Rechtlich-regulatorische Anforderungen an den Umgang mit Schwachstellen
Messungen und Analysen (VUL-01)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, in seinem Verantwortungsbereich regelmäßige Messungen, Analysen und Bewertungen der Verfahren zum Umgang mit Schwachstellen (Vulnerabilities) und Störungen (Incidents) durchzuführen. (Vgl. BSI C5:2026 OPS-23)
Penetrationstests (VUL-02)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, nach einer dokumentierten Testmethodik Penetrationstests der relevanten Systemkomponenten in seinem Verantwortungsbereich durchzuführen bzw. durchführen zu lassen, die die für Bereitstellung der Cloud-Dienste relevant sind. (Vgl. BSI C5:2026 OPS-22)
Schwachstellenscans (VUL-03)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, Systemkomponenten in seinem Verantwortungsbereich einem Schwachstellenscan zu unterziehen, den Schweregrad von Schwachstellen anhand definierter Kriterien zu beurteilen und Maßnahmen zur zeitnahen Behebung oder Mitigation einzuleiten. Diese Schwachstellenscans umfassen einen Vergleich von Softwarekomponentendaten mit aktuellen Schwachstellendatenbanken (z. B. CVE, EUVD). (Vgl. BSI C5:2026 OPS-25)
Beurteilung von Schwachstellen (VUL-04)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, den Schweregrad identifizierter Schwachstellen nach definierten Kriterien zu beurteilen und Maßnahmen zur zeitnahen Behebung oder Mitigation einzuleiten. (Vgl. BSI C5:2026 PSS-02)
Schweregrad von Schwachstellen (VUL-05)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, den Schweregrad identifizierter Schwachstellen nach dem Common Vulnerability Scoring System (CVSS) in der jeweils aktuellen Fassung zu beurteilen. (Vgl. BSI C5:2026 OPS-22)
Ursachenanalyse von Schwachstellen (VUL-06)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, die durch Penetrationstests entdeckten Schwachstellen einer Ursachenanalyse zu unterziehen, um einschätzen zu können, inwieweit ähnliche Schwachstellen in der DREAM-Lösung vorhanden sein können. (Vgl. BSI C5:2026 OPS-22)
Anwendung von Sicherheitspatches (VUL-07)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, bei den Systemkomponenten in seinem Verantwortungsbereich Sicherheitspatches anzuwenden. (Vgl. BSI C5:2026 OPS-27)
Testen von Sicherheitspatches (VUL-08)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, Sicherheitspatches in Nicht-Produktionsumgebungen zu testen, bevor sie in Produktionsumgebungen bereitgestellt werden. (Vgl. BSI C5:2026 OPS-27)
Systemscans nach der Anwendung von Patches (VUL-09)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, relevante Systemkomponenten nach der Anwendung von Patches zu scannen. (Vgl. BSI C5:2026 OPS-27)
Online-Register bekannter Schwachstellen (VUL-10)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, ein tagesaktuell gepflegtes Online-Register bekannter Schwachstellen zu betreiben, die die DREAM-Lösung einschließlich der bereitgestellten Dienste betreffen; dieses Online-Register (einschließlich etwaiger Software-Aktualisierungen, z. B. Sicherheitspatches oder Updates) kann von Kunden als Grundlage für die Risikobeurteilung und etwaige Folgemaßnahmen genutzt werden. (Vgl. BSI C5:2026 PSS-03)
Management von Aktualisierungen der Systemkomponenten (VUL-11)
Die DREAM-Lösung muss den Anbieter dabei unterstützen, technische und organisatorische Maßnahmen zum Management von Aktualisierungen der Systemkomponenten zu implementieren, die zur Bereitstellung der Cloud-Services verwendet werden und Bibliotheken Dritter oder Open-Source-Bibliotheken einbinden. (Vgl. BSI C5:2026 OPS-29)
Kontrolle der Schwachstellenüberprüfung (VUL-12)
Die DREAM-Lösung muss es den Kunden ermöglichen, durch geeignete Kontrollen sicherzustellen, dass die Systemkomponenten in ihrem Verantwortungsbereich regelmäßig auf Schwachstellen überprüft werden. (Vgl. BSI C5:2026 OPS-18)
Einbindung der Kunden bei Störungen (VUL-13)
Die DREAM-Lösung muss es dem Anbieter ermöglichen, seine Kunden regelmäßig über den Status der sie betreffenden Störungen (Incidents) zu informieren und sie in die Störungsbehebung einzubinden. (Vgl. BSI C5:2026 OPS-24)