettenreaktionen abschätzen zu können.

• Ressourcen: Welche Ressourcen sind erforderlich, damit der Prozess funktioniert? Dies umfasst Mensch (Anzahl Mitarbeiter, Qualifikationen), Maschinen/Anlagen, IT-Anwendungen (inkl. benötigter Daten und Schnittstellen), Infrastruktur (z.B. Anzahl benötigter Notfall-Arbeitsplätze, spezielle Räumlichkeiten, Strom, Kühlung, Wasser, Telekommunikation), Dienstleister/Lieferanten. Diese Angaben sind wichtig, um im Notfall zu wissen, was alles wieder verfügbar sein muss.

• Auswirkungsanalyse: Was passiert, wenn der Prozess ausfällt – z.B. für 2 Stunden, 1 Tag, 1 Woche? Hier wird für jede der vorher definierten Schadenkategorien (finanziell, operativ, rechtlich, reputativ, ggf. gesundheitlich) qualitativ und – wo möglich – quantitativ abgeschätzt, welche Schäden entstehen. Beispielsweise: Finanziell: Umsatzverlust von 100 T€/Tag, Vertragsstrafen von 50 T€ ab dem 3. Ausfalltag; Operativ: Stillstand der Produktion, x Stück weniger produziert pro Tag, Lieferverzug an Kunden Y; Rechtlich: Verstoß gegen Lieferverpflichtungen nach 48 Stunden, Gefahr von Schadensersatzforderungen; Reputation: negative Presse möglich, Vertrauensverlust bei Schlüsselkunden bei längerem Ausfall; Sicherheit: bei Anlagenprozess – Risiko für Umgebung, ggf. behördliche Auflagen. Diese Angaben erfordern oft Schätzungen der Fachbereiche, sollten jedoch möglichst plausibel und begründet sein (etwa basierend auf Kennzahlen wie Umsatz pro Tag, Kosten pro Stunde Stillstand, Vertragsbedingungen etc.).

• Bereits vorhandene Notfallmaßnahmen: Gibt es schon Maßnahmen oder Pläne, die einen Ausfall auffangen würden? (z.B. zweiter Standort vorhanden, Lagerbestände als Puffer, manuelle Workarounds, Notstrom-Diesel vorhanden etc.) Solche Informationen relativieren ggf. die Impact-Bewertung, da ein Ausfall mit Gegenmaßnahmen weniger drastische Folgen hat.

• Maximal tolerierbare Ausfallzeit: Aus den obigen Überlegungen heraus sollen die Prozesseigner angeben, wie lange der Prozess maximal ausfallen dürfte, bevor der Schaden für das Unternehmen untragbar wird – dies entspricht der später noch definierten MTPD (Maximum Tolerable Period of Disruption), also der zeitlichen Schmerzgrenze.

• Benötigte Wiederanlaufzeit: Umgekehrt wird gefragt, innerhalb welcher Zeit der Prozess idealerweise wiederhergestellt sein muss, um die schlimmsten Schäden zu vermeiden – das ist im Prinzip die gewünschte Wiederanlaufzeit (RTO) aus Prozess-Sicht. Diese kann kleiner als die MTPD sein, um Sicherheitsmarge zu haben.

• Besondere Anlaufbedingungen: Manche Prozesse haben nach einem Stopp spezielle Anforderungen, z.B. dauert es nach Stromausfall 4 Stunden, die Anlage wieder hochzufahren, oder es müssen Rohstoffe erst wieder aufgeheizt werden etc. Solche Bedingungen sind wichtig fürs Notfallplanung (sie verlängern praktisch die effektive Ausfallzeit).

• Notfallbetrieb: Ist ein Betrieb im Notmodus möglich und wie sähe der aus? (z.B. reduzierte Kapazität, manuelle Verfahren, Ersatzverfahren).

Die Datenerhebung erfolgt meist in Form eines Interviews/Workshops mit dem Fachbereich, in dem der BIA-Fragebogen gemeinsam durchgegangen wird. Wichtig dabei ist eine vertrauensvolle Atmosphäre, in der die Experten offen über Worst-Case-Szenarien sprechen. Der BIA-Leiter muss klarstellen, dass es nicht um die Wahrscheinlichkeit des Eintretens geht (manche neigen dazu zu sagen „das passiert bei uns nie“), sondern darum, anzunehmen, es ist passiert – und nun die Auswirkungen zu analysieren. Dies erfordert ein gewisses Mindset („Denken des Undenkbaren“), was man den Teilnehmern erläutern sollte.

Während des Interviews sammelt das BIA-Team sämtliche genannten Punkte und Zahlen. Oft kommt es vor, dass Einschätzungen noch ungenau sind; dann kann nachgehakt werden, oder es werden Aufgaben verteilt, noch bestimmte Daten nachzuliefern (z.B. „genaue Höhe der Vertragsstrafe rausfinden“). Es ist auch sinnvoll, Querabgleiche einzubauen: etwa den Vertrieb zu fragen, welche Kunden priorisiert versorgt werden müssen, oder die Finanzabteilung nach Kriterien für hohe finanzielle Schäden. So erhält man ein konsistentes Bild.

Das Ergebnis pro Prozess wird in einem BIA-Datenblatt oder -Tool dokumentiert. Moderne BCM-Software unterstützt diesen Prozess, indem sie Fragebögen online ausfüllen lässt und automatisch konsolidiert. Aber auch Excel/Word-gestützte Verfahren sind verbreitet, insbesondere im Mittelstand.

