Você desejará usar o robocopy com a opção / B, como administrador ou outra conta que tenha privilégios de operador de backup.
A opção / B faz com que o robocopy use o método do operador de backup de copiar os arquivos, deixando passar as ACLs.
A configuração padrão / COPY: DAT é ignorar as ACLs no destino.
Para espelhar as ACLs, você precisa usar / COPY: DATSO (ou / COPY: DATSOU para copiar também as informações de auditoria).