MDPR28.1.A - BIA_Business Impact Analysis (27001)

Cover

	Business Impact Analysis (BIA)	MDPR28.1.A
		Rev. 0.0	24/04/2026
BIA - Business Impact Analysis			Rev.	Data	Descrizione	Redatto	Approvato	Classificazione
			0.0		Prima emissione
Ambito di applicazione della BIA
Valore di soglia RTO
Valore di soglia MTPD
Data di compilazione
Redattori	[Nominativo e Ruolo]
Intervistati	[Nominativo e Ruolo]
Data prossima revisione
Ultimo aggiornamento

Metodologia

		Business Impact Analysis (BIA)						MDPR28.1.A
								Rev. 0.0	24/04/2026
L'Analisi di Impatto sul Business (BIA) considera tutti i processi di business al fine di identificare quelli critici e i relativi tempi stabiliti per il ripristino.
Viene effettuata con la collaborazione dei Process Owner attraverso interviste.
Per ciacun processo possono essere valutati impatti di natura: economica, reputazionale, legale, operativa, ambientale, ecc.
L'Organizzazione scegli i parametri di impatto in base al proprio contesto.
Gli impatti definiti tengono conto, nei processi, della gestione dei dati personali.
Al crescere del tempo di interruzione del business (1 ora, 4 ore, un giorno, tre giorni ecc..) crescono i relativi impatti che sono quantificati come segue:
Molto Basso	Basso	Medio	Alto	Molto Alto
1	2	3	4	5
A ciascun valore quantitativo viene, quindi, associato un valore numerico ottenedo dei valori minimi e dei valori massimi per ogni fascia temporale (1 ora, 4 ore, un giorno, tre giorni ecc..) che dipendono dal numero di parametri di impatto considerati.
Ad esempio, considerando un numero di quattro parametri, i valori minimi e massimi che è possibile ottenere dalla valutazione di impatto sono:
Impatto economico	0	5
Impatto reputazionale	0	5
Impatto legale	0	5
Impatto operativo	0	5
Impatto ambientale	0	5
TOTALE	0	25
	Val minimo	Val massimo
Sulla base del numero di parametri considerati, è necessario individuare il valore di soglia per stabilire il valore di RTO e quello per stabilire il valore di MTPD. Generalmente, per individuare il valore di RTO si sceglie quel valore dove tutti i valori sono medi o almeno uno di essi è maggiore di un valore medio).
Si assume che per valori > oppure = a quello del valore soglia, il processo debba essere necessariamente rirpistinato in quanto per valori superiori l'interruzione può comportare danni molto gravi o irreparabili.
Di conseguenza, l'ntervallo temporale per cui il valore uguaglia o supera la soglia viene scelto come tempo di ripristino massimo (RTO) e come tempo oltre il quale il servizio è compromesso (MTPD).
Esempio:
ATTIVITÀ: Erogazione di servizi cloud in modalità SaaS							ATTIVITÀ: Erogazione di servizi cloud in modalità SaaS
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale		Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Punteggio totale
1 ora	Molto Basso	Basso	Molto Basso	Molto Basso	Basso		1 ora	1	2	1	1	2	7
4 ore	Basso	Medio	Basso	Basso	Basso		4 ore	2	3	2	2	2	11
1 giorno	Medio	Alto	Medio	Medio	Basso		1 giorno	3	4	3	3	2	15
3 giorni	Alto	Alto	Alto	Alto	Basso		3 giorni	4	4	4	4	2	18
1 settimana	Alto	Molto Alto	Alto	Alto	Basso		1 settimana	4	5	4	4	2	19
1 mese	Molto Alto	Molto Alto	Molto Alto	Molto Alto	Basso		1 mese	5	5	5	5	2	22
Sulla base dei valori emersi, sono stabilite le priorità di ripristino dei singoli processi; a parità di RTO, la priorità di ripristino è determinata analizzando:
• le dipendenze tra i processi --> i processi propedeutici o abilitanti per altri devono essere ripristinati prima
• l'impatto sul business --> si valuta quale processo genera maggiore impatto economico, operativo o reputazionale se non ripristinato
• eventuali obblighi normativi o contrattuali --> processi soggetti a requisiti legali, regolatori o SLA con clienti hanno la priorità
• risorse necessarie e disponibilità --> la priorità dipende anche da risorse condivise (personale, sistemi, infrastrutture).

