STIL drifter ca. 100 it-systemer på Børne- og Undervisningsministeriets ressortområde og systemporteføljen er hele tiden i bevægelse. Sikker drift af it-systemerne er en forudsætning for at kunne levere den nødvendige og forventede understøttelse af sektoren. Et væsentligt led i sikker systemdrift er effektive og pålidelige datacenterfaciliteter.
STIL har offentliggjort et udbud (SKI 02.22) med henblik på at finde en ny leverandør af datacenterfaciliteter, som skal levere co-location faciliteter og håndtering af hardware i to selvstændige, geografisk adskilte datacentre, hvorfra der skal afvikles egentlig to-center drift.
Dette vil bidrage til:
- at sikre tilstrækkelig kapacitet på datacenterniveau
- at driftssikkerheden på datacenterniveau forøges væsentligt for at imødegå de stærkt stigende sikkerhedstrusler mod samfundets infrastruktur samt stigende brugerforventninger til it-systemernes tilgængelighed.
Styrelsen for It og Læring forventer at indgå en aftale med en ny leverandør af datacenterfaciliteter den 19. marts 2024. I den forbindelse indgås der også en databehandleraftale med den nye leverandør. Persondatabehandlingen sker i et meget begrænset omfang.
Særligt for de it-systemer, hvor Styrelsen for It og Læring er databehandler for institutioner, kommuner og regioner m.fl.
Styrelsen for It og Læring har en generel godkendelse til at antage nye underdatabehandlere. Med den generelle godkendelse følger af databeskyttelsesforordningens artikel 28, stk. 2, at:
Databehandleren underretter den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.
Styrelsen for It og Læring vil herunder opliste hvilke overvejelser, Styrelsen har gjort i forbindelse med datacenterudbuddet og antagelsen af en ny databehandler, som er relevante for de dataansvarslige.
Formål og behandlingens karakter:
- Databehandleren behandler personoplysninger i forbindelse med hardware management, hvor der foretages ad hoc destruktion af defekte medier, som medfører sletning af personoplysninger. Der er således tale om en meget begrænset behandling.
Behandlingssikkerhed:
- Styrelsen har udarbejdet en risikovurdering forud for datacenter-leverandørskiftet, der tager højde for persondatabehandlingen.
- Styrelsen har rådført sig med Center for Cybersikkerhed i forbindelse med Styrelsens risikovurdering og fastsættelse af passende sikkerhedsforanstaltninger.
Databehandleraftalen:
- Styrelsen indgår en databehandleraftale med den nye datacenter-leverandør, som følger af Datatilsynets skabelon for en databehandleraftale.
- Styrelsen spejler de krav, der er stillet til styrelsen som databehandler til den nye databehandler, i det omfang det er relevant for den meget begrænsede behandling af personoplysninger, der skal foretages.
- Der forekommer ikke overførsel til usikre tredjelande.
Tillæg til databehandleraftalen:
- Styrelsen fastsætter i tillæg til databehandleraftalen en driftshåndbog, der i detaljer beskriver under hvilke instrukser og procedurer, der skal ske destruktion af medier, som medfører sikker sletning af de kopier af personoplysninger, der ligger på det defekte medie.
Underretning af de dataansvarlige
Styrelsen underetter hermed de dataansvarlige om planlagte ændringer vedrørende tilføjelse af en eller flere nye databehandlere.
Evaluering af indkomne tilbud er afsluttet og den valgte leverandør er itm8 | Progressive A/S. Der følger en stand still periode på 10 dage fra dags dato den 8. Marts 2024 til den 18. Marts 2024. Eventuelle indsigelser kan håndteres i stand still perioden.
Spørgsmål eller kommentarer til Styrelsen for It og Lærings indgåelse af aftale med den nye leverandør af datacenterfaciliteter samt indgåelse af databehandleraftale kan rettes til følgende kontaktperson:
Monica Marie Blomstrøm
Tlf. +45 29 21 75 80
Mail: monica.marie.blomstroem@stil.dk
Fristen for at rette henvendelse er inden udgangen af den 18. marts 2024. Herefter indgås der aftale med itm8 | Progressive A/S.