30 września 2026 r. minął wydłużony termin realizacji grantów. W lipcu 2026 r. NIK opublikowała wyniki kontroli programu (19 skontrolowanych jednostek): granty przyznawano na podstawie samooceny, bez obowiązkowego audytu przed projektem i po nim; 13 z 15 zbadanych wniosków o rozliczenie zatwierdzono mimo błędów; umowy zawierano od 3 do 8 miesięcy po ocenie wniosków. Izba rekomenduje w kolejnych projektach ustandaryzowany audyt przed realizacją i po niej oraz wskaźniki mierzące wpływ.
Program prowadzony przez CPPC we współpracy z NASK objął blisko 2,5 tys. JST: według NIK w 2024 r. zawarto 2 497 umów o powierzenie grantu na ok. 1,475 mld zł, a na 31 sierpnia 2025 r. realizowano 2 490 projektów o wartości ok. 1,471 mld zł. Dofinansowanie wynosiło od 200 tys. zł dla małych gmin do 850 tys. zł dla dużych miast, powiatów i województw, a 1 747 z 2 807 uprawnionych JST nie musiało wnosić wkładu własnego (lista podmiotów uprawnionych CPPC). Pierwotny okres realizacji obejmował 1 czerwca 2023 - 30 czerwca 2026 r.; w odpowiedzi na liczne wnioski grantobiorców termin realizacji wydłużono do 30 września 2026 r.
Efekty pozytywne
- Środki na cyberbezpieczeństwo trafiły do blisko 2,5 tys. JST (w konkursie wzięło udział 89% uprawnionych)
- Zakupy sprzętu, oprogramowania i usług wdrożeniowych - na ten cel zaplanowano 80% środków programu (NIK)
- Wymóg ankiet dojrzałości wymusił przynajmniej formalną refleksję nad bezpieczeństwem
Problemy strukturalne
- Rekomendacje sprzedawców zamiast doradztwa - wiele JST kupowało to, co proponował integrator, a nie to, co realnie podnosiło dojrzałość
- Brak jednolitych standardów i ekonomii skali - każda JST kupowała inne rozwiązania
- Vendor lock-in - po wykorzystaniu grantu koszty licencji i subskrypcji przechodzą na budżet JST, a zmiana dostawcy bywa trudna
- Brak personelu do obsługi zakupionych systemów (kupiono narzędzia, nie ma kto ich eksploatować)
- Brak pomiaru efektów - zamiast audytu przed projektem i po nim stosowano ankietę samooceny, więc nie wiadomo, w jakim stopniu program podniósł poziom bezpieczeństwa (NIK)
Te obserwacje są zbieżne z ustaleniami kontroli NIK i przemawiają za modelem LCC: problemem był nie tyle brak pieniędzy, ile brak koordynacji, kompetencji i niezależnego doradztwa.