Resumo

  • Pela seção 14 do Telecommunications (Security) Act 2021, o governo deve avaliar o impacto e a eficácia das seções 1 a 13, publicar um relatório e apresentá-lo ao Parlamento.
  • A Ofcom registrou 625 incidentes em 2024–25, ante 1.526 no ano anterior. A redução dos casos de resiliência teve várias explicações, entre elas mudanças de classificação, migração do PSTN para VoIP e melhorias mais amplas das operadoras.

A queda que não responde à pergunta

O total caiu quase 60%. É um sinal que merece atenção, mas não responde por que a segurança mudou. Entre 1º de outubro de 2024 e 30 de setembro de 2025, a Ofcom contabilizou 616 incidentes de resiliência e nove de cibersegurança. No período anterior, foram 1.518 e oito, respectivamente. Quase toda a variação está em interrupções e falhas de continuidade, não nos registros de cibersegurança.

A própria Ofcom descreve causas concorrentes para a redução das notificações de resiliência. Alguns provedores alteraram suas categorias internas de prioridade. A migração da rede telefônica pública comutada, o PSTN, para serviços de voz sobre IP reduziu o número de clientes afetados por certos eventos e fez mais ocorrências ficarem abaixo dos limites de notificação. As empresas também apontaram melhorias mais gerais do setor. Nenhuma dessas explicações permite atribuir a queda ao Telecommunications (Security) Act.

A consulta governamental torna a questão da atribuição central. Aberta em 17 de agosto, ela se encerra às 23h59 de 12 de outubro de 2026. A seção 14 exige que o Secretary of State examine o impacto e a eficácia das seções 1 a 13 e depois publique o relatório e o apresente ao Parlamento. O convite pede que as empresas separem melhorias que ocorreriam como atividade normal, sob obrigações anteriores ou por decisões comerciais mais amplas. A consulta coleta evidências; ela não é uma conclusão sobre a lei.

Uma estrutura com responsabilidades distintas

A lei de 2021 alterou o Communications Act 2003. Ela impõe deveres gerais aos provedores públicos de redes e serviços de comunicações: reduzir riscos de segurança, preparar-se para incidentes, limitar os efeitos adversos e remediá-los. As Electronic Communications (Security Measures) Regulations 2022 especificam requisitos. O Telecommunications Security Code of Practice oferece uma rota prática de conformidade, mas não é, por si só, uma regra vinculante autônoma. Em determinadas funções e processos, Ofcom e os tribunais devem considerar as disposições relevantes do Code.

Essa diferença importa para a avaliação. Uma medida implementada mostra atividade de conformidade; não demonstra, sozinha, menos comprometimentos, interrupções menores ou recuperação mais rápida. Os provedores executam os controles. O governo define regras e publica orientação. A Ofcom monitora e pode usar poderes de fiscalização. O National Cyber Security Centre (NCSC) fornece conhecimento técnico. O Secretary of State conduz a revisão, e o Parlamento recebe o relatório.

Progresso, mas com denominadores

A avaliação inicial da Ofcom cobriu outubro de 2022 a outubro de 2024. O regulador disse que era cedo para conclusões firmes, embora os sinais gerais fossem positivos. No relatório de 2025, registrou avanços na gestão de ativos em fim de vida, nos testes de restauração de backups e na resposta a incidentes. Duas rodadas de pedidos de informação cobriram 67 das 258 medidas do Code.

Também havia lacunas. Pouco menos de 50% dos provedores Tier 1 e 10% dos Tier 2 talvez não aplicassem corretamente medidas relevantes de cadeia de suprimentos quando o fornecedor também fosse uma operadora regulada. Mais de 50% dos Tier 1 e 25% dos Tier 2 pareciam considerar inviável ou antieconômico fazer testes de segurança significativos antes de contratar novos equipamentos. São observações da Ofcom sobre os provedores que ela acompanhou, não estimativas para todo o mercado britânico.

O tamanho da amostra precisa permanecer visível. A Ofcom identificou sete provedores Tier 1, com faturamento relevante de pelo menos £1 bilhão, e 31 Tier 2, entre £50 milhões e menos de £1 bilhão. Provedores Tier 3, abaixo de £50 milhões, não são esperados a seguir o Code. Uma taxa entre grandes operadoras não descreve automaticamente os provedores menores.

Das atividades aos resultados

Uma revisão útil pode comparar ocorrências com definições consistentes, exposição de clientes, gravidade e horas de serviço afetado. Deve separar implementação de resultado e mostrar como as mudanças de tecnologia e de limite alteram a série. Quatro dos nove incidentes cibernéticos registrados em 2024–25 provavelmente ficaram abaixo do limite obrigatório de notificação, segundo a Ofcom. O número de notificações mede o que cruzou um critério; não mede todas as invasões nem a prevalência do risco.

A revisão também pode acompanhar os pontos que o regulador levantou: a supervisão de fornecedores, os testes antes da contratação e as alternativas que a Ofcom considera adequadas. Mas o Code 1.1 foi publicado em julho de 2026, depois do período de dados usado no relatório de 2025. Seus efeitos de longo prazo ainda não podem ser lidos naquela série.

Há ainda uma distinção jurídica que precisa sobreviver à síntese. A Ofcom disse que não usou os poderes de fiscalização do Security Act em 2024–25. Duas sanções por falhas de resiliência mencionadas no relatório foram aplicadas sob General Conditions separadas. Tratá-las como multas da lei de segurança mudaria o retrato da execução.

Fontes