Rechtlich-regulatorische Anforderungen an die Schnittstellen und den Datenexport
Exportierbarkeit von Daten (ITF-01)
Die DREAM-Lösung muss so gestaltet sein, dass exportierbare Daten und digitale Vermögenswerte eines Kunden zu einem anderen Anbieter oder zu einer eigenen IKT-Infrastruktur übertragen werden können. (Vgl. Art. 23 S. 2 lit. c DA)
Datenexport in gängigem Format (ITF-02)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, bei einem Wechsel eines Kunden zu einem anderen Anbieter derselben Dienstart alle exportierbaren Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu exportieren. (Vgl. Art. 30 Abs. 5 DA)
Datenexport bei IaaS/PaaS (ITF-03)
Falls die DREAM-Lösung ganz oder teilweise als Infrastructure-as-a-Service(IaaS)- oder Platform-as-a-Service(PaaS)-Dienst bereitgestellt wird, muss sie den Kunden die Möglichkeit bieten, gespeicherte Daten vor Beendigung des Auftragsverhältnisses außerhalb der DREAM-Lösung zu sichern. (Vgl. BSI C5:2026 PI-02)
Export-Funktionen für SaaS-Dienste (ITF-04)
Falls die DREAM-Lösung ganz oder teilweise als Software-as-a-Service(SaaS)-Dienst bereitgestellt wird, muss sie es dem Anbieter ermöglichen, seinen Kunden Export-Funktionen zur Verfügung zu stellen. (Vgl. BSI C5:2026 PI-02)
Datenformat bei Export-Funktionen für SaaS-Dienste (ITF-05)
Falls die DREAM-Lösung ganz oder teilweise als Software-as-a-Service(SaaS)-Dienst bereitgestellt wird, sollte sie fähig sein, vom Kunden erstellte Daten im selben Format zu exportieren und andere Daten, einschließlich relevanter Protokolldateien und Metadaten, in einem anwendbaren Standardformat (z. B. CSV, JSON oder XML) zur Verfügung zu stellen. (Vgl. BSI C5:2026 PI-02)
Kontrolle der Export-Funktionen (ITF-06)
Die DREAM-Lösung sollte es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die ihnen vertraglich zustehenden Daten am Vertragsende über definierte Schnittstellen abgerufen werden können. (Vgl. BSI C5:2026 PI-02)
Bereitstellung einer Schnittstelle für den Wechsel (ITF-07)
Falls die DREAM-Lösung ganz oder teilweise als Platform-as-a-Service(PaaS)-, Software-as-a-Service(SaaS)- oder Anything-as-a-Service(XaaS)-Dienst bereitgestellt wird, muss sie dem Anbieter die Möglichkeit bieten, eine unentgeltliche offene Schnittstelle (API) bereitzustellen, um den Kunden bzw. übernehmenden Anbietern einen Wechsel zu ermöglichen. Diese Schnittstelle muss ausreichende Informationen über den betreffenden Dienst enthalten, damit die für die Datenübertragbarkeit und Interoperabilität erforderliche Software entwickelt werden kann. (Vgl. Art. 30 Abs. 2 DA)
Schnittstelle für kundenspezifische Identitätsanbieter (ITF-08)
Die DREAM-Lösung sollte es dem Anbieter ermöglichen, den Kunden Schnittstellen für kundenspezifische Identitätsanbieter anzubieten, um die Authentisierungsinformationen von Benutzern unter ihrer Verantwortung zu verwalten. Diese Schnittstellen werden von einem standardisierten Protokoll begleitet. (Vgl. BSI C5:2026 PI-01)
Schutz der Administrationsschnittstelle für Kunden (ITF-09)
Die DREAM-Lösung sollte so gestaltet sein, dass der Anbieter eine Anwendungs-Firewall einrichten kann, um Administrationsschnittstellen für Kunden, die über öffentliche Netzwerke erreichbar sind, zu schützen. (Vgl. BSI C5:2026 PI-01)
Kontrolle der Schnittstellen (ITF-10)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die bereitgestellten Schnittstellen und deren Sicherheit angemessen sind. (Vgl. BSI C5:2026 PI-01)
Bereitstellung eines Extraktionsdienstes (ITF-11)
Falls Datenvolumen, -format oder -architektur eine kundenseitige Extraktion unpraktikabel machen, muss es die DREAM-Lösung dem Anbieter ermöglichen, den Kunden angemessene Extraktionsdienste zur Verfügung zu stellen. (Vgl. BSI C5:2026 PI-01)
Auslesen von Daten aus technischen Schutzmaßnahmen (ITF-12)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, aus technischen Schutzmaßnahmen stammende Daten in ein übergreifendes Security-Information-and-Event-Management(SIEM)-System einzuspeisen. (Vgl. BSI C5:2026 COS-01)
Auslesen sicherheitsrelevanter Informationen (ITF-13)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Informationen über den Sicherheitsstatus der DREAM-Lösung einschließlich der bereitgestellten Dienste sowie weitere bereitgestellte Daten automatisiert und kontinuierlich auszulesen. (Vgl. BSI C5:2026 PSS-04)
Schnittstellen für sicherheitsrelevante Informationen (ITF-14)
Die DREAM-Lösung sollte es den Kunden ermöglichen, sicherheitsrelevante Informationen über dokumentierte Schnittstellen zu exportieren, um diese im Rahmen ihres Security Information and Event Managements (SIEM) weiterzuverarbeiten. (Vgl. BSI C5:2026 PSS-04)
Schnittstelle für forensische Analysen (ITF-15)
Die DREAM-Lösung muss dem Anbieter die Möglichkeit bieten, eine Schnittstelle zur Durchführung forensischer Analysen und für Sicherungen von Infrastrukturkomponenten und deren Netzkommunikation zu nutzen. (Vgl. BSI C5:2026 OPS-15)