La nuova Politica Nazionale Cloud Digitale appena pubblicata dalla Nigeria richiederà ai ministeri, dipartimenti e agenzie federali (MDA) di dare priorità alle infrastrutture cloud nella realizzazione di nuovi sistemi e servizi digitali, una mossa che colloca il governo come potenziale cliente di primo piano per i provider cloud del Paese.

Lunedì, il Ministero federale delle Comunicazioni, dell'Innovazione e dell'Economia Digitale ha pubblicato la Politica Nazionale Cloud Digitale, un quadro che definisce come la Nigeria costruirà, regolamenterà e utilizzerà le infrastrutture cloud.

La politica rappresenta l'ultimo sforzo del governo per ridurre la dipendenza dai sistemi esteri e riportare nel Paese una quota maggiore delle proprie infrastrutture cloud. Oltre il 90% dei dati digitali e dei carichi di lavoro aziendali della Nigeria è attualmente ospitato su server offshore, con una fuga di capitali stimata in 850 milioni di dollari all'anno. L'attuazione dovrebbe espandere il mercato cloud e dei data center della Nigeria, che si prevede raggiunga gli 782 milioni di dollari entro il 2031.

La Nigeria si inserisce in un cambiamento più ampio a livello continentale. Le leggi sulla protezione dei dati di Kenya e Sudafrica impongono già condizioni ai trasferimenti di dati transfrontalieri, le regole bancarie egiziane richiedono alle banche di ospitare i dati nel Paese, e la Zona di Libero Scambio Continentale Africana ha adottato nel 2024 un protocollo sul commercio digitale che stabilisce regole continentali sui flussi di dati. Sul fronte interno, la politica estende la Politica e Strategia per l'Economia Digitale Nazionale 2020–2030, che annovera lo sviluppo dei contenuti locali tra i suoi otto pilastri.

“La Nigeria deve passare dall'essere principalmente una consumatrice di infrastrutture cloud globali al diventare una sede competitiva per le infrastrutture, gli investimenti, le competenze e i servizi digitali che definiranno la prossima fase dell'economia digitale globale”, ha dichiarato Bosun Tijani, ministro delle Comunicazioni, dell'Innovazione e dell'Economia Digitale, in una dichiarazione.

La politica è una scommessa sul fatto che lo spostamento collettivo dei sistemi governativi verso il cloud li renda più veloci e affidabili. Le piattaforme governative su cui i nigeriani contano per accedere ai servizi pubblici, gestire i documenti e verificare la propria identità potrebbero diventare meno soggette a interruzioni.

Cosa richiede la politica

La politica rende il cloud il modello di distribuzione predefinito per i carichi di lavoro governativi e richiede alle MDA di valutare i propri sistemi esistenti e di elaborare piani di migrazione al cloud per fasi. Stabilisce inoltre regole su dove possano essere archiviati ed elaborati i dati governativi sensibili e i dati regolamentati, su come il governo acquista i servizi cloud, su come vengono registrati i provider cloud, su come le imprese possono trasferire dati tra provider e su quali incentivi il governo offrirà per attirare investimenti nei data center e in altre infrastrutture digitali.

Il quadro sostituisce la Politica di Cloud Computing della Nigeria del 2019, che aveva introdotto per la prima volta il principio Cloud First per le istituzioni pubbliche federali. La nuova politica evidenzia che il principio del 2019 è stato applicato in modo disomogeneo perché nessun quadro unico coordinava la domanda cloud del governo, gli appalti, il finanziamento, la sicurezza e il monitoraggio. Il documento cerca di colmare queste lacune con un approvvigionamento aggregato, un mercato cloud a livello governativo, la registrazione dei provider cloud e requisiti di conformità vincolanti.

“La Politica Nazionale Cloud Digitale fornisce quindi un quadro equilibrato — che promuove investimento e concorrenza, rafforza le capacità locali, modernizza il Governo e applica requisiti di sovranità solo dove sono genuinamente necessari”, ha osservato il ministro.