Nachdem alle relevanten Prozesse erhoben sind, beginnt die Auswertung. Oft zeigt sich, dass manche Angaben unplausibel oder widersprüchlich sind (z.B. zwei Abteilungen nennen beide den jeweils anderen als „kritischen Zulieferprozess“ – was stimmt nun?). Daher ist eine Qualitätssicherung durch den BCM-Manager unerlässlich. Dieser prüft die Rückläufe der Fragebögen auf Vollständigkeit und Nachvollziehbarkeit. Fragen, die offen blieben, werden nachverfolgt. Es empfiehlt sich auch, die Ergebnisse in einem Workshop mit allen Beteiligten noch einmal zu präsentieren – so können bereichsübergreifende Abhängigkeiten geklärt werden. Beispielsweise erkennt man, dass Prozess A zwar in Abteilung X liegt, aber für Abteilung Y ebenfalls kritisch ist, weil Y’s Prozess ohne A nicht geht; das muss in den BIA-Ergebnissen konsistent abgebildet sein (Stichwort Vererbung von Wiederanlaufzeiten auf vor- und nachgelagerte Prozesse).

Am Ende der Datenerhebung stehen für jeden betrachteten Prozess klare Angaben zur Kritikalität und zu den Anforderungen für den Notfallbetrieb. Diese werden typischerweise in einem BIA-Report zusammengefasst und dem Management vorgelegt. Darin sind die Prozesse z.B. nach Prioritätsstufen sortiert, mit ihren jeweiligen maximal tolerierten Ausfallzeiten und den geschätzten Auswirkungen. Oft enthält der Report auch Diagramme (z.B. eine Impact-Zeitkurve) oder Tabellen, um die Ergebnisse übersichtlich darzustellen.

Fiktive BIA-Auszug mit 4 Prozessen aus einem Produktionsbetrieb (eigene Darstellung).

Diese Tabelle verdeutlicht, wie die BIA-Ergebnisse strukturiert sein können. Sie zeigt auch, dass verschiedene Prozesse sehr unterschiedliche Anforderungen haben: Während das Rechnungswesen zwei Wochen ausfallen könnte, ohne dass etwas „schlimmes“ passiert, verträgt das Rechenzentrum kaum Ausfallzeiten, was in sehr kurzen RTO resultiert.

Die Bewertung der Auswirkungen ist das Herzstück der Business Impact Analyse. Hier werden die in der Datenerhebung gewonnenen Informationen genutzt, um jedem kritischen Prozess ein Kritikalitätsprofil zuzuweisen. Dies umfasst in der Regel qualitative Einstufungen (hoch, mittel, niedrig kritisch) sowie quantitative Kennzahlen (z.B. Euro-Schaden pro Zeiteinheit, Stückzahlausfall, Kundenverlust etc.).

• Finanziell: Monetäre Schäden durch entgangenen Umsatz, Produktionsverluste, Vertragsstrafen, zusätzliche Kosten (z.B. für Expresslieferungen, Outsourcing im Notfall). Beispiel: Ein Fertigungsausfall von 1 Tag kostet 200.000 € Umsatz und zieht evtl. Vertragsstrafen von 50.000 € nach sich.

• Operativ: Auswirkungen auf die Fähigkeit, Kernleistungen zu erbringen. Dazu zählen Produktionsrückstände, Verzögerungen in der Lieferkette, interne Prozessstörungen. Beispiel: Der Ausfall des Wareneingangs führt nach 2 Tagen dazu, dass der Nachschub an Materialien stockt und die Produktion gestoppt werden muss.

• Rechtlich/Compliance: Verletzungen gesetzlicher Pflichten, regulatorischer Auflagen oder Verträge, die zu Bußgeldern, Schadensersatz oder Lizenzentzug führen können. Beispiel: Durch Ausfall der IT werden Datenschutzvorgaben verletzt (möglicher DSGVO-Verstoß) oder Lieferverträge nicht erfüllt, was juristische Schritte der Kunden ermöglicht.

• Reputation/Marke: Negative Auswirkungen auf das Ansehen des Unternehmens bei Kunden, Partnern, Öffentlichkeit. Diese sind oft schwer quantifizierbar, aber hochgradig relevant. Beispiel: Ein mehrtägiger Produktionsstillstand führt zu verärgerten Schlüsselkunden und findet seinen Weg in die Presse, was das Vertrauen in die Zuverlässigkeit der Firma erschüttert.

• Sicherheit/Mensch: (Sofern als eigene Kategorie betrachtet) Gefährdung von Mitarbeitern, Kunden oder Umwelt. Beispiel: Ein Störfall führt zu Personenschaden oder Umweltverschmutzung; neben dem menschlichen Schaden drohen auch juristische Folgen und Betriebsstilllegung.

Jede dieser Kategorien kann für einen betrachteten Zeitraum bewertet werden. Oft wird eine Skala verwendet, z.B. 1 = gering, 2 = moderat, 3 = erheblich, 4 = kritisch, 5 = katastrophal. Die Definitionen dieser Stufen sollten vorab festgelegt sein (z.B. „katastrophal finanziell“ = Schaden > 5 Mio. €, „kritisch reputativ“ = Titelstory in überregionaler Presse mit sehr negativer Berichterstattung, etc.). Anhand der Interviewdaten werden die Stufen zugeordnet. Diese Zuordnung hat immer auch subjektive Elemente, weshalb es wichtig ist, mehrere Personen und ggf. das Management in die Validierung einzubinden.

Qualitativ ergibt sich aus der BIA oft eine Rangliste der Prozesse nach Kritikalität. Prozesse, die in mehreren Kategorien hoch punkten (z.B. sehr hohe finanzielle und reputative Schäden bereits nach kurzer Zeit), gelten als Top kritisch. Prozesse mit nur geringen Auswirkungen werden als weniger kritisch eingestuft. Hier kann man ggf. Schwellen definieren, ab wann ein Prozess in Kritikalitätsklasse A (sehr kritisch), B (kritisch) oder C (weniger kritisch) fällt. Diese Klassifizierung ist hilfreich, um die Aufmerksamkeit und Ressourcen in der Notfallplanung richtig zu gewichten.

