Rechtlich-regulatorische Anforderungen an die Kryptographie und das Schlüsselmanagement
Schutz von Daten bei der Übertragung (CRY-01)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, für die Datenübertragung über öffentliche Netze Verfahren und technische Sicherheitsmaßnahmen zur Verschlüsselung und Authentisierung zu einzurichten, die dem Stand der Technik entsprechen. (Vgl. BSI C5:2026 CRY-04)
Kontrolle der Transportverschlüsselung (CRY-02)
Die DREAM-Lösung sollte die Kunden dabei unterstützen, für jene Teile, die in ihrem Verantwortungsbereich liegen, geeignete Kontrollen der Transportverschlüsselung durchzuführen. (Vgl. BSI C5:2026 CRY-02)
Verschlüsselung von Daten bei der Speicherung (CRY-03)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verfahren und technische Maßnahmen zur Verschlüsselung von Kundendaten bei der Speicherung zu etablieren. (Vgl. BSI C5:2026 CRY-03)
Kontrolle der Verschlüsselung gespeicherter Daten (CRY-04)
Die DREAM-Lösung sollte die Kunden dabei unterstützen, für jene Teile, die in ihrem Verantwortungsbereich liegen, geeignete Kontrollen der Verschlüsselung ihrer Daten bei der Speicherung durchzuführen. (Vgl. BSI C5:2026 CRY-03)
Schutz beim Fernzugriff (CRY-05)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, dem Stand der Technik entsprechende kryptografische Mechanismen zu verwenden, um die Kommunikation beim Fernzugriff auf Produktionsumgebungen zu schützen (einschließlich der Authentisierung des Personals). (Vgl. BSI C5:2026 CRY-04)
Schlüsselerzeugung (CRY-06)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verfahren und technische Sicherheitsmaßnahmen für die sichere Schlüsselgenerierung für verschiedene kryptographische Systeme und Anwendungen umzusetzen. (Vgl. BSI C5:2026 CRY-06)
Schlüsselbereitstellung (CRY-07)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verfahren und technische Sicherheitsmaßnahmen zu umzusetzen, mit denen kryptografische Schlüssel innerhalb seines Verantwortungsbereichs sicher bereitgestellt und aktiviert werden können (einschließlich der Überprüfung von Identität und Berechtigung vor der Bereitstellung und Aktivierung von Schlüsseln sowie Aktivierungs- und Deaktivierungsfristen). (Vgl. BSI C5:2026 CRY-09)
Zugänglichkeit der Schlüssel (CRY-08)
Die DREAM-Lösung muss gewährleisten, dass die verwendeten Schlüssel gemäß den geltenden rechtlichen und regulatorischen Verpflichtungen und Anforderungen nur für die Kunden zugänglich sind. (Vgl. BSI C5:2026 CRY-05)
Verfahren zur Wiederherstellung von Schlüsseln (CRY-09)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verfahren zur Wiederherstellung verlorener oder beschädigter Schlüssel umzusetzen. (Vgl. BSI C5:2026 CRY-16)
Speicherung von Schlüsseln (CRY-10)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, technische Sicherheitsmaßnahmen für die sichere Speicherung kryptografischer Schlüssel zu umzusetzen (einschließlich der Trennung des Schlüsselmanagementsystems von den Anwendungs- und Middleware-Ebenen sowie Festlegungen bezüglich des Zugangs autorisierter Benutzer und der geografischen Verortung der Schlüssel). (Vgl. BSI C5:2026 CRY-10)
Sicherheitsmodul für die Schlüsselspeicherung (CRY-11)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, für die sichere Speicherung kryptografischer Schlüssel ein geeignetes Software- oder Hardware-Sicherheitsmodul zu verwenden. (Vgl. BSI C5:2026 CRY-10)
Rotation der Schlüssel (CRY-12)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, eine Rotation der kryptographischen Schlüssel durchzuführen. (Vgl. BSI C5:2026 CRY-07)
Statusänderungen von Schlüsseln (CRY-13)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verfahren für Statusänderungen kryptographischer Schlüssel umzusetzen (einschließlich der Überwachung, Überprüfung und Genehmigung von Statusänderungen). (Vgl. BSI C5:2026 CRY-12)
