Rechtlich-regulatorische Anforderungen an die Bereitstellung und den Betrieb
Georedundanz (OPS-01)
Die DREAM-Lösung muss fähig sein für eine Bereitstellung aus zwei Standorten, die räumlich ausreichend weit voneinander entfernt sind. (Vgl. BSI C5:2026 PS-02)
Abweichungen von Sicherheitsrichtlinien und Arbeitsanweisungen (OPS-02)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, technische Ursachen zu identifizieren, die Abweichungen von bestehenden Sicherheitsrichtlinien und Arbeitsanweisungen rechtfertigen. (Vgl. BSI C5:2026 SP-03)
Datenschutz-Folgenabschätzungen (OPS-03)
Falls ein Verarbeitungsvorgang personenbezogener Daten in der DREAM-Lösung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, muss die DREAM-Lösung den Anbieter dabei unterstützen, eine Datenschutz-Folgenabschätzung für diesen Verarbeitungsvorgang durchzuführen; dies gilt insbesondere, wenn bei dem Verarbeitungsvorgang neue Technologien verwendet werden. (Vgl. Art. 35 Abs. 1 S. 1 DSGVO)
Umgang mit Risiken (OPS-04)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, angemessene Verfahren zur Analyse, Bewertung und Behandlung von Risiken anzuwenden und zu überprüfen, einschließlich der Genehmigung der Maßnahmen und der Akzeptanz von Restrisiken. Diese Verfahren berücksichtigen u. a. folgende Aspekte: Verarbeitung, Speicherung und Übertragung von Kundendaten mit unterschiedlichen Schutzbedarfen, Auftreten von Schwachstellen und Störungen in technischen Schutzmaßnahmen, Angriffe über Zugangspunkte. (Vgl. BSI C5:2026 OIS-08)
Sicherheitsausbildung und Sensibilisierung (OPS-05)
Die DREAM-Lösung sollte den Anbieter dabei unterstützen, ein zielgruppenorientiertes Sensibilisierungs- und Schulungsprogramm zu betreiben, das von allen internen und externen Mitarbeitern des Anbieters regelmäßig durchlaufen wird. Dieses Programm schließt ein: Umgang mit Systemkomponenten, Umgang mit Kundendaten, richtiges Verhalten bei Sicherheitsvorfällen, Sicherheits-Best-Practices und sichere Entwicklung. (Vgl. BSI C5:2026 HR-03)
Datenschutz durch datenschutzfreundliche Voreinstellungen (OPS-06)
Die DREAM-Lösung muss den Verantwortlichen dabei unterstützen, durch Voreinstellungen sicherzustellen, dass nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen Verarbeitungszweck erforderlich ist. Dies gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit (engl. „Data protection by default“). (Vgl. Art. 25 Abs. 2 DSGVO)
Regionsauswahl (OPS-07)
Die DREAM-Lösung muss es den Kunden ermöglichen, die Regionen der Datenverarbeitung und -speicherung einschließlich etwaiger Datensicherungen gemäß den vertraglich zur Verfügung stehenden Optionen selbst festzulegen. (Vgl. BSI C5:2026 PSS-12)
Gesetzeskonformität der Regionsauswahl (OPS-08)
Die DREAM-Lösung muss es den Kunden ermöglichen, bei der Auswahl der Regionen der Datenverarbeitung und -speicherung die für sie geltenden Gesetze einzuhalten (z. B. gesetzliche Aufbewahrungspflichten für Geschäftsunterlagen, Umgang mit personenbezogenen Daten). (Vgl. BSI C5:2026 PSS-12)
Region der Datenverarbeitung (OPS-09)
Die DREAM-Lösung muss fähig sein, Kundendaten (einschließlich abgeleiteter Cloud-Dienstdaten und Kontodaten) sowie etwaige Datensicherungen ausschließlich in den vertraglichen vereinbarten Regionen zu verarbeiten und zu speichern. (Vgl. BSI C5:2026 PSS-12)
