Die Nigerian Communications Commission (NCC) hat alle Telekommunikationsanbieter im Land angewiesen, einen eigenen Teil ihrer Budgets für Cybersicherheit vorzusehen. Dies ist Teil eines breiteren regulatorischen Vorstoßes, die Abwehr des Sektors gegen zunehmende Cyberbedrohungen zu stärken.

Die Vorgabe ist im neu veröffentlichten Guidance Note on the Implementation of Cyber Resilience Framework for the Nigerian Communications Sector (CRF-NCS) enthalten, einer Aktualisierung eines umfassenden Dokuments, das die Regulierungsbehörde ursprünglich im Februar 2026 veröffentlicht hatte.

„Service Providers shall allocate an appropriate percentage of the total company budget to cybersecurity“, heißt es in dem Umsetzungsdokument. Weiter heißt es: „this allocation shall be designated under a separate budgetary category to facilitate monitoring and oversight by the Board of Directors and top-level management.“

Der Rahmen gilt für große nigerianische Telekommunikationsanbieter wie MTN, Airtel, Globacom, T2mobile sowie Internet Service Provider (ISPs). Nigeria ist gemessen an den Abonnentenzahlen der größte Telekommunikationsmarkt Afrikas mit über 220 Millionen aktiven Mobilfunkverbindungen, was die Widerstandsfähigkeit des Sektors zu einer national bedeutsamen Frage macht. Von diesen Unternehmen wird erwartet, dass sie effektiv auf Cyberangriffe reagieren und daraus lernen, wobei der Schwerpunkt auf der Verbesserung der sektorweiten Lageerkennung und dem Schutz von Abonnentendaten liegt.

Wie andere daten- und volumengetriebene Unternehmen sind Telekommunikationsanbieter besonders anfällig für Cyberangriffe, die auf Kundendaten, Anrufprotokolle und Aufladungsdatensätze abzielen. Weitere Bedrohungen sind Systemausfälle, gezielte Angriffe und Malware-Infektionen. Der Rahmen kommt zu einem Zeitpunkt, an dem Telekommunikationsnetze zunehmend das digitale Finanzdienstleistungsökosystem Nigerias tragen, einschließlich USSD-basierter Banktransaktionen, die von Millionen Nigerians genutzt werden.

Die NCC betonte, dass die Anbieter sicherstellen müssen, dass ausreichende Mittel und Ressourcen zugewiesen und mit ihren Strategien für Cybersicherheitsrisiken abgestimmt werden. Die Einhaltung wird durch regelmäßige Prüfungen überwacht, bei denen alle umgesetzten Pläne in den Budgetzuweisungen abgebildet sein müssen.

Gemäß den erstmals im Februar 2026 angekündigten Anforderungen müssen Anbieter sowohl die NCC als auch die Nigerian Data Protection Commission (NDPC) innerhalb von vier Stunden nach Entdeckung eines Cyberangriffs informieren. Außerdem müssen sie der NCC nach der Entdeckung alle vier Stunden Aktualisierungen übermitteln und innerhalb von 24 Stunden einen Bestätigungsbericht einreichen. Die Beteiligung der NDPC spiegelt die Abstimmung zwischen Telekommunikations- und Datenschutzbehörden nach dem Nigeria Data Protection Act von 2023 wider, mit dem die Kommission als gesetzliche Datenschutzbehörde des Landes eingerichtet wurde.

Das Umsetzungsdokument führt außerdem vierteljährliche Berichtspflichten ein. Anbieter müssen ausführliche Berichte über Cyberangriffe, Bedrohungen, Cybersicherheitsvorfälle, Verstöße und Gegenmaßnahmen für jedes Quartal mit Ende im Juni, September, Dezember und März vorlegen. Diese Berichte sind innerhalb von 15 Tagen nach Quartalsende an NCC-CSIRT zu übermitteln.

Darüber hinaus verpflichtet der Rahmen jeden Anbieter, einen leitenden benannten Verantwortlichen zu ernennen, der für die Bewertung, Identifizierung und Minderung von Cybersicherheitsrisiken zuständig ist. Diese Person trägt den Titel Chief Information Security Officer (CISO).

„The officials shall be responding to incidents, establishing appropriate standards and controls, and overseeing the development and execution of processes and procedures in accordance with the cybersecurity and cyber resilience policy or framework approved by the Board, Partners, or Proprietor“, heißt es in dem Dokument.

Die NCC hat die Anbieter zudem angewiesen, Abonnenten über die Risiken zu informieren, Anmeldedaten, Passwörter, Einmalpasswörter (OTPs) und ähnliche sensible Informationen an Dritte weiterzugeben, sowie über die möglichen Folgen solcher Handlungen. Nigerianer sollen Phishing-E-Mails und betrügerische Websites ihren jeweiligen Dienstanbietern melden, die auf solche Meldungen rasch reagieren sollen.

Cybersicherheitsbewusstsein betrifft nicht nur Kunden. Die NCC verlangt von Unternehmen, mindestens zweimal jährlich Schulungen für Mitarbeitende und Vorstandsmitglieder durchzuführen, um eine risikobewusste Kultur zu fördern, die auf kontinuierliche Verbesserung ausgerichtet ist.

Für die Wiederherstellungsphase nach einem Cybervorfall müssen die Anbieter Strategien für die schnelle Wiederherstellung von Systemen entwickeln, die von Cybersicherheitsvorfällen, Angriffen oder Verstößen betroffen sind, einschließlich der Bereitstellung alternativer Dienste oder Systeme für Kunden. Diese Wiederherstellungsstrategien müssen vom Regulator genehmigt werden.

Telekommunikationsunternehmen sind außerdem verpflichtet, Anrufprotokolle, Nutzer-IDs und Verkehrsdaten mindestens zwei Jahre lang innerhalb Nigerias aufzubewahren, damit relevante Sicherheitsbehörden mit einem gültigen richterlichen Beschluss Hintergrundprüfungen durchführen können.