Deaktivierung von Schlüsseln (CRY-14)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verfahren zur Deaktivierung kryptografischer Schlüssel umzusetzen (einschließlich Verfahren zur Weiterverwendung der Schlüssel zur Entschlüsselung und Signaturverifikation, Vernichtung der Schlüssel, Aufzeichnung der Deaktivierung und Vernichtung von Schlüsseln). (Vgl. BSI C5:2026 CRY-14)
Kompromittierte Schlüssel (CRY-15)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, die Nutzung kompromittierter kryptographischer Schlüssel zu steuern (z. B. ausschließliche Verwendung unter kontrollierten Umständen, Benachrichtigung betroffener Kunden). (Vgl. BSI C5:2026 CRY-13)
Externe Schlüsselmanagementsysteme (CRY-16)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, externe Schlüsselmanagementsysteme (KMS) in die DREAM-Lösung zu integrieren. Die Integration der externen KMS in die DREAM-Lösung muss sicher sein und regelmäßig auf Schwachstellen geprüft werden können. Alle Zugriffe und Operationen auf die externen KMS müssen protokolliert und überwacht werden können. (Vgl. BSI C5:2026 CRY-18)
Pre-Shared Keys und Wildcard-Zertifikate (CRY-17)
Falls Pre-Shared Keys oder Wildcard-Zertifikate verwendet werden, muss die DREAM-Lösung es dem Anbieter ermöglichen, dedizierte Verfahren und technische Sicherheitsmaßnahmen umzusetzen, um deren sichere Nutzung und Bereitstellung sicherzustellen. (Vgl. BSI C5:2026 CRY-15)
Kundenseitig verwaltete Schlüssel (CRY-18)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verfahren und technische Sicherheitsmaßnahmen umzusetzen, um den sicheren Umgang mit kryptographischen Schlüsseln sicherzustellen, die von Kunden verwaltet werden (einschließlich der Protokollierung aller Aktivitäten im Zusammenhang mit diesen Schlüsseln und Zugriffskontrollmechanismen für diese Schlüssel). (Vgl. BSI C5:2026 CRY-19)
Archivierung von Schlüsseln (CRY-19)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, Verfahren und technische Sicherheitsmaßnahmen für die sichere Archivierung kryptografischer Schlüssel umzusetzen (einschließlich der Protokollierung aller Aktivitäten im Zusammenhang mit der Speicherung und Wiederherstellung archivierter Schlüssel, Repository mit Zugriffsbeschränkung für autorisiertes Personal, Wiederherstellung von Informationen durch archivierte Schlüssel, sichere Vernichtung archivierter Schlüssel). (Vgl. BSI C5:2026 CRY-11)
Lebenszyklus kryptographischer Schlüssel (CRY-20)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, den Lebenszyklus kryptografischer Schlüssel und kryptographischen Materials zu überwachen. (Vgl. BSI C5:2026 CRY-17)
Verhinderung der Wiederherstellung von Kundendaten (CRY-21)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, mit sicheren Verschlüsselungsmechanismen die Wiederherstellung von Kundendaten zu verhindern, wenn Ressourcen neu zugewiesen oder physische Medien wiedereingesetzt werden. (Vgl. BSI C5:2026 CRY-05)
Überprüfung kryptographischer Verfahren (CRY-22)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Verschlüsselungs-, Authentisierungs- und Schlüsselmanagementverfahren regelmäßig zu auditieren. (Vgl. BSI C5:2026 CRY-03)
Bewertung von Änderungen (CRY-23)
Die DREAM-Lösung muss dem Anbieter die Möglichkeit bieten, die potenziellen Auswirkungen von Änderungen an kryptografischen Systemen zu bewerten (einschließlich etwaiger Störungen der von Kunden verwalteten Workloads, Restrisiken, Kostenauswirkungen und Integrationsvorteilen). (BSI C5:2026 CRY-02)
Dokumentation von Änderungen (CRY-24)
Die DREAM-Lösung muss dem Anbieter die Möglichkeit bieten, Änderungen und Anpassungen an kryptografischen Systemen nachvollziehbar zu dokumentieren. (BSI C5:2026 CRY-02)
Hybride Kryptographiemodelle (CRY-25)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, hybride Kryptographiemodelle zu verwenden, mit denen Sicherheit sowohl gegen auf Quantencomputing als auch gegen nicht auf Quantencomputing basierende Angriffe gewährleistet werden kann. (BSI C5:2026 CRY-01)