La Nigerian Communications Commission (NCC) a ordonné à tous les opérateurs de télécommunications du pays de réserver une part dédiée de leur budget à la cybersécurité, dans le cadre d’un effort réglementaire plus large visant à renforcer les défenses du secteur face à l’intensification des menaces cyber.

La directive figure dans la nouvelle Guidance Note on the Implementation of Cyber Resilience Framework for the Nigerian Communications Sector (CRF-NCS), qui met à jour un document complet publié par le régulateur en février 2026.

« Service Providers shall allocate an appropriate percentage of the total company budget to cybersecurity, » indique le document de mise en œuvre, ajoutant que « this allocation shall be designated under a separate budgetary category to facilitate monitoring and oversight by the Board of Directors and top-level management. »

Le cadre s’applique aux principaux opérateurs télécoms nigérians, notamment MTN, Airtel, Globacom, T2mobile et aux fournisseurs d’accès à internet (ISP). Le Nigéria est le plus grand marché télécom d’Afrique par le nombre d’abonnés, avec plus de 220 millions de connexions mobiles actives, ce qui fait de la résilience du secteur un enjeu d’importance nationale. Ces entreprises doivent répondre efficacement aux cyberattaques et en tirer des enseignements, avec un accent sur le renforcement de la vigilance sectorielle et la protection des données des abonnés.

Comme les autres entreprises fondées sur les données et les volumes, les opérateurs télécoms sont particulièrement exposés aux cyberattaques visant les informations clients, les journaux d’appels et les historiques de recharges d’unités. D’autres menaces incluent les pannes de système, les intrusions ciblées et les infections par malware. Ce cadre intervient alors que les réseaux télécoms soutiennent de plus en plus l’écosystème nigérian des services financiers numériques, y compris les transactions bancaires via USSD utilisées par des dizaines de millions de Nigérians.

La NCC a souligné que les opérateurs doivent veiller à ce que des fonds et des ressources suffisants soient alloués et alignés sur leurs stratégies de gestion des risques cyber. Le respect de ces directives sera vérifié par des audits périodiques, au cours desquels tous les plans mis en œuvre devront apparaître dans les allocations budgétaires.

Conformément aux exigences annoncées en février 2026, les opérateurs doivent notifier à la fois la NCC et la Nigerian Data Protection Commission (NDPC) dans les quatre heures suivant la détection de toute cyberattaque. Ils doivent également fournir à la NCC une mise à jour toutes les quatre heures après la détection et soumettre un rapport de confirmation dans les 24 heures. L’implication de la NDPC reflète la coordination entre les autorités des télécommunications et de la protection des données à la suite du Nigeria Data Protection Act de 2023, qui a fait de la commission l’autorité statutaire de protection des données du pays.

Le document de mise en œuvre introduit également des obligations de reporting trimestriel. Les opérateurs doivent soumettre des rapports détaillés couvrant les cyberattaques, les menaces, les incidents de cybersécurité, les violations et les mesures d’atténuation pour chaque trimestre se terminant en juin, septembre, décembre et mars. Ces rapports doivent être transmis à la NCC-CSIRT dans les 15 jours suivant la clôture de chaque trimestre.

Par ailleurs, le cadre exige de chaque opérateur qu’il nomme un cadre supérieur désigné, chargé d’évaluer, d’identifier et d’atténuer les risques de cybersécurité. Ce responsable portera le titre de Chief Information Security Officer (CISO).

« The officials shall be responding to incidents, establishing appropriate standards and controls, and overseeing the development and execution of processes and procedures in accordance with the cybersecurity and cyber resilience policy or framework approved by the Board, Partners, or Proprietor, » précise le document.

La NCC a également demandé aux opérateurs de sensibiliser les abonnés aux risques liés au partage de leurs identifiants de connexion, mots de passe, OTP et informations similaires avec des tiers, ainsi qu’aux conséquences potentielles de telles actions. Les Nigérians sont encouragés à signaler les e-mails de phishing et les sites frauduleux à leurs fournisseurs de services respectifs, qui devront agir rapidement à la suite de ces signalements.

La sensibilisation à la cybersécurité ne concerne pas seulement les clients. La NCC exige des entreprises qu’elles organisent au moins deux sessions de sensibilisation par an pour leur personnel et les membres du conseil d’administration afin de cultiver une culture attentive au risque et tournée vers l’amélioration continue.

Pour la phase de reprise après incident, les opérateurs doivent élaborer des stratégies de restauration rapide des systèmes touchés par des incidents, attaques ou violations de cybersécurité, notamment en proposant des services ou systèmes de remplacement aux clients. Ces stratégies de reprise doivent être approuvées par le régulateur.

Les sociétés de télécommunications sont également tenues de conserver au Nigéria les journaux d’appels, les identifiants utilisateurs et les données de trafic pendant au moins deux ans, afin de faciliter les vérifications d’antécédents par les agences de sécurité compétentes munies d’un mandat valide de la justice.