Summary

  • Am 8. August 2023 veröffentlichte der Police Service of Northern Ireland als Antwort auf ein Informationsfreiheitsersuchen eine Arbeitsmappe, die ein Quellblatt mit Angaben zu 9.483 Polizeikräften und zivilen Beschäftigten enthielt. Die Datei war knapp zweieinhalb Stunden online. Wohnadressen waren nicht enthalten, doch die Kombination aus Kennungen, Funktionen, Organisationseinheiten und Einsatzorten erhöhte das Risiko im gegebenen Sicherheitsumfeld erheblich.
  • Die öffentliche Aktenlage trägt nicht die Erklärung eines bloßen individuellen Tabellenfehlers. Ein HR-Export blieb im Freigabeobjekt, während Prüfungen auf die sichtbare Antwort gerichtet waren. Schwächen bei Informationsverantwortung, Risikobewertung, rollenspezifischer Schulung, Klassifizierung und Endkontrolle ermöglichten mehrere Sichtprüfungen, ohne dass jemand beweisen musste, dass das vollständige Binärobjekt ausschließlich freigegebene Felder enthielt.
  • Das Information Commissioner’s Office stellte fahrlässige Verstöße gegen die Artikel 5(1)(f), 32(1) und 32(2) der UK GDPR fest. Es berechnete zunächst £5,6 Millionen und reduzierte die verhängte Geldbuße im Rahmen seines Ansatzes für öffentliche Stellen auf £750.000. Die Behörde dokumentierte Angst, Sorge und Kontrollverlust, erklärte aber zugleich, ihr lägen keine Hinweise auf eine durch den Vorfall verursachte körperliche Verletzung vor.
  • Belastbare Rechenschaft ist messbar: Eine öffentliche Stelle sollte ein neues minimales Freigabeobjekt erzeugen, verborgene Inhalte und Metadaten prüfen, die unabhängige Genehmigung der exakten Datei verlangen, Hashes und Entscheidungen sichern, Rückrufabläufe testen, Betroffene unterstützen und interne Vollzugsmeldungen von unabhängiger Bestätigung trennen. Transparenz und Sicherheit sind vereinbar, wenn Veröffentlichung als kontrolliertes Produktionssystem gestaltet wird.

Nicht die sichtbare Tabelle, sondern die gesamte Datei

Der Vorfall lässt sich leicht auf die Aussage verkürzen, eine Person habe die falsche Tabelle verschickt. Diese Beschreibung erfasst den sichtbaren Fehlermoment, nicht aber das Kontrollsystem. Entscheidend ist, wie ein Arbeitsprodukt aus einem sensiblen Personalverwaltungssystem Extraktion, Aufbereitung, Formatwahl, Prüfung, Freigabe und Veröffentlichung durchlaufen konnte, ohne dass die Sicherheit des vollständigen Endobjekts nachgewiesen werden musste.

Das Informationsfreiheitsersuchen vom 3. August 2023 verlangte statistische Zahlen über Polizeikräfte und Beschäftigte nach Rang oder Entgeltgruppe. Namen, Dienstnummern oder individuelle Arbeitsorte waren dafür nicht erforderlich. Dennoch begann die Bearbeitung mit einem umfangreichen Export aus der SAP-Personalumgebung. Daraus entstanden eine Pivot-Tabelle und ein Antwortblatt. Das deutlich reichhaltigere Quellblatt blieb in der Arbeitsmappe.

Die unabhängig geleitete Untersuchung rekonstruierte, dass sichtbare, als entbehrlich betrachtete Blätter gelöscht wurden, das Blatt mit dem Quelldownload jedoch unentdeckt blieb. Weitere Prüfungen durch Personal- und Informationsfunktionen konzentrierten sich auf die sichtbare Antwort. Auch die Kommunikationsfunktion betrachtete die Anzeige. Um 14:32 Uhr am 8. August wurde die Datei veröffentlicht und erst nach beinahe zweieinhalb Stunden entfernt.

Die Kopie umfasste 32 Spalten. Der abschließende Bescheid des ICO löst die scheinbare Abweichung in den Zahlen auf: Eine Spalte war unbenutzt, weshalb die Aufsichtsbehörde von 31 genutzten Informationsfeldern sprach. Betroffen waren 9.483 Polizeikräfte und zivile Beschäftigte. Die Felder umfassten unter anderem Nachname, Initialen, Dienst- oder Personalnummer, Rang oder Gruppe, Funktion, Organisationseinheit, Standort, Dienst- oder Vertragsinformationen und Geschlecht. Wohnadressen gehörten nicht dazu.

Das Risiko entstand durch Verknüpfung und Kontext. Angaben, die einzeln gewöhnlich erscheinen, können zusammen mit Identität, Aufbauorganisation und Arbeitsort Einschüchterung, unerwünschte Kontaktaufnahme, Mustererkennung oder Zielauswahl erleichtern. Die PSNI erklärte, der Datensatz sei in die Hände dissidenter Republikaner gelangt. Das ist als Einschätzung der PSNI festzuhalten; die geprüften öffentlichen Unterlagen identifizieren weder alle Empfänger noch ihre Absichten.

Eine Arbeitsmappe besteht nicht nur aus den beim Öffnen sichtbaren Zellen. Sie kann zusätzliche Blätter, Formeln, benannte Bereiche, Kommentare, Verknüpfungen, Zwischenspeicher und Metadaten enthalten. Die Frage, ob die sichtbare Tabelle fachlich richtig ist, unterscheidet sich von der Frage, ob genau dieses Binärobjekt zur öffentlichen Freigabe autorisiert wurde. Mehrere Personen konnten die erste Frage stellen, ohne eine beweisbare Antwort auf die zweite liefern zu müssen.

Mehrere Blicke können denselben blinden Fleck teilen

Arbeitsdatei und Veröffentlichungsartefakt dienten unterschiedlichen Zwecken. Eine Arbeitsdatei sammelt Material für Berechnung, Abstimmung und Fehlersuche. Eine öffentliche Datei darf nur das enthalten, was Empfänger sehen sollen. Wenn ein Objekt beide Funktionen übernimmt, wird vollständiges Löschen zur Sicherheitsgrenze. Jeder Überschuss muss gefunden werden. Ein additives Verfahren kehrt die Beweislast um: Es beginnt leer und fügt nur genehmigte Ergebnisse hinzu.

Auch das Vier-Augen-Prinzip ist ohne eine definierte Prüfmethode unvollständig. Öffnen alle Prüfer dieselbe Datei im selben Programm, landen auf demselben Blatt und beurteilen dieselbe Darstellung, sind ihre Schritte nacheinander, aber nicht unabhängig. Ein Prüfer sollte Inhalt und rechtmäßige Antwort kontrollieren; ein anderer sollte Struktur und Metadaten des Pakets erfassen und das Ergebnis gegen eine Feldspezifikation prüfen.

Der öffentliche Kanal erhöhte die Unumkehrbarkeit. Das Entfernen vom Ursprungsserver beendet die weitere dortige Auslieferung, holt bereits geladene Kopien aber nicht zurück. Eine kurze Onlinezeit verringert Möglichkeiten, beweist jedoch keine vollständige Rückholung. Publikum, Sensitivität, Bedrohungskontext und Irreversibilität müssen deshalb die Freigabeschwelle vor einer Publikation erhöhen.

Die Folgen waren ungleich verteilt. Manche Beschäftigte waren bereits öffentlich mit Polizeiarbeit verbunden, andere hielten ihre Tätigkeit bewusst privat. Personalvertretungen berichteten über veränderte Routinen, Verbergen des Berufs, Angst, Umzugsfragen und Vertrauensverlust. Daraus darf nicht geschlossen werden, dass alle Betroffenen dieselbe Folge erlebt hätten.

Die Schadensanalyse des ICO hält die notwendige Grenze ein. Sie nennt Angst, Sorge und Verlust der Kontrolle als häufige tatsächliche Schäden unterschiedlichen Ausmaßes und erkennt außergewöhnlich schwere potenzielle Folgen im Bedrohungsumfeld. Zugleich erklärte der Commissioner, keine Hinweise auf eine infolge des Vorfalls eingetretene körperliche Verletzung gesehen zu haben. Beides gehört zusammen: Das Potenzial war gravierend, psychische Belastungen waren breit dokumentiert, ein verursachter körperlicher Angriff wurde in der untersuchten Akte nicht festgestellt.

Bis zum 30. August 2023 gab es 3.954 Selbstmeldungen an die Emergency Threat Management Group, bis zum 18. Oktober 4.024. Diese datierten Zahlen zeigen Nachfrage nach Beratung und Risikoprüfung. Sie sind keine Zahl bestätigter Angriffe, Bedrohungen oder Verletzungen. Sie zeigen vielmehr, wie ein Datenkontrollversagen operative Sicherheitsressourcen band.

Die angebotene Unterstützung von bis zu £500 für persönliche Schutzmaßnahmen war konkret. Extern verwendete Dienstnummern wurden durch PINs ersetzt, wodurch der künftige Nutzwert eines offengelegten Merkmals sank. Namen, Funktionen und historische Standorte verschwanden dadurch nicht aus vorhandenen Kopien. Gute Abhilfe unterscheidet, was entwertet, korrigiert, beobachtet oder nicht mehr kontrolliert werden kann.

Die rechtliche Feststellung und ihre Grenzen

Der endgültige Geldbußenbescheid des ICO ist für die datenschutzrechtliche Bewertung maßgeblich. Er stellte Verstöße gegen das Integritäts- und Vertraulichkeitsprinzip in Artikel 5(1)(f) sowie gegen die Sicherheitsanforderungen in Artikel 32(1) und 32(2) fest. Die Verstöße wurden als eindeutig fahrlässig, nicht als vorsätzlich bezeichnet.

Diese Unterscheidung verhindert eine unbelegte Erzählung absichtlicher Offenlegung, ohne die organisatorische Verantwortung zu schmälern. Wer eine sicherheitsrelevante Belegschaft verwaltet, darf nicht erst nach einem Vorfall erkennen, dass routinemäßige Auskünfte auf umfangreichen HR-Exporten, unvollständigen Anweisungen und der Kontrolle sichtbarer Blätter beruhen. Risikobewertung, Verfahren, Schulung und Nachweis müssen vorher bestehen.

Die Verantwortung endet nicht am System of Record. Exportierte Daten können leichter kopiert, schwerer überwacht und von den Zugriffskontrollen der Quelle getrennt werden. Wenn Exporte ein erlaubter Geschäftsprozess sind, bleibt die Organisation für Zweck, Datenminimierung, Aufbewahrung, Nutzung, Prüfung des Freigabeobjekts und ausreichende Protokollierung verantwortlich.

Auch die Geldzahlen brauchen ihre korrekte Bedeutung. Das ICO berechnete £5,6 Millionen und reduzierte die tatsächlich verhängte Buße nach seinem Ansatz für öffentliche Stellen auf £750.000. Die Beträge sind zwei Stufen derselben Berechnung und dürfen nicht addiert werden. Die Reduktion sollte öffentliche Leistungen vor den Folgen einer hohen Geldbuße schützen; sie hob weder die Rechtsverstöße auf noch stufte sie den Schaden als gering ein.

Neben der Geldbuße war zunächst eine Anordnung vorgesehen. Bis zum 14. Juni 2024 legte die PSNI neue Anweisungen, ein Auditprotokoll, eine Qualitätssicherungs-Checkliste und eine Tabellenkalkulationsrichtlinie vor. Das ICO sah die relevante Absicherung gegen verborgene Daten als behoben an und verfolgte die geplante Anordnung nicht weiter. Die Geldbuße blieb bestehen. Diese Feststellung betraf einen konkreten Veröffentlichungspfad, nicht den Abschluss des gesamten Reformprogramms.

Verantwortung folgt tatsächlicher Steuerungsmacht

Die Nähe zum letzten Fehler bedeutet nicht ausschließliche Kontrolle. Die Leitung verantwortet Risikobereitschaft, Ressourcen und Eskalation. HR-Führungskräfte kontrollieren Extraktion und Aufbereitung. Die Informationsfreiheitsfunktion kontrolliert Verfahrensstandard, Format, Freigabe und Veröffentlichung. Technikverantwortliche kontrollieren mögliche maschinelle Sperren. Datenschutz- und Informationsrisikofunktionen prüfen, beraten und eskalieren. Das Policing Board übt externe Aufsicht aus, das ICO gesetzliche Untersuchung und Durchsetzung.

Informationsverantwortung ist mehr als ein Name in einem Register. Ein Information Asset Owner muss Zweck, Nutzer, besonders sensible Felder, erlaubte Exporte und den sicheren Veröffentlichungsweg erklären können. Die Aufgabe umfasst wiederkehrende Kontrolle, Ausnahmeentscheidungen und belastbare Nachweise.

Die FOI-Funktion muss gesetzmäßige Offenheit ermöglichen und korrekt antworten, kann aber nicht jedes Quellsystem im Detail kennen. Der Prozess sollte daher eine sichere Antwort zum Standard machen. Eine Anfrage nach Anzahlen muss ein reines Zählergebnis erzeugen. Das Veröffentlichungsteam sollte ein Artefakt mit Feldspezifikation und Herkunftsnachweis erhalten, nicht eine Arbeitsumgebung, deren Sicherheit vom Wissen über die Konstruktion abhängt.

Generische Jahresschulungen schaffen Bewusstsein, aber selten praktische Fertigkeit in Dateiformaten, verborgenen Daten, Klassifizierung und Freigabeprüfung. Beschäftigte mit Veröffentlichungsaufgaben müssen realistische Fälle bearbeiten und Kompetenz demonstrieren. Kursabschlüsse sind Eingaben; geprüfte Fähigkeiten, Fehlertrends und nachweisbare Wirksamkeit sind Ergebnisse.

Breitere Governance-Schwächen

Die unabhängige Untersuchung ordnete 37 Empfehlungen fünf Bereichen zu: organisatorische Governance und Rechenschaft, Übernahme von Verantwortung, Grundlagen, gemeinsame Nutzung und Verwendung von Daten sowie Kultur, Kompetenzen und Talent. Diese Breite zeigte, dass das übersehene Blatt sowohl ein spezifischer Prozessfehler als auch ein Symptom institutioneller Schwächen war.

HR kontrollierte die Quelle, der Informationsbereich die Anfrage, Kommunikation die Publikation, Technik die Werkzeuge und Sicherheitsteams die Folgen. Ohne organisationsweite Sicht kann jede Einheit lokale Konformität melden, während Übergaben unsicher bleiben. Das später eingerichtete Service Data Board sollte anhand von Entscheidungen, gelösten Risiken und Kontrollnachweisen beurteilt werden, nicht anhand der Sitzungshäufigkeit.

Verarbeitungsverzeichnisse und Datenschutz-Folgenabschätzungen sind praktische Instrumente. Sie sollten sichtbar machen, dass Belegschaftsdaten für Statistik und Offenlegung exportiert werden, Empfänger und Schutzmaßnahmen benennen und Verantwortlichkeit klären. Fehlende oder schwache Unterlagen nehmen der Organisation eine frühe Gelegenheit, den Ablauf vor einem Ereignis neu zu gestalten.

Die Position des DPO ist ebenfalls relevant. Unabhängigkeit verlangt direkten, rechtzeitigen Zugang zu Führungskräften, Sichtbarkeit risikoreicher Verarbeitung und Freiheit zur Eskalation. Der DPO bleibt jedoch Berater und Prüfer; operative Führungskräfte dürfen ihre Verantwortung nicht auf diese Rolle verlagern.

Das stark angepasste, lokal betriebene und alternde SAP-System war technische Schuld mit Governance-Wirkung. Es verursachte die Offenlegung nicht automatisch, begrenzte aber sichere Optionen, förderte manuelle Auszüge und verteuerte Veränderungen. Verzögerte Finanzierung muss als bewusst akzeptiertes Restrisiko mit Verantwortlichen sichtbar bleiben.

Klassifizierung ist nur dann Kontrolle, wenn sie mit dem Objekt reist und Konsequenzen auslöst. Bei einem Belegschaftsexport können das eingeschränkte Speicherung, gesperrte externe Freigabe, Ablaufregeln und ein Block für öffentliche Uploads sein. Ein Warnetikett ohne Durchsetzung erzeugt leicht Scheinsicherheit.

Maßnahmen zählen erst nach einem Wirksamkeitstest

Bis Juni 2024 meldete die PSNI 17 Empfehlungen als abgeschlossen. Im Februar 2026 berichteten Zeugen vor dem Parlament von 29 abgeschlossenen Empfehlungen, mehreren noch laufenden oder finanzierungsabhängigen Maßnahmen und der Rückkehr des unabhängigen Prüfungsteams zur Validierung. Die ursprünglichen 37 Empfehlungen bleiben die stabile Bezugsgröße. Die späteren Zahlen sind datierte Fortschrittsberichte, nicht das vorweggenommene Ergebnis der externen Prüfung.

Ein guter Abschlussnachweis nennt Kontrollziel, verantwortliche Führungskraft, operativen Eigentümer, Termin, Beleg, Testmethode, Ergebnis, Ausnahmen und Restrisiko. Eine verabschiedete Richtlinie schließt keine Maßnahme, deren Ziel technisches oder gelebtes Verhalten ist. Ein neues Gremium muss Entscheidungen zeigen; eine Exportkontrolle muss mit repräsentativen Dateien herausgefordert werden; eine Systemablösung muss nachweisen, dass der riskante Altweg nicht nur seltener, sondern deaktiviert ist.

