Obbligo di SPID e CIE per le PA: cosa cambia e cosa significa per le imprese

Il 28 febbraio 2021, alla scadenza prevista dal decreto semplificazioni 2020, la grande maggioranza dei cittadini potrà accedere con SPID e CIE ai principali servizi digitali delle pubbliche amministrazioni, e avrà ragione di aspettarsi di avere accesso a tutti gli altri nello stesso modo entro qualche mese o pochi anni. Si tratta di una svolta importante: esaminiamone i risvolti per le PA ma anche per le imprese.

Cosa prevede il DL Semplificazioni

L’articolo 24 del decreto legge “semplificazioni” 2020, potenzia il ruolo delle identità digitali, come abbiamo analizzato dal punto di vista delle imprese con il gruppo di lavoro aperto #ClubTI4SPID.

In particolare, al punto 1 e 6, dispone che dal 28 febbraio 2021 le pubbliche amministrazioni “…utilizzano esclusivamente le identità digitali e la carta di identità elettronica ai fini dell’identificazione dei cittadini che accedono ai propri servizi online…”.

Per la prima volta, una disposizione simile è corredata di sanzioni significative per i dirigenti responsabili (verosimilmente in particolare i Responsabili della Transizione Digitale o RTD, gli agenti di trasformazione digitale all’interno della pubblica amministrazione con e per i quali AgID lavora intensamente da anni) e per l’intera struttura che gestiscono! Pochi giorni dopo vediamo già, per esempio, una pubblica amministrazione relativamente piccola e locale assumere un ICT temporary manager che affianchi il Responsabile per la Transizione al Digitale e predisponga il piano triennale per l’informatica secondo le modalità stabilite da AgID. Sembra plausibile che sia proprio il decreto semplificazioni a stimolare azioni come questa.

A che punto sono le PA nell’adozione di SPID e CIE

Ce la faranno le PA a rispettare questo obbligo? Come faranno?

Capire cosa aspettarsi entro il 28 febbraio è importante per i cittadini, e può esserlo ancora di più per le imprese.

• i cittadini infatti stanno adottando SPID a velocità sempre crescente: più di un milione centomila nuovi profili in un solo mese a luglio, per la prima volta da quando SPID esiste, grazie alla spinta a sostituire visite di persona con interazioni digitali di questi mesi di pandemia, e ai bonus relativi che si richiedono con SPID. A questo punto la soglia di 10 milioni di profili attivi sembra a portata di mano, per settembre se non già durante agosto!
• Le imprese, invece, continuano a ignorare questo bacino di clienti potenziali: solo 11 hanno completato le procedure per usare SPID per identificare chi accede ai loro servizi, e solo alcune di queste sono effettivamente attive. Come fanno le migliaia di imprese grandi e piccole che oggi offrono servizi digitali ai cittadini? Usano ancora le identità digitali dei grandi fornitori di servizi online, o propri sistemi di solito basati su userid e password, o i servizi come la firma elettronica dei grandi prestatori di servizi fiduciari.

Per questo è utile valutare e trasmettere alle imprese, nel quadro della campagna di comunicazione per loro che stiamo organizzando, cosa aspettarsi dopo il decreto semplificazioni in termini di adozione di SPID e CIE da parte delle pubbliche amministrazioni.

Le pubbliche amministrazioni sono tante: ISTAT elenca e considera circa 10400 “unità istituzionali”. Il numero dei soggetti che possono decidere in autonomia di adottare strumenti informatici e realizzare servizi digitali per i cittadini, e spesso hanno dovuto farlo, è molto maggiore: alcune di queste unità istituzionali comprendono centinaia o migliaia di questi soggetti. Un esempio: le decine di migliaia di scuole che ISTAT conta come unità locali di una sola di queste unità istituzionali (il ministero dell’istruzione, o una provincia autonoma).

AgID pubblica regolarmente online l’avanzamento della trasformazione digitale che per SPID indica anche una stima del numero delle pubbliche amministrazioni che l’hanno adottata: 4478 al 30 luglio, e un obiettivo 2020: diecimila. Il rapporto è relativamente confortante, ma ci dice poco sull’effettiva complessità dell’adozione da parte delle 5500 amministrazioni rimanenti: quanto sono lontane? Quante hanno già avviato l’adozione, e quante aspettano ancora di muovere i primi passi? Sono in media più o meno complesse di quelle che hanno già adottato SPID? Quante gestiscono alcuni sistemi informativi per i cittadini in autonomia e quante invece fanno riferimento per tutta la loro trasformazione digitale a un centro servizi magari regionale? In più, volendo esaminare più attentamente anche le 4478 già attive: quante di loro hanno magari uno o pochissimi servizi digitali integrati con SPID e tanti altri ancora accessibili solo tramite credenziali diverse?

