要約

  • Telecommunications (Security) Act 2021第14条に基づく見直しでは、政府が第1〜13条の影響と有効性を評価し、報告書を公表して議会に提出する。
  • Ofcomへの事故報告は2024〜25年度に625件、前年度は1,526件だった。ただし、レジリエンス事故の減少には分類方法、PSTNからVoIPへの移行、業界全体の改善など複数の要因がある。

減少した件数は結論ではない

数字の落差は大きい。625件は前年の1,526件を大きく下回る。だが、これを法律がネットワークを安全にした証拠と読むのは早い。Ofcomが集計した2024年10月から2025年9月までの内訳は、レジリエンス事故616件、サイバーセキュリティ事故9件。前年度はそれぞれ1,518件と8件だった。減少の中心はサイバー侵害ではなく、サービス継続性に関する通報である。

Ofcomはレジリエンス報告の減少を単一の理由に帰していない。一部事業者が社内の優先度区分を改めた。銅線のPSTNから光回線ベースのVoIPへの移行で影響顧客数が減り、報告基準を下回る事象が増えた。事業者は法とは別の業界全体の改善も挙げた。これらは報告件数を変えうるが、法がどれだけリスクを下げたかを直接示さない。

政府の意見募集はこの区別を正面から求めている。2026年8月17日に始まった募集は10月12日23時59分に締め切られる。第14条はSecretary of Stateに第1〜13条の影響と有効性のレビューを求め、報告書を公表して議会に提出させる。意見募集は、通常業務として起きた改善、既存義務に基づく対策、広範な商業判断による変更を差し引いて説明するよう回答者に求めている。提出件数は評価結果ではなく、評価に使う証拠の一部にすぎない。

義務、規則、実務指針は別の層

2021年法はCommunications Act 2003を改正し、公共通信事業者にリスクの軽減、侵害への備え、影響の抑制と是正を求める。2022年Electronic Communications (Security Measures) Regulationsは具体的な要求を定めた。Telecommunications Security Code of Practiceは、その要求をどう満たすかを示す実務指針であり、独立した拘束力のある規則そのものではない。Ofcomや裁判所は、定められた場面でCodeの関連条項を考慮するが、Codeから逸脱したことだけで直ちに別個の責任が生じるわけではない。

役割も分かれている。事業者が義務を実装し、政府は規則を定めて指針を出す。Ofcomは監視し、権限の範囲で執行する。National Cyber Security Centre (NCSC)は技術面の知見を提供し、Secretary of Stateが法定レビューを行い、議会が報告書を受け取る。誰が決め、誰が運用し、誰が結果を評価するのかを曖昧にすると、対策の実施を最終成果と取り違えやすい。

進捗には分母が要る

Ofcomの最初の評価は2022年10月から2024年10月までを対象とし、確定的な結論を出すには早いと述べつつ、初期の兆候は概ね前向きとした。2025年の報告では、耐用年数を迎えた資産の管理、バックアップ復旧試験、事故対応の進展が記された。Ofcomは258項目あるCodeのうち最初の67項目を対象に、情報要求を2巡実施した。

一方で、課題も残る。通信事業者が別の規制対象通信事業者をサプライヤーとして使う場合、Tier 1の半数弱、Tier 2の10%で、関連する供給網対策が適切に適用されていない可能性があるとOfcomは観察した。新設備の契約前に有意義なセキュリティ試験を行うことについては、Tier 1の半数超、Tier 2の25%が経済的または実務的に難しいとみているようだという。これはOfcomが監視した事業者に関する所見であり、英国市場全体の推計ではない。

母集団の範囲も明示すべきだ。Ofcomが示すTier 1は関連売上高10億ポンド以上の7社、Tier 2は5,000万ポンド以上10億ポンド未満の31社。5,000万ポンド未満のTier 3はCodeに従うことを期待されていない。上位区分の監視結果を、業界すべての実態と同一視できない。

件数から成果へ

評価報告が比較可能な結果を示すには、事業者の区分、影響を受けた顧客数、停止時間、事故の重大度、技術移行、通報基準をそろえる必要がある。実施された対策と、侵害の減少や復旧の短縮を分けるべきだ。しきい値未満のサイバー事象も別枠で扱う必要がある。Ofcomは2024〜25年度のサイバー事故9件のうち4件が義務的な通報基準を下回った可能性を示している。報告数は基準と運用の結果であり、脅威全体の発生率ではない。

供給網の弱点が改善したか、調達前試験が定着したか、代替策をOfcomが認めるのか。これらを追うことはできる。ただしCode 1.1が公表されたのは2026年7月で、Ofcomの2024〜25年度データより後だ。その改訂の長期的な効果は、現時点の数値からは分からない。

Ofcomは同年度にSecurity Actに基づく執行権限を行使しなかったと報告している。同じ報告書にあるレジリエンス違反への2件の制裁は、別のGeneral Conditionsに基づくものだ。どの権限が使われたかを混同すれば、執行の有無や抑止の強さを誤って評価する。

出典