Ai sensi della politica, tutte le MDA devono per impostazione predefinita progettare nuovi sistemi, servizi e carichi di lavoro digitali per la distribuzione nel cloud. Una MDA può derogare solo ottenendo un'esenzione pubblicata e a tempo determinato, che deve essere valutata dalla National Information Technology Development Agency (NITDA) ai sensi della sezione sette della politica.

“Le domande di esenzione saranno valutate dalla NITDA sulla base di criteri pubblicati e decise entro termini pubblicati”, si legge nella politica. “Le esenzioni saranno a tempo determinato, soggette a revisione periodica e registrate in un albo gestito dalla NITDA”.

Come funzioneranno gli appalti

Galaxy Backbone Limited (GBB), l'agenzia che costruisce e gestisce le infrastrutture digitali per i servizi governativi, aggregherà la domanda cloud di più provider registrati, incluse aziende nazionali e internazionali. Invece di negoziare singolarmente la capacità, GBB riunirà la domanda e negozierà accordi quadro.

Il governo gestirà gli appalti attraverso un Mercato Digitale Nazionale. La NITDA si occuperà della registrazione e dell'elenco dei provider; il Bureau of Public Procurement (BPP) supervisionerà la conformità degli appalti; e GBB si occuperà dell'aggregazione, degli accordi quadro e delle disposizioni commerciali con le MDA.

Il mercato debutterà in un'infrastruttura in cui gli operatori internazionali hanno già iniziato a investire. Equinix ha acquisito nel 2022 MainOne, operatore di connettività e data center con sede a Lagos, e operatori carrier-neutral come Rack Centre e Africa Data Centres hanno ampliato la capacità a Lagos. I tre principali provider cloud globali — Microsoft, Amazon Web Services e Google Cloud — hanno finora collocato le proprie regioni cloud africane in Sudafrica, un divario che gli incentivi agli investimenti previsti dalla politica sono pensati per contribuire a colmare.

Un sistema di classificazione dei dati a quattro livelli

La politica crea un sistema di classificazione a quattro livelli che ordina i dati governativi e regolamentati in base alla sensibilità e al grado di controllo nazionale richiesto.

• Livello 4, che riguarda le informazioni su sicurezza nazionale, difesa e infrastrutture critiche, deve essere ospitato esclusivamente su infrastrutture fisicamente ubicate in Nigeria.
• Livello 3, che comprende dati finanziari, sanitari, biometrici e di identità, deve essere conservato a riposo in Nigeria, con l'elaborazione consentita altrove solo a rigorose condizioni di tutela normativa.
• Livello 2, che riguarda i documenti operativi interni del governo, può essere distribuito in ambienti ibridi, comprese infrastrutture approvate al di fuori della Nigeria, ma solo previa autorizzazione.
• Livello 1, destinato all'accesso pubblico o comunque a basso rischio, può essere ospitato ovunque senza restrizioni di residenza.

“La classificazione prevale sul tipo di dato: la stessa categoria di informazioni può ricevere un trattamento diverso a seconda del contesto in cui è detenuta e delle conseguenze di una sua compromissione”, si legge nella politica.

La politica non impone una regola generale secondo cui tutti i dati generati in Nigeria debbano rimanere nel Paese. I requisiti di classificazione e di residenza si applicano ai dati generati dal Governo federale stesso, o ai dati generati ai sensi di una normativa federale, licenza, permesso o direttiva formalmente designati come dati sovrani.

Per le imprese regolamentate che generano dati, tra cui fintech e healthtech, essere soggette a regolamentazione non significa automaticamente che ogni categoria di dati in loro possesso ricada sotto le regole di sovranità. Tuttavia, un'autorità di regolamentazione come la Central Bank of Nigeria o la Nigeria Data Protection Commission può richiedere che una categoria di dati da essa regolamentata sia designata come dato sovrano, facendola rientrare nelle regole di residenza.

