Het onlangs gepubliceerde National Digital Cloud Policy (Nationaal Digitaal Cloudbeleid) van Nigeria verplicht federale ministeries, departementen en agentschappen (MDA's) cloudinfrastructuur voorrang te geven bij de bouw van nieuwe digitale systemen en diensten — een stap die de overheid positioneert als mogelijk grote klant van de cloudproviders in het land.

Op maandag publiceerde het Federale Ministerie van Communicatie, Innovatie en Digitale Economie het National Digital Cloud Policy, een kader voor de wijze waarop Nigeria cloudinfrastructuur zal bouwen, reguleren en gebruiken.

Het beleid is de nieuwste poging van de overheid om de afhankelijkheid van systemen in het buitenland te verminderen en meer cloudinfrastructuur binnen de landsgrenzen te brengen. Meer dan 90% van de digitale gegevens en zakelijke workloads van Nigeria wordt momenteel gehost op servers in het buitenland, wat naar schatting leidt tot 850 miljoen dollar aan kapitaalvlucht per jaar. Door de implementatie wordt naar verwachting de Nigeriaanse cloud- en datacentermarkt uitgebreid, waarvan verwacht wordt dat deze tegen 2031 782 miljoen dollar bedraagt.

Nigeria sluit zich aan bij een bredere continentale verschuiving. De wetgeving op gegevensbescherming van Kenia en Zuid-Afrika stelt al voorwaarden aan grensoverschrijdende gegevensoverdrachten, de bankregels van Egypte verplichten banken gegevens binnen het land te hosten, en de Afrikaanse Continentale Vrijhandelszone nam in 2024 een digitaal handelsprotocol aan dat continentale regels vaststelt voor gegevensstromen. Binnenlands borduurt het beleid voort op het National Digital Economy Policy and Strategy 2020–2030, waarin de ontwikkeling van lokale content een van de acht pijlers is.

“Nigeria moet veranderen van voornamelijk een consument van wereldwijde cloudinfrastructuur in een concurrerende locatie voor de infrastructuur, investeringen, vaardigheden en digitale diensten die de volgende fase van de wereldwijde digitale economie zullen definiëren,” aldus Bosun Tijani, minister van Communicatie, Innovatie en Digitale Economie, in een verklaring.

Het beleivd is erop gericht dat het gezamenlijk verplaatsen van overheidsystemen naar de cloud deze sneller en betrouwbaarder maakt. De overheidsplatformen waar Nigerianen op vertrouwen voor toegang tot openbare diensten, het beheren van dossiers en het verifiëren van hun identiteit zouden daardoor minder vatbaar kunnen worden voor storingen.

Wat het beleid vereist

Het beleid maakt de cloud tot het standaard implementatiemodel voor overheidsworkloads en verplicht MDA's hun bestaande systemen te beoordelen en gefaseerde cloudmigratieplannen op te stellen. Het stelt daarnaast regels voor waar gevoelige overheids- en gereguleerde gegevens kunnen worden opgeslagen en verwerkt, hoe de overheid clouddiensten inkoopt, hoe cloudproviders worden geregistreerd, hoe bedrijven gegevens tussen providers kunnen verplaatsen en welke stimuleringsmaatregelen de overheid zal aanbieden om investeringen in datacenters en andere digitale infrastructuur aan te trekken.

Het kader vervangt het Nigeria Cloud Computing Policy 2019, dat als eerste het Cloud First-principe introduceerde voor federale publieke instellingen. Het nieuwe beleid stelt dat het principe uit 2019 onevenwichtig werd geïmplementeerd omdat er geen enkel overkoepelend kader de cloudvraag, inkoop, financiering, beveiliging en monitoring van de overheid coördineerde. Het beleid probeert deze hiaten te dichten met gebundelde inkoop, een overheidbrede cloudmarktplaats, registratie van cloudproviders en bindende nalevingsvereisten.

“Het National Digital Cloud Policy biedt daarmee een evenwichtig kader — een kader dat investeringen en concurrentie bevordert, de binnenlandse capaciteit versterkt, de overheid moderniseert en soevereiniteitseisen alleen toepast waar dit daadwerkelijk noodzakelijk is,” aldus de minister.

Krachtens het beleid moeten alle MDA's standaard nieuwe digitale systemen, diensten en workloads ontwerpen voor implementatie in de cloud. Een MDA kan hier alleen van afwijken door een gepubliceerde, tijdgebonden vrijstelling te verkrijgen, die door de National