Umsetzung von Anbieter-Leitlinien (OPS-10)
Die DREAM-Lösung muss die Kunden dabei unterstützen, bereitgestellte Dienste sicher und in Übereinstimmung mit den Leitlinien und Empfehlungen des Anbieters zu konfigurieren und zu nutzen. Die Leitlinien und Empfehlungen des Anbieters können u. a. betreffen: Rollen- und Rechtekonzept; Administration des Dienstes durch privilegierte Benutzer; Authentisierungs-, Fehlerbehandlungs- und Protokollierungsmechanismen; Malware-Schutz für Container und virtuelle Maschinen; Eingabe- und Ausgabeschnittstellen, über die andere Cloud-Dienste oder IT-Systeme von Kunden auf die DREAM-Lösung zugreifen können. (Vgl. BSI C5:2026 PSS-01)
Kontrolle der Umsetzung von Anbieter-Leitlinien (OPS-11)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die Leitlinien und Empfehlungen des Anbieters zur angemessen sicheren Konfiguration und Nutzung bereitgestellter Dienste eingehalten werden. (Vgl. BSI C5:2026 PSS-01)
Containermanagement (OPS-12)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, technische und organisatorische Maßnahmen zur Planung und Verwaltung von Containern entlang ihres Lebenszyklus zu entwerfen und zu implementieren. (Vgl. BSI C5:2026 OPS-35)
Images für virtuelle Maschinen und Container (OPS-13)
Falls Kunden mit der DREAM-Lösung virtuelle Maschinen oder Container betreiben können, muss die DREAM-Lösung es dem Anbieter ermöglichen, folgende Aspekte sicherzustellen: Einschränkung der Auswahl von Images (virtuelle Maschinen oder Container) durch den Kunden gemäß seinen Vorgaben, Kennzeichnung bereitgestellter Images mit Informationen zu ihrer Herkunft, Härtung der vom Anbieter bereitgestellten Images nach allgemein akzeptierten Branchenstandards. (Vgl. BSI C5:2026 PSS-11)
Integritätsprüfung von Images virtueller Maschinen und Container (OPS-14)
Falls Kunden mit der DREAM-Lösung virtuelle Maschinen oder Container betreiben können, sollte die DREAM-Lösung fähig sein, beim Start und zur Laufzeit von Images virtueller Maschinen oder Container deren Integrität und Authentizität zu prüfen und die Kunden über die Ergebnisse dieser Prüfungen zu informieren. (Vgl. BSI C5:2026 PSS-11)
Kontrolle der Images virtueller Maschinen und Container durch Kunden (OPS-15)
Falls Kunden mit der DREAM-Lösung virtuelle Maschinen oder Container betreiben können, sollte die DREAM-Lösung die Kunden dabei unterstützen, durch geeignete Kontrollen sicherzustellen, dass die Images von virtuellen Maschinen und Containern den Vorgaben ihres Informationssicherheitsmanagements entsprechen und dass die Ergebnisse der Integritätsprüfung beim Start und zur Laufzeit entsprechend diesen Vorgaben verarbeitet werden. (Vgl. BSI C5:2026 PSS-11)
Prüfung der Funktionen für Images virtueller Maschinen und Container (OPS-16)
Falls Kunden mit der DREAM-Lösung virtuelle Maschinen oder Container betreiben können, muss die DREAM-Lösung es dem Anbieter ermöglichen, die entsprechenden Funktionen zu überprüfen. (Vgl. BSI C5:2026 PSS-11)
Confidential Computing (OPS-17)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, Funktionen für Confidential Computing zu implementieren (einschließlich Remote-Attestierungsfunktionen und einer Schnittstelle, die es den Kunden ermöglicht, die Integrität von Remote-Attestierungen zu überprüfen). (Vgl. BSI C5:2026 OPS-32, BSI C5:2026 OPS-33)