Wo immer möglich, untermauert man die Impact-Bewertung mit Zahlen. Zum Beispiel lässt sich der Umsatzverlust pro Tag Stillstand aus historischen Daten oder Planungszahlen ableiten. Auch Konventionalstrafen stehen oft in Verträgen klar beziffert. Personal- oder Wiederanlaufkosten können geschätzt werden (z.B. „jede zusätzliche Überstundenschicht kostet X €“). Durch Summation solcher Kosten über Ausfalldauern kann man Kurven erzeugen, die den kumulierten Schaden über der Zeit zeigen. Eine verbreitete Darstellung ist die Impact-Zeit-Kurve: Sie zeigt beispielsweise, dass bis etwa 8 Stunden Ausfall der Schaden noch moderat ist (weil vielleicht interner Puffer), ab dann aber steil ansteigt, weil Lieferverpflichtungen verletzt werden und teure Alternativmaßnahmen greifen müssen.

Ein wichtiger Teil der Bewertung ist die Berücksichtigung von Prozessabhängigkeiten. Fällt ein vorgelagerter Prozess A aus, dann fällt auch der nachgelagerte Prozess B automatisch aus, egal wie robust B selbst wäre. In der BIA-Auswertung muss man solche Ketteneffekte beachten und ggf. Vererbung von Kritikalitäten durchführen. Beispiel: Wenn die Stromversorgung (Facility-Prozess) als hochkritisch erkannt wurde (weil ohne Strom alle Produktionen stehen), dann ist Strom eine Voraussetzung für viele Prozesse; ein kurzer Stromausfall mag noch Puffer haben, aber ein längerer bringt jeden Prozess zum Stillstand. Daher ist die Infrastrukturabhängigkeit in der BIA mitentscheidend: Oft sind Facility-Themen wie Energie, Klima, IT-Basisinfrastruktur die „Single Points of Failure“, die zahlreiche Geschäftsprozesse betreffen. Die BIA sollte diese Querschnittsfunktionen als eigene Ressourcen behandeln. Einige Unternehmen machen daher auch eine Ressourcen-BIA, in der sie z.B. die IT-Services oder Gebäude nach Ausfallfolgen bewerten, ergänzend zur Prozess-BIA.

Die Ergebnisse der Impact-Bewertung werden übersichtlich dokumentiert, meist in Tabellen oder Matrizen. Eine Darstellung könnte sein: Prozess vs. Auswirkungsstufe, gefüllt mit H/M/L oder konkreten Zahlen. Oder man erstellt für jeden Prozess ein kurzes qualitatives Impact-Profil (z.B.: Prozess X: nach 4 Stunden Ausfall erste merkliche Störungen intern, nach 8 Stunden Finanzschaden ~50 T€, nach 24 Stunden erfüllt das Unternehmen Service-Level nicht mehr, Reputationsschaden wahrscheinlich, nach 3 Tagen existenzbedrohend wegen Vertragskündigungen). Solche Beschreibungen machen das abstrakte Zahlenwerk greifbar.

Im Endeffekt legt die Bewertung der Auswirkungen den Grundstein für die Festlegung der Wiederanlaufziele und Maßnahmen. Sie zeigt, wie viel Zeit man hat, bevor es „brenzlig“ wird, und welche Schäden dann drohen. Dies sensibilisiert das Management: Prozesse mit hohem Schadenspotenzial werden besondere Aufmerksamkeit bekommen – sowohl präventiv (Schutzmaßnahmen erhöhen) als auch reaktiv (Notfallpläne detailliert ausarbeiten). Prozesse mit geringen Auswirkungen kann man in der Notfallplanung nachrangig behandeln.

Ein oft erwähnter Leitsatz im BCM lautet: „Plan for the worst, hope for the best.“ Die BIA liefert das „worst case picture“ je Prozess, auf das man seine Planung ausrichtet. Gerade qualitativ verdeutlicht sie die schlimmsten Konsequenzen (Worst-Case-Denken), was manchmal erst den notwendigen Sense of Urgency schafft, um in Maßnahmen zu investieren.

Ein zentrales Resultat der BIA ist die Festlegung von Recovery-Zielen – konkret der Zeitvorgaben, in denen Prozesse nach einer Unterbrechung wieder verfügbar sein müssen.

• RTO (Recovery Time Objective): das Ziel für die Wiederanlaufzeit eines Prozesses. Es gibt an, innerhalb welchen Zeitraums der Prozess nach Eintritt eines Ausfalls wieder funktionsfähig sein soll, um tolerierbare Auswirkungen sicherzustellen. Die RTO wird i.d.R. in Stunden oder Tagen angegeben. Beispiel: RTO = 8 Stunden bedeutet, spätestens nach 8 Stunden muss der Prozess wieder laufen (wenn auch vielleicht im Notbetrieb), um keine untragbaren Schäden zu verursachen.

• RPO (Recovery Point Objective): das Ziel für den Wiederherstellungspunkt der Daten. Dieser Begriff kommt aus der IT und bezeichnet, wie viel Datenverlust maximal hingenommen werden kann (Zeitspanne zwischen letzter konsistenter Datensicherung und Ausfall). Beispiel: RPO = 4 Stunden bedeutet, im Worst Case gehen 4 Stunden an Daten verloren (alles was neuer ist als die letzte Sicherung von vor 4h). RPO ist vor allem für IT-Prozesse relevant und fließt ins Backup-Konzept ein.

• MTPD (Maximum Tolerable Period of Disruption): die maximal tolerierbare Unterbrechungsdauer, manchmal auch Maximum Acceptable Outage (MAO) genannt. Dies ist die allerlängste Zeitspanne, die ein Prozess ausfallen darf, bevor das Überleben der Organisation gefährdet ist. Praktisch ist die MTPD die absolute Deadline, nach der der Schaden irreversibel oder existenzbedrohend wird. Sie liegt logischerweise gleich oder länger als die RTO (oft etwas länger, als Puffer).

