BCM · Kontinuität des Geschäftsbetriebs und Notfallmanagement
BCM-02 Business Impact Analyse
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Rephrased the first two sentences of the criterion to more explicitly state that it centers around the performance of a BIA.
Added requirement regarding the review of the BIA.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
Policies and instructions to determine the impact of any malfunction to the cloud service or enterprise are documented, communicated and made available in accordance with SP-01. The following aspects are considered as minimum:
- Possible scenarios based on a risk analysis;
- Identification of critical products and services
- Identify dependencies, including processes (including resources required), applications, business partners and third parties;
- Capture threats to critical products and services;
- Identification of effects resulting from planned and unplanned malfunctions and changes over time;
- Determination of the maximum acceptable duration of malfunctions;
- Identification of restoration priorities;
- Determination of time targets for the resumption of critical products and services within the maximum acceptable time period (RTO);
- Determination of time targets for the maximum reasonable period during which data can be lost and not recovered (RPO); and
- Estimation of the resources needed for resumption.
Basiskriterium
Der Cloud-Anbieter führt eine Business Impact Analyse durch. In dieser BIA analysiert der Cloud-Anbieter die Auswirkungen der Unterbrechung von Aktivitäten auf seine Organisation in Bezug auf die Entwicklung und den Betrieb des Cloud-Dienstes gemäß den anwendbaren Richtlinien und Verfahren mit mindestens den folgenden Aspekten:
- Mögliche Szenarien basierend auf einer Risikobeurteilung, die Cybersicherheitsrisiken einschließt;
- Identifizierung kritischer Produkte und Dienstleistungen;
- Identifizierung von Abhängigkeiten, einschließlich Prozessen (einschließlich erforderlicher Ressourcen), Anwendungen und Service-Organisationen;
- Erfassung von Bedrohungen für kritische Produkte und Dienstleistungen;
- Ermittlung von Auswirkungen resultierend aus geplanten und ungeplanten Ausfällen, Dienstverschlechterungen und die Veränderung im Laufe der Zeit;
- Bestimmung des maximal tolerierbaren Zeitraums (MTA) von Ausfall und Dienstverschlechterung;
- Feststellung der Prioritäten zur Wiederherstellung;
- Festlegung von zeitlichen Zielvorgaben zur Wiederaufnahme kritischer Produkte und der Dienstleistung innerhalb des maximal tolerierbaren Zeitraums (d. h. RTO);
- Festlegung zeitlicher Zielvorgaben zum maximal tolerierbaren Zeitraum, in dem abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten, Kontodaten und, sofern deren Verarbeitung vertraglich vereinbart ist, Cloud-Kundendaten verloren gehen und nicht wiederhergestellt werden können (d.h. RPO); und
- Abschätzung der zur Wiederaufnahme benötigten Ressourcen.
Ergänzende Information
Zu den gemäß dem Basiskriterium zu berücksichtigenden Szenarien gehören beispielsweise der Verlust von Personal, Gebäuden, Infrastruktur und Dienstleistern.
Die Business Impact Analyse hält die anwendbaren Richtlinien und Verfahren ein und wird in regelmäßigen Abständen, mindestens einmal jährlich oder nach wesentlichen organisatorischen oder umgebungsbedingten Änderungen, überprüft.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Szenarien für einen Ausfall des Cloud-Dienstes oder des Cloud-Anbieters im Rahmen ihrer Business Impact Analyse hinreichend berücksichtigt werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen