Zusammenfassung

  • Nach Abschnitt 14 des Telecommunications (Security) Act 2021 muss die Regierung Wirkung und Wirksamkeit der Abschnitte 1 bis 13 prüfen, einen Bericht veröffentlichen und dem Parlament vorlegen.
  • Ofcom verzeichnete 2024–25 insgesamt 625 Vorfallsmeldungen gegenüber 1.526 im Vorjahr. Für den Rückgang der Resilienzmeldungen nennt die Behörde mehrere Gründe: geänderte Kategorien, den Wechsel von PSTN zu VoIP und Verbesserungen in der Branche.

Die Lücke zwischen Messwert und Wirkung

Ein Rückgang um mehr als die Hälfte fällt auf. Er ist aber keine Antwort auf die Frage, welchen Unterschied das Gesetz gemacht hat. Im Zeitraum vom 1. Oktober 2024 bis zum 30. September 2025 zählte Ofcom 616 Resilienzvorfälle und neun Cybersecurity-Vorfälle. Ein Jahr zuvor waren es 1.518 beziehungsweise acht. Die Veränderung liegt fast vollständig bei den Meldungen zu Ausfällen und Betriebsstörungen, nicht bei Cybervorfällen.

Ofcom führt den Rückgang der Resilienzmeldungen auf mehrere Faktoren zurück. Einige Anbieter änderten interne Prioritätskategorien. Mit der Ablösung des kupferbasierten öffentlichen Telefonnetzes PSTN durch Voice over IP waren bei bestimmten Ereignissen weniger Kunden betroffen; mehr Fälle blieben dadurch unter der Meldeschwelle. Anbieter nannten zudem branchenweite Verbesserungen. Die Zahlen lassen sich deshalb nicht ohne Weiteres als Wirkung des Telecommunications (Security) Act lesen.

Die gesetzliche Überprüfung muss genau diese Unterscheidung treffen. Die Aufforderung zur Stellungnahme begann am 17. August und endet am 12. Oktober 2026 um 23:59 Uhr. Abschnitt 14 verpflichtet den Secretary of State, die Auswirkungen und Wirksamkeit der Abschnitte 1 bis 13 zu untersuchen, einen Bericht zu veröffentlichen und dem Parlament vorzulegen. Die Regierung fordert Anbieter auf, Verbesserungen herauszurechnen, die im normalen Geschäft, aufgrund bereits bestehender Pflichten oder wegen allgemeiner wirtschaftlicher Entscheidungen entstanden wären. Die Konsultation sammelt Material für die Prüfung; sie ist selbst kein Befund.

Vier Ebenen, keine austauschbaren Pflichten

Das Gesetz von 2021 änderte den Communications Act 2003. Es verpflichtet öffentliche Anbieter von Kommunikationsnetzen und -diensten, Sicherheitsrisiken zu verringern, sich auf Sicherheitsvorfälle vorzubereiten, deren Folgen zu begrenzen und sie zu beheben. Die Electronic Communications (Security Measures) Regulations 2022 konkretisieren Anforderungen. Der Telecommunications Security Code of Practice beschreibt einen Weg zur Umsetzung, ist aber nicht selbst eine eigenständige bindende Regel. In bestimmten Verfahren müssen Ofcom und Gerichte einschlägige Bestimmungen des Code berücksichtigen.

Für die Bewertung ist das wichtig: Eine eingeführte Kontrolle zeigt Umsetzung, nicht automatisch weniger Kompromittierungen, kürzere Ausfälle oder schnellere Wiederherstellung. Anbieter betreiben die Netze und tragen die Pflichten. Die Regierung setzt Vorschriften und veröffentlicht den Code. Ofcom überwacht und kann seine Befugnisse einsetzen. Das National Cyber Security Centre (NCSC) liefert technisches Wissen. Der Secretary of State führt die gesetzliche Prüfung durch; das Parlament erhält den Bericht.

Fortschritt mit sichtbarem Nenner

Ofcoms erster Bericht betrachtete den Zeitraum von Oktober 2022 bis Oktober 2024. Für belastbare Schlussfolgerungen sei es noch zu früh, hieß es dort, die ersten Anzeichen seien insgesamt jedoch positiv. Der Bericht vom Dezember 2025 beschreibt Fortschritte bei der Verwaltung veraltender Anlagen, bei Wiederherstellungstests von Sicherungen und beim Umgang mit Vorfällen. Zwei Auskunftsrunden behandelten die ersten 67 von 258 Maßnahmen des Code.

Daneben stehen konkrete Lücken. Bei Lieferanten, die selbst regulierte Telekommunikationsanbieter sind, wurden einschlägige Maßnahmen möglicherweise von knapp der Hälfte der Tier-1-Anbieter und 10 Prozent der Tier-2-Anbieter nicht richtig angewandt. Mehr als die Hälfte der Tier-1- und ein Viertel der Tier-2-Anbieter schienen sinnvolle Sicherheitstests vor Vertragsabschluss für neue Ausrüstung als unwirtschaftlich oder unpraktisch einzuschätzen. Das sind Beobachtungen aus Ofcoms Aufsicht, keine Hochrechnung auf alle britischen Anbieter.

Auch die Grundgesamtheit gehört in jede Darstellung. Ofcom führte sieben Tier-1-Anbieter mit einem relevanten Umsatz von mindestens einer Milliarde Pfund und 31 Tier-2-Anbieter mit mindestens 50 Millionen, aber weniger als einer Milliarde Pfund auf. Tier 3 unter 50 Millionen Pfund soll dem Code nicht folgen müssen. Ergebnisse aus der Aufsicht über größere Anbieter sind kein Branchenmittelwert.

Umsetzung ist noch kein Ergebnis

Ein tragfähiger Bericht könnte Vorfälle nach konsistenten Definitionen vergleichen und dabei Kundenexposition, Schwere, betroffene Dienste und Ausfallstunden berücksichtigen. Er sollte Umsetzung von Ergebnisdaten trennen und zeigen, wie Meldegrenzen und Technologiewechsel die Zeitreihe verändern. Von neun Cybervorfällen 2024–25 lagen laut Ofcom wahrscheinlich vier unter der verpflichtenden Meldeschwelle. Meldungen spiegeln also Schwellen und Praxis wider, nicht sämtliche Sicherheitsverletzungen oder die Verbreitung des Cyberrisikos.

Die Prüfung kann auch verfolgen, ob sich Lieferantenaufsicht und Tests vor dem Kauf verbessern und welche Alternativen Ofcom anerkennt. Der Code in Version 1.1 erschien allerdings erst im Juli 2026, also nach dem Berichtszeitraum 2024–25. Langfristige Wirkungen dieser Änderung sind in den vorhandenen Jahreszahlen noch nicht sichtbar.

Ofcom erklärte, im Berichtsjahr keine Vollzugsbefugnisse aus dem Security Act eingesetzt zu haben. Zwei im selben Bericht genannte Sanktionen wegen Resilienzverstößen stützten sich auf andere General Conditions. Wer diese Rechtsgrundlagen zusammenzieht, beschreibt die Durchsetzung falsch.

Quellen