摘要

  • 英国法律要求政府审查《Telecommunications (Security) Act 2021》第1至13条的影响与成效，随后公布报告并提交议会。
  • Ofcom在2024至2025报告期记录了625起事件通报，低于上一期的1,526起；但它将韧性事件通报减少部分归因于分类变化、PSTN向VoIP迁移和行业常规改进。

少了通报，不等于风险下降

数字大幅回落，很容易被当成答案。它确实值得追问，却不能单独说明电信网络风险降低，更不能说明下降是由哪项法律造成的。

Ofcom在2025年12月发布的报告记录了2024年10月至2025年9月的625起事件，其中网络韧性事件616起、网络安全事件9起。前一报告期共记录1,526起：韧性事件1,518起，网络安全事件8起。变化主要出现在韧性通报，而非网络安全通报。

Ofcom说明，这一下降有多个原因。一些运营商调整了内部事件优先级分类；从铜线PSTN转向光纤承载的VoIP后，部分故障影响的客户更少，也更容易落到报告门槛以下；运营商还提到行业整体已有改进。通报量因此同时受网络状况和上报规则影响，不能直接衡量法律的边际作用。

英国政府的征集将于2026年10月12日23时59分结束，并明确要求受访者排除那些即使没有新法也会发生的日常安全改进、既有义务和更广泛商业决策。根据该法第14条，Secretary of State必须审查第1至13条的影响与成效，公布报告并提交议会。此次征集是为报告收集证据，不是对法律进行表决。

法律、法规、守则各管一层

该法修订了Communications Act 2003，要求公共电信网络和服务提供商降低安全风险、为事件做好准备、限制损害并进行补救。Electronic Communications (Security Measures) Regulations 2022列出具体要求。Telecommunications Security Code of Practice说明政府认可的合规做法；其1.1修订版于2026年7月发布。

这些工具的法律地位并不相同。法定义务和法规规定必须做什么；Code是指导文件，不是独立的强制规则，但Ofcom和法院在特定职能或程序中必须考虑相关条款。Ofcom负责监督与执行，政府还会与Ofcom和National Cyber Security Centre (NCSC)合作。Secretary of State负责评估，议会接收报告。

因此，部署了一项控制措施，或完成了一轮监管信息收集，只能证明框架在运行，并不能单独证明入侵减少、停机时间缩短或恢复更快。

有进展，也要看覆盖范围

Ofcom第一份覆盖2022年10月至2024年10月的报告称，当时下定论为时尚早，整体迹象则偏正面。2025年12月的报告指出，设备退役管理、备份恢复测试和事件处置有所改进。Ofcom完成了两轮信息征集，覆盖Code共258项措施中的前67项。

同一份报告也列出缺口。对那些供应商本身也是受监管电信企业的情形，Ofcom认为，一级运营商中略低于一半、二级运营商中约10%可能没有妥善落实相关供应链措施。一级中超过一半、二级中约四分之一似乎认为，在签订设备合同前开展有实质意义的安全测试成本过高或难以操作。这是Ofcom对所审查企业和措施的观察，并非对整个英国市场的结论。

分母同样重要。Ofcom列出7家一级运营商，相关营业额至少10亿英镑；二级有31家，营业额至少5,000万英镑但低于10亿英镑。营业额低于5,000万英镑的三级提供商不被要求遵守Code。评估报告不应把一级和二级的监管样本说成覆盖了整个行业。

通报数字也不能直接反映网络安全风险。Ofcom估计，2024至2025期的9起网络安全事件中有4起可能低于强制报告门槛。报告从8起变成9起，无法说明风险上升、下降或持平。数字只覆盖达到特定门槛的上报事件，并非所有入侵或未遂事件。

议会报告还能回答什么

有用的评估应把执行情况和结果放在一起看：在控制分类变化、客户暴露面和技术迁移后，可比事件是否减少；服务中断持续多久；影响多少客户；恢复是否更快。报告还应按运营商层级和Code版本呈现进展，并把报告门槛的限制写在数字旁边。

Ofcom提出的缺口也可以逐项追踪。运营商之间存在供应关系时，合同监督是否加强？安全测试是否移到了采购签约之前，还是改用Ofcom认可的替代措施？Code 1.1的改变是否已经接受实际检验？该版本在2026年7月发布，晚于2024至2025年的数据期，因此这些数字无法证明它的长期效果。

Ofcom称，在2024至2025报告年度没有使用Security Act授权的执法权。同一份报告中的两笔韧性罚款依据的是另外的General Conditions。政府应保留这一区分，并解释合规来自监督、整改、威慑还是其他机制。

来源