Definizioni

	Business Impact Analysis (BIA)						MDPR28.1.A
							Rev. 0.0	24/04/2026
Termini e Definizioni
Le seguenti definizioni derivano da ISO22301 and ISO22300
TERMINE	DEFINIZIONE
Attività	Processo o insieme di processi intrapresi da un'Organizzazione (o per suo conto) che produce o supporta uno o più prodotti e servizi. Ad esempio, tali processi includono contabilità, call center, IT, produzione e distribuzione.
Attività prioritarie	Attività a cui dare priorità di ripristino a seguito di un incidente per attenuarne gli impatti.
Analisi dell'Impatto sul Business (BIA)	Processo di analisi delle attività e degli effetti che un'interruzione aziendale potrebbe avere su di esse.
Maximum acceptable outage (MAO)	Tempo necessario affinché gli impatti negativi, che potrebbero derivare dalla mancata fornitura di un prodotto/servizio o dall'esecuzione di un'attività, diventino inaccettabili (vedere anche MTPD).
Maximum tolerable period of disruption (MTPD)	Tempo massimo oltre il quale la mancata fornitura di prodotti e servizi o la non esecuzione di una attività diventa inaccettabile per l’Organizzazione(vedere anche MAO).
Minimum business continuity objective (MBCO)	Livello minimo accettabile di erogazione delle attività o operatività dei sistemi/servizi per l'Organizzazione affinchè possa raggiungere i propri obiettivi aziendali durante un'interruzione.
Prodotti e servizi	Benefici forniti da un'Organizzazione ai suoi clienti, destinatari e parti interessate.
Recovery point objective (RPO)	Quantità massima di dati o transazioni che è tollerabile perdere in caso di disastro. Per i sistemi informatici corrisponde al tempo tra un backup e l’altro, per le informazioni in altro formato corrisponde al tempo necessario alla loro copia e archiviazione in un luogo alternativo. NOTA: può essere definito anche "massima perdita di dati".
Recovery time objective (RTO)	Periodo di tempo successivo a un incidente entro il quale l’operatività del sistema/servizio o dell'attività/processo organizzativo deve essere ripristinata. NOTA: per prodotti, servizi e attività, l'obiettivo del tempo di ripristino deve essere inferiore al tempo necessario affinché gli impatti negativi che si verificherebbero a seguito della mancata fornitura di un prodotto/servizio o dell'esecuzione di un'attività diventino inaccettabili (RTO < MTPD).

Attività di business-ICT

		Business Impact Analysis (BIA)					MDPR28.1.A
							Rev. 0.0	24/04/2026
Identificazione delle attività di business e delle attività ICT
[Elencare tutte le attività di business e le attività ICT correlate, con i relativi requisiti]
			RISORSE ORDINARIAMENTE NECESSARIE PER LO SVOLGIMENTO DELLE ATTIVITÀ DI BUSINESS
ID	Attività di Business	Attività ICT a supporto	Numero risorse (personale che esercita regolarmente l'attività)	Dati e Informazioni chiave	Sito, ambiente di lavoro (luogo fisico dal quale si esercita l'attività)	Attrezzature e materiali di consumo	Sistemi ICT utilizzati	Trasporti (mezzi utilizzati in caso di spostamento di materiale)	Partners e Fornitori a supporto	Eventuali obblighi legali, statutari e contrattuali	Numero risorse in emergenza (personale minimo da prevedere in emergenza per garantire l'erogazione del processo)
1
2
3
4
5
6
7
8
9
10

Impatti

		Business Impact Analysis (BIA)					MDPR28.1.A
							Rev. 0.0	24/04/2026
Impatti sulla continuità delle attività di business
[Per ogni attività di business, valutare l'andamento nel tempo degli impatti di un'interruzione dell'attività a seguito di uno o più scenari disastrosi. Ad esempio: impatto economico, reputazionale, legale, operativo, ambientale, ecc.]
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA
ATTIVITÀ: [Inserire attività]
Tempo	Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto ambientale	Impatto XXXX	Punteggio totale
1 ora	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
4 ore	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 giorno	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
3 giorni	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 settimana	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
1 mese	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	Selezionare…	0
Molto Basso	Basso	Medio	Alto	Molto Alto	COMPLETATO DA	[Inserire nominativo e ruolo]
1	2	3	4	5	DATA

