Nigerias neu veröffentlichte National Digital Cloud Policy verpflichtet föderale Ministerien, Behörden und Ämter (MDAs), beim Aufbau neuer digitaler Systeme und Dienste Cloud-Infrastruktur zu priorisieren, womit die Regierung zu einem potenziell wichtigen Kunden für die Cloud-Anbieter des Landes wird.

Am Montag veröffentlichte das Federal Ministry of Communications, Innovation and Digital Economy die National Digital Cloud Policy, einen Rahmen dafür, wie Nigeria Cloud-Infrastruktur aufbauen, regulieren und nutzen wird.

Die Politik ist der jüngste Versuch der Regierung, die Abhängigkeit von ausländischen Systemen zu verringern und mehr ihrer Cloud-Infrastruktur ins Land zu holen. Mehr als 90% von Nigerias digitalen Daten und Unternehmens-Workloads werden derzeit auf Offshore-Servern gehostet, was zu einem geschätzten jährlichen Kapitalabfluss von $850 million führt. Durch die Umsetzung soll sich der Markt für Cloud- und Rechenzentrumsdienste in Nigeria ausweiten, der bis 2031 voraussichtlich $782 million erreichen wird.

Nigeria reiht sich damit in einen breiteren kontinentalen Wandel ein. Die Datenschutzgesetze Kenias und Südafrikas knüpfen grenzüberschreitende Datentransfers bereits an Bedingungen, die Bankvorschriften in Ägypten verlangen, dass Banken Daten im Land hosten, und die African Continental Free Trade Area verabschiedete 2024 ein Protokoll für digitalen Handel, das kontinentweite Regeln für Datenflüsse festlegt. Im Inland erweitert die Politik die National Digital Economy Policy and Strategy 2020–2030, die die Entwicklung einheimischer Inhalte zu ihren acht Säulen zählt.

„Nigeria muss sich von einem überwiegenden Konsumenten globaler Cloud-Infrastruktur zu einem wettbewerbsfähigen Standort für die Infrastruktur, Investitionen, Fachkräfte und digitalen Dienste entwickeln, die die nächste Phase der globalen digitalen Wirtschaft prägen werden“, sagte Bosun Tijani, Minister für Communications, Innovation and Digital Economy, in einer Erklärung.

Die Politik setzt darauf, dass die gemeinsame Verlagerung staatlicher Systeme in die Cloud diese schneller und zuverlässiger macht. Die staatlichen Plattformen, auf die sich Nigerianer verlassen, um öffentliche Dienstleistungen zu nutzen, Aufzeichnungen zu verwalten und ihre Identität zu verifizieren, könnten dadurch weniger störanfällig werden.

Was die Politik verlangt

Die Politik macht Cloud zum Standard-Bereitstellungsmodell für staatliche Workloads und verpflichtet MDAs, ihre bestehenden Systeme zu bewerten und gestaffelte Cloud-Migrationspläne zu entwickeln. Sie legt außerdem fest, wo sensible staatliche und regulierte Daten gespeichert und verarbeitet werden dürfen, wie der Staat Cloud-Dienste einkauft, wie Cloud-Anbieter registriert werden, wie Unternehmen Daten zwischen Anbietern übertragen können und welche Anreize die Regierung zur Förderung von Investitionen in Rechenzentren und andere digitale Infrastruktur bieten wird.

Der Rahmen ersetzt die Nigeria Cloud Computing Policy 2019, die erstmals das Cloud-First-Prinzip für föderale öffentliche Einrichtungen einführte. Die neue Politik stellt fest, dass das Prinzip von 2019 uneinheitlich umgesetzt wurde, weil kein einheitlicher Rahmen die Cloud-Nachfrage, Beschaffung, Finanzierung, Sicherheit und Überwachung der Regierung koordinierte. Sie versucht, diese Lücken mit gebündelter Beschaffung, einem regierungsweiten Cloud-Marktplatz, der Registrierung von Cloud-Anbietern und verbindlichen Compliance-Anforderungen zu schließen.

„Die National Digital Cloud Policy bietet daher einen ausgewogenen Rahmen — einen, der Investitionen und Wettbewerb fördert, indigene Fähigkeiten stärkt, die Regierung modernisiert und Souveränitätsanforderungen nur dort anwendet, wo sie wirklich notwendig sind“, bemerkte der Minister.