Unabhängige Validierung schützt vor optimistischen Ampelmeldungen. Sie sollte Belege stichprobenartig prüfen, Tests wiederholen und Beschäftigte befragen, die den Prozess nutzen. Dabei ist zwischen Design- und Betriebswirksamkeit zu unterscheiden: Ein gut entworfener Kontrollschritt kann unregelmäßig genutzt werden; ein häufig genutzter kann unfähig sein, das relevante Risiko zu erkennen.

Auch Beinaheereignisse gehören in die Kennzahlen. Verborgene Blätter, die vor einer Freigabe erkannt werden, beweisen sowohl die Wirkung des Filters als auch verbleibende Probleme in vorgelagerten Arbeitsschritten. Blockierte Dateien, Ausnahmen, Meinungsverschiedenheiten und wiederkehrende Fehlerbilder liefern mehr Lernwert als eine bloße Zahl erfolgreicher Publikationen.

Die öffentliche Antwort neu und minimal erzeugen

Für die PSNI-Anfrage bestand die genehmigte Ausgabe aus wenigen aggregierten Anzahlen. Ein sicherer Ablauf würde eine freigegebene Berechnung ausführen, nur diese Werte in ein leeres Dokument schreiben und jedes nicht in der Spezifikation enthaltene Feld abweisen. Der ursprüngliche Export wäre niemals ein Veröffentlichungskandidat.

Kein Dateiformat ist von sich aus sicher. Ein PDF kann Metadaten, Anhänge oder verborgene Ebenen behalten. CSV beseitigt Arbeitsblätter, kann aber alle Spalten offenlegen. Eine Webtabelle kann versteckte Markierungen oder zwischengespeicherte Daten enthalten. Sicherheit entsteht durch geprüfte Minimierung des exakten Endobjekts zusammen mit Barrierefreiheit und Nutzbarkeit.

Ein Freigabeprotokoll kann Anfrage, Quellsystem, Berechnung, erlaubte Felder, Bearbeiter, Prüfer, Ziel und Aufbewahrungsregel dokumentieren, ohne sensible Inhalte zu duplizieren. Ein kryptografischer Hash bindet die Entscheidung an die Bytes. Beim Hochladen wird der Hash erneut berechnet; jede Änderung macht die Genehmigung ungültig. Der Hash beweist nicht die fachliche Richtigkeit, aber die Identität von geprüfter und veröffentlichter Datei.

Ein Scanner kann Blätter einschließlich verborgener Zustände, benannte Bereiche, Verknüpfungen, Kommentare und Dokumenteigenschaften erfassen. Eine Regelprüfung vergleicht sie mit dem erlaubten Schema. Automatisierung hat Fehlalarme und Lücken; entscheidend ist die Kombination aus maschineller Prüfung, menschlichem Urteil und klarer Eskalation.

Der Publikationskanal sollte nur genehmigte Formate aus kontrollierter Ablage akzeptieren, Nutzer und Hash protokollieren und einen Notfall-Rückzug ermöglichen. Ein getesteter Kontaktplan verbindet Sicherheit, Datenschutz, Recht, Kommunikation, Beschäftigtenhilfe und Aufsicht. Zeitlich begrenzte Nachkontrolle bestätigt das ausgelieferte Objekt und sichert Beweise, ohne einen universellen Rückruf zu versprechen.

Ausnahmen müssen begründet, unabhängig genehmigt und befristet werden. Ist eine komplexe Tabelle das beste barrierefreie Format, sind zusätzlicher Prüfbedarf und Restrisiko ausdrücklich festzuhalten. Wiederkehrende Ausnahmen zeigen, dass der Standarddienst Investitionen braucht.

Finanzangaben dürfen nicht vermischt werden

Die öffentliche Akte enthält verschiedene Zahlen. Im September 2023 wurde vor dem Parlament ein frühes Szenario von £174 bis £217 Millionen für Wiederherstellung und Rechtsstreitigkeiten erörtert. Der Jahresbericht 2023–24 verzeichnete £6 Millionen zusätzliche Sofortfinanzierung sowie eine Rückstellung von £610.000 für die damals erwartete Regulierungsbuße. Die endgültige Buße betrug £750.000.

