Rechtlich-regulatorische Anforderungen in Bezug auf die Zusammenarbeit mit Dienstleistern und Lieferanten

Abhängigkeiten von Dritten (SUP-01)

Die DREAM-Lösung muss es dem Anbieter ermöglichen, Schnittstellen und Abhängigkeiten zwischen Tätigkeiten zur Bereitstellung der DREAM-Lösung, die vom Anbieter selbst durchgeführt werden, und Tätigkeiten, die von Dritten durchgeführt werden, zu dokumentieren. (Vgl. BSI C5:2026 OIS-03)

Überwachung von Dienstleister-Vorgaben (SUP-02)

Die DREAM-Lösung sollte den Anbieter dabei unterstützen, zu überprüfen, ob Dritte, deren Leistungen zur Bereitstellung der DREAM-Lösung beitragen (z. B. Dienstleister bzw. Lieferanten), die Anforderungen an die Informationssicherheit sowie anwendbare rechtliche und regulatorische Anforderungen einhalten. (Vgl. BSI C5:2026 SSO-05)

Automatische Überwachung von Dienstleister-Vorgaben (SUP-03)

Die DREAM-Lösung sollte den Anbieter dabei unterstützen, mittels automatischer Verfahren zu überwachen, ob folgende Aspekte der Dienstleister-Vorgaben eingehalten werden: Konfiguration, Leistung und Verfügbarkeit von Systemkomponenten, Reaktionszeit bei Sicherheitsvorfällen, Reaktions- und Wiederherstellungszeit bei Störungen. (Vgl. BSI C5:2026 SSO-05)

Weisungsgebundenheit von Auftragsverarbeitern (SUP-04)

Die DREAM-Lösung muss etwaige Auftragsverarbeiter dabei unterstützen, die Anweisungen des Verantwortlichen zu befolgen und diese nicht überschreiten. (Vgl. Art. 28 Abs. 3 S. 2 lit. a DSGVO) Verzeichnis der Verarbeitungstätigkeiten von Auftragsverarbeitern (SUP-05) Die DREAM-Lösung muss etwaige Auftragsverarbeiter dabei unterstützen, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Dieses Verzeichnis enthält u. a. folgende Angaben: Kategorien von Verarbeitungen, ggf. Drittstaatentransfers, ggf. allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. (Vgl. Art. 30 Abs. 2 DSGVO)