Controllo Corte conti su investimento PNRR Cybersecurity: target 2024 raggiunti (Corte dei Conti Sez. contr. gestione Stato n. 8 del 05.02.2025)

Principi di diritto (Massima)
Il controllo sulla gestione delle amministrazioni pubbliche, ai sensi dell’art. 3, comma 4, legge 14 gennaio 1994, n. 20, e dell’art. 7, comma 7, d.l. 31 maggio 2021, n. 77, convertito dalla legge 29 luglio 2021, n. 108, verifica la corrispondenza dei risultati dell’attività amministrativa agli obiettivi di legge e valuta comparativamente costi, modi e tempi dell’azione amministrativa, con specifico riferimento all’acquisizione e all’impiego delle risorse PNRR. Il conseguimento dei milestone e target europei non coincide con l’avanzamento finanziario e realizzativo dei singoli progetti: la rendicontazione di milestone e target non è necessariamente legata all’avanzamento finanziario. Ne consegue che il completamento formale degli obiettivi può coesistere con ritardi nella esecuzione delle singole opere e con la concessione di proroghe dei termini di conclusione dei progetti. La valutazione di efficacia complessiva dell’investimento resta sospesa finché non sia ricomposto il quadro dei numerosi progetti previsti e in fase di realizzazione, sui quali la Sezione prosegue il monitoraggio.

Il Fatto

La Sezione centrale di controllo sulla gestione delle Amministrazioni dello Stato ha esercitato il controllo sull’Investimento 1.5 “Cybersecurity” della Missione 1, Componente 1, del PNRR, del valore complessivo di 623 milioni di euro, con precedenti deliberazioni n. 31 del 2022, n. 5 del 2023 e n. 17 del 2024. Il rapporto odierno fornisce l’aggiornamento delle attività svolte nel 2024 dall’Agenzia per la Cybersicurezza Nazionale (ACN), soggetto attuatore dell’investimento, mentre il Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei ministri è l’amministrazione titolare delle relative risorse.

La questione sottoposta al controllo riguarda lo stato di attuazione dell’investimento al 31 dicembre 2024, con specifico riferimento al raggiungimento dei milestone e target europei, al quadro contabile, allo stato dei progetti e alle eventuali criticità emerse in capo ai soggetti sub-attuatori.

La Motivazione della Corte

La Sezione rileva in via preliminare il quadro normativo sopravvenuto nel periodo considerato. La legge n. 90 del 2024 reca disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici, con importanti adempimenti per le pubbliche amministrazioni, mentre il d.lgs. 4 settembre 2024, n. 138, recepisce la direttiva (UE) 2022/2555 (NIS2), confermando l’ACN quale Autorità nazionale competente NIS. La Sezione osserva che l’art. 14 della citata legge definisce gli “elementi essenziali di cybersicurezza”, colmando una lacuna dell’art. 108, comma 4, d.lgs. n. 36/2023 (Codice dei contratti pubblici), e impone criteri di premialità per l’uso di tecnologie italiane, UE o NATO.

Quanto al quadro contabile, il budget economico 2025 presenta una previsione di pareggio, con un valore della produzione di 185.131.000 euro e costi di 179.887.000 euro. Il budget degli investimenti ammonta a 119.624.000 euro, finanziato per 72.250.000 con risorse PNRR e per 47.374.000 con risorse proprie. A fronte della dotazione complessiva di 623 milioni, al 24 dicembre 2024 risultano trasferite risorse per 207.344.385,07 euro, di cui 161.980.000 a titolo di anticipazione e 45.364.385,07 a titolo di rimborso.

Sul fronte dell’avanzamento, il sistema ReGiS attesta che, al 31 dicembre 2024, risultano completati sia i 7 milestone sia i 2 target di rilevanza europea, inclusi i target finali M1C1-19 (“50 strutture di sicurezza adeguate”) e M1C1-20 (“dispiego integrale dei servizi nazionali di cybersecurity”). L’ACN ha rappresentato che il target M1C1-19 è stato raggiunto con 55 interventi, cui si aggiungono i 7 collegati al target M1C1-9, per un totale di 62. Il target M1C1-21 è stato conseguito con l’attivazione di 10 laboratori di screening e 2 centri di valutazione, mentre per il M1C1-22 sono state completate 30 ispezioni.

La Sezione rileva però una significativa divergenza tra il conseguimento formale dei target e lo stato realizzativo dei progetti. Su 154 progetti censiti, solo 2 risultano conclusi e 152 in corso; 120 presentano ritardi rispetto ai cronoprogrammi. Per diversi avvisi l’ACN ha autorizzato proroghe: con determina del 20 novembre 2024 ha differito al 30 giugno 2025 il termine di completamento degli interventi degli Avvisi n. 1 e n. 3 del 2022, e con determina del 17 ottobre 2024 ha prorogato al 30 settembre 2025 i termini dell’Avviso n. 5 del 2022. La Sezione sottolinea che la rendicontazione di milestone e target non è necessariamente legata all’avanzamento finanziario del progetto, sicché le attività amministrative e la rendicontazione delle spese sostenute non rilevano ai fini del conseguimento del target.

L’Agenzia ha inoltre rappresentato che non sono stati riscontrati scostamenti nel raggiungimento di quanto programmato e che alcune milestone sono state aggiornate dalla Commissione con la decisione COM(2023) 765 final, segnatamente la M1C1-19 (mero aggiornamento di refusi) e la M1C1-21 (eliminazione del riferimento al laboratorio di certificazione europea, non realizzabile in assenza di standard UE approvati). La Sezione prosegue pertanto il monitoraggio sull’intero complesso degli interventi, rimandando la valutazione di merito sull’efficacia complessiva al momento in cui il quadro dei progetti sarà ricomposto.