Rechtlich-regulatorische Anforderungen an die Kommunikationssicherheit
Konfiguration von Netzumgebungen (COM-01)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, physische und virtualisierte Netzumgebungen, die zum Betreiben der DREAM-Lösung oder zum Erbringen von Diensten verwendet werden, so zu konzipieren und zu konfigurieren, dass hergestellte Verbindungen gemäß den definierten Sicherheitsanforderungen beschränkt und überwacht werden. (Vgl. BSI C5:2026 COS-03)
Dokumentation der Netztopologie (COM-02)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die logische Struktur des Netzes, das zum Betreiben der DREAM-Lösung oder zum Erbringen von Diensten verwendet wird, nachvollziehbar und aktuell zu dokumentieren (einschließlich Subnetzen, Zonen, Datenflüssen zwischen verschiedenen Subnetzen und Systemkomponenten, Verbindungen mit Drittanbieter- und öffentlichen Netzwerken). (Vgl. BSI C5:2026 COS-07)
Überprüfung der Dokumentation der Netztopologie (COM-03)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die Dokumentation des Netzes zu überprüfen und bei identifizierten Abweichungen angemessene Abhilfemaßnahmen einzuleiten. (Vgl. BSI C5:2026 COS-07)
Überwachung von Netzumgebungen (COM-04)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, die Konzeption und Konfiguration der Netzumgebungen zu überprüfen und identifizierte Schwachstellen und Abweichungen einer Risikobeurteilung zu unterziehen. (Vgl. BSI C5:2026 COS-03)
Kontrolle der Netzperimeter durch den Anbieter (COM-05)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, jeden Netzperimeter mittels Sicherheitsgateways zu kontrollieren. (Vgl. BSI C5:2026 COS-04)
Kontrolle der Netzperimeter durch Kunden (COM-06)
Die DREAM-Lösung sollte die Kunden dabei unterstützen, für jene Teile, die in ihrem Verantwortungsbereich liegen, geeignete Kontrollen des Zugriffs durch Sicherheitsgateways durchzuführen. (Vgl. BSI C5:2026 COS-04)
Netze für die Administration (COM-07)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Netze für die administrative Verwaltung der Infrastruktur, für den Betrieb von Management-Konsolen und für das Erstellen, Migrieren und Orchestrieren von Compute-Workloads (z. B. virtuelle Maschinen, Container, Funktionen) logisch oder physisch vom Netz der Kunden zu trennen und durch Multi-Faktor-Authentisierung vor unbefugtem Zugriff zu schützen. Falls Administrationsnetze nicht physisch von anderen Netzen getrennt sind, sollte der Verkehr des Administrationsnetzes nach dem Stand der Technik verschlüsselt sein. (Vgl. BSI C5:2026 COS-05)
Segregation des Datenverkehrs (COM-08)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, den Datenverkehr von Kunden in gemeinsam genutzten Netzumgebungen auf Netzebene zu segregieren, um die Vertraulichkeit und Integrität der übertragenen Daten zu gewährleisten. (Vgl. BSI C5:2026 COS-06)
Segregation des Datenverkehrs bei IaaS/PaaS (COM-09)
Falls die DREAM-Lösung ganz oder teilweise als Infrastructure-as-a-Service(IaaS)- oder Platform-as-a-Service(PaaS)-Dienst bereitgestellt wird, sollte sie es dem Anbieter ermöglichen, die sichere Trennung durch physisch getrennte Netze oder durch Verschlüsselung nach dem Stand der Technik in Kombination mit logischer Netztrennung oder -kapselung sicherzustellen. (Vgl. BSI C5:2026 COS-06)
Kontrolle der Segregation des Datenverkehrs (COM-10)
Die DREAM-Lösung sollte die Kunden dabei unterstützen, für jene Teile, die in ihrem Verantwortungsbereich liegen, geeignete Kontrollen des Datenverkehr und der virtuellen Netze durchzuführen. (Vgl. BSI C5:2026 COS-06)
Angriffserkennung (COM-11)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, technische Schutzmaßnahmen zu implementieren, die geeignet sind, netzbasierte Angriffe zeitnah zu erkennen. (Vgl. BSI C5:2026 COS-01)
Prävention und Schutz auf mehreren Ebenen (COM-12)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, für technische Schutzmaßnahmen auf mehreren Ebenen Präventions- und Schutzmaßnahmen zu implementieren. Dies schließt netzbasierte Cyberangriffe ein, z. B. Angriffe auf Basis anomaler Eingangs- oder Ausgangs-Traffic-Muster, Distributed-Denial-of-Service(DDoS)-Angriffe, Spoofing-Angriffe, Code-Injection-Angriffe, DNS-Tunneling und IoT-Angriffe auf Geräte innerhalb eines Netzes. (Vgl. BSI C5:2026 COS-01)
Überprüfung technischer Schutzmaßnahmen (COM-13)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die technischen Maßnahmen zum Schutz der Datenübermittlung zu überprüfen. (Vgl. BSI C5:2026 COS-08)
Schwachstellenbehandlung von Netzumgebungen (COM-14)
Die Die DREAM-Lösung muss den Anbieter dabei unterstützen, Maßnahmen zur Behandlung von Schwachstellen der Netzumgebungen zu definieren und nachzuverfolgen. (Vgl. BSI C5:2026 COS-03)
Kontrolle der Datenübertragung (COM-15)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen zu überprüfen, ob die an die DREAM-Lösung übertragenen Daten vor dem Manipulieren, Kopieren, Modifizieren, Umleiten oder Löschen geschützt sind. (Vgl. BSI C5:2026 COS-08)