Die BIA liefert die Grundlage zur Bestimmung von RTO und MTPD für jeden Prozess. Meist identifizieren die Prozesseigner in der Befragung schon, was sie als vertretbar ansehen (z.B. „maximal 2 Tage Stillstand, danach wird es kritisch“ – das wäre etwa MTPD, während sie vielleicht als Ziel gerne „innerhalb 1 Tag wieder anfahren“ hätten – das entspricht RTO). Im Auswertungsschritt prüft dann das BCM-Team, ob diese Wünsche realistisch und konsistent sind. Hier fließt auch Management-Entscheidung ein: Evtl. sagt die Produktion „ich brauche 4h RTO“, aber die IT stellt fest, dass man mit der aktuellen Infrastruktur mind. 8h braucht, um die Systeme hochzufahren. Solche Diskrepanzen müssen aufgelöst werden, indem entweder Maßnahmen ergriffen werden, um die RTO-Anforderung zu erfüllen, oder indem man die Erwartung an die RTO anpasst.

Angenommen, ein wichtiger Produktionsprozess hat laut BIA-Workshop eine maximale Ausfalltoleranz (MTPD) von 3 Tagen, da danach Kunden abspringen würden. Das Team schlägt eine RTO von 1,5 Tagen vor, um etwas Sicherheitsreserve zu haben. Nun schaut man sich die derzeitigen Möglichkeiten an: Ohne große Änderungen bräuchte man 3 Tage, um die Produktion auf einem Ausweichstandort wieder aufzunehmen – also RTO 3 Tage. Das reicht nicht, um 1,5 Tage zu erfüllen. Das Ergebnis ist ein Gap: Hier muss investiert werden (z.B. Vorhaltung von Ersatzmaschinen oder Vereinbarung mit Lohnfertiger), um die RTO auf 1,5 Tage zu drücken oder man akzeptiert, dass 3 Tage halt das Minimum sind und versucht, die MTPD durch andere Maßnahmen (Kundenkommunikation, Vertragsgestaltung) zu verlängern. Solche Entscheidungen fallen meist im Anschluss an die BIA, aber die BIA-Daten sind die Basis dafür.

In der BIA-Dokumentation werden RTO und ggf. RPO, MTPD pro Prozess angegeben. Diese Werte sind extrem wichtig, da sie direkt in die Notfallkonzepte eingehen. Insbesondere die kürzesten RTO bestimmen oft die Dimensionierung von Notfallressourcen: Hat man z.B. einen Prozess, der binnen 4 Stunden wieder laufen muss, so braucht man sehr reaktionsschnelle Lösungen – vielleicht ein Hot Standby-System oder eine sehr hohe Redundanz im Systemdesign. Längere RTO (z.B. 1 Woche) erlauben weniger kostenintensive Strategien wie manuelles Backup oder Anmietung externer Kapazitäten nach dem Ereignis.

In der Praxis werden diese Werte oft prozessübergreifend harmonisiert. Beispielsweise gruppiert man Prozesse nach Wiederanlaufklassen: alle Prozesse mit RTO bis 4h (Notfallstufe 1), bis 24h (Stufe 2), 3 Tage (Stufe 3) etc. Das erleichtert es, die Infrastruktur entsprechend zu planen – z.B. kann man definieren: „Stufe-1-Prozesse werden in unserem Notfallkonzept binnen 4h am Notstandort hochgefahren“ usw.

Die Festlegung von RTO ist auch immer ein wirtschaftlicher Abwägungsprozess: Kurze RTOs sind teuer (erfordern i.d.R. viel Redundanz oder teure schnelle Wiederherstellungsmaßnahmen), längere RTOs sind günstiger, bergen aber höheres Risiko bei echten Zwischenfällen. Die BIA hilft, diesen Trade-off sachlich zu untermauern, indem sie zeigt, welcher Schaden entsteht, wenn die RTO überschritten wird. Das Management kann dann informierte Entscheidungen treffen, wo sich Investitionen lohnen. Beispielsweise mag ein Ausfall der Klimaanlage im Rechenzentrum nach 1 Stunde kritisch werden (Serverüberhitzung) – hier wird man auf RTO < 1h gehen und z.B. eine zweite Klimaanlage redundant installieren.

In Summe definiert die BIA-Phase der Recovery-Zeiten pro kritisch identifiziertem Prozess klare Zielvorgaben für die Notfallplanung. Diese Vorgaben (RTO, RPO, MTPD) müssen im nächsten Schritt durch geeignete Maßnahmen hinterlegt werden, was der darauf folgende Planungsprozess (Strategieableitung) leistet.

Nachdem die BIA die kritischen Prozesse, ihre Abhängigkeiten und erforderlichen Wiederanlaufzeiten aufgezeigt hat, stellt sich die Frage: Wie können wir sicherstellen, dass diese Vorgaben im Ernstfall eingehalten werden? Dies erfolgt durch die Ableitung von Maßnahmen und Strategien, die oft als BCM-Strategieentwicklung bezeichnet wird.

In der BIA-Phase selbst werden bereits erste Maßnahmenempfehlungen sichtbar. Typischerweise fragt man am Ende der BIA-Befragung: „Was wäre denn nötig, um das Risiko zu minimieren bzw. die Ausfallszeit zu verkürzen?“ – diese Frage richtet sich an die Prozessexperten, die oft schon gute Ideen oder Forderungen haben. Beispielsweise mag der IT-Leiter sagen: „Um das ERP-System innerhalb 4 Stunden wiederherzustellen, bräuchten wir ein zweites Rechenzentrum mit Live-Datenreplikation.“ Oder die Produktionsleitung sagt: „Um die Produktion binnen 2 Tagen wieder starten zu können, sollten wir eine Ersatzmaschine auf Lager haben bzw. bei einem Lohnfertiger Kapazität reservieren.“ Solche Hinweise werden gesammelt.

