NCC、ナイジェリアの通信事業者にサイバーセキュリティ専用予算の割り当てを義務付け
重要ポイント
- •NCCは、ナイジェリアのすべての通信事業者に対し、取締役会の監督および定期監査の対象となるサイバーセキュリティ支出専用の独立した予算科目を割り当てることを義務付けている。
- •事業者はサイバー攻撃を検知した場合、NCCおよびナイジェリアデータ保護委員会の両方に4時間以内に通知し、その後4時間ごとに最新情報を提供し、24時間以内に確認報告書を提出しなければならない。
- •すべての通信事業者は、取締役会が承認した方針に基づき、サイバーセキュリティリスクの評価、特定、緩和を担う最高情報セキュリティ責任者（CISO）を任命しなければならない。
- •通信会社は、有効な令状に基づく法執行機関の調査を支援するため、通話記録、ユーザーID、およびトラフィックデータをナイジェリア国内に最低2年間保持する義務がある。
- •事業者は、サイバー攻撃、脅威、インシデント、侵害、および緩和措置を詳細に記載した四半期報告書を、各四半期終了後15日以内にNCC-CSIRTに提出しなければならない。
ナイジェリア通信委員会（NCC）は、国内のすべての通信事業者に対し、予算の専用部分をサイバーセキュリティに割り当てるよう指示した。これは、エスカレートするサイバー脅威に対する業界の防御力強化を目的とした、より広範な規制推進の一環である。
この指示は、新たに公表された「ナイジェリア通信セクター向けサイバーレジリエンス・フレームワーク実施に関するガイダンスノート（CRF-NCS）」に含まれており、同規制当局が2026年2月に当初発行した包括的な文書を更新するものでもある。
「サービスプロバイダーは、会社の総予算の適切な割合をサイバーセキュリティに割り当てるものとする」と実施文書には記載されており、「この割り当ては、取締役会および上層部による監視と監督を円滑にするため、独立した予算科目として指定されるものとする」と付記されている。
このフレームワークは、MTN、Airtel、Globacom、T2mobile、およびインターネットサービスプロバイダー（ISP）を含むナイジェリアの主要通信事業者に適用される。ナイジェリアは2億2000万件を超えるアクティブなモバイル接続を擁するアフリカ最大の通信市場であり、同セクターのレジリエンスは国益に関わる重要課題となっている。これらの企業は、サイバー攻撃に対して効果的に対応し、そこから学ぶことが求められており、業界全体の状況認識の強化と加入者データの保護が重視されている。
データおよびボリューム主導型のビジネスである通信事業者は、顧客情報、通話記録、およびプリペイドチャージの履歴を標的とするサイバー攻撃に対して特に脆弱である。その他の脅威には、システム停止、標的型侵入、マルウェア感染などがある。このフレームワークは、通信ネットワークがナイジェリアのデジタル金融サービスエコシステム、数千万人のナイジェリア人が利用するUSSDベースの銀行取引を含む、ますます重要な基盤となっている状況の下で公表された。
NCCは、事業者がサイバーセキュリティリスク戦略に整合した十分な資金と資源を確実に割り当てることを強調した。コンプライアンスは定期監査を通じて検証され、その際、実施されたすべての計画が予算配分に反映されていなければならない。
2026年2月に最初に発表された要件に基づき、事業者はサイバー攻撃を検知してから4時間以内にNCCおよびナイジェリアデータ保護委員会（NDPC）の両方に通知しなければならない。さらに、検知後4時間ごとにNCCに最新情報を提供し、24時間以内に確認報告書を提出する義務がある。NDPCの関与は、2023年のナイジェリアデータ保護法に基づき同委員会が国の法定データ保護規制当局として設立されたことを受けた、通信およびデータ保護当局間の連携を反映している。
実施文書はまた、四半期ごとの報告義務を導入している。事業者は、6月、9月、12月、3月に終了する各四半期について、サイバー攻撃、脅威、サイバーセキュリティインシデント、侵害、および緩和措置を詳細に記載した報告書を提出しなければならない。これらの報告書は、各四半期終了後15日以内にNCC-CSIRTに提出される。
さらに、フレームワークはすべての事業者に対し、サイバーセキュリティリスクの評価、特定、緩和を担う上級責任者の任命を求めている。この責任者は最高情報セキュリティ責任者（CISO）の称号を与えられる。
「当該責任者は、インシデントに対応し、適切な基準と統制を確立し、取締役会、パートナー、または所有者が承認したサイバーセキュリティおよびサイバーレジリエンスに関する方針またはフレームワークに準拠して、プロセスおよび手順の策定と実行を監督するものとする」と文書には記載されている。
NCCはまた、事業者に対し、ログイン認証情報、パスワード、ワンタイムパスワード（OTP）、その他の機密情報を第三者と共有するリスク、ならびにそのような行為の潜在的な結果について、加入者を教育するよう指示した。ナイジェリア国民には、フィッシングメールや不正なウェブサイトをそれぞれのサービスプロバイダーに報告することが推奨されており、事業者はそのような報告に対して迅速に行動することが期待されている。
サイバーセキュリティの意識は顧客にとどまらない。NCCは、企業が少なくとも年2回、従業員と取締役会メンバー向けの啓発セッションを実施し、リスクを認識し、継続的な改善に取り組む企業文化を育成することを求めている。
インシデント後の復旧に関して、事業者はサイバーセキュリティインシデント、攻撃、または侵害によって影響を受けたシステムの迅速な復旧戦略を策定しなければならず、これには顧客への代替サービスまたは代替システムの提供が含まれる。これらの復旧戦略は規制当局の承認を得る必要がある。
また、通信会社は、有効な法執行機関の令状を保持する関連セキュリティ機関による調査を支援するため、通話記録、ユーザーID、およびトラフィックデータをナイジェリア国内に最低2年間保持することが求められている。
