Rechtlich-regulatorische Anforderungen an die Interoperabilität und den Datenaustausch

Eingangs- und Ausgangsschnittstellen (IOP-01)

Die DREAM-Lösung muss fähig sein, über dokumentierte Eingangs- und Ausgangs-Schnittstellen mit Cloud-Diensten oder IT-Systemen der Kunden zu kommunizieren; hierbei werden folgende Aspekte berücksichtigt: Verwendung standardisierter Kommunikationsprotokolle; Verschlüsselung bei der Kommunikation über nicht vertrauenswürdige Netzwerke; Verwendung standardisierter Datenformate und gemeinsamer Standards der Datenverarbeitung; Mechanismen zur Validierung der Datenintegrität; Etablierung von Sicherungs- und Wiederherstellungsprozessen; Bereitstellung aktueller Informationen über die verfügbaren Kommunikationsprotokolle, anwendbare Datenformate und Standards der Datenverarbeitung. (Vgl. BSI C5:2026 PI-01)

Funktionale Komponenten von Lieferanten (IOP-02)

Falls funktionale Komponenten von Lieferanten direkt oder indirekt auf Kundendaten zugreifen können und es ein automatisiertes Verfahren zur Genehmigung von Inhalten gibt, muss es die DREAM-Lösung dem Anbieter ermöglichen, Nachvollziehbarkeit hinsichtlich folgender Aspekte herzustellen: Vorgänge, die vom Lieferanten der funktionalen Komponente vorgeschlagen werden; genehmigte Inhalte; durchgeführte eingehende und ausgehende Übertragungen. (Vgl. BSI C5:2026 SSO-08)

Interoperabilität mit anderen Datenvermittlungsdiensten (IOP-03)

Die DREAM-Lösung muss fähig sein, die Interoperabilität mit anderen Datenvermittlungsdiensten zu gewährleisten, unter anderem mithilfe von allgemein verwendeten offenen Standards. (Vgl. Art. 12 lit. i DGA)

Datenaustausch im Ursprungsformat (IOP-04)

Die DREAM-Lösung muss fähig sein, den Austausch der Daten in dem Format zu ermöglichen, in dem der Anbieter eines Datenvermittlungsdienstes diese von einer betroffenen Person oder vom Dateninhaber erhält. (Vgl. Art. 12 lit. d DGA)

Möglichkeit der Datenkonvertierung (IOP-05)

Die DREAM-Lösung muss fähig sein, Daten in bestimmte Formate umzuwandeln, wenn der Datennutzer dies verlangt, das Unionsrecht dies vorschreibt oder dies der Interoperabilität innerhalb bzw. zwischen Sektoren oder der Harmonisierung mit internationalen bzw. europäischen Datennormen dient. (Vgl. Art. 12 lit. d DGA)

Verzicht auf Datenkonvertierung (IOP-06)

Die DREAM-Lösung muss betroffenen Personen und Dateninhabern die Möglichkeit bieten, auf eine Datenkonvertierung zu verzichten („opt out“), sofern diese nicht durch das Unionsrecht vorgeschrieben ist. (Vgl. Art. 12 lit. d DGA)

Zusatzwerkzeuge und -dienste (IOP-07)

Die DREAM-Lösung muss es dem Anbieter eines Datenvermittlungsdienstes ermöglichen, sicherzustellen, dass zusätzliche spezifische Werkzeuge und Dienste, die angeboten werden, nur auf ausdrücklichen Antrag bzw. mit Zustimmung und für keine anderen Zwecke verwendet werden können. Dies umfasst insbesondere Werkzeuge und Dienste, die den Datenaustausch erleichtern, z. B. Werkzeuge zur vorübergehenden Speicherung, Pflege, Konvertierung, Anonymisierung und Pseudonymisierung von Daten. (Vgl. Art. 12 lit. e DGA)

Kompatibilität (IOP-08)

Falls die DREAM-Lösung ganz oder teilweise als Platform-as-a-Service(PaaS)-, Software-as-a-Service(SaaS)- oder Anything-as-a-Service(XaaS)-Dienst bereitgestellt wird, muss sie dem Anbieter die Möglichkeit bieten, Kompatibilität mit offenen Interoperationalitätsspezifikationen oder harmonisierten Interoperationalitätsnormen zu gewährleisten. (Vgl. Art. 30 Abs. 3 DA)

Multi-Cloud-Strategie (IOP-09)

Die DREAM-Lösung muss es den Kunden ermöglichen, mehrere Datenverarbeitungsdienste verschiedener Anbieter gleichzeitig in Anspruch zu nehmen. (Vgl. Art. 23 S. 1 DA)

Parallele Nutzung von Datenverarbeitungsdiensten (IOP-10)

Die DREAM-Lösung muss fähig sein, dem Anbieter die Interoperabilität zu Zwecken der parallelen Nutzung von Datenverarbeitungsdiensten zu erleichtern. (Vgl. Art. 34 Abs. 1 DA)

Erleichterung der Interoperabilität (IOP-11)

Die DREAM-Lösung sollte die Teilnehmer an Datenräumen dabei unterstützen, die Anforderungen zur Erleichterung der Interoperabilität von Daten, von Mechanismen und Diensten für die Datenweitergabe sowie von gemeinsamen europäischen Datenräumen zu erfüllen; diese Anforderungen umfassen u. a.: Datenformate, Datenstrukturen, Klassifizierungssysteme, Datenqualität, technische Mittel für den Datenzugang und Nutzungsbeschränkungen. (Vgl. Art. 33 Abs. 1 DA)