• Technische Maßnahmen: Dazu zählen Redundanzen (zweite Systeme, Backup-Aggregate, Spiegel-Rechenzentren, alternative Lieferquellen), bauliche Schutzvorkehrungen (Brandschutz, Überflutungsschutz), schnelle Notfallgeräte (Ersatzserver, mobile Notstromgeneratoren), etc. Beispiel: Installation einer USV und eines Notstromdiesels, um Stromausfälle zu überbrücken; Anschaffung zusätzlicher VPN-Kapazität, um im Notfall Remotearbeit zu ermöglichen; Ausweichrechenzentrum einrichten.

• Organisatorische Maßnahmen: Hierunter fallen Notfallpläne und Prozeduren, definierte Ersatzprozesse, Absprachen mit Dritten, Schulungen und Sensibilisierung. Beispiel: Abschluss eines Service-Level-Agreements mit einem alternativen Logistikdienstleister, der im Notfall Waren transportiert; Vereinbarung mit Partnerfirma über gegenseitige Produktionsaushilfe; Einrichtung eines Krisenstabs mit klaren Rollen; regelmäßige Notfallübungen mit den Mitarbeitern; Backup-Handbücher für manuellen Betrieb. Organisatorisch ist auch die Vorsorge, Kopien wichtiger Unterlagen an anderem Ort zu lagern, oder Zuständigkeitsvertretungen zu regeln, falls Schlüsselpersonen ausfallen.

Die BIA-Ergebnisse zeigen, wo die gravierendsten Lücken sind. Insbesondere prüft man: Für jeden Prozess mit kurzer RTO – gibt es dafür schon eine ausreichende Lösung? Falls nein, wird hier priorisiert investiert. Die Kosten-Nutzen-Abwägung ist wichtig: Man vergleicht die potenziellen Schäden (durch BIA quantifiziert) mit den Kosten der Gegenmaßnahme. Wenn ein möglicher Schaden in Millionenhöhe steht und eine Maßnahme von 100.000 € ihn verhindern kann, ist das meist gut zu rechtfertigen.

Ein Outcome der BIA kann eine Maßnahmenliste oder ein Umsetzungsfahrplan sein, der dem Management präsentiert wird. Diese Liste priorisiert die Maßnahmen nach Dringlichkeit (abhängig vom Risiko) und Aufwand.

• Maßnahme: Anschaffung eines zweiten Dieselgenerators für Werk A. Begründung: Stromausfall > 1 Stunde führt zu Produktionsstillstand, RTO-Anforderung 30 Min. nur mit Backup-Aggregat erfüllbar. Rechtsrahmen: Betreiberpflicht, Versorgungssicherheit (z.B. DIN 6280 empfohlen). Kosten: ca. 80.000 €. Priorität: Hoch.

• Maßnahme: Vertrag mit Cloud-Provider für E-Mail-Service im Notfall. Begründung: Bei Ausfall des eigenen Mailservers (> 8h Ausfall führt zu massiver Kommunikationsstörung, RTO-Mail = 4h). Kosten: X € pro Jahr. Priorität: Mittel.

• Maßnahme: Notfallarbeitsplätze an anderem Standort einrichten (10 Plätze ausgestattet mit Telefon/PC). Begründung: Hauptgebäude könnte unbenutzbar sein (Feuer), kritische Abteilungen brauchen Ausweichbüro binnen 1 Tag. Kosten: Raummiete + Ausstattung ca. 20.000 € pa. Priorität: Hoch.

• Maßnahme: Schulung und Drill für Evakuierung und Notfallorganisation. Begründung: Verbesserung der Reaktionsfähigkeit, erfüllt ArbSchG §10 und ISO 45001 Anforderungen. Priorität: Mittel (laufend).

Diese Maßnahmen werden in die BCM-Strategie und die Notfallpläne integriert. Praktisch werden nach der BIA sogenannte Business Continuity Pläne oder Wiederanlaufpläne erstellt, in denen je Prozess/Abteilung festgelegt ist, was im Ausfallfall zu tun ist und welche Ressourcen benötigt werden. Die BIA-Erkenntnisse fließen in diese Pläne ein: Etwa enthält ein Notfallplan für Produktion Linie A, dass bei Ausfall > 24h sofort der zuvor identifizierte Lohnfertiger kontaktiert wird, um Auftragsspitzen zu übernehmen (Maßnahme umgesetzt). Oder der IT-Notfallplan enthält, dass bei Ausfall des Primärrechenzentrums innerhalb von 2 Stunden das Backup-Rechenzentrum aktiviert wird.

Auch Tabellen und Checklisten sind in Notfallplänen üblich – z.B. eine Tabelle „wichtige Kontakte im Notfall“ (Energielieferant, Feuerwehr, Servicepartner) oder „Notfall-Kits Inhalt“ etc. Diese operativen Details gehören zwar streng genommen nicht mehr zur BIA, aber ohne BIA wüsste man nicht, wo man solche Pläne am dringendsten braucht.

Abschließend ist zu betonen, dass die BIA-Ergebnisse und die daraus abgeleiteten Maßnahmen dem Management vorgestellt und genehmigt werden sollten. Hier findet die Verantwortungsübergabe statt: Die Geschäftsführung erkennt die identifizierten Risiken und stimmt den vorgeschlagenen Maßnahmen (und Budgets) zu. Damit wird die BIA zu einem lebendigen Instrument der Unternehmensführung, nicht nur zu einer theoretischen Übung.

Ein wichtiger letzter Schritt nach der Ableitung der Maßnahmen ist schließlich die regelmäßige Aktualisierung der BIA. Veränderungen im Unternehmen – neue Produkte, geänderte Prozesse, neue Gesetze – erfordern eine Anpassung. Best Practices empfehlen, die BIA mindestens alle 1–2 Jahre oder bei signifikanten Änderungen zu wiederholen bzw. zu überprüfen. So bleibt das Continuity Management aktuell und wirksam.