Im Dezember 2025 stellte die nordirische Exekutive £119 Millionen für Kosten des Vorfalls und Vergleichsverhandlungen bereit. Eine Bereitstellung belegt weder die endgültigen individuellen Zahlungen noch die Gesamtkosten über den Lebenszyklus. Frühe Szenarien, Finanzierung, Rückstellung, Buße und Vergleiche dürfen nicht zu einer scheinbar geprüften Gesamtsumme addiert werden.

Finanzielle Rechenschaft trennt direkte Reaktion, regulatorische Sanktion, Rechtsrisiko, langfristige Transformation und entgangene andere Arbeit. Jede Zahl braucht einen Stichtag und die Kennzeichnung als geschätzt, zugesagt, zurückgestellt, ausgegeben oder abschließend vereinbart.

Transparenz braucht technische Gestaltung

Das Informationsfreiheitsrecht verlangte nicht, den Quelldatensatz der Belegschaft offenzulegen. Gefragt waren Statistiken. Das Problem war nicht die Beantwortung einer öffentlichen Frage, sondern die fehlende Trennung zwischen statistischem Ergebnis und sensiblem Berechnungsmaterial. Transparenz zum Verursacher zu erklären, würde weniger Offenheit statt sichererer Offenlegung erzeugen.

Öffentliche Stellen halten Informationen, die Kontrolle und Vertrauen fördern, und zugleich persönliche oder sicherheitsrelevante Daten. Ein reifes System erfüllt beide Pflichten durch Minimierung, Herkunftsnachweis, Prüfung des Endobjekts und dokumentierte Entscheidungen. Dafür braucht es Finanzierung, qualifizierte Menschen und Verantwortung auf Leitungsebene.

Die Akte zeigt echten Fortschritt und offene Arbeit. Vom ICO akzeptierte Schutzmaßnahmen im Freigabeweg, das Service Data Board, höher angesiedelte Informationsrisikoverantwortung, neue Kennungen und Beschäftigtenhilfe bearbeiten Teile des Versagens. Finanzierungsabhängige oder laufende Maßnahmen sind kein Beweis für Untätigkeit. Ihr Status muss jedoch sichtbar bleiben, bis unabhängige Belege den Abschluss tragen.

Die Arbeitsmappe wurde zum Sicherheitsereignis, weil Daten die Grenzen verloren, die ihnen Bedeutung und Schutz gaben. Sie wurde zum Rechenschaftstest, weil Verantwortung über Menschen, Verfahren, Systeme und Aufsicht verteilt war. Die dauerhafte Antwort ist nicht das Versprechen, dass nie wieder jemand ein Blatt übersieht. Sie ist ein System, in dem ein übersehenes Blatt nicht unbemerkt zum öffentlichen Datensatz werden kann und jede Abhilfebehauptung anhand von Belegen prüfbar bleibt.

Frozen source register

  1. Police Service of Northern Ireland, Independent Review.
  2. Police Service of Northern Ireland and Northern Ireland Policing Board, Protecting From Within: a review of the PSNI data breach 8th August 2023.
  3. Information Commissioner's Office, Police Service of Northern Ireland enforcement record.
  4. Information Commissioner's Office, PSNI monetary penalty notice.
  5. Information Commissioner's Office, PSNI facing a £750k fine following spreadsheet error.
  6. Information Commissioner's Office, New guidance on disclosing documents to the public.
  7. Northern Ireland Policing Board, Publication of the jointly commissioned independently led review.
  8. Northern Ireland Policing Board, Statement on follow-up action.
  9. Northern Ireland Policing Board, Chief Constable's Accountability Report — June 2024.
  10. Police Service of Northern Ireland, Annual Report and Accounts for the year ended 31 March 2024.
  11. UK Parliament Northern Ireland Affairs Committee, Oral evidence: PSNI data breaches, 5 September 2023.
  12. UK Parliament Northern Ireland Affairs Committee, Oral evidence: staff associations, 12 December 2023.
  13. UK Parliament Northern Ireland Affairs Committee, Oral evidence: Northern Ireland Policing Board, 13 December 2023.
  14. UK Parliament Northern Ireland Affairs Committee, Oral evidence: PSNI leadership, 13 December 2023.
  15. UK Government, Secretary of State's speech — PSNI data breach.
  16. UK Government, Information Security Review 2023 Final Report.
  17. Northern Ireland Department of Justice, Statement: PSNI data breach funding allocation.
  18. UK Parliament Northern Ireland Affairs Committee, Oral evidence, 25 February 2026.