Legenda impatti

		Business Impact Analysis (BIA)					MDPR28.1.A
							Rev. 0.0	24/04/2026
LEVEL		Impatto economico	Impatto reputazionale	Impatto legale	Impatto operativo	Impatto xxxxx	Impatto xxxxx
1	Molto basso	Nessuno o poche centinaia di euro, senza alcun effetto sulla redditività commerciale dell'Azienda.	Nessuna citazione sulla stampa di settore. Nessun imbarazzo / minimo disagio interno, impercettibile dall'esterno. Divulgazione di informazioni facilmente deducibili, senza alcun rischio o conseguenza per l'Azienda.	Nessuna violazione di contratto o regolamento. Eventuali reclami informali non sono stati perseguiti legalmente. Nessun coinvolgimento delle Autorità.	Nessuna limitazione operativa per i team, solo lievi aggiustamenti del carico di lavoro. Nessuna interruzione o ritardo nella consegna superiore alla giornata lavorativa. Nessun impatto sulla continuità dei processi aziendali.
2	Basso	Fino a 5.000€	Notizie negative pubblicate sulla stampa di settore. Lieve situazione imbarazzante, di portata limitata. Divulgazione di informazioni non pubbliche, ma senza ripercussioni negative per l'attività aziendale.	Violazioni contrattuali di lieve entità e/o reclami formali risolvibili senza conseguenze legali e senza compromettere il rapporto di lavoro. Nessuna violazione di normative cogenti. Coinvolgimento dell'ufficio legale per supporto o chiarimenti.	Limitazioni operative temporanee per specifici team di lavoro. Interruzione o ritardo della consegna fino a una settimana. Conseguenze sull'efficienza di un processo aziendale non critico.
3	Medio	Tra 5.000€ e 15.000€	Reclami o giudizi negativi da parte dei clienti. Notizie negative pubblicate sulla stampa nazionale con grave imbarazzo.	Violazione significativa di un contratto o di una legge con danno quantificabile. Attivazione di clausole contrattuali (penali, richieste di risarcimento). Avvio di contenzioso o negoziazioni con l'assistenza dell'ufficio legale.	Restrizioni operative temporanee su una parte di un sito, senza necessità di chiusura. Interruzione o ritardo delle consegne fino a 2-4 settimane, con soluzioni alternative disponibili. Conseguenze sull'efficienza/continuità dei processi aziendali non critici.
4	Alto	Tra 15.000€ e 50.000€	Pubblicazione di articoli negativi su diverse testate giornalistiche nazionali. Perdita di fiducia nell'Azienda. Violazione del sistema informativo che potrebbe comportare conseguenze a livello legale, finanziario, di sicurezza o di proprietà intellettuale per clienti, dipendenti e/o fornitori.	Avvio di controversie legali in ambito civile o commerciale. Applicazione di sanzioni significative o risarcimenti danni. Coinvolgimento delle Autorità.	Chiusura parziale di un sito. Interruzione o ritardo delle consegne per un mese o più. Conseguenze sull'efficienza/continuità di uno o più processi aziendali critici.
5	Molto Alto	Effetti a lungo termine sulla redditività commerciale dell'Azienda. Oltre i 50.000€	Notevole risonanza negativa da parte della stampa e dei media a livello internazionale. Perdita totale di fiducia nella capacità dell'Azienda di fornire i propri servizi. Grave violazione del sistema informativo che potrebbe compromettere la riservatezza dei dati relativi a prodotti, attività commerciali, clienti, dipendenti e/o collaboratori.	Cause legali multiple o collettive. Sanzioni significative da parte delle Autorità e/o sentenze sfavorevoli. Risoluzione di contratti strategici, sospensione di licenze o permessi di esercizio. Interruzione totale o parziale delle attività aziendali.	Chiusura dell'intero sito. Interruzione o ritardo nella consegna di un prodotto per 3 mesi o più. Impianto di produzione fuori servizio.

Obiettivi continuità

		Business Impact Analysis (BIA)					MDPR28.1.A
							Rev. 0.0	24/04/2026
Obiettivi di continuità
[Per ciascuna attività di business, indicare i valori di MTPD, RTO e RPO e le priorità di ripristino]. Vedere il riquadro a destra per le definizioni.
ID	ATTIVITÀ DI BUSINESS	MTPD	RTO	RPO	PRIORITÀ
1
2
3
4
5
6
7
8
9
10

Soluzioni e Piani di BC

		Business Impact Analysis (BIA)					MDPR28.1.A
							Rev. 0.0	24/04/2026
Identificazione delle soluzioni e dei piani di continuità operativa
[Elencare le attività ICT a supporto delle attività aziendali critiche, con l'identificazione delle soluzioni di continuità, inclusi i piani di continuità ICT, i quali applicano le soluzioni di continuità individuate. Per ciascuna attività ICT, riportare i relativi valori di RTO e RPO]
ID	ATTIVITÀ ICT	SOLUZIONI E PIANI DI CONTINUITÀ OPERATIVA	RTO	RTO da piano	RPO
1
2
3
4
5
6
7
8

Dati

UNO TRA QUESTI VALORI
Selezionare…
1
2
3
4
5