Das Facility Management (FM) umfasst alle Unterstützungsprozesse, die den Betrieb von Gebäuden und technischen Anlagen sicherstellen – von der Gebäudetechnik über die Versorgung mit Energie und Medien bis zur Flächenbewirtschaftung und Sicherheitstechnik. In industriellen Umgebungen ist das FM ein essenzieller Enabler für die Kernprozesse: Produktion kann nur laufen, wenn Strom, Wasser, Druckluft verfügbar sind; IT-Systeme brauchen eine gekühlte, sichere Umgebung; Mitarbeiter benötigen einen intakten Arbeitsplatz. Business Continuity im Facility Management bedeutet daher, die Infrastruktur so zu betreiben, dass betriebskritische Gebäude und Anlagen auch bei Störungen funktionsfähig bleiben oder schnell wiederhergestellt werden. Im Folgenden werden spezifische Aspekte betrachtet, wie die BIA auf typische Facility-Management-Strukturen angewendet wird und welche besonderen Herausforderungen in industriellen Anwendungen auftreten.

Gebäudeinfrastruktur und TGA (Technische Gebäudeausrüstung) bilden das Rückgrat vieler Geschäftsprozesse. Ausfälle in diesen Bereichen können weitreichende Konsequenzen haben.

• Stromversorgung: Elektrische Energie ist in nahezu allen Branchen unverzichtbar. Ein Stromausfall kann vom Stillstand der Produktionsmaschinen bis zum Ausfall der IT alle Bereiche treffen. In der BIA wird die Stromversorgung als kritische Ressource identifiziert. Typischerweise haben industrielle Einrichtungen gewisse Notstromlösungen – etwa USV-Anlagen (Unterbrechungsfreie Stromversorgung) für Minutenbereich und Dieselgeneratoren für längere Überbrückung. Die Verfügbarkeitsklasse der Stromversorgung im Sinne von DIN EN 50600 (für RZ) oder entsprechender Normen zeigt, wie resilient man ist. Im Rahmen der BIA bewertet man: Wie lange kann ohne Netzstrom gearbeitet werden? Gibt es Prozesse, die sofort ausfallen (z.B. Rechenzentrum ohne USV)? Wie schnell muss der Generator anspringen (typisch < 1 Minute für kritische Last)? Die Maßnahmen bei unzureichender Strom-Resilienz sind z.B.: Installation zusätzlicher Generatoren, Doppelfeed vom Versorger, Brennstoffvorrat für X Stunden Vorhaltung etc. In Deutschland ist zudem die öffentliche Stromversorgung sehr zuverlässig; doch gerade kurze Spannungsunterbrechungen (Spikes, Brownouts) können empfindliche Anlagen stören. Moderne Anlagen normgerecht zu schützen (Überspannungsschutz, Netzfilter) gehört zur Betreiberverantwortung und reduziert Ausfallrisiken.

• Klima- und Lüftungstechnik: Viele industrielle Prozesse sowie IT-Systeme sind abhängig von Kühlsystemen und Lüftung. Beispielsweise müssen Serverräume konstant gekühlt werden; in Fertigungshallen muss Abluft abgesaugt oder Reinraumbedingungen gehalten werden. Die BIA fragt: Was passiert, wenn die Klimaanlage ausfällt? Z.B. könnten Server nach 10 Minuten überhitzen – ergo sehr geringe Toleranz. Entsprechend kurz ist die RTO für Klima. Maßnahmen: Redundante Kältemaschinen (N+1 Konzept), Notkühlung durch Außenluft (sofern Wetter es zulässt), mobile Kühleinheiten vorhalten. Ein Beispiel aus der Praxis: Rechenzentren nach DIN EN 50600 VK3/4 haben mindestens zwei unabhängige Kühlsysteme und definierte maximale Temperaturanstiegsraten – dadurch kann ein Klimaanlagenausfall zeitlich überbrückt werden, bis Ersatz greift.

• Druckluft, Wasser, Gas: In manchen Industrien sind weitere Versorgungsmedien kritisch. Eine Produktionsstätte der Automobilindustrie z.B. benötigt Druckluft für Werkzeuge; Halbleiterfabriken brauchen ultrapures Wasser; bestimmte Anlagen benötigen technische Gase. Jeder dieser Versorgungsstränge ist in der BIA als Abhängigkeit zu berücksichtigen. Etwa: Druckluft-Ausfall > 30 Minuten stoppt Produktion, RTO 0,5h – Maßnahme: redundante Kompressoren, Druckluftspeicher. Oder Gasversorgung für Brennöfen: alternative Öl-Befeuerung als Backup? Oft hängen diese Themen wiederum vom Strom ab (Kompressoren laufen elektrisch etc.), was die Interdependenzen erhöht.

• IT- und Kommunikationsinfrastruktur im Gebäude: Zwar gehört IT oft nicht direkt zum Facility Management, aber Gebäude bieten die passive Infrastruktur: Netzwerkkabel, Serverräume, Stromversorgung für IT. Die BIA sollte Überschneidungen adressieren: z.B. Zutrittssystem ausgefallen – Mitarbeiter kommen nicht ins Gebäude; Brandmeldeanlage Alarmauslösung – alle müssen Gebäude verlassen, obwohl vielleicht kein echtes Feuer da ist. Solche Facilities-Events haben unmittelbaren Einfluss auf Geschäftsprozesse. Im Umkehrschluss kann eine hochkritische IT-Anwendung es erforderlich machen, dass die FM-Infrastruktur speziell gesichert wird (BSI nennt etwa den Ausfall eines Cloud-Rechenzentrums als existenzbedrohend). Daraus folgt z.B., dass Data Center nach hohen Standards (DIN EN 50600 etc.) betrieben werden müssen, siehe oben.

Ein oft unterschätzter Aspekt: Die beste Redundanz hilft nichts, wenn alle parallelen Systeme gleichzeitig gewartet werden müssen. Daher erfordert Continuity im FM auch intelligente Wartungsplanung. Betreiber sollten Wartungsfenster definieren, in denen Ausfälle tolerierbar sind, oder sicherstellen, dass nie alle Redundanzen gleichzeitig zur Wartung offline sind. Die BIA kann solche Fenster aufzeigen: Z.B. Produktion ruht an Wochenenden, also könnten dort Wartungen passieren. Allerdings bei 24/7-Betrieb (z.B. Rechenzentren, Prozessindustrie) müssen online-wartbare Systeme beschafft werden.

