Rechtlich-regulatorische Anforderungen an die Betriebskontinuität und Datensicherung
Business Impact Analyse (BUC-01)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, Verfahren zum Ermitteln von Auswirkungen etwaiger Störungen der DREAM-Lösung zu etablieren (einschließlich Identifizierung kritischer Produkte, Anwendungen, Prozesse, Ressourcen und Dienstleistungen sowie Identifizierung von Abhängigkeiten). (Vgl. BSI C5:2026 BCM-02)
Autarker Betrieb (BUC-02)
Die DREAM-Lösung sollte fähig sein für einen autarken Betrieb beim Eintritt außergewöhnlicher Ereignisse (z. B. länger anhaltender Stromausfall). (Vgl. BSI C5:2026 PS-01)
Vorsorge für den Insolvenzfall (BUC-03)
Falls über das Vermögen des Anbieters eines Datenvermittlungsdienstes ein Insolvenzverfahren eröffnet wird, muss die DREAM-Lösung fähig sein, Dateninhabern und Datennutzern den Zugang zu ihren Daten ermöglichen. (Vgl. Art. 12 lit. h DGA)
Planung der Betriebskontinuität (BUC-04)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, ein einheitliches Rahmenwerk zur Planung der betrieblichen Kontinuität und des Geschäftsplans einzuführen und anzuwenden. (Vgl. BSI C5:2026 BCM-03)
Tests der Betriebskontinuität (BUC-05)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, die Business Impact Analyse, die Pläne zur betrieblichen Kontinuität und Notfallpläne zu überprüfen, zu testen (einschließlich Tests der technischen Vorsorgemaßnahmen und Funktionstests) und zu dokumentieren. (Vgl. BSI C5:2026 BCM-04)
Mitwirkung Dritter bei Tests der Betriebskontinuität (BUC-06)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, bei Tests der Betriebskontinuität betroffene Kunden und relevante Dritte (insbesondere Dienstleister und Lieferanten des Anbieters) mit einzubeziehen. (Vgl. BSI C5:2026 BCM-04)
Kontrolle der Maßnahmen zur Betriebskontinuität (BUC-07)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die Maßnahmen des Anbieters zur Betriebskontinuität regelmäßig überprüft, aktualisiert, getestet und geübt werden. (Vgl. BSI C5:2026 BCM-04)
Verfügbarkeitskontrolle durch Kunden (BUC-08)
Die DREAM-Lösung sollte die Kunden dabei unterstützen, durch geeignete Kontrollen sicherzustellen, dass die Verfügbarkeit und Wiederherstellungszeit der DREAM-Lösung im Einklang mit ihren eigenen Verfügbarkeitsanforderungen ist. (Vgl. BSI C5:2026 BCM-03)
Umgang mit Vorfällen und Abstürzen (BUC-09)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, Vorfälle und Abstürze zu identifizieren, zu erfassen, zu klassifizieren, zu priorisieren und zu behandeln. (Vgl. BSI C5:2026 OPS-20)
Überwachung der Datensicherung (BUC-10)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die Durchführung der Datensicherung mit technischen und organisatorischen Maßnahmen zu überwachen. (Vgl. BSI C5:2026 OPS-07)
Störungsbehebung bei der Datensicherung (BUC-11)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Störungen bei der Datensicherung zeitnah zu beheben. (Vgl. BSI C5:2026 OPS-07)
Test der Wiederherstellungsverfahren (BUC-12)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die Wiederherstellungsverfahren regelmäßig zu testen. (Vgl. BSI C5:2026 OPS-08)
Umgebungen für die Wiederherstellung (BUC-13)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Kundendaten nur in Umgebungen wiederherzustellen, die denselben Zugriffsbeschränkungen unterliegen wie die Produktionsumgebungen. (Vgl. BSI C5:2026 OPS-08)
Übertragung gesicherter Daten (BUC-14)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, zu sichernde Daten in verschlüsselter Form, die dem Stand der Technik entspricht, an einen Remote-Standort zu übertragen oder auf Sicherungsdatenträgern an einen Remote-Standort zu transportieren. (Vgl. BSI C5:2026 OPS-09)
Kontrollen der Überwachung der Datensicherung (BUC-15)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die Datensicherung der in ihren Verantwortungsbereich fallenden Daten durch technische und organisatorische Maßnahmen überwacht wird. (Vgl. BSI C5:2026 OPS-07)
Ergebnisse der Datensicherung (BUC-16)
Die DREAM-Lösung sollte es den Kunden ermöglichen, relevante Protokolle oder zusammengefasste Ergebnisse der Datensicherung in einem Self-Service-Portal einzusehen. (Vgl. BSI C5:2026 OPS-07)