BIA, BCP en tabletop oefeningen voor bedrijfscontinuïteit

Een Business Impact Analyse, in het Nederlands bedrijfsimpactanalyse, is een analyse waarmee de mogelijke impact van verstoringen op bedrijfsprocessen wordt bepaald. Daarbij wordt gekeken naar de processen die essentieel zijn voor de organisatie en naar de onderliggende bedrijfsmiddelen, zoals systemen, applicaties, informatie, leveranciers en mensen. 

Een BIA helpt onder andere bij het vaststellen van:

• kritieke bedrijfsprocessen;
• afhankelijkheden van systemen, leveranciers en medewerkers;
• maximale acceptabele uitvalduur;
• gewenste hersteltijden;
• maximaal acceptabel gegevensverlies;
• prioriteiten voor herstel bij verstoringen.

Daarbij worden vaak begrippen gebruikt zoals MTO (Maximum Tolerable Outage), RTO (Recovery Time Objective) en RPO (Recovery Point Objective). Aan de hand van deze waarden wordt bepaald hoe lang een proces maximaal mag uitvallen, hoe snel herstel nodig is en hoeveel gegevensverlies acceptabel is.

Wanneer voer je een BIA uit?

Een BIA is relevant wanneer je inzicht wil krijgen in de continuïteits- en beschikbaarheidsbehoeften van jouw organisatie. Dit kan bijvoorbeeld bij:

• het opstellen of actualiseren van een bedrijfscontinuïteitsplan;
• wijzigingen in kritieke processen, systemen of leveranciers;
• introductie van nieuwe producten of diensten;
• periodieke risicoanalyses of audits;
• voorbereiding op certificering of normenkaders, zoals ISO 27001;
• nieuwe of aangescherpte wettelijke (denk bijvoorbeeld aan de CRA, NIS2/Cbw en DORA) en contractuele verplichtingen;
• evaluatie na een incident of continuïteitsverstoring.

Door periodiek een BIA uit te voeren blijft het continuïteitsplan aansluiten op de werkelijkheid van de organisatie.

Uit welke componenten bestaat een BIA?

Een BIA bestaat meestal uit de volgende onderdelen:

• afstemming van scope, aanpak en methodiek;
• inventarisatie van kritieke processen en ondersteunende bedrijfsmiddelen;
• analyse van afhankelijkheden, zoals IT-systemen, leveranciers, locaties en medewerkers;
• bepaling van impact bij uitval, bijvoorbeeld financieel, juridisch, operationeel of reputatiegericht;
• vaststelling van continuïteitsbehoeften, zoals MTO, RTO en RPO;
• prioritering van herstelvolgorde;

De uitkomsten van de BIA vormen de basis voor een passend bedrijfscontinuïteitsplan.