Nach der Politik müssen alle MDAs standardmäßig neue digitale Systeme, Dienste und Workloads für den Cloud-Einsatz konzipieren. Ein MDA kann davon nur abweichen, wenn es eine veröffentlichte, befristete Ausnahme erhält, die gemäß Abschnitt sieben der Politik von der National Information Technology Development Agency (NITDA) geprüft werden muss.

„Anträge auf Ausnahme werden von NITDA anhand veröffentlichter Kriterien geprüft und innerhalb veröffentlichter Fristen entschieden“, heißt es in der Politik. „Ausnahmen sind befristet, unterliegen regelmäßiger Überprüfung und werden in einem von NITDA geführten Register erfasst.“

Wie die Beschaffung funktionieren wird

Galaxy Backbone Limited (GBB), die Behörde, die digitale Infrastruktur für staatliche Dienste aufbaut und betreibt, wird die Cloud-Nachfrage mehrerer registrierter Anbieter, darunter inländische und internationale Unternehmen, bündeln. Anstatt dass jede staatliche Einrichtung separat Kapazitäten verhandelt, wird GBB diese Nachfrage zusammenführen und Rahmenvereinbarungen aushandeln.

Die Regierung wird die Beschaffung über einen National Digital Marketplace steuern. NITDA übernimmt Registrierung und Listung der Anbieter; das Bureau of Public Procurement (BPP) überwacht die Einhaltung der Beschaffungsregeln; und GBB kümmert sich um Bündelung, Rahmenvereinbarungen und kommerzielle Absprachen mit MDAs.

Der Marktplatz startet in eine Infrastruktur, in die internationale Betreiber bereits investiert haben. Equinix übernahm 2022 den in Lagos ansässigen Konnektivitäts- und Rechenzentrumsbetreiber MainOne, und carrier-neutrale Betreiber wie Rack Centre und Africa Data Centres haben ihre Kapazitäten in Lagos ausgebaut. Die drei größten globalen Cloud-Anbieter — Microsoft, Amazon Web Services und Google Cloud — haben ihre afrikanischen Cloud-Regionen bislang in Südafrika angesiedelt, eine Lücke, zu deren Schließung die Investitionsanreize der Politik beitragen sollen.

Ein vierstufiges Datenklassifizierungssystem

Die Politik schafft ein vierstufiges Klassifizierungssystem, das staatliche und regulierte Daten nach Sensibilität und dem erforderlichen Maß an nationaler Kontrolle einteilt.

• Level 4, das Informationen zu nationaler Sicherheit, Verteidigung und kritischer Infrastruktur umfasst, muss ausschließlich auf Infrastruktur gehostet werden, die sich physisch in Nigeria befindet.
• Level 3, zu dem Finanz-, Gesundheits-, Biometrie- und Identitätsdaten gehören, muss im Ruhezustand in Nigeria gespeichert werden; Verarbeitung andernorts ist nur unter strengen regulatorischen Schutzmaßnahmen erlaubt.
• Level 2, das interne operative Aufzeichnungen der Regierung umfasst, kann in hybriden Umgebungen eingesetzt werden, einschließlich zugelassener Infrastruktur außerhalb Nigerias, jedoch nur mit vorheriger Genehmigung.
• Level 1, das für öffentliche Zugänglichkeit oder anderweitig geringes Risiko vorgesehen ist, kann überall ohne Residenzbeschränkungen gehostet werden.

„Die Klassifizierung hat Vorrang vor dem Datentyp: dieselbe Informationskategorie kann je nach Kontext, in dem sie gespeichert ist, und den Folgen ihrer Kompromittierung unterschiedlich behandelt werden“, heißt es in der Politik.

Die Politik schreibt nicht pauschal vor, dass alle in Nigeria erzeugten Daten im Land verbleiben müssen. Die Klassifizierungs- und Residenzanforderungen gelten für Daten, die von der Bundesregierung selbst erzeugt werden, oder für Daten, die auf Grundlage einer föderalen Verordnung, Lizenz, Genehmigung oder Anweisung entstehen und offiziell als souveräne Daten bezeichnet wurden.

Für regulierte Unternehmen, die Daten erzeugen, darunter Fintechs und Healthtechs, bedeutet Regulierung nicht automatisch, dass jede von ihnen gehaltene Datenkategorie den Souveränitätsregeln unterliegt. Eine Regulierungsbehörde wie die Central Bank of Nigeria oder die Nigeria Data Protection Commission kann jedoch beantragen, dass eine von ihr regulierte Datenkategorie als souveräne Daten eingestuft wird, wodurch diese Datenkategorie den Residenzregeln unterliegt.

Aufsicht und Durchsetzung

Die Politik teilt die Verantwortlichkeiten zwischen staatlichen Institutionen auf. NITDA übernimmt die regulatorische Aufsicht, Standards und Gewährleistung. GBB ist für die operative Umsetzung, gemeinsame Infrastruktur und Bündelung zuständig, während das BPP die Übereinstimmung mit den Anforderungen des öffentlichen Beschaffungswesens überwacht.

Anbieter und MDAs, die die Vorgaben nicht einhalten, können mit Abhilfemaßnahmen, Aussetzung von Implementierungen und, bei Anbietern, mit Sanktionen oder der Aussetzung und dem Entzug der Registrierung rechnen. Wesentliche Verstöße im Zusammenhang mit Level-3- oder Level-4-Daten können an das Office of the National Security Adviser und andere zuständige Behörden weitergeleitet werden.

Ein 24-monatiger Umsetzungsfahrplan

Die Regierung verfügt nun über einen 24-monatigen Fahrplan, um die Politik von einem Rahmenwerk in die Umsetzung zu überführen.

In den ersten sechs Monaten liegt der Schwerpunkt auf der Aktivierung der Politik, der Durchführung von Basisanalysen, dem Erlass von Umsetzungsanweisungen, dem Aufbau der erforderlichen Institutionen und der Einführung von Maßnahmen zur Investitionsförderung.

Zwischen dem sechsten und zwölften Monat plant die Regierung, den National Digital Marketplace operativ zu machen, mit der Migration priorisierter MDAs zu beginnen, registrierte Cloud-Anbieter aufzunehmen und regionale Maßnahmen zur Marktentwicklung zu starten, so eine Mitteilung des Ministry of Communications, Innovation & Digital Economy.

Die letzten 12 Monate des Fahrplans konzentrieren sich auf die Skalierung der Regierungsmigrationen, den Ausbau der Infrastrukturkapazität, die Einbindung teilnehmender Bundesstaaten in den Rahmen, die Verbesserung der regionalen Interkonnektivität und die Beschleunigung digitaler Dienstexporte.

Die Bundesregierung hat dem Fahrplan auch finanzielle und operative Ziele hinzugefügt. Sie will innerhalb der ersten 12 Monate $250 million an privaten Investitionen in Nigerias Cloud- und Dateninfrastruktur anziehen und diesen Betrag innerhalb von 24 Monaten auf $750 million erhöhen, begleitet von schrittweisen Steigerungen der konformen Hosting-Kapazität und dem Aufbau von Nigerias regionalem Cloud-Exportmarkt.

„Unser Ansatz ist bewusst offen und investitionsorientiert. Wir wollen, dass nigerianische und internationale Anbieter investieren, Kapazitäten aufbauen, Talente entwickeln und sowohl den nigerianischen Markt als auch den weiteren afrikanischen Kontinent von Nigeria aus bedienen“, sagte Tijani. „Gleichzeitig hat die Regierung die Verantwortung sicherzustellen, dass ihre sensibelsten digitalen Vermögenswerte in einer Weise verwaltet und abgesichert werden, die mit unseren nationalen Interessen im Einklang steht.“

Paralleler Ausbau der Infrastruktur

Die Politik kommt zu einem Zeitpunkt, an dem Nigeria gleichzeitig die physische Infrastruktur aufbauen will, die einen heimischen Cloud-Markt möglich macht. Das Building Resilient Digital Infrastructure for Growth (BRIDGE) Project ist ein digitales Infrastrukturprojekt im Umfang von $1.6 billion, das auf den Ausbau des nationalen Breitband-Backbones abzielt. Das Projekt soll 90,000 kilometres an Open-Access-Glasfaser im ganzen Land verlegen und damit das nationale Glasfaser-Backbone auf etwa 120,000 kilometres erweitern.