CISA Domäne 4: Was Prüfer über IT-Betrieb und Resilienz wirklich wissen wollen

Domäne 4, „Information Systems Operations and Business Resilience", ist mit 26 Prozent der Fragen die größte einzelne Domäne der CISA-Prüfung. Wer diese Domäne unterschätzt, unterschätzt die Prüfung insgesamt. Dieser Artikel ordnet ein, was Domäne 4 inhaltlich abdeckt und wo Kandidaten typischerweise Begriffe verwechseln, die im Prüfungsalltag klar getrennt werden müssen.

1. Was deckt Domäne 4 ab?

ISACA hat die CISA-Prüfungsinhalte im August 2024 überarbeitet. Seitdem ist Domäne 4 von zuvor 23 auf 26 Prozent gewachsen, während Domäne 1 von 21 auf 18 Prozent gesunken ist. Domäne 5 blieb unverändert bei 26 Prozent, sodass Domäne 4 und 5 zusammen gut die Hälfte der 150 Prüfungsfragen stellen.

Inhaltlich umfasst Domäne 4 den laufenden IT-Betrieb (Service-Level-Management, Change- und Konfigurationsmanagement, Problem- und Incident-Management, Datensicherung) ebenso wie die Business Resilience: Business Impact Analysis, Business Continuity Planning und Disaster Recovery Planning. Die Domäne prüft damit sowohl das Tagesgeschäft der IT als auch ihre Fähigkeit, eine Störung zu überstehen.

2. Wer ist betroffen?

• CISA-Kandidaten in der Prüfungsvorbereitung
• IT-Auditoren, die Prüfungshandlungen zu IT-Betrieb und Kontinuitätsmanagement planen
• IT-Leiter, die Nachweise für Auditoren zusammenstellen
• Informationssicherheitsbeauftragte, die BCP und DRP verantworten

3. Wie hoch ist die Prüfungsrelevanz?

Sehr hoch. Mit 26 Prozent ist Domäne 4 gemeinsam mit Domäne 5 die höchstgewichtete Domäne der aktuellen Prüfung. Eine Lernzeitverteilung, die alle fünf Domänen gleich behandelt, ist damit ineffizient. Wer in Domäne 4 schwach abschneidet, kann das mit guten Ergebnissen in kleineren Domänen kaum ausgleichen, weil die Gesamtpunktzahl über alle Domänen hinweg zählt.

4. Warum ist das wichtig?

Domäne 4 verlangt den Blick des Auditors, nicht den des Betriebsingenieurs. Eine typische Fehlerquelle ist, Kontinuitätsmanagement rein technisch zu beantworten, obwohl die Prüfung Kontrollgestaltung, Nachweisführung und Governance-Verantwortung abfragt. Ein zweiter typischer Fehler ist, Business Continuity getrennt vom laufenden IT-Betrieb zu lernen, obwohl Resilienz in der Praxis von der operativen Disziplin vor einer Störung abhängt, nicht erst vom Notfallplan danach.

Der dritte und häufigste Stolperstein betrifft die Begriffe selbst: Business Impact Analysis, Business Continuity Plan und Disaster Recovery Plan werden von Kandidaten oft synonym verwendet, obwohl sie unterschiedliche Fragen beantworten und in der Prüfung entsprechend unterschieden werden.

5. BIA, BCP und DRP im Vergleich

Business Impact Analysis (BIA)

Die BIA identifiziert kritische Geschäftsprozesse und bewertet, welche Auswirkung ihr Ausfall über die Zeit hat. Aus der BIA leiten sich die zentralen Kennzahlen ab: Recovery Time Objective (RTO, wie schnell ein Prozess wiederhergestellt sein muss), Recovery Point Objective (RPO, wie viel Datenverlust tolerierbar ist) und Maximum Tolerable Downtime (MTD, ab wann ein Ausfall existenzbedrohend wird). Ohne BIA fehlt beiden folgenden Plänen die Grundlage.

Business Continuity Plan (BCP)

Der BCP ist der übergeordnete Plan, der sicherstellt, dass kritische Geschäftsfunktionen während und nach einer Störung weiterlaufen. Er umfasst Menschen, Prozesse, Standorte, Kommunikation und Drittparteien, nicht nur IT-Systeme. Der BCP beantwortet die Frage: Wie funktioniert das Unternehmen weiter, während die Störung andauert?

Disaster Recovery Plan (DRP)

Der DRP ist der technische Teilbereich, der die Wiederherstellung von IT-Systemen und Infrastruktur regelt, um den BCP zu unterstützen. Er konkretisiert Backup- und Wiederherstellungsverfahren, Failover-Prozesse und die technischen Schritte zur Erreichung der in der BIA definierten RTO- und RPO-Werte. Der DRP beantwortet die Frage: Wie werden die IT-Systeme wiederhergestellt, die der BCP voraussetzt?

• ✓ BIA immer zuerst durchführen, sie liefert RTO, RPO und MTD als Grundlage für beide Pläne
• ✓ BCP als organisationsweiten Plan verstehen, der über die IT hinausgeht
• ✓ DRP als technischen Teilbereich des BCP einordnen, nicht als eigenständigen Ersatz
• ✓ Testverfahren für BCP und DRP getrennt benennen können, da die Prüfung dies unterscheidet
• ✓ Rollen und Verantwortlichkeiten für Aktivierung und Test dokumentieren

6. Welche Unterlagen werden benötigt?

• Aktuelle Business Impact Analysis mit dokumentierten RTO-, RPO- und MTD-Werten
• Business Continuity Plan mit Testprotokollen
• Disaster Recovery Plan mit technischen Wiederherstellungsverfahren
• Service-Level-Vereinbarungen und Change-/Incident-Management-Prozesse

7. Einordnung ins CISA-Domänenmodell

8. Unsere Empfehlung

Quellen

• ISACA, CISA Exam Content Outline
• ISACA, CISA Certification
• National Institute of Standards and Technology, SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems