De financiële sector van Nigeria moet vóór 1 januari 2027 voldoen aan de datalocaliseringsregels van de Centrale Bank van Nigeria (CBN), en de discussie over datasoevereiniteit in het land verschuift weg van de simpele vraag waar servers staan. De moeilijkere, praktische vragen staan nu centraal: Wat gebeurt er met back-ups? Wie heeft toegang tot de data? Waar wordt die geanalyseerd? Kunnen kritieke systemen onafhankelijk van buitenlandse infrastructuur functioneren? En heeft Nigeria voldoende lokale capaciteit om de overgang te beheren zonder de kosten op te drijven of nieuwe risico's te creëren?

De discussie past in een bredere juridische context. De Nigeria Data Protection Act, die in juni 2023 van kracht werd, richtte de Nigeria Data Protection Commission op en stelt algemene regels voor grensoverschrijdende gegevensoverdracht, terwijl eerdere richtlijnen — waaronder circulaires van het National Information Technology Development Agency (NITDA) — al hadden aangedrongen op opslag van bepaalde gegevenscategorieën binnen het land. De richtlijn van de CBN breidt die logica uit naar het financiële stelsel, waar betalingsgegevens als gevoelig worden behandeld.

Die vragen komen in beeld op donderdag 10 september, wanneer TechCabal Insights in samenwerking met het Amazon Web Services (AWS) Partner Network zijn Power Brunch organiseert. Het evenement brengt CEO's, CTO's, toezichthouders, financiële dienstverleners, cloudaanbieders, infrastructuurbedrijven en andere technologieleiders samen om te onderzoeken wat datalocalisering in de praktijk betekent.

Voor Femi Olugbesan, medoprichter en chief information officer van Descasio en een van de sprekers op het evenement, is het onderscheid tussen localisering en soevereiniteit cruciaal.

"Het adres van de data veranderen is niet hetzelfde als soevereiniteit erover hebben," aldus Olugbesan.

De richtlijn van de CBN van 15 juni 2026 verplicht banken, fintechs, aanbieders van mobiel geld en betaalswitchnetwerken om in Nigeria gegenereerde betalingstransactiegegevens binnen het land te houden. De eisen gaan verder dan primaire databases tot back-ups, disaster recovery en logs, en ook het databeheer moet lokaal blijven.

Een database verplaatsen van een buitenlandse omgeving naar een Nigeriaans datacenter lost echter maar een deel van het probleem op. Een bank zou primaire gegevens in Lagos kunnen hosten en toch informatie naar het buitenland sturen voor analyses, technische ondersteuning, beveiligingsmonitoring of back-ups. In dat geval staat de data fysiek in Nigeria, terwijl belangrijke delen van de operationele levenscyclus buiten het land blijven.

"Het echte werk is het volledige leven van de data begrijpen — waar die wordt gecreëerd, waar back-ups worden gemaakt, welke teams die kunnen inzien, waar die wordt geanalyseerd en welke AI-modellen ermee mogen werken," aldus Olugbesan.

Daarmee verandert localisering van een noodgedwongen hostingoperatie in een bedrijfstransformatieproject.

De complexiteit achter de migratie

Voor organisaties die zich op de deadline voorbereiden, is het moeilijkste deel misschien niet het verplaatsen van de data zelf.

"Data kan gekopieerd worden," aldus Olugbesan. "Het moeilijke deel is het verplaatsen van het operationele model eromheen zonder de organisatie te breken."

Grote organisaties hebben jarenlang afhankelijkheden opgebouwd in hun technologische omgevingen. Klantplatformen kunnen op één locatie draaien en identiteitsdiensten op een andere, terwijl back-ups, beveiligingsmonitoring, betaalverbindingen, rapportagetools en leverancersondersteuning elders zitten. Die verbindingen zijn moeilijk te ontwarren zodra een organisatie een strikte geografische grens om haar data moet trekken.

Kosten voegen een extra complexiteitslaag toe. Localisering kan organisaties dwingen systemen te dupliceren, extra herstelomgevingen te onderhouden, technische teams aan te nemen of bij te scholen en applicaties die oorspronkelijk op mondiale cloudinfrastructuur waren gebouwd te herontwerpen. Een overhaaste migratie kan daarom onbedoelde gevolgen hebben: hogere kosten en minder veerkracht.

Olugbesan meent dat organisaties juist moeten beginnen met een data- en afhankelijkheidskaart, informatie naar risico moeten classificeren en workloads in gecontroleerde fasen moeten verplaatsen. Sommige systemen moeten mogelijk onmiddellijk worden gelokaliseerd, anderen geïsoleerd of herontworpen, terwijl beperkte uitzonderingen nodig kunnen zijn waar gelijkwaardige mogelijkheden in Nigeria nog niet bestaan.

De bredere vraag is of regulering meer controle kan bieden zonder simpelweg de bestaande complexiteit te verplaatsen.

Kan Nigeria's infrastructuur het bijbenen?

Die vraag wordt relevant naarmate de vraag naar lokale cloud- en datacentercapaciteit groeit.

Nigeria heeft geloofwaardige datacenteroperators en een groeiende markt voor technologie-infrastructuur. Toch zegt Olugbesan dat het onrealistisch is om aan te nemen dat elke gereguleerde workload in één keer lokaal kan worden verplaatst, met dezelfde breedte aan diensten en volwassenheid als in gevestigde mondiale cloudregio's.