Teil der Facility-BCM-Planung ist auch: Wer repariert im Notfall schadhafte Infrastruktur? Verträge mit Servicefirmen (z.B. für Strom, HLK) sollten in der BIA/Notfallplanung berücksichtigt werden. Beispielsweise ein Kältetechnik-Notdienst mit 2h Reaktionszeit – ist der vorhanden? Wenn nein, besteht ein Risiko bei Klimaausfall.

Flächenmanagement im Kontext BCM betrifft die Fragen: Was tun, wenn Gebäude oder Teile davon nicht nutzbar sind? Etwa durch Brand, Kontamination, Bombendrohung oder sonstige Evakuierung. Die Covid-19-Pandemie hat z.B. gezeigt, dass ganze Bürogebäude unbenutzbar wurden (Lockdown) und Alternativen (Home Office) nötig waren. In industriellen Anwendungen kann z.B. ein Brand eine Produktionshalle lahmlegen oder ein kritisches Gebäude (z.B. Hauptverwaltung, Lager) temporär ausfallen.

Die BIA sollte daher prozessbezogen erheben, welche Standorte genutzt werden und wie abhängig ein Prozess von einem spezifischen Ort ist. Einige Prozesse sind an Ort gebunden (eine Maschine kann man nicht mal eben verlegen), andere sind flexibler (Verwaltungsprozesse können evtl. remote arbeiten).

• Ausweichstandorte: Für Bürofunktionen ist es sinnvoll, einen Ausweichstandort vorzuhalten oder zumindest geplant zu haben (z.B. einen Vertrag mit einem Business Center, oder einen Zweitstandort in einer anderen Stadt nutzen). Die BIA ermittelt, wie viele Notarbeitsplätze wo benötigt würden. Beispiel: „Wir brauchen 20 Plätze mit PC und Telefon innerhalb 1 Tages, falls Zentrale ausfällt.“ Solche Planungen fließen in den Notfallplan Gebäude ein.

• Produktionsverlagerung: Bei physischen Produktionsstätten ist die Frage, ob es Alternative Werke gibt, die einspringen können. Großunternehmen haben oft mehrere Standorte und können begrenzt Kapazität umlenken. In der BIA wird dies als Maßnahme erwogen: Wenn Werk A ausfällt, kann Werk B die wichtigsten Aufträge übernehmen? Wenn nein, ist evtl. ein Notstandsvertrag mit einem Lohnfertiger sinnvoll (wie oben erwähnt). Industrieparks schließen mitunter Solidaritätsabkommen für Notfälle.

• Lagerbestände: Eine klassische Continuity-Maßnahme gegen Standortausfälle ist, Sicherheitsbestände anzulegen. Wenn z.B. das Zentrallager abbrennt, aber man hatte 2 Wochen Puffer bei den Händlern dezentral, kann man weiterverkaufen während Wiederaufbau. BIA-Daten (Verlust X €/Tag) helfen zu entscheiden, ob solche Bestände lohnen.

• Evakuierungsplanung: Für jeden Standort sollte es Evakuierungs- und Wiedereinstiegspläne geben (ArbSchG-Vorgabe). In der BCM-Betrachtung geht es darüber hinaus um die Frage: Ab wann und wie können Mitarbeiter wieder rein? – etwa wenn ein Büro wegen Gasleck geräumt war, wie setzt man die Arbeit bis zur Freigabe fort? Home-Office ist inzwischen eine Option, aber in Produktionshallen schwieriger.

• Geografische Diversifikation: In der BIA kann man auch standortübergreifend analysieren, ob alle kritischen Prozesse im selben Gebäude konzentriert sind – was ein „Single Point of Failure“ wäre. Strategisch könnte man empfehlen, gewisse kritische Abteilungen räumlich getrennt zu halten (z.B. IT-Backup-Rechenzentrum in anderer Region, oder Leitstand der Produktion nicht direkt neben der Produktion sondern in separatem Gebäude).

Selbst wenn Gebäude heil sind, können extern bedingte Zugangsprobleme stören: Ein großer Schneesturm, Hochwasser, Demonstrationen können Mitarbeiter daran hindern, an den Arbeitsplatz zu kommen. Hier überschneidet sich Facility Management mit Krisenmanagement. Die BIA sollte erfragen, welche Prozesse physische Präsenz erfordern und welche remote weitergeführt werden könnten. Die Pandemie hat gezeigt: Viele Büroprozesse ließen sich ins Home-Office verlagern, Produktion aber nicht. Aus BIA-Sicht heißt das: Prozesse, die nicht remote gehen und keine Alternative haben, haben ein höheres Risiko bei Zugangsproblemen – entsprechende Pläne (z.B. Schichtwechsel anpassen, sichere Unterkünfte vor Ort etc.) sind zu überlegen.

Facility Management ist oft auch verantwortlich für die Sicherheitsorganisation in Gebäuden (Werkschutz, Brandschutz, Notfallalarme). Diese steht im Ernstfall an vorderster Front. Beispielsweise löst die Sicherheitszentrale einen Alarm aus und ruft Feuerwehr etc. In BSI-Standards wird z.B. erwähnt, dass ein „Meldestelle Facility Management bzw. Sicherheitszentrale“ Teil des Notfallmanagements sein sollte – denn dort laufen oft erste Störungsmeldungen ein (Brandmelder, Einbruch, techn. Alarm).

Im BCM-Kontext bedeutet das: Das FM muss in die Krisenstäbe eingebunden sein. Wenn ein Krisenteam sich zusammensetzt (Geschäftsführer, PR, IT-Leiter etc.), darf der Leiter Facility/Technik nicht fehlen, da viele Lösungen über Gebäude/Technik laufen (z.B. Gebäude schließen, Notaggregate starten, Räumlichkeiten bereitstellen).

