La Nigerian Communications Commission (NCC) ha diretto a tutti gli operatori di telecomunicazioni del paese di destinare una porzione dedicata dei propri budget alla cybersecurity, nell'ambito di un più ampio sforzo normativo per rafforzare le difese del settore contro le crescenti minacce informatiche.

La direttiva è contenuta nella nuova Guidance Note on the Implementation of Cyber Resilience Framework for the Nigerian Communications Sector (CRF-NCS), che aggiorna un documento completo originariamente emanato dal regolatore a febbraio 2026.

«I Service Providers dovranno destinare una percentuale appropriata del budget totale dell'azienda alla cybersecurity,» stabilisce il documento di implementazione, aggiungendo che «questa allocazione dovrà essere designata in una categoria di bilancio separata per facilitare il monitoraggio e la supervisione da parte del Consiglio di Amministrazione e della dirigenza di primo livello.»

Il framework si applica ai principali operatori telecom nigeriani, tra cui MTN, Airtel, Globacom, T2mobile e gli internet service provider (ISP). La Nigeria è il più grande mercato telecom africano per numero di abbonati, con oltre 220 milioni di connessioni mobili attive, il che rende la resilienza del settore una questione di rilevanza nazionale. Queste aziende sono tenute a rispondere efficacemente agli attacchi informatici e a trarne insegnamenti, con un'enfasi sul rafforzamento della consapevolezza situazionale a livello di settore e sulla protezione dei dati degli abbonati.

In quanto imprese basate su dati e volumi, gli operatori telecom sono particolarmente vulnerabili agli attacchi informatici che prendono di mira le informazioni dei clienti, i registri delle chiamate e i record di ricarica del credito telefonico. Altre minacce includono interruzioni di sistema, intrusioni mirate e infezioni da malware. Il framework arriva in un momento in cui le reti telecom supportano sempre più l'ecosistema dei servizi finanziari digitali della Nigeria, incluse le transazioni bancarie basate su USSD utilizzate da decine di milioni di nigeriani.

La NCC ha sottolineato che gli operatori devono garantire che fondi e risorse sufficienti siano allocati e allineati alle proprie strategie di rischio cybersecurity. La conformità sarà verificata attraverso audit periodici, durante i quali tutti i piani implementati dovranno essere riflessi nelle allocazioni di bilancio.

Secondo i requisiti annunciati inizialmente a febbraio 2026, gli operatori devono notificare sia alla NCC sia alla Nigerian Data Protection Commission (NDPC) entro quattro ore dal rilevamento di qualsiasi attacco informatico. Sono inoltre tenuti a fornire alla NCC aggiornamenti ogni quattro ore successive al rilevamento e a presentare un rapporto di conferma entro 24 ore. Il coinvolgimento della NDPC riflette il coordinamento tra le autorità delle telecomunicazioni e della protezione dei dati a seguito del Nigeria Data Protection Act del 2023, che ha istituito la commissione come organo statutario del paese per la regolamentazione della protezione dei dati.

Il documento di implementazione introduce anche obblighi di reportistica trimestrale. Gli operatori devono presentare rapporti dettagliati che coprano attacchi informatici, minacce, incidenti di cybersecurity, violazioni e misure di mitigazione per ogni trimestre con scadenza a giugno, settembre, dicembre e marzo. Tali rapporti devono essere presentati all'NCC-CSIRT entro 15 giorni dalla chiusura di ogni trimestre.

Inoltre, il framework richiede a ogni operatore di nominare un funzionario senior designato responsabile della valutazione, dell'identificazione e della mitigazione dei rischi di cybersecurity. Questo funzionario porterà il titolo di Chief Information Security Officer (CISO).

«I funzionari dovranno rispondere agli incidenti, stabilire standard e controlli appropriati e sovrintendere allo sviluppo e all'esecuzione di processi e procedure in conformità con la politica o il framework di cybersecurity e cyber resilience approvati dal Consiglio, dai Partner o dal Proprietario,» stabilisce il documento.

La NCC ha inoltre diretto gli operatori a educare gli abbonati sui rischi legati alla condivisione di credenziali di accesso, password, one-time password (OTP) e informazioni sensibili simili con terze parti, nonché sulle potenziali conseguenze di tali azioni. I nigeriani sono incoraggiati a segnalare email di phishing e siti web fraudolenti ai rispettivi operatori di servizi, che sono tenuti ad agire tempestivamente su tali segnalazioni.

La consapevolezza in materia di cybersecurity va oltre i clienti. La NCC richiede alle aziende di condurre sessioni di sensibilizzazione per il personale e i membri del consiglio di amministrazione almeno due volte all'anno per coltivare una cultura attenta al rischio e dedicata al miglioramento continuo.

Per il ripristino post-incidente, gli operatori devono sviluppare strategie per il rapido ripristino dei sistemi colpiti da incidenti, attacchi o violazioni di cybersecurity, inclusa la fornitura di servizi o sistemi alternativi ai clienti. Tali strategie di ripristino devono essere approvate dal regolatore.

Le società di telecomunicazione sono inoltre tenute a conservare i registri delle chiamate, gli user ID e i dati di traffico in Nigeria per un minimo di due anni per facilitare eventuali verifiche da parte delle agenzie di sicurezza competenti in possesso di un valido mandato delle forze dell'ordine.