Tre grandi categorie: le grandi amministrazioni centrali e locali, i soggetti aggregatori sul territorio

Per orientarsi in un contesto così eterogeneo è utile stabilire qualche punto fermo per alcune grandi categorie.

Innanzitutto, tutte le più grandi amministrazioni pubbliche centrali useranno molto probabilmente SPID e CIE come strumenti esclusivi di identificazione digitale già nel 2021. Si tratta infatti di organizzazioni con una forte capacità ed autonomia nel gestire servizi informatici, architetture tecnologiche con strumenti di identificazione, autenticazione e sicurezza evoluti, e soprattutto abituate a organizzare le proprie priorità in funzione di adempimenti e obblighi. Di fronte alla crescita degli utenti con SPID e CIE, e all’obbligo disposto dal decreto, possiamo prevedere che la maggior parte dei loro servizi ai cittadini verranno adeguati, e i servizi digitali con strumenti di identificazione diversi saranno eccezioni, magari pienamente giustificate e condivisibili.

Per quanto riguarda i servizi sul territorio, le nostre discussioni informali con diversi colleghi attivi in pubbliche amministrazioni grandi e piccole giustificano un buon ottimismo articolato su tre ipotesi che crediamo ragionevoli:

• molte grandi amministrazioni locali sono nella stessa situazione, sostanzialmente confortante, di quelle centrali
• molte regioni si considerano e sono considerate dai propri pari sulla buona strada per integrare con SPID e CIE i propri servizi digitali e quelli di molte pubbliche amministrazioni del loro territorio che hanno voluto e vorranno farsi aiutare
• il modello dei soggetti aggregatori che queste regioni e le società di servizi in house che hanno istituito hanno praticato sotto varie forme (quella formalizzata nella convenzione AgID e altre come ad esempio l’organizzazione di hub tecnologici e di competenze) si è dimostrato efficace e potrà essere esteso alle altre pubbliche amministrazioni e loro aggregati che lo vorranno

Vediamo meglio ciascuna di queste affermazioni con l’aiuto di qualche esempio. Si tratta di nostre valutazioni soggettive basate su discussioni informali con esperti di identità digitali di diverse regioni italiane e del CISIS – Centro Interregionale per i Sistemi Informativi, Geografici e Statistici della Conferenza delle Regioni e delle Province Autonome, tra i quali Luca Bonuccelli (Regione Toscana, già Team per la Trasformazione Digitale).

Le grandi amministrazioni locali

Molte di queste organizzazioni hanno capacità informatiche, e criteri di pianificazione e gestione delle scadenze, del tutto analoghe a quelle delle grandi amministrazioni centrali. Possiamo quindi aspettarci che almeno quelle già ben avviate nell’adozione di SPID rispettino la scadenza del decreto semplificazioni. Quante sono?

Per un’analisi parziale ma significativa conviene analizzare la situazione per Regioni, per due motivi:

• le Regioni gestiscono direttamente i servizi sanitari, compresi i fascicoli sanitari dei cittadini e l’accesso digitale a questa e molte altre applicazioni sanitarie, come i Centri Unici Prenotazioni, da parte di milioni di cittadini e migliaia di professionisti dei servizi sanitari, pubblici e privati
• se le Regioni hanno tipicamente meno servizi digitali rivolti direttamente al cittadino rispetto alle grandi amministrazioni centrali o, per esempio, ai comuni, spesso offrono ai comuni e ad altre amministrazioni del proprio territorio quei soggetti aggregatori e hub di competenze che possono accelerare e semplificare l’adozione delle identità digitali da parte di questi ultimi

Limitandoci per una valutazione qualitativa alle Regioni, e ai comuni capoluogo di regione e di provincia autonoma, arriviamo a ricostruire un quadro piuttosto positivo:

In sintesi:

• Quasi tutte le regioni e province autonome (21 su 22) permettono l’accesso ad almeno un servizio digitale, spesso il fascicolo sanitario regionale, tramite SPID o CIE;
• Quasi tutti i comuni capoluogo (17 su 21) permettono l’accesso ad almeno un servizio digitale con SPID o CIE
• 1 regione e 4 comuni capoluogo sembrano imporre ancora l’uso di una credenziale digitale propria per l’accesso ai servizi digitali
• In ogni regione o provincia autonoma la regione stessa o il comune capoluogo offrono ai cittadini almeno un servizio digitale autenticato, anche solo con credenziali proprie, quindi hanno la capacità tecnologica di base per offrire servizi digitali autenticati con SPID e CIE.

