Controllo PNRR su infrastrutture digitali e migrazione al Polo strategico nazionale (Corte dei Conti Sez. contr. gestione Stato n. 30 del 07.02.2024)

Principi di diritto (Massima)
Il controllo sulla gestione delle amministrazioni pubbliche, esercitato ai sensi dell’art. 3, comma 4, legge n. 20/1994 e dell’art. 7, comma 7, d.l. n. 77/2021, verifica la corrispondenza dei risultati dell’attività amministrativa agli obiettivi di legge e valuta comparativamente costi, modi e tempi dell’azione amministrativa, con particolare riguardo all’acquisizione e all’impiego delle risorse del PNRR secondo criteri di economicità, efficienza ed efficacia. La Sezione centrale di controllo sulla gestione delle Amministrazioni dello Stato approva il rapporto sullo stato di attuazione dell’investimento, formula le proprie indicazioni e ne cura la trasmissione al Parlamento e alle amministrazioni interessate. La riprogrammazione del PNRR, deliberata in ambito europeo ai sensi dell’art. 21 Reg. (UE) 2021/241, può rendere non più attuale un target nazionale definito secondo un principio di migrazione complessiva dell’ente, sostituendolo con un criterio di modularità riferito alla migrazione di almeno un servizio. Il controllo di gestione non si estende alla legittimità degli atti di gara, che resta devoluta al giudice amministrativo.

Il Fatto

La Sezione centrale di controllo sulla gestione delle Amministrazioni dello Stato ha esaminato l’attuazione dell’Investimento 1.1 “Infrastrutture digitali” (M1-C1-1.1) del PNRR, dotato di 900 milioni di euro, già oggetto dei precedenti rapporti riferiti al 2022. Il presente rapporto riguarda la gestione dell’anno 2023.

L’investimento mira a ospitare sistemi, dataset e applicazioni della PA in data center altamente affidabili e prevede la creazione dell’infrastruttura denominata Polo strategico nazionale (PSN), la certificazione di soluzioni cloud pubbliche sicure e scalabili e la migrazione dei dati e degli applicativi delle singole amministrazioni. La realizzazione è stata affidata mediante partenariato pubblico-privato, con Difesa Servizi S.p.A. quale centrale di committenza.

La Motivazione della Corte

La Corte ricostruisce anzitutto il quadro delle milestone e dei target. La milestone europea M1C1-3, relativa al completamento del PSN, è stata conseguita a dicembre 2022 con l’attestazione delle verifiche sui quattro data center, situati in doppia region nel Lazio e in Lombardia. Il target europeo intermedio M1C1-17, fissato a settembre 2024, è stato modificato in sede di riprogrammazione: nel 2024 deve essere assicurata, per almeno 100 PA centrali e ASL, la migrazione completa di almeno un servizio.

La Corte sottolinea che tale modifica introduce un principio di modularità del progetto di migrazione, riconosciuto dalla Commissione europea in luogo della migrazione complessiva dell’intero ente. Ne deriva che il target nazionale M1C1-00-ITA-3, definito secondo il precedente criterio e fissato al 30 settembre 2023, non risulta più attuale.

Quanto all’attuazione, nel 2023 sono stati pubblicati tre avvisi. Il primo, del 10 febbraio 2023, rivolto a un nucleo di PA centrali “pilota”, con dotazione di 373.800.000,00 euro, ha finanziato 37 domande per 149.052.105,45 euro. Il secondo, del 15 marzo 2023, destinato ad ASL e AO e di natura multi-misura, ha ammesso al finanziamento 119.187.107,00 euro a fronte di una dotazione di 150.000.000,00 euro. Il terzo, del 3 luglio 2023, rivolto alle altre PA centrali per 280 milioni di euro, ha ammesso 31.345.651,00 euro. La Corte rileva che, in relazione al profilo di spesa presente in ReGIS, non si registrano pagamenti e che nessuna PA ha ancora migrato alcun asset, dato o servizio al PSN.

Sul contenzioso, la Corte ricorda che, a seguito dell’aggiudicazione al raggruppamento promotore, è stato proposto ricorso con istanza cautelare, respinta dal TAR Lazio e confermata dal Consiglio di Stato. La sentenza non definitiva del TAR ha ritenuto due elementi progettuali non conformi ai requisiti del bando — la distanza tra i data center e gli indici sismici — determinando l’inammissibilità dell’offerta. La Corte osserva che, trattandosi di gara del PNRR, non è possibile ammettere il subentro del ricorrente, stante l’applicazione dell’art. 125 cod. proc. amm. in forza del rinvio contenuto nell’art. 48, comma 4, d.l. n. 77/2021, che non ammette ritardi nel percorso di realizzazione delle opere per scongiurare la perdita dei finanziamenti.

In materia di tutela dei dati personali, il Dipartimento ha rappresentato al Garante che la localizzazione dei dati è prevista in Italia e che, per i diversi servizi del PSN, sono approntate misure di cifratura e protezione conformi al Regolamento (UE) 2016/679, con il PSN nel ruolo di responsabile del trattamento. La Corte conclude che la misura appare ancora in linea con la roadmap riprogettata in ambito europeo, con concentrazione della spesa nelle annualità 2024 e 2025.