Im Mittelpunkt steht ein überarbeiteter Code of Practice nach dem Telecommunications (Security) Act 2021. Das Gesetz verpflichtet Anbieter zu angemessenen und verhältnismäßigen Sicherheitsmaßnahmen. Der Kodex ist zwar formal eine Leitlinie und kein unmittelbar vollstreckbares Gesetz, dient nach Einschätzung von Rob Bratby, Managing Partner von Bratby Law, die Telekommunikationsanbieter berät, aber als Maßstab für regulierte Unternehmen. Wer ohne dokumentierte und vertretbare Begründung davon abweicht, kann nach seiner Darstellung bei der zugrunde liegenden gesetzlichen Pflicht in Schwierigkeiten geraten; möglich seien Bußgelder von bis zu zehn Prozent des Umsatzes.
Zu den Unternehmen und Organisationen, die Stellungnahmen eingereicht hatten, gehörten BT, VMO2, VodafoneThree, Sky, Ericsson und Amazon Web Services. TechUK koordinierte zudem eine gemeinsame Eingabe über seine Arbeitsgruppe für Telekomsicherheit und Diversifizierung. Auf Anfrage von Recorded Future News äußerte sich keines der Unternehmen bis zur Veröffentlichung. TechUK erklärte, man sei während der gesamten Entwicklung des Kodex „aktiv eingebunden“ gewesen; der Rahmen sei „angemessen, verhältnismäßig und in der Praxis technisch umsetzbar“.
Zu den nun fallengelassenen Vorgaben gehört die Pflicht, ein unabhängiges System zur Erkennung von Eindringversuchen in die Signalisierung einzusetzen. Dieses sollte getrennt von bestehenden Schutzmechanismen wie Signalisierungs-Firewalls arbeiten und idealerweise von einem anderen Anbieter stammen. Es sollte ausgehenden Datenverkehr auf Hinweise überwachen, dass bestehende Kontrollen bereits umgangen wurden. Solche Systeme zielen auf ein zentrales Merkmal der Salt-Typhoon-Kampagne, die nach dem Bericht mehr als 80 Länder betraf und die eigene Signalisierungsinfrastruktur eines Netzes zur Ableitung von Daten nutzte.
Ebenfalls gestrichen wurde die Vorgabe, eingehende Signalisierung standardmäßig als nicht vertrauenswürdig zu behandeln. Angreifer nutzen laut dem Bericht zunehmend Telekommunikationsprotokolle aus, die auf der Annahme beruhen, Nachrichten aus anderen Netzen seien vertrauenswürdig.
Auch die Forderung nach monatlichen Neustarts von Netzkomponenten wurde entfernt. Solche Neustarts hätten speicherresidenter Schadsoftware den Boden entzogen, die keine Spuren auf Datenträgern hinterlässt, während des Betriebs nicht erkannt werden kann und einen Neustart nicht überlebt. Anbieter hatten der Regierung mitgeteilt, ein monatlicher Rhythmus sei nicht praktikabel. In der neuen Fassung werden Neustarts nur noch empfohlen, soweit dies machbar ist.
Verschoben wurden außerdem Anforderungen zum Schutz von Servicekonten. In Regierungsunterlagen werden diese automatisierten Hintergrundkonten mit weitreichenden Berechtigungen als „ein vorrangiges Ziel für eine Kompromittierung durch Bedrohungsakteure“ bezeichnet. Die Sicherung dieser Konten war ursprünglich bis Ende 2028 vorgesehen, nun gilt Ende 2029. Weitere Maßnahmen zur Erfassung eigener Schwachstellen, zum Testen der Abwehr und zur Dokumentation der Kommunikation von Systemen mit der Außenwelt wurden ebenfalls verschoben.
Ofcom hatte in seinem jüngsten Sicherheitsbericht vom Dezember 2025 festgestellt, dass einige der größten britischen Anbieter Fristen bei Maßnahmen rund um Identitäts- und Zugriffsmanagement voraussichtlich ohnehin verfehlen würden. Der Bericht hielt zudem fest, dass Ofcom eng mit DSIT und dem NCSC an der Reaktion auf Salt Typhoon gearbeitet habe.
Bratby kritisierte gegenüber Recorded Future News insbesondere die Verschiebung bei Servicekonten. Diese seien genau der Bereich, in dem sich ein fähiger Angreifer festsetzen wolle, weil dort dauerhafte privilegierte Zugriffe lägen; die Regierung sage das in ihrer Antwort selbst. Die Verschiebung bedeute, dass „eine bekannte und aktiv ausgenutzte Schwäche weitere dreieinhalb Jahre offen bleibt“.
DSIT verteidigte die Entscheidung. Ein Sprecher erklärte gegenüber Recorded Future News, das Vereinigte Königreich verfüge bereits über eines der stärksten Sicherheitsrahmenwerke für Telekommunikation weltweit, mit klaren gesetzlichen Pflichten und Anforderungen zum Schutz öffentlicher Telekommunikationsnetze und -dienste. Der Entwurf des überarbeiteten Kodex ergänze dies um einen umfangreichen Satz neuer Leitlinien. Man habe eng mit dem NCSC zusammengearbeitet, um Rückmeldungen der Branche ebenso zu berücksichtigen wie die veränderte Bedrohungslage sowie Kosten und praktische Umsetzbarkeit.
Recorded Future News schreibt jedoch, dass die Verhältnismäßigkeitsprüfung in den Konsultationsunterlagen bei jeder Rücknahme demselben Muster folge: Eine Maßnahme wurde vorgeschlagen, Anbieter widersprachen wegen Kosten oder Praktikabilität, danach wurde sie gestrichen, abgeschwächt oder verschoben. Keine der veröffentlichten Bewertungen berücksichtige die Kosten eines erfolgreichen Eindringens eines feindlichen Staates in britische Telekommunikationsinfrastruktur. Sieben große Anbieter reichten nach Abschluss der Hauptkonsultation zudem Kostenschätzungen in einer ergänzenden Umfrage ein; veröffentlicht wurden diese Zahlen nicht.
Auch Ciaran Martin, Gründer des NCSC und heute Professor an der Blavatnik School of Government in Oxford, äußerte Bedenken. Einzelne Rücknahmen ließen sich zwar womöglich als normaler Konsultationsprozess erklären, etwa wenn die Branche nachweise, eine Anforderung bereits auf anderem Weg zu erfüllen. Das Gesamtbild sei jedoch besorgniserregend. Bratby sagte zudem, eine Verhältnismäßigkeitsprüfung, die nur die Kosten für die Branche zähle und nicht die Kosten eines Vorfalls für das Land, sei „nach ihren eigenen Maßstäben unvollständig“.