Capaciteit is niet alleen serverruimte. Het omvat betrouwbare stroom, diverse glasvezelroutes, fysieke en digitale beveiliging, gekwalificeerde operationele teams, reserveonderdelen en daadwerkelijk geteste disaster recovery-systemen. Voor nieuwere workloads betekent het ook beheerde dataplatformen, high-performance computing en lokale toegang tot GPU-capaciteit voor kunstmatige intelligentie.

Als de door regulering gedreven vraag sneller groeit dan de markt die mogelijkheden kan toevoegen, kunnen bedrijven te maken krijgen met hogere prijzen, langere migratiewachtrijen en overmatige concentratie van kritieke workloads in een handvol faciliteiten — een scenario dat de veerkracht kan verzwakken, precies het tegenovergestelde van wat datasoevereiniteit moet bereiken.

De druk creëert echter ook kansen. Voorspelbare vraag van banken, fintechs en de overheid kan investeringen losmaken in datacenters, connectiviteit, energie, cybersecurity en technische vaardigheden. Nigeria kan meer worden dan een binnenlandse opslagmarkt; met de juiste investeringen kan het uitgroeien tot een regionale hub voor cloud- en digitale infrastructuur in West-Afrika.

Waar moet Nigeria de grens trekken?

De Power Brunch vindt ook plaats tegen de achtergrond van een bredere beleidsdiscussie over hoe ver datalocalisering moet gaan. Nigeria staat er niet alleen voor: regeringen waaronder die van India, Indonesië en Saoedi-Arabië hebben eigen datalocaliseringseisen aangenomen of overwogen, en mondiale cloudaanbieders hebben gereageerd door regio's binnen die landen te bouwen — bewijs dat regulering en internationale infrastructuurinvesteringen in sommige markten naast elkaar kunnen bestaan.

Olugbesan stelt dat toezichthouders onderscheid moeten maken tussen echt strategische informatie en data die met passende waarborgen veilig grenzen kan overschrijden. Kernfinanciële gegevens, betaal- en settlementdata, nationale identiteitsgegevens, bepaalde medische dossiers, kritische infrastructuurgegevens en inloggegevens die die systemen kunnen ontgrendelen hebben sterke argumenten om onder Nigeriaanse jurisdictie en controle te blijven.

Een algemene eis die elke gegevenscategorie dekt kan echter hoge kosten opleggen zonder noodzakelijkerwijs de veiligheid te verbeteren. Geanonimiseerde analyses, publieke informatie, samenwerkingsgegevens met lager risico en bepaalde tijdelijke verwerkingsactiviteiten kunnen grensoverschrijdend worden afgehandeld, mits versleuteling, contractuele verantwoordelijkheid, auditbaarheid en duidelijke bewaartermijnen zijn geregeld.

De sleutel, aldus Olugbesan, is classificatie. Toezichthouders hebben duidelijke risicocategorieën nodig en even duidelijke regels voor opslag, verwerking en toegang. Bedrijven moeten weten welke data onder de regels valt, wat naleving inhoudt en wanneer uitzonderingen kunnen worden verleend. Zonder die duidelijkheid kunnen bedrijven moeite hebben investeringen en technologie-architecturen op de regels af te stemmen.

Van naleving naar vermogen

Uiteindelijk wordt de localiseringsdiscussie een test van Nigeria's vermogen om digitale capaciteit op te bouwen.

Olugbesan wil één praktisch implementatiekader waar toezichthouders en operators mee kunnen werken, in plaats van brede instructies die per instelling verschillend worden geïnterpreteerd. Zo'n kader moet volgens hem technologie-neutraal en risicogebaseerd zijn, ondersteund door realistische overgangsperioden, rapportageverplichtingen, audits en transparante uitzonderingen.

Belangrijker nog: localisering moet worden gebruikt om de binnenlandse technologiesector op te bouwen. De overheid en grote gereguleerde instellingen behoren tot Nigeria's grootste technologiekopers, en hun inkoopbeslissingen kunnen betrouwbare vraag creëren voor Nigeriaanse clouddiensten, datacenters, cybersecurity, connectiviteit en AI-infrastructuur. Volgens Olugbesan kan localisering, mits goed uitgevoerd, een industrieel beleid worden, waardoor Nigeriaanse technologiebedrijven een sterkere basis krijgen om de bredere Afrikaanse markt te bedienen en de infrastructuur voor soevereine AI ontstaat.

Soevereiniteit betekent in deze zin niet dat Nigeria zich afsluit voor mondiale technologie. Het betekent voldoende infrastructuur, vaardigheden, beveiliging en governance hebben om te beslissen wat onder Nigeriaanse controle moet blijven, wat veilig grenzen kan overschrijden en hoe strategisch belangrijke data in economische waarde kan worden omgezet.

Dat is de grotere vraag die de Power Brunch op 10 september voorlegt aan de executives die Nigeria's digitale economie vormgeven: kan het land localisering afdwingen én tegelijk het vermogen opbouwen om die localisering betekenisvol te maken? Het antwoord bepaalt of de deadline van de CBN slechts een nalevingsoperatie wordt of het begin van een capabeler ecosysteem voor Nigeriaanse digitale infrastructuur.