Résumé

  • Une obligation légale impose au gouvernement d’évaluer l’impact et l’efficacité des articles 1 à 13 de la loi de 2021, puis de publier un rapport présenté au Parlement.
  • Ofcom a compté 625 signalements d’incidents en 2024-2025, contre 1 526 l’année précédente. Mais la baisse des incidents de résilience tient aussi aux catégories de déclaration, au passage du PSTN au VoIP et aux progrès plus généraux des opérateurs.

Une baisse qui ne tranche pas la question

Les notifications ont chuté. Le signal mérite examen, mais il ne répond pas à lui seul à la question posée au gouvernement : qu’est-ce que la loi a réellement changé ?

Dans son rapport de décembre 2025, Ofcom recense 625 incidents entre octobre 2024 et septembre 2025 : neuf incidents de cybersécurité et 616 incidents de résilience. Pour la période précédente, le total était de 1 526, dont huit incidents cyber et 1 518 de résilience. La variation vient donc surtout des déclarations liées à la résilience.

Ofcom ne présente pas ce recul comme une preuve de l’effet de la loi. Certains opérateurs ont modifié leurs catégories internes de priorité. La migration du réseau téléphonique commuté en cuivre, le PSTN, vers la voix sur fibre réduit le nombre de clients touchés et fait passer davantage d’incidents sous les seuils de déclaration. Les opérateurs citent aussi des améliorations générales du secteur. Ces facteurs modifient les chiffres sans démontrer ce que la loi a causé.

L’appel gouvernemental, ouvert jusqu’au 12 octobre 2026 à 23 h 59, demande précisément aux contributeurs d’écarter les progrès qui auraient eu lieu dans le cadre du travail de sécurité courant, d’obligations antérieures ou de décisions commerciales plus larges. En vertu de l’article 14 de la loi de 2021, le secrétaire d’État doit examiner l’impact et l’efficacité des articles 1 à 13, publier un rapport et le présenter au Parlement. Il s’agit d’établir un effet additionnel, pas de voter sur l’importance de la sécurité des réseaux.

Des règles à plusieurs niveaux

La loi a modifié le Communications Act 2003. Elle impose aux fournisseurs de réseaux et de services de communications électroniques publics de réduire les risques, de se préparer aux compromissions, d’en limiter les conséquences et d’y remédier. Les Electronic Communications (Security Measures) Regulations 2022 précisent certaines mesures. Le Telecommunications Security Code of Practice décrit l’approche recommandée par le gouvernement pour démontrer le respect de ces obligations. Sa version révisée 1.1 a été publiée en juillet 2026.

Ces instruments n’ont pas la même portée. Les obligations légales et les règlements fixent les exigences. Le Code constitue une orientation, et non une règle contraignante distincte, même si Ofcom et les tribunaux doivent tenir compte des dispositions pertinentes dans certaines fonctions et procédures. Ofcom supervise les fournisseurs et dispose de pouvoirs d’application. Le gouvernement recueille les contributions et s’appuie aussi sur Ofcom et le National Cyber Security Centre (NCSC). Le secrétaire d’État conduit l’examen ; le Parlement reçoit le rapport.

Cette répartition importe. Une mesure de contrôle mise en place ou une demande d’information achevée montre une activité d’exécution. Cela ne prouve pas, à lui seul, qu’il y a moins de compromissions, des pannes plus courtes ou une reprise plus rapide.

Des progrès, avec un périmètre précis

Dans son premier rapport, couvrant octobre 2022 à octobre 2024, Ofcom jugeait qu’il était trop tôt pour tirer des conclusions fermes, tout en relevant des indications globalement positives. Le rapport de décembre 2025 fait état d’avancées dans la gestion des équipements en fin de vie, les tests de restauration des sauvegardes et la gestion des incidents. Deux vagues de demandes d’information portaient alors sur les 67 premières mesures d’un total de 258 dans le Code.

Le même rapport relève des faiblesses. Ofcom estimait que près de la moitié des fournisseurs de niveau 1 et 10 % de ceux du niveau 2 pouvaient ne pas appliquer correctement certaines mesures de chaîne d’approvisionnement lorsque leur fournisseur est lui-même un opérateur télécom réglementé. Plus de la moitié des fournisseurs du niveau 1 et un quart de ceux du niveau 2 semblaient juger peu économique ou peu pratique un véritable test de sécurité avant de signer un contrat d’équipement. Ces observations concernent les fournisseurs et les mesures examinés, pas chaque réseau britannique.

Le dénominateur compte. Ofcom recensait sept fournisseurs de niveau 1, dont le chiffre d’affaires pertinent atteint au moins 1 milliard de livres, et 31 de niveau 2, entre 50 millions et 1 milliard. Les fournisseurs de niveau 3, sous 50 millions, ne sont pas censés suivre le Code. L’examen ne devrait donc pas présenter le suivi des niveaux 1 et 2 comme une mesure exhaustive du secteur.

La baisse des notifications ne mesure pas non plus directement le risque cyber. Quatre des neuf incidents cyber de 2024-2025 auraient probablement été sous le seuil obligatoire. Passer de huit à neuf signalements ne permet pas de conclure à une hausse, une baisse ou une stabilité de la menace. Le total dépend des seuils et des pratiques de déclaration, et ne recense pas chaque intrusion ou tentative.

Ce que le rapport peut encore établir

Une évaluation utile associerait les mesures mises en œuvre à des résultats : évolution d’incidents comparables après prise en compte des catégories, du nombre de clients et de la migration technologique ; durée des interruptions ; personnes touchées ; délai de rétablissement. Elle devrait préciser la couverture par niveau de fournisseur et par version du Code, ainsi que les limites des seuils de déclaration.

Elle peut aussi suivre les lacunes relevées par Ofcom. Le contrôle des fournisseurs s’est-il renforcé lorsqu’un opérateur télécom en fournit un autre ? Les tests d’équipement ont-ils été déplacés avant la signature, ou remplacés par une méthode équivalente reconnue par Ofcom ? Les effets de la version 1.1 sont-ils observables ? Cette révision est postérieure à la période de mesure 2024-2025 ; son effet à long terme n’est donc pas établi par ces chiffres.

Ofcom indique ne pas avoir utilisé les pouvoirs d’application prévus par la loi de sécurité durant l’exercice 2024-2025. Deux amendes liées à la résilience mentionnées dans le même rapport relevaient de conditions générales distinctes. Le rapport gouvernemental devra préserver cette distinction et préciser si le respect des obligations résulte du contrôle, de la correction des manquements, de la dissuasion ou d’autres facteurs.

Sources