Dokumenter (3)

Kilde

Formål

Ifølge høringsbrevet er det overordnede formål:

"Overordnet har ændringerne i bekendtgørelsesudkastet til formål at tydeliggøre og ensarte kravene til systemrevisionserklæringer samt øge sikkerheden med flere og tydeligere krav til informationssikkerhed."

Ud over de materielle ændringer er bekendtgørelsen "ændret på en række punkter med henblik på at præcisere og tydeliggøre bestemmelserne og ansvarsfordelingen".

Hjemmelsgrundlag

Bekendtgørelsen udstedes efter bemyndigelse og med hjemmel i fire institutionslove:

Hjemmelsbestemmelserne i de tre første love har samme ordlyd:

"Børne- og undervisningsministeren kan ved institutionernes anvendelse af forskellige administrative systemer fastsætte krav hertil."

Anvendelsesområde (§§ 1-3)

§ 1 gælder for:

1. institutioner for erhvervsrettet uddannelse,
2. institutioner for almengymnasiale uddannelser og almen voksenuddannelse,
3. private institutioner for gymnasiale uddannelser og
4. institutioner for forberedende grunduddannelse.

Bekendtgørelsen gælder også for de andre uddannelsesinstitutioner, private udbydere og virksomheder, der er nævnt i § 37, stk. 2, 1. pkt., i lov om institutioner for erhvervsrettet uddannelse (§ 1, stk. 2).

§ 2 omfatter 12 typer uddannelser, undervisning og aktiviteter: avu, FVU, ordblindeundervisning (OBU), de gymnasiale uddannelser, pædagogikum, erhvervsuddannelser inkl. skoleoplæring, andre erhvervsrettede ungdomsuddannelser, AMU, FGU, introkurser og brobygning, åben uddannelse og kostafdelingsaktiviteter.

§ 3 opregner de eksterne systemer, som SA-systemerne udveksler data med. Listen udvides fra 19 til 20 systemer, fordi TOPAS tilføjes som nr. 20. Ændringen svarer til den gældende § 3. Fælles studieadministrative it-systemer, som ministeren bestemmer at institutionerne kan eller skal bruge, er fortsat undtaget (§ 3, stk. 2).

Offentliggørelse som forudsætning for brug (§ 4)

"Institutionerne kan kun anvende studieadministrative it-systemer, der er offentliggjort på Styrelsen for It og Lærings oversigt over de studieadministrative it-systemer, hvor styrelsen har modtaget en systemrevisionserklæring med en konklusion uden modifikationer."

Oversigten offentliggøres på www.stil.dk under Administration og Infrastruktur → Systemrevision af studieadministrative it-systemer. Bestemmelsen viderefører det, der i dag står i § 6 og § 7, men gør oversigten til selve adgangsbetingelsen.

Ny model for systemrevisionserklæringer (§§ 5-6)

Udkastet skelner nu mellem første ibrugtagning og fortsat offentliggørelse.

Ibrugtagning til et nyt uddannelsesområde (§ 5)

Tages et SA-system i brug til et nyt understøttet uddannelsesområde, skal det være omfattet af en systemrevisionserklæring uden modifikationer, før det kan offentliggøres. Erklæringen skal:

• omfatte en ISAE 3402 type 1-erklæring for kontrollerne i bilag 1 (stk. 2),
• omfatte en systemspecifik ISAE 3000 type 1-erklæring med høj grad af sikkerhed, hvis der behandles personoplysninger i it-systemet (stk. 3),
• angive, hvilke uddannelser, aktiviteter og institutioner revisionen har omfattet (stk. 4),
• være udarbejdet og underskrevet af en statsautoriseret eller registreret revisor (stk. 5), og
• følge de ISAE 3402- og ISAE 3000-standarder, der findes på STIL's hjemmeside (stk. 6).

Erklæringen har virkning i 15 måneder fra offentliggørelsen (stk. 7). STIL's rolle beskrives sådan:

"Styrelsen for It og Læring foretager ikke en godkendelse af systemet, men lægger alene vægt på, hvorvidt der foreligger en revisionserklæring med en konklusion uden modifikationer." (§ 5, stk. 5)

Fortsat offentliggørelse med årlig cyklus (§ 6)

For at blive stående på oversigten skal systemet løbende være omfattet af en ny erklæring uden modifikationer:

"Erklæringen skal dække en sammenhængende erklæringsperiode på 12 måneder gældende fra udløbet af den tidligere systemrevisionserklærings erklæringsperiode. [...] Erklæringen skal sendes til Styrelsen for It og Læring senest 3 måneder efter udløbet af den periode, erklæringen vedrører. Den senest indsendte erklæring anses for gældende, indtil en ny erklæring er indsendt rettidigt." (§ 6, stk. 2)

Er systemet senest offentliggjort efter § 5, regnes den første erklæringsperiode fra offentliggørelsen. Den løbende erklæring skal omfatte ISAE 3402 type 2 og, hvis der behandles personoplysninger, en systemspecifik ISAE 3000 type 2 med høj grad af sikkerhed (stk. 3-4). Den har virkning i 15 måneder fra udløbet af erklæringsperioden for den seneste erklæring (stk. 5).

Illustration af tidsforløbet: Løber en erklæringsperiode fra 1. januar til 31. december 2027, skal erklæringen indsendes senest 31. marts 2028 og har virkning til 31. marts 2029. Den næste periode (2028) skal være indsendt senest 31. marts 2029. Perioden på 15 måneder svarer altså til 12 måneders erklæringsperiode plus 3 måneders indsendelsesfrist.

Gældende ordning og udkastet

Ifølge høringsbrevet skal ændringen fra en toårig til en etårig cyklus "sikre større klarhed og ensartethed i praksis".

STIL's indgreb ved tvivl (§ 7)

Hvis STIL i en erklærings virkningsperiode får nye oplysninger, der skaber tvivl om, hvorvidt kravene i bilag 1 stadig er opfyldt eller dækket af erklæringen, kan styrelsen:

"[...] træffe afgørelse om, at de institutioner der anvender systemet, skal ophøre hermed, medmindre der inden for en fastsat frist fremsendes en ny systemrevisionserklæring med en konklusion uden modifikationer, jf. § 6."

Efter den gældende § 9 kan STIL kun beslutte, at der skal udarbejdes en ny erklæring inden for en frist. Udkastet giver STIL hjemmel til at træffe afgørelse om, at institutionerne skal holde op med at bruge systemet.

Ny dispensationsadgang (§ 8)

STIL kan efter ansøgning beslutte, at et SA-system fortsat kan være offentliggjort, hvis institutionerne vurderer, at der ikke kan udarbejdes en ny erklæring uden modifikationer inden for virkningsperioden.

• STIL kan fastsætte nærmere vilkår, herunder hvor længe systemet må bruges (stk. 1).
• Det er tilstrækkeligt, at én institution søger (stk. 2).
• Ansøgningen skal være modtaget senest 14 dage før virkningsperioden udløber (stk. 3).

Ordningen afløser den gældende § 8, hvor den enkelte institution skulle rette henvendelse, hvorefter STIL kunne fravige kravet.

Ikrafttræden og overgang (§ 9)

• Bekendtgørelsen træder i kraft 1. januar 2027, og BEK nr. 1180 af 19. november 2024 ophæves.
• Erklæringer udarbejdet efter BEK nr. 1180/2024 eller Bekendtgørelse nr. 1300 af 17. november 2023 bevarer deres gyldighed i 2 år fra revisors underskrift, dog med forbehold for STIL's indgrebsmulighed i § 7.

Bilag 1: It-instruksen (kontrolmål og kontroller)

Bilaget indeholder den it-instruks, som revisionen af SA-systemet skal tage udgangspunkt i. Det består af 138 nummererede kontroller fordelt på:

Skærpet adgangsstyring (pkt. 2.2)

Kontrol nr. 3 kræver nu bl.a.:

• kontroller for tildeling, opfølgning, vedligeholdelse og fratagelse af almindelige og privilegerede adgangsrettigheder samt automatisk lukning af inaktive adgange,
• rollebaseret adgangskontrol og funktionsadskillelse,
• en rolleopsætning, hvor brugere og systemkonti kun får de nødvendige rettigheder, herunder adskillelse af læse- og redigeringsrettigheder,
• udskillelse af systemkonti, så de ikke har adgang til brugergrænsefladen, men kun til de nødvendige tjenester.

Med kontrol nr. 6 skal SA-systemet desuden give den enkelte institution mulighed for intern kontrol med adgange, herunder overblik over rettigheder og "statistik over brugeradgange, herunder aggregerede logningsdata for adgang".

