Resumen

  • La ley exige que el Gobierno evalúe el impacto y la eficacia de sus secciones 1–13, publique un informe y lo presente al Parlamento.
  • Ofcom registró 625 avisos de incidentes en 2024–25, frente a 1.526 el año anterior. Sin embargo, relaciona gran parte del descenso en los incidentes de resiliencia con las categorías de registro, el paso de PSTN a VoIP y mejoras generales de los operadores.

El recuento no es un veredicto

Una caída de casi 900 avisos llama la atención. No demuestra por sí misma que las redes sean más seguras ni que la Telecommunications (Security) Act haya causado la mejora.

El informe de Ofcom de diciembre de 2025 contabiliza nueve incidentes de ciberseguridad y 616 de resiliencia entre octubre de 2024 y septiembre de 2025. El periodo anterior registró ocho incidentes cibernéticos y 1.518 de resiliencia. La variación se concentra, por tanto, en los sucesos que afectan a la disponibilidad o al funcionamiento del servicio.

Ofcom identifica varios factores. Algunos operadores cambiaron sus categorías internas de prioridad. La migración de la red telefónica de cobre PSTN a la voz sobre fibra VoIP reduce el número de clientes afectados por ciertos fallos y hace que más incidentes queden por debajo de los umbrales de notificación. Las empresas también señalaron mejoras generales del sector. El volumen de avisos mezcla así el estado de la red con las reglas y prácticas que deciden qué llega al regulador.

La consulta del Gobierno, abierta hasta las 23:59 del 12 de octubre de 2026, reconoce el problema de atribución. Conforme al artículo 14 de la ley de 2021, el Secretary of State debe revisar el impacto y la eficacia de las secciones 1–13 y presentar un informe al Parlamento. La convocatoria pide que las respuestas excluyan mejoras que habrían surgido del trabajo ordinario de seguridad, de obligaciones previas o de decisiones comerciales más amplias. El ejercicio busca el efecto adicional de la ley, no una opinión general sobre la necesidad de proteger las redes.

Qué obliga la ley y qué orienta el código

La ley modificó el Communications Act 2003. Los proveedores públicos deben reducir los riesgos de seguridad, prepararse para posibles compromisos, contener sus consecuencias y corregirlas. Las Electronic Communications (Security Measures) Regulations 2022 concretan medidas. El Telecommunications Security Code of Practice indica cómo espera el Gobierno que los proveedores demuestren el cumplimiento; la versión revisada 1.1 se publicó en julio de 2026.

No conviene tratar esos instrumentos como equivalentes. La ley y los reglamentos contienen obligaciones. El Code es una guía, no una obligación jurídica independiente, aunque Ofcom y los tribunales deben tener en cuenta sus disposiciones pertinentes en determinados casos. Ofcom vigila el cumplimiento y puede actuar; el Gobierno reúne pruebas con Ofcom y el National Cyber Security Centre (NCSC). El Secretary of State conduce la revisión y el Parlamento recibe el informe.

Por eso, una medida instalada o un requerimiento de información contestado es evidencia de actividad, pero no basta para demostrar menos compromisos, interrupciones más cortas o una recuperación más rápida.

Progreso, con límites de cobertura

En su primer informe, sobre octubre de 2022 a octubre de 2024, Ofcom decía que era pronto para extraer conclusiones firmes, aunque los indicios generales eran positivos. El informe de diciembre de 2025 señala avances en la gestión de equipos obsoletos, las pruebas de restauración de copias de seguridad y la respuesta a incidentes. Ofcom había completado dos rondas de solicitudes de información que cubrían las primeras 67 de 258 medidas del Code.

También describía deficiencias. Según Ofcom, casi la mitad de los proveedores de nivel 1 y el 10% de los de nivel 2 quizá no aplicaban correctamente determinadas medidas de cadena de suministro cuando su proveedor también era una empresa de telecomunicaciones regulada. Más de la mitad del nivel 1 y una cuarta parte del nivel 2 parecían considerar antieconómica o poco práctica una prueba de seguridad significativa antes de contratar equipos. Son observaciones sobre las empresas y medidas revisadas, no una conclusión sobre todo el mercado británico.

El perímetro importa: Ofcom enumeró siete proveedores de nivel 1, con facturación relevante de al menos 1.000 millones de libras, y 31 de nivel 2, entre 50 millones y 1.000 millones. Las empresas de nivel 3, por debajo de 50 millones, no están llamadas a seguir el Code. La revisión debe mostrar estas diferencias en vez de presentar el seguimiento de los niveles 1 y 2 como cobertura completa del sector.

Tampoco cabe deducir la evolución del riesgo cibernético a partir de ocho y nueve avisos. Ofcom cree que cuatro de los nueve incidentes cibernéticos de 2024–25 probablemente no alcanzaban el umbral de notificación obligatoria. Las cifras reflejan lo que se notifica según determinadas reglas; no todos los accesos indebidos, intentos o incidentes menores.

Qué puede aclarar el informe

Una evaluación sólida puede comparar sucesos equivalentes, una vez considerados los cambios de categoría, la exposición de los clientes y la migración tecnológica. También puede mostrar cuánto duraron las interrupciones, cuántos usuarios resultaron afectados y si mejoraron los tiempos de recuperación, desglosando los datos por nivel de proveedor y versión del Code. Las limitaciones de los umbrales deben aparecer junto a los resultados.

Otra pregunta es si los vacíos observados por Ofcom se cerraron. ¿Hay más supervisión contractual cuando un operador compra a otro operador? ¿Se realizan pruebas de seguridad antes de adjudicar contratos, o se adoptan salvaguardas alternativas? ¿Se ha puesto a prueba la versión 1.1? Esa revisión se publicó después del periodo de datos 2024–25; las cifras existentes no demuestran sus efectos a largo plazo.

Ofcom dice que no usó los poderes de sanción de la Security Act durante ese ejercicio. Dos sanciones por fallos de resiliencia citadas en el mismo informe se impusieron bajo condiciones generales distintas. El Gobierno debe conservar esa diferencia jurídica y explicar qué produjo el cumplimiento: supervisión, correcciones, disuasión u otros factores.

Fuentes