Il percorso di designazione si basa inoltre su un presupposto giuridico esistente: la Nigeria Data Protection Act 2023, che ha istituito la Commissione, impone già condizioni al trasferimento di dati personali al di fuori del Paese.

Vigilanza e applicazione delle norme

La politica crea una ripartizione delle responsabilità tra le istituzioni governative. La NITDA fornirà vigilanza regolamentare, standard e garanzie. GBB sarà responsabile dell'erogazione operativa, delle infrastrutture condivise e dell'aggregazione, mentre il BPP supervisionerà l'allineamento ai requisiti di approvvigionamento pubblico.

I provider e le MDA che non rispettano le norme possono andare incontro a direttive di messa a norma, sospensioni delle distribuzioni e, per i provider, sanzioni oppure sospensione e revoca della registrazione. Le violazioni significative che coinvolgono dati di Livello 3 o Livello 4 possono essere portate all'attenzione dell'Office of the National Security Adviser e di altre autorità competenti.

Una roadmap di attuazione di 24 mesi

Il governo dispone di una roadmap di 24 mesi per portare la politica da quadro normativo a attuazione concreta.

Nei primi sei mesi, l'attenzione sarà concentrata sull'attivazione della politica, sulla realizzazione di valutazioni di base, sull'emissione di direttive attuative, sull'istituzione degli organismi necessari e sull'adozione di misure di facilitazione degli investimenti.

Tra il sesto e il dodicesimo mese, il governo prevede di rendere operativo il Mercato Digitale Nazionale, avviare la migrazione delle MDA prioritarie, inserire i provider cloud registrati e avviare attività regionali di sviluppo del mercato, secondo una dichiarazione del Ministero delle Comunicazioni, dell'Innovazione e dell'Economia Digitale.

Gli ultimi 12 mesi della roadmap saranno dedicati al dimensionamento delle migrazioni governative, all'ampliamento della capacità infrastrutturale, all'inclusione degli stati partecipanti nel quadro, al miglioramento dell'interconnessione regionale e all'accelerazione delle esportazioni di servizi digitali.

Il Governo federale ha inoltre associato alla roadmap obiettivi finanziari e operativi. Intende attrarre 250 milioni di dollari di investimenti privati nelle infrastrutture cloud e di dati nigeriane entro i primi 12 mesi, portando la cifra a 750 milioni di dollari entro 24 mesi, insieme a incrementi progressivi della capacità di hosting conforme e allo sviluppo del mercato regionale di esportazione cloud della Nigeria.

La prima prova del quadro sarà procedurale più che finanziaria: se la NITDA pubblicherà nei tempi previsti i propri criteri di esenzione e il relativo albo, se il Mercato Digitale Nazionale entrerà in funzione nella seconda fase della roadmap, con quale rapidità i provider si registreranno e se le autorità di regolamentazione inizieranno a presentare domande per designare nuove categorie di dati sovrani.

“Il nostro approccio è deliberatamente aperto e orientato agli investimenti. Vogliamo che i provider nigeriani e internazionali investano, costruiscano capacità, sviluppino talenti e servano sia il mercato nigeriano sia il più ampio continente africano dalla Nigeria”, ha affermato Tijani. “Allo stesso tempo, il governo ha la responsabilità di garantire che i suoi asset digitali più sensibili siano governati e protetti in modo coerente con i nostri interessi nazionali”.

Sviluppo parallelo delle infrastrutture

La politica arriva mentre la Nigeria lavora simultaneamente alla costruzione delle infrastrutture fisiche che renderanno possibile un mercato cloud domestico. Il progetto Building Resilient Digital Infrastructure for Growth (BRIDGE) è un progetto di infrastrutture digitali da 1,6 miliardi di dollari volto ad ampliare la dorsale a banda larga del Paese. Il progetto prevede la posa di 90.000 chilometri di fibre in accesso aperto su tutto il territorio nazionale, portando la dorsale nazionale in fibra a circa 120.000 chilometri.