Rechtlich-regulatorische Anforderungen an die Entwicklung
Richtlinien zur Softwareentwicklung (DEV-01)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, sich bei der Entwicklung der DREAM-Lösung an anerkannten Sicherheitsstandards und -methoden zu orientieren; diese können den gesamten Lebenszyklus der DREAM-Lösung betreffen (Sicherheit in der Software-Entwicklung und -Bereitstellung sowie im Betrieb). (Vgl. BSI C5:2026 DEV-01)
Datenschutz durch Technikgestaltung (DEV-02)
Die DREAM-Lösung muss den Verantwortlichen dabei unterstützen, bereits bei der Konzipierung und Entwicklung von Hard- und Software zur Datenverarbeitung den Schutz personenbezogener Daten zu berücksichtigen (engl. „Data protection by design“). (Vgl. Art. 25 Abs. 1 DSGVO)
Trennung der Umgebungen (DEV-03)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Produktionsumgebungen physisch oder logisch von Test- oder Entwicklungsumgebungen zu trennen, um unautorisierte Zugriffe auf Kundendaten, die Ausbreitung von Schadprogrammen oder Änderungen an Systemkomponenten zu verhindern. (Vgl. BSI C5:2026 DEV-12)
Transparenz über Softwarekomponenten (DEV-04)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, für jede entwickelte oder integrierte Softwarekomponente eine Liste von Softwarekomponenten zu erstellen und aktuell zu halten (Vgl. BSI C5:2026 DEV-13)
Verwaltung von Änderungen (DEV-05)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Richtlinien und Anweisungen mit technischen und organisatorischen Maßnahmen zur Verwaltung von Änderungen (Change Management) an Systemkomponenten der DREAM-Lösung einschließlich der bestehenden Netzkonfiguration einzuhalten. (Vgl. BSI C5:2026 DEV-03)
Protokollierung von Änderungen (DEV-06)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, Systemkomponenten und Werkzeuge zur Versionskontrolle und Softwarebereitstellung so zu konfigurieren, dass alle Änderungen protokolliert und somit auf die ausführenden Personen oder Systemkomponenten zurückgeführt werden können. (Vgl. BSI C5:2026 DEV-08)
Überwachung von Änderungen an Systemkomponenten (DEV-07)
Die DREAM-Lösung sollte den Anbieter dabei unterstützen, Änderungen an Systemkomponenten in Produktionsumgebungen zu überwachen und Abweichungen festzustellen. (Vgl. BSI C5:2026 DEV-08)
Versionskontrolle (DEV-08)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verfahren zur Versionskontrolle einzurichten, um Abhängigkeiten einzelner Änderungen nachvollziehen und Systemkomponenten bei Bedarf in ihren vorherigen Zustand zurückversetzen zu können. (Vgl. BSI C5:2026 DEV-09)
Sicherheit des Versionskontrollsystems (DEV-09)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, ein Versionskontrollsystem zu verwenden, mit dem die Vertraulichkeit, Integrität und Authentizität des Quellcodes während aller Entwicklungsphasen angemessen sicherstellt sind. (Vgl. BSI C5:2026 DEV-09)
Schutzmaßnahmen für Kundendaten bei der Versionskontrolle (DEV-10)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, ein Versionskontrollsystem zu verwenden, mit dem die Integrität und Verfügbarkeit von Kundendaten nicht beeinträchtigt werden, wenn Systemkomponenten in ihren vorherigen Zustand zurückversetzt werden. (Vgl. BSI C5:2026 DEV-09)
Historie der Softwareversionen (DEV-11)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, Aufzeichnungen über alle bereitgestellten Softwareversionen und Systemkonfigurationen zu führen, um eine zuvor umgesetzte Umgebung in einer Testumgebung nachbilden zu können. (Vgl. BSI C5:2026 DEV-09)
Risikobeurteilung von Änderungen (DEV-12)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, vor Änderungen eine Risikobeurteilung hinsichtlich potenzieller Auswirkungen auf die betroffenen Systemkomponenten vorzunehmen (einschließlich wechselseitiger Interaktionen und kumulativer Auswirkungen bei gleichzeitiger Umsetzung mehrerer Änderungen). (Vgl. BSI C5:2026 DEV-06)
