Ny bekendtgørelse om skærpede krav til studieadministrative it-systemer på uddannelsesinstitutioner fra 2025

• Bekendtgørelsen træder i kraft 1. januar 2025 og omfatter en bred vifte af uddannelsesinstitutioner, herunder erhvervsuddannelser, gymnasier og voksenuddannelser
• Der indføres nye sikkerhedskrav, herunder obligatorisk flerfaktor-autentifikation og strengere password-politik
• Systemerne skal kunne håndtere direkte dataudveksling med centrale systemer uden brug af tredjepartssystemer
• Institutioner kan kun anvende it-systemer med gyldig systemrevisionserklæring uden modifikationer
• Nye uddannelsestyper som EUD10 og 20/20-ordning tilføjes under erhvervsuddannelsesområdet
• Systemrevisionserklæringer skal fornyes hver andet år og underskrives af autoriseret revisor
• Der stilles specifikke krav til håndtering af personoplysninger og databeskyttelse gennem ISAE 3000-erklæring
• Eksisterende systemrevisionserklæringer bevarer deres gyldighed i to år fra underskrivelsesdatoen

• Obligatorisk Systemrevision: Institutioner må kun anvende SA-systemer, der er omfattet af en systemrevisionserklæring uden modifikationer. Denne erklæring skal udarbejdes af en statsautoriseret eller registreret revisor.
• Internationale Standarder: Revisionen skal leve op til anerkendte standarder:
  • ISAE 3402 (Type 2): Dokumenterer kontroller relateret til finansiel rapportering og tilskudsadministration.
  • ISAE 3000 (Høj grad af sikkerhed): Dokumenterer, at behandlingen af personoplysninger overholder gældende databeskyttelsesregler (GDPR).
• Offentliggørelse: Styrelsen for It og Læring (STIL) fører og offentliggør en liste over de SA-systemer, der opfylder kravene.

Væsentlige ændringer

I forhold til den tidligere bekendtgørelse er der foretaget flere justeringer, blandt andet på baggrund af høringssvar.

IT-Instruks og grænseflader

Bekendtgørelsens bilag 1, "It-instruks", indeholder en omfattende liste af specifikke kontrolmål og kontroller, som SA-systemerne skal overholde. Dette dækker alt fra regelovervågning, adgangsstyring og behandling af personoplysninger til change management og tekniske grænseflader mod en lang række centrale, statslige IT-systemer, herunder:

• CØSA (Det Centrale Oplysnings- og Styringssystem for Afklaring)
• Datavarehuset
• Eksamensdatabasen
• Optagelse.dk
• Ungedatabasen
• Lærepladsen.dk
• Unilogin

Ikrafttrædelse og overgangsordning

Bekendtgørelsen træder i kraft den 1. januar 2024. Systemrevisionserklæringer, der er udarbejdet i henhold til de tidligere bekendtgørelser fra 2022 og 2023, bevarer deres gyldighed i 2 år fra datoen for revisors underskrift, hvilket sikrer en glidende overgang for både institutioner og systemleverandører.