• Dokumentation und Pläne: Das Facility Management sollte über Pläne wie eine Notfall-Handbuch Gebäudebetrieb verfügen. Darin könnten Checklisten sein: „Bei Stromausfall: 1) Notstrom starten, 2) Prioritätenliste welche Verbraucher zuerst wieder ans Netz, 3) Info an Krisenteam“ usw. Auch Kontakte zu Versorgern und Servicetechnikern gehören hier rein (z.B. Stromnetzbetreiber Hotline, Kälteanlagenbauer Notdienst). Die BIA hilft, diese Handbücher zu priorisieren: Für die kritischsten Infrastrukturen (Strom, Klima, usw.) muss es detaillierte Handlungsanweisungen geben, für weniger kritische kann es einfacher gehalten sein.

• Externe Dienstleister: Im FM wird viel outgesourct (Reinigung, Wartung, Security). In der Notfallplanung muss klar sein, welche Dienstleister im Notfall verfügbar sein müssen. Gibt es mit dem Wachdienst eine 24/7-Vereinbarung? Hat der Caterer einen Plan, wenn Kantine ausfällt (z.B. Notverpflegung via Foodtruck)? Diese vermeintlichen Details sind relevant, denn Mitarbeiter in Krisen brauchen auch Betreuung (Essen, Pausenräume etc., insbesondere wenn sie Überstunden machen um Krise zu bewältigen).

In industriellen Szenarien, z.B. Chemieanlagen, hat die Sicherheitsorganisation noch höhere Bedeutung: Alarm- und Gefahrenabwehrpläne (vgl. StörfallV) greifen hier. Die BIA muss in solchen Fällen eng mit den bestehenden Gefahrenabwehrplanungen verzahnt werden, damit die Kontinuität der Produktion nach einem Unfall gewährleistet werden kann, sobald es wieder sicher ist.

• Beispiel 1: Automobilzulieferer mit eigener Galvanik – Ein mittelständischer Automobilzulieferer betreibt an seinem Standort eine Galvanik-Anlage zur Oberflächenbeschichtung von Bauteilen. Kritischer Prozess ist die Beschichtungsproduktion. Die BIA ergab: Ausfall der Galvanik > 2 Tage führt zu Lieferausfällen gegenüber OEM-Kunden und Vertragsstrafen (finanzieller Impact ~100.000 €/Tag ab Tag 3, reputativer Schaden hoch, da Just-in-Time-Lieferkette). Hauptabhängigkeiten: Strom, Chemikalienzufuhr, Abwasseraufbereitung. MTPD wurde mit 5 Tagen bestimmt, RTO 2 Tage. Maßnahmenableitung: Da kein zweiter Standort existiert, muss am Standort höchste Verfügbarkeit sichergestellt werden. Ergebnis: Installation eines zweiten Transformators und Dieselgenerators für vollautarken Weiterbetrieb der Galvanik bei Stromausfall (Kosten 200k €, genehmigt, da potenzieller Schaden mehrere Mio €) – erfüllt RTO Strom = 0; Abschluss einer Vereinbarung mit einem Partnerunternehmen im Ausland, das im Notfall innerhalb 3 Tagen die Beschichtung übernehmen könnte (damit MTPD eingehalten, falls Standort komplett ausfällt, auch wenn RTO 2 Tage nicht geschafft wird – als Backup-Plan); regelmäßige Notfallübung: Galvanik-Abschaltung und Wiederanfahren wird 1x/Jahr geprobt, um sicher zu sein, dass Chemikalienkreisläufe nicht eintrocknen etc.; Evakuierungsplan speziell für Galvanikunfall (giftige Gase) vorhanden – schützt Personal und minimiert Ausfalldauer, indem im Voraus festgelegt ist, wie Dekontamination abläuft.

• Beispiel 2: Rechenzentrumsbetreiber (Colocation) – Ein Dienstleister betreibt ein hochverfügbares Datacenter, Klassifizierung nach DIN EN 50600 als VK4 (sehr hoch). Kunden sind Banken und Krankenhäuser (d.h. absolut kritisch). BIA: Kernprozess RZ-Betrieb darf praktisch gar nicht ausfallen – MTPD vielleicht 1 Stunde, RTO wenige Minuten. Daraus ergeben sich extreme Anforderungen ans Facility Management: redundante Stromwege, zwei unabhängige Umspannwerke, Diesel für 72h, zwei getrennte Klimasysteme, Löschanlage, permanente Überwachung. Diese Infrastruktur entspricht Normvorgaben. Im BIA-Bericht wurde festgehalten, dass ein RZ-Brand oder Totalausfall zu Schäden in zweistelliger Millionenhöhe und rechtlichen Konsequenzen (Haftung) führt. Maßnahmen: Zertifizierung nach DIN EN 50600 umgesetzt; zusätzlich tägliche Tests der Notstromanlage; Intensives Notfallhandbuch Rechenzentrum: Vorgehen bei Stromausfall, Überschwemmung, Cyberangriff etc. – alles dokumentiert. Besonderheit: Hier ist Facility Management quasi gleichzusetzen mit Business Continuity, da Ausfälle sofort Kunden schädigen. Ein internes Audit (BSI Standard 200-4) lobte, dass durch diese Maßnahmen das Ausfallrisiko minimiert und eine ganzheitliche organisatorische Resilienz erreicht wurde.

Beide Beispiele zeigen, wie die Verknüpfung von BIA und Facility-Themen in der Praxis aussehen kann. In ersterem ging es darum, eine einzelne Anlage durch Backup-Lösungen abzusichern; im zweiten um einen gesamten Betrieb nach höchsten Standards auszulegen. Gemeinsam ist: Die Business Impact Analyse liefert jeweils die Entscheidungsgrundlage, welche Investitionen und Planungen vordringlich sind, um den Geschäftsbetrieb bei technischen Störungen zu schützen.