Wie viele Angriffe es gab, welche Zulieferer oder Polizeibehörden betroffen waren und ob dabei Daten entwendet wurden, nennt der Bericht nicht. Die Aufsicht erklärte, sie habe operative Details bewusst entfernt, die sie für die Öffentlichkeit als ungeeignet ansieht. Weder das Home Office noch der National Police Chiefs’ Council beantworteten Fragen dazu, ob bei den Angriffen auf Zulieferer Polizeidaten kompromittiert wurden.
Dem Bericht zufolge registrierte der Police Digital Service in den ersten drei Monaten dieses Jahres 252 Cybersicherheitsvorfälle mit Bezug zur Polizeiarbeit sowie 796 „Beinahe-Vorfälle" – definiert als Ereignisse ohne schädliche Verletzung von Daten oder IT-Systemen. Wie viele der 252 Vorfälle mit Datenverlust verbunden waren, bleibt offen; genannt wird lediglich, dass darunter Malware-Angriffe, unbefugte Zugriffsversuche und versehentliche Offenlegungen durch Polizeipersonal waren.
An anderer Stelle berichtet die Aufsicht von „Beispielen für Polizeibehörden sowie Feuerwehr- und Rettungsdienste, die Cyberangriffe erlebt haben", mit Folgen für operative Systeme, kompromittierten Daten und gestörten Diensten. Führungskräfte beider Sektoren erklärten gegenüber der Aufsicht, weitere Angriffe seien „höchst wahrscheinlich".
Der 2021 von der britischen Regierung eingerichtete Police Digital Service betreibt ein nationales Security Operations Center, das Cyberbedrohungen für die Polizeiarbeit überwacht. Er wies die Aufsicht darauf hin, dass Polizeidaten auf Systemen von Zulieferern zu den größten Risiken des Sektors zählten, weil sie außerhalb der eigenen Überwachung liegen. Besonders kritisch sei das Risiko dort, wo Zulieferer Informationen über Opfer, Schutzmaßnahmen (Safeguarding), Erkenntnisse der Nachrichtengewinnung und Ermittlungen verarbeiten.
Die Prüfer stellten fest, dass die meisten Lieferantenverträge der Polizei keine fortlaufende Cybersicherheitsprüfung vorsehen. In einigen Fällen konnten Mitarbeiter nicht sagen, ob Zulieferer zur unverzüglichen Meldung von Vorfällen verpflichtet sind; in mehreren Organisationen waren die bei Zulieferern liegenden Systemprotokolle für die eigenen Teams nicht routinemäßig einsehbar.
Kritik übte die Aufsicht auch an der Regierung: Polizei sowie Feuerwehr- und Rettungsdienste seien im National Risk Register 2025, im im Januar veröffentlichten Government Cyber Action Plan und im noch im Parlament befindlichen Cyber Security and Resilience Bill nicht berücksichtigt. Kein befragter Regierungsvertreter habe erklären können, warum die beiden Sektoren im Aktionsplan und im Gesetzentwurf fehlen. Die Auslassung sei angesichts der zentralen Rolle beider Sektoren für die öffentliche Sicherheit besorgniserregend.
Der Bericht nennt zwar keine Details zu den gezählten Vorfällen, einzelne Fälle aus dem betrachteten Zeitraum sind jedoch öffentlich bekannt: 2023 legte ein Ransomware-Angriff auf den Ausweishersteller Digital ID Daten von Beamten und Mitarbeitern der Metropolitan Police offen und führte zum Diebstahl von Namen und Fotos tausender Beamter der Greater Manchester Police. Im Juli bestätigte die Police National Legal Database, ein von West Yorkshire Police betriebener und von allen Polizeibehörden in England und Wales genutzter Referenzdienst, dass Angreifer Kontaktdaten von Beamten und Mitarbeitern entwendet hatten; vertrauliche Informationen über Opfer, Zeugen oder Straftäter seien in der Datenbank nicht enthalten gewesen. Dyfed-Powys Police in Wales teilte im September mit, ein Cyberangriff habe einige nicht-notfallbezogene Systeme gestört und möglicherweise Mitarbeiterdaten kompromittiert.
Auch international gibt es Parallelen: Die niederländische Polizei führte einen Einbruch in Kontaktdaten von Beamten im Jahr 2024 auf einen wahrscheinlich staatlichen Akteur zurück. In den USA erklärte das FBI in diesem Jahr, Angreifer hätten über einen Drittanbieter Zugang zu einem Netzwerk mit Daten aus Telekommunikationsüberwachung erlangt; Ermittler verdächtigen Berichten zufolge China.
„Die Cyberbedrohung für Polizeibehörden sowie Feuerwehr- und Rettungsdienste ist erheblich und wächst rasant", sagte Michelle Skeer, His Majesty’s Inspector of Constabulary. „Ein schwerer Cyberangriff ist kein hypothetisches Szenario."