La Business Impact Analysis è il passo che rende sensato tutto il resto della continuità operativa: prima di decidere come proteggere, si stabilisce cosa conta e quanto. Si mappano i processi aziendali, si stima il danno del loro fermo nel tempo (economico, reputazionale, legale) e da lì si ricavano, processo per processo, i due numeri che guidano ogni investimento: RTO (quanto a lungo posso stare fermo) e RPO (quanti dati posso perdere).
Perché è la BIA a venire prima: senza, si finisce per proteggere tutto uguale – spendendo troppo sul marginale e troppo poco sul vitale. La BIA dice che il gestionale che fattura ha RTO di ore e il blog aziendale di giorni, e i backup, la ridondanza, i piani si dimensionano di conseguenza. Rivela anche le dipendenze nascoste: il processo critico che dipende da un fornitore terzo, da un'unica persona, da un sistema che nessuno sa più configurare.
È un requisito esplicito di ISO 27001, NIS2 e DORA, ma il valore è prima di tutto pratico: è l'analisi che trasforma "dobbiamo essere resilienti" (slogan) in "questi cinque processi, con questi numeri, con questi soldi" (piano). Si fa parlando con chi i processi li vive, non a tavolino.