Sulla base di tutto questo, in attesa di dati e piani quantitativi da AgID o dalle regioni stesse, crediamo probabile che:

• entro il 28 febbraio la maggioranza dei residenti in Italia avrà accesso tramite SPID, CIE e CNS ai servizi digitali di uso più frequente delle pubbliche amministrazion, e
• per gli altri residenti, e gli altri servizi, le amministrazioni riusciranno ad avviare un percorso praticabile e verificabile per raggiungere questo obiettivo in tempi brevi o medi.

I soggetti aggregatori di servizi pubblici: il fattore chiave per le altre amministrazioni locali

E come faranno le altre migliaia di amministrazioni locali diverse dai comuni capoluogo e dalle regioni stesse?

Qui la buona notizia è che varie regioni, alcune da molti anni, hanno attivato un servizio di supporto alle pubbliche amministrazioni del loro territorio per semplificare l’integrazione di SPID e CIE nei servizi digitali di queste ultime, come “soggetti aggregatori di servizi pubblici” o in forme equivalenti.

Questi servizi sono lo strumento ideale per permettere ad organizzazioni più piccole, o semplicemente meno interessate a sviluppare in proprio capacità di servizio digitale ai cittadini

• innanzitutto di rendere accessibili con SPID e CIE i servizi digitali che ciascuna amministrazione eventualmente ha già sviluppato
• successivamente, di sviluppare una versione digitale, accessibile con SPID e CIE, di tutti gli altri servizi, che il decreto semplificazione 2020 impone di rendere digitali

La seconda di queste trasformazioni sarà molto più complessa e onerosa della prima, come lo stesso ministero dell’innovazione sa bene visto che l’obbligo previsto per il 28 febbraio è “solo” di definire un piano per lo sviluppo di questi servizi.

In ogni caso, lo strumento degli aggregatori di servizi pubblici, è collaudato e diffuso tra le pubbliche amministrazioni locali e facile da adottare per quelle che ancora devono farlo. Ci aspettiamo che molte amministrazioni locali lo adottino, e magari anche organizzazioni centrali con nodi territoriali fortemente autonomi come le scuole e certi ordini professionali.

Con questi strumenti e la rete dei Responsabili per la Transizione al Digitale, siamo quindi ottimisti che AgID e il ministero dell’innovazione potranno sfruttare l’occasione e l’impulso offerto dal decreto semplificazioni 2020 per accelerare e diffondere l’uso di SPID e CIE sia alla maggioranza dei cittadini, sia e soprattutto alla grande maggioranza delle pubbliche amministrazioni centrali e locali.

Obbligo per le PA di adottare Spid e Cie: cosa significa per le imprese?

Al di là di considerazioni qualitative già fatte, per esempio che dopo quattro anni il successo di SPID e CIE è finalmente acquisito, cosa significa questa svolta per le imprese?

Il senso ultimo di questa novità è che crea una duplice fondata aspettativa:

• tutti i residenti in Italia si possono aspettare di avere una credenziale unica che in pochi anni apra la porta della grande maggioranza dei servizi digitali delle pubbliche amministrazioni
• tutte le imprese possono aspettarsi che tutti i residenti in Italia con accesso a internet avranno SPID o CIE e le useranno per la maggior parte delle proprie interazioni con … le pubbliche amministrazioni, certo e quelle imprese che vorranno permetterglielo!

In altre parole, tra qualche anno i cittadini si aspetteranno di usare SPID o CIE (o meglio la loro evoluzione dell’epoca) per accedere a qualsiasi servizio digitale sicuro, affidabile, confidenziale e rispettoso dei loro dati personali. Le imprese senza accesso SPID/CIE rischiano seriamente di trovarsi come le banche senza bancomat negli anni Ottanta, o senza numero verde negli anni Novanta, o quelle senza sito internet negli anni Duemila.

Ecco un altro dei messaggi chiave della campagna su SPID per le imprese che stiamo organizzando per settembre insieme ad alcuni Identity Provider SPID e ad alcune associazioni, speriamo in coordinamento con quella che il ministero dell’innovazione e AgID lanceranno per i cittadini.

Per seguire gli sviluppi dell’iniziativa, aderisci al gruppo LinkedIn di Club TI Milano.

Per diventare soggetto aggregatore privato (chi aiuta altre imprese ad usare SPID), o partecipare alla prima campagna di comunicazione su SPID per le imprese, iscriviti al Club.