как снять полномочия на удаление (и прочее) с файла для "админа", но не "системы" через CMD (BAT) ???

C:\Users\Tamas>cacls

Внимание: CACLS считается устаревшей, рекомендуется использовать ICACLS.

Просмотр и изменение таблиц управления доступом (ACL) к файлам

CACLS имяФайла [/T] [/M] [/L] [/S[:SDDL]] [/E] [/C] [/G имя: доступ]
[/R имя [...]] [/P имя: доступ [...]] [/D имя [...]]

имяФайла Вывод таблиц управления доступом для этого файла.
/T Замена таблиц управления доступом для указанных файлов
в текущей папке и всех подпапках.
/L Работать с самой символической ссылкой, а не с объектом
/M Изменение ACL томов, подключенных к папке
/S Отображение строки SDDL для DACL.
/S:SDDL Замена ACL на указанные в строке SDDL
(не используется с ключами /E, /G, /R, /P или /D).
/E Изменение таблицы управления доступом вместо ее замены.
/C Продолжение при ошибках отказа в доступе.
/G имя: доступ Определение разрешений для указанных пользователей.
Доступ: R Чтение
W Запись
C Изменение (запись)
F Полный доступ
/R имя Отзыв разрешений для пользователя (только вместе с /E).
/P имя: доступ Замена разрешений для указанного пользователя.
Доступ: N Отсутствует
R Чтение
W Запись
C Изменение (запись)
F Полный доступ
/D имя Запрет на доступ для указанного пользователя.

Для выбора нескольких файлов используются подстановочные знаки.
В команде можно указать несколько пользователей.

Сокращения:
CI - Наследование контейнерами (Container Inherit).
ACE будет унаследован папками.
OI - Наследование объектами (Object Inherit).
ACE будет унаследован файлами.
IO - Только наследованное (Inherit Only).
ACE не будет применим к текущему файлу/папке.
ID - Унаследовано.
ACE унаследован от ACL родительской папки.

Утилитой SetAcl. Поищи в нете примеры.