Verwendung von Testdaten (DEV-13)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Test- oder Entwicklungsumgebungen ohne Daten aus Produktionsumgebungen betreiben zu können. (Vgl. BSI C5:2026 DEV-12)
Anonymisierung von Kundendaten für Tests (DEV-14)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, in Tests anonymisierte Kundendaten zu verwenden. (Vgl. BSI C5:2026 DEV-07)
Testen von Änderungen (DEV-15)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Änderungen an der DREAM-Lösung geeigneten Tests zu unterziehen, deren Art und Umfang der Risikobeurteilung der Änderungen entsprechen und deren Verfahren anerkannten Regeln der Technik entsprechen. (Vgl. BSI C5:2026 DEV-07)
Vollständige Tests von Sicherheitsfunktionen (DEV-16)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Änderungstest durchzuführen, die die Spezifikation der Sicherheitsfunktionen einschließlich aller spezifizierten Fehlerbedingungen vollständig abdecken. (Vgl. BSI C5:2026 DEV-07)
Überprüfung auf Schwachstellen (DEV-17)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die DREAM-Lösung einschließlich der bereitgestellten Dienste durch geeignete (automatisierte) Verfahren auf Schwachstellen zu überprüfen, die durch den Softwareentwicklungsprozess einfließen können. Diese Verfahren umfassen z. B. statische und dynamische Code-Analysen sowie Code Reviews. (Vgl. BSI C5:2026 PSS-02)
Fehleridentifikation und -behebung (DEV-18)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, in den Tests Fehler und Schwachstellen zu identifizieren, deren Schweregrad nach definierten Kriterien zu beurteilen und Maßnahmen zur zeitnahen Behebung oder Mitigation einzuleiten. (Vgl. BSI C5:2026 DEV-07)
Dokumentation von Änderungstests (DEV-19)
Falls die Tests von Änderungen automatisiert durchgeführt werden, sollte die DREAM-Lösung dem Anbieter die Möglichkeit bieten, die Durchführung und zugehörige Ergebnisse in Protokollen zu dokumentieren. (Vgl. BSI C5:2026 DEV-07)
Freigabe von Änderungen (DEV-20)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, ein Verfahren zu etablieren, bei dem Änderungen an der DREAM-Lösung auf Basis definierter Kriterien durch autorisiertes Personal oder Systemkomponenten freigegeben werden, bevor diese Änderungen den Kunden in der Produktionsumgebung bereitgestellt werden. (Vgl. BSI C5:2026 DEV-10)
Kundeneinbindung bei der Änderungsfreigabe (DEV-21)
Falls Änderungen gemäß den vertraglichen Vereinbarungen vor der Bereitstellung in Produktivumgebungen durch die Kunden freizugeben sind, muss es die DREAM-Lösung dem Anbieter ermöglichen, die Kunden bei der Änderungsfreigabe einzubinden (einschließlich Kontrolle der Rahmenbedingungen der Freigabe durch die Kunden). (Vgl. BSI C5:2026 DEV-10)
Kontrolle von Tests durch Kunden (DEV-22)
Falls Änderungen gemäß den vertraglichen Vereinbarungen vor der Bereitstellung in Produktivumgebungen durch die Kunden zu testen sind, muss es die DREAM-Lösung den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass diese Tests angemessen und zeitgerecht durchgeführt wurden. (Vgl. BSI C5:2026 DEV-07)
Kundentests nach Änderungen (DEV-23)
Die DREAM-Lösung sollte es den Kunden ermöglichen, nach erfolgten Änderungen bei Bedarf bestimmte Tests selbst durchzuführen. (Vgl. BSI C5:2026 DEV-03)
Kontrolle von Tests durch Kunden (DEV-19)
Falls Änderungen gemäß den vertraglichen Vereinbarungen vor der Bereitstellung in der Produktivumgebung durch die Kunden zu testen sind, muss es die DREAM-Lösung den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass diese Tests angemessen und zeitgerecht durchgeführt wurden. (Vgl. BSI C5:2026 DEV-07)
Kundentests nach Änderungen (DEV-20)
Die DREAM-Lösung sollte es den Kunden ermöglichen, nach erfolgten Änderungen bei Bedarf bestimmte Tests selbst durchzuführen. (Vgl. BSI C5:2026 DEV-03)