Rechtlich-regulatorische Anforderungen an den Umgang mit Sicherheitsvorfällen und Datenschutzverletzungen

Sicherheitstests (INC-01)

Die DREAM-Lösung sollte es dem Anbieter ermöglichen, das Identifizieren, Analysieren und Abwehren von Sicherheitsvorfällen und Angriffen durch geeignete Tests und Übungen zu simulieren. (Vgl. BSI C5:2026 SIM-03)

Meldung von Sicherheitsvorfällen durch Nutzende (INC-02)

Die DREAM-Lösung muss die Nutzenden dabei unterstützen, Sicherheitsereignisse, die ihnen bekannt werden und direkt mit der DREAM-Lösung in Verbindung stehen, zeitnah an den Anbieter zu melden. (Vgl. BSI C5:2026 SIM-05)

Messung und Überwachung von Sicherheitsvorfällen (INC-03)

Die DREAM-Lösung muss es dem Anbieter ermöglichen, Art und Umfang von Sicherheitsvorfällen mit geeigneten Mechanismen zu messen, zu überwachen und an unterstützende Stellen zu melden. (Vgl. BSI C5:2026 SIM-06)

Bearbeitung von Sicherheitsvorfällen (INC-04)

Die DREAM-Lösung muss es dem Anbieter ermöglichen, Ereignisse, die einen Sicherheitsvorfall darstellen könnten, durch qualifiziertes Personal zu analysieren, zu bewerten und zu klassifizieren (einschließlich korrelierter Ereignisse). (Vgl. BSI C5:2026 SIM-03)

Überwachung der Behandlung von Sicherheitsvorfällen (INC-05)

Die DREAM-Lösung sollte den Anbieter dabei unterstützen, Prozesse zur Behandlung von Sicherheitsvorfällen zu überwachen und Abweichungen festzustellen. (Vgl. BSI C5:2026 SIM-03)

Risikoabschätzung bei Datenschutzverletzungen (INC-06)

Die DREAM-Lösung muss dem Verantwortlichen die Möglichkeit bieten, bei Verletzungen des Schutzes personenbezogener Daten das Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen abzuschätzen. (Vgl. Art. 33 Abs. 1 DSGVO)