Autentifikation (pkt. 2.3)

Kontrolmål 2.7 om personoplysninger udgår

I det gældende bilag 1 er pkt. 2.7 "Behandling af personoplysninger" med en kontrol om databeskyttelsesprocedurer og databehandleraftaler efter databeskyttelsesforordningens artikel 28, stk. 3. Dette kontrolmål udgår. Høringsbrevet begrunder det sådan:

"Kontrolmål 2.7. udgår. Der skal nu altid forelægge en ISAE 3000-erklæring ved behandling af personoplysninger i it-systemer."

Pkt. 2.7 bruges nu til change management, der tidligere var pkt. 2.6.

Grænseflader og TOPAS (pkt. 3-4)

De generelle grænsefladekrav videreføres, herunder at kommunikationen "skal foregå direkte mellem SA-systemet og de eksterne it-systemer uden anvendelse af tredjepartssystemer" (pkt. 3.2). Tabel 2 omfatter 45 grænseflader til bl.a. CØSA (taxameter- og årselevindberetning), Navision Stat (deltagerbetaling, løn- og omkostningsfordeling), Datavarehuset, Eksamensdatabasen, US2000 (SU), Ungedatabasen, Lærepladsen.dk, Arbejdsgivernes Uddannelsesbidrag, MAB, Netprøver.dk, Voksenuddannelse.dk og Unilogin.

Nyt pkt. 4.34: TOPAS – udveksling af oplysninger til eksamensadministration (kontrol nr. 109-111). Grænsefladen omfatter avu, FVU, GYM-uddannelserne og eux. Kravene svarer til dem for XPRS (pkt. 4.33), herunder overholdelse af almeneksamensbekendtgørelsen. Ifølge høringsbrevet:

"TOPAS er afløseren for XPRS, dog vil STIL i en overgangsperiode operere med begge it-systemer."

Det fremgår af tabel 2 i udkastet, at den hidtidige grænseflade "Lærepladsen.dk – Indberetning af elev- og svendeprøveoplysninger" ikke længere er med. Lærepladsen.dk-grænsefladerne omfatter nu afhentning af lærepladsforhold, indberetning af oplysninger om elever og undervisningsenheder samt indberetning af elevfravær (pkt. 4.35-4.37).

Øvrige forhold ved udkastet

• Klageadgang: Den gældende § 10 bestemmer, at STIL's afgørelser ikke kan indbringes for ministeren. Udkastet indeholder ikke en tilsvarende bestemmelse, selv om indledningen henviser til klagehjemlerne i § 38 b, § 57 a og § 30 b.
• Sammenhæng med revisionsreglerne: Bilag 1, pkt. 2.4, i bekendtgørelse om revision og tilskudskontrol m.m. ved institutioner for erhvervsrettet uddannelse, almengymnasiale uddannelser og almen voksenuddannelse m.v. henviser i den version, der ligger i databasen, til, at institutionsrevisor skal påse, at systemerne er omfattet af en ISAE 3402 type 2-erklæring efter systemrevisionsbekendtgørelsens § 6. Udkastet åbner for type 1-erklæringer ved ny ibrugtagning.
• Redaktionelle forhold: Enkelte steder virker udkastets tekst ufærdig. § 5, stk. 2, slutter med komma, § 6, stk. 3, slutter med "og", og kontrol nr. 3, litra e, gentager tekst fra litra d.

Høringsparter

Udkastet er sendt til 33 høringsparter:

• Uddannelsessektoren: Danske Gymnasier, Danske Erhvervsskoler og -Gymnasier, Danske HF & VUC, FGU Danmark, Danske SOSU-skoler, Danske Landbrugsskoler og Gymnasiernes Bestyrelsesforening.
• Elevorganisationer: Danske Gymnasieelevers Sammenslutning, Erhvervsskolernes ElevOrganisation og Landssammenslutningen af Handelsskoleelever.
• Faglige organisationer og arbejdsmarkedets parter: FH, Akademikerne, FOA, Uddannelsesforbundet, Gymnasieskolernes Lærerforening, DA, DI og Dansk Erhverv.
• Myndigheder og råd: Datatilsynet, Rigsrevisionen, Erhvervsstyrelsen, Konkurrence- og Forbrugerstyrelsen, REU og VEU-rådet.
• Øvrige: bl.a. FSR – danske revisorer, ATP og KL.