# BCM-02 Business Impact Analyse

- Bereich: BCM – Kontinuität des Geschäftsbetriebs und Notfallmanagement
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/bcm-02/

## Basiskriterium

### BCM-02.01B

Der Cloud-Anbieter führt eine Business Impact Analyse durch. In dieser BIA analysiert der Cloud-Anbieter die Auswirkungen der Unterbrechung von Aktivitäten auf seine Organisation in Bezug auf die Entwicklung und den Betrieb des Cloud-Dienstes gemäß den anwendbaren Richtlinien und Verfahren mit mindestens den folgenden Aspekten:

1. Mögliche Szenarien basierend auf einer Risikobeurteilung, die Cybersicherheitsrisiken einschließt;
2. Identifizierung kritischer Produkte und Dienstleistungen;
3. Identifizierung von Abhängigkeiten, einschließlich Prozessen (einschließlich erforderlicher Ressourcen), Anwendungen und Service-Organisationen;
4. Erfassung von Bedrohungen für kritische Produkte und Dienstleistungen;
5. Ermittlung von Auswirkungen resultierend aus geplanten und ungeplanten Ausfällen, Dienstverschlechterungen und die Veränderung im Laufe der Zeit;
6. Bestimmung des maximal tolerierbaren Zeitraums (MTA) von Ausfall und Dienstverschlechterung;
7. Feststellung der Prioritäten zur Wiederherstellung;
8. Festlegung von zeitlichen Zielvorgaben zur Wiederaufnahme kritischer Produkte und der Dienstleistung innerhalb des maximal tolerierbaren Zeitraums (d. h. RTO);
9. Festlegung zeitlicher Zielvorgaben zum maximal tolerierbaren Zeitraum, in dem abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten, Kontodaten und, sofern deren Verarbeitung vertraglich vereinbart ist, Cloud-Kundendaten verloren gehen und nicht wiederhergestellt werden können (d.h. RPO); und
10. Abschätzung der zur Wiederaufnahme benötigten Ressourcen.

**Ergänzende Information:**

Zu den gemäß dem Basiskriterium zu berücksichtigenden Szenarien gehören beispielsweise der Verlust von Personal, Gebäuden, Infrastruktur und Dienstleistern.

### BCM-02.02B

Die Business Impact Analyse hält die anwendbaren Richtlinien und Verfahren ein und wird in regelmäßigen Abständen, mindestens einmal jährlich oder nach wesentlichen organisatorischen oder umgebungsbedingten Änderungen, überprüft.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Szenarien für einen Ausfall des Cloud-Dienstes oder des Cloud-Anbieters im Rahmen ihrer Business Impact Analyse hinreichend berücksichtigt werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Rephrased the first two sentences of the criterion to more explicitly state that it centers around the performance of a BIA.

Added requirement regarding the review of the BIA.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.