La nouvelle National Digital Cloud Policy du Nigeria exigera des ministères, départements et agences fédéraux (MDAs) qu’ils donnent la priorité à l’infrastructure cloud lors de la construction de nouveaux systèmes et services numériques, ce qui positionne le gouvernement comme un client potentiellement majeur pour les fournisseurs de cloud du pays.

Lundi, le Federal Ministry of Communications, Innovation and Digital Economy a publié la National Digital Cloud Policy, un cadre définissant la manière dont le Nigeria construira, régulera et utilisera l’infrastructure cloud.

La politique constitue la dernière initiative du gouvernement pour réduire la dépendance aux systèmes étrangers et rapatrier davantage de son infrastructure cloud dans le pays. Plus de 90 % des données numériques et des charges de travail d’entreprise du Nigeria sont actuellement hébergées sur des serveurs offshore, ce qui entraîne une fuite de capitaux annuelle estimée à $850 million. Sa mise en œuvre devrait développer le marché nigérian du cloud et des centres de données, dont la valeur est estimée à $782 million d’ici 2031.

Le Nigeria s’inscrit dans une évolution continentale plus large. Les lois sur la protection des données au Kenya et en Afrique du Sud imposent déjà des conditions aux transferts transfrontaliers de données, les règles bancaires en Égypte exigent des banques qu’elles hébergent les données dans le pays, et la Zone de libre-échange continentale africaine a adopté en 2024 un protocole sur le commerce numérique fixant des règles continentales sur les flux de données. Au niveau national, la politique prolonge la National Digital Economy Policy and Strategy 2020–2030, qui cite le développement des contenus locaux parmi ses huit piliers.

« Le Nigeria doit passer du statut de simple consommateur d’infrastructures cloud mondiales à celui de lieu compétitif pour les infrastructures, les investissements, les compétences et les services numériques qui définiront la prochaine phase de l’économie numérique mondiale », a déclaré Bosun Tijani, ministre des Communications, de l’Innovation et de l’Économie numérique, dans un communiqué.

La politique repose sur l’idée qu’un transfert collectif des systèmes gouvernementaux vers le cloud les rendrait plus rapides et plus fiables. Les plateformes gouvernementales dont dépendent les Nigérians pour accéder aux services publics, gérer des dossiers et vérifier leur identité pourraient ainsi être moins exposées aux interruptions.

Ce que la politique exige

La politique fait du cloud le modèle de déploiement par défaut pour les charges de travail gouvernementales et exige que les MDAs évaluent leurs systèmes existants et élaborent des plans de migration cloud par phases. Elle fixe également des règles concernant l’endroit où les données sensibles du gouvernement et les données réglementées peuvent être stockées et traitées, la manière dont l’État achète des services cloud, la manière dont les fournisseurs de cloud sont enregistrés, la façon dont les entreprises peuvent transférer des données entre fournisseurs, ainsi que les incitations que le gouvernement offrira pour attirer des investissements dans les centres de données et d’autres infrastructures numériques.

Le cadre remplace la Nigeria Cloud Computing Policy 2019, qui avait introduit pour la première fois le principe Cloud First pour les institutions publiques fédérales. La nouvelle politique indique que le principe de 2019 a été appliqué de manière inégale, faute d’un cadre unique coordonnant la demande cloud de l’État, les achats, le financement, la sécurité et le suivi. Elle cherche à combler ces lacunes grâce à des achats groupés, une place de marché cloud à l’échelle de l’État, l’enregistrement des fournisseurs de cloud et des obligations de conformité contraignantes.

« La National Digital Cloud Policy fournit donc un cadre équilibré — un cadre qui favorise l’investissement et la concurrence, renforce les capacités locales, modernise le gouvernement et n’applique les exigences de souveraineté que là où elles sont réellement nécessaires », a indiqué le ministre.

En vertu de la politique, tous les MDAs doivent, par défaut, concevoir les nouveaux systèmes, services et charges de travail numériques pour un déploiement dans le cloud. Un MDA ne peut s’y soustraire qu’en obtenant une exemption publiée et limitée dans le temps, laquelle doit être évaluée par la National Information Technology Development Agency (NITDA) conformément à la section sept de la politique.

« Les demandes d’exemption seront évaluées par la NITDA au regard de critères publiés et tranchées dans des délais publiés », indique la politique. « Les exemptions seront limitées dans le temps, soumises à un examen périodique et consignées dans un registre tenu par la NITDA. »

Comment fonctionnera la passation des marchés

Galaxy Backbone Limited (GBB), l’agence qui construit et exploite l’infrastructure numérique des services gouvernementaux, regroupera la demande cloud auprès de plusieurs fournisseurs enregistrés, y compris des entreprises nationales et internationales. Plutôt que chaque institution publique négocie séparément sa capacité, la GBB mutualisera cette demande et négociera des accords-cadres.

Le gouvernement gérera les achats via un National Digital Marketplace. La NITDA s’occupera de l’enregistrement et du référencement des fournisseurs ; le Bureau of Public Procurement (BPP) supervisera la conformité des achats ; et la GBB gérera l’agrégation, les accords-cadres et les arrangements commerciaux avec les MDAs.

La place de marché sera lancée dans un environnement où des acteurs internationaux ont déjà commencé à investir. Equinix a acquis en 2022 MainOne, opérateur de connectivité et de centres de données basé à Lagos, et des opérateurs neutres vis-à-vis des réseaux tels que Rack Centre et Africa Data Centres ont augmenté leurs capacités à Lagos. À ce jour, les trois plus grands fournisseurs mondiaux de cloud — Microsoft, Amazon Web Services et Google Cloud — ont localisé leurs régions cloud africaines en Afrique du Sud, un écart que les incitations à l’investissement de la politique visent à réduire.

Un système de classification des données à quatre niveaux

La politique crée un système de classification à quatre niveaux qui répartit les données gouvernementales et réglementées selon leur sensibilité et le degré de contrôle national requis.

• Niveau 4, couvrant les informations relatives à la sécurité nationale, à la défense et aux infrastructures critiques, doit être hébergé exclusivement sur une infrastructure physiquement située au Nigeria.
• Niveau 3, qui comprend les données financières, de santé, biométriques et d’identité, doit être stocké au repos au Nigeria, le traitement ailleurs n’étant autorisé que dans le cadre de garanties réglementaires strictes.
• Niveau 2, couvrant les dossiers opérationnels internes du gouvernement, peut être déployé dans des environnements hybrides, y compris sur une infrastructure approuvée hors du Nigeria, mais uniquement avec une autorisation préalable.
• Niveau 1, destiné à l’accès public ou présentant un faible risque, peut être hébergé n’importe où sans restrictions de résidence.

« La classification prime sur le type de données : une même catégorie d’information peut faire l’objet d’un traitement différent selon le contexte dans lequel elle est détenue et les conséquences de sa compromission », indique la politique.

La politique n’impose pas une règle générale selon laquelle toutes les données générées au Nigeria doivent rester dans le pays. Les exigences de classification et de résidence s’appliquent aux données générées par le gouvernement fédéral lui-même, ou aux données produites en vertu d’un règlement, d’une licence, d’un permis ou d’une directive fédérale qui ont été officiellement désignés comme données souveraines.

Pour les entreprises réglementées qui génèrent des données, y compris les fintechs et les healthtechs, le fait d’être réglementé ne signifie pas automatiquement que chaque catégorie de données qu’elles détiennent devient soumise aux règles de souveraineté. Toutefois, un régulateur tel que la Central Bank of Nigeria ou la Nigeria Data Protection Commission peut demander qu’une catégorie de données qu’il régule soit désignée comme donnée souveraine, ce qui soumettrait cette catégorie de données aux règles de résidence.

Contrôle et application

La politique répartit les responsabilités entre les institutions publiques. La NITDA assurera la supervision réglementaire, les normes et l’assurance. La GBB sera responsable de l’exécution opérationnelle, de l’infrastructure partagée et de l’agrégation, tandis que le BPP supervisera l’alignement avec les exigences de la commande publique.

Les fournisseurs et les MDAs qui ne se conforment pas pourront faire l’objet de directives de remédiation, de suspensions de déploiement et, pour les fournisseurs, de sanctions ou de suspension et de révocation de l’enregistrement. Les manquements importants impliquant des données de Niveau 3 ou de Niveau 4 pourront être signalés au Office of the National Security Adviser et à d’autres autorités compétentes.

Une feuille de route de mise en œuvre sur 24 mois

Le gouvernement dispose désormais d’une feuille de route de 24 mois pour passer du cadre à la mise en œuvre.

Au cours des six premiers mois, l’accent sera mis sur l’activation de la politique, la réalisation d’évaluations de référence, l’émission de directives de mise en œuvre, la mise en place des institutions requises et l’instauration de mesures de facilitation des investissements.

Entre le sixième et le douzième mois, le gouvernement prévoit d’opérationnaliser le National Digital Marketplace, de commencer la migration des MDAs prioritaires, d’intégrer les fournisseurs de cloud enregistrés et de lancer des activités de développement des marchés régionaux, selon un communiqué du Ministry of Communications, Innovation & Digital Economy.

Les 12 derniers mois de la feuille de route seront consacrés à l’augmentation des migrations gouvernementales, à l’expansion des capacités d’infrastructure, à l’intégration des États participants dans le cadre, à l’amélioration de l’interconnexion régionale et à l’accélération des exportations de services numériques.

Le gouvernement fédéral a également fixé des objectifs financiers et opérationnels pour cette feuille de route. Il entend attirer $250 million d’investissements privés dans l’infrastructure cloud et de données au Nigeria au cours des 12 premiers mois, puis porter ce montant à $750 million en 24 mois, tout en augmentant progressivement les capacités d’hébergement conformes et en développant le marché régional nigérian des exportations cloud.

« Notre approche est résolument ouverte et tournée vers l’investissement. Nous voulons que les fournisseurs nigérians et internationaux investissent, renforcent leurs capacités, développent les talents et servent à la fois le marché nigérian et l’ensemble du continent africain depuis le Nigeria », a déclaré Tijani. « En même temps, le gouvernement a la responsabilité de veiller à ce que ses actifs numériques les plus sensibles soient gouvernés et sécurisés d’une manière conforme à nos intérêts nationaux. »

Déploiement parallèle d’infrastructures

Cette politique intervient alors que le Nigeria s’efforce simultanément de construire l’infrastructure physique qui rendra possible un marché cloud domestique. Le Building Resilient Digital Infrastructure for Growth (BRIDGE) Project est un projet d’infrastructure numérique de $1.6 billion destiné à étendre le réseau dorsal à large bande du pays. Le projet devrait déployer 90,000 kilomètres de fibre à accès ouvert à travers le pays, portant le backbone national de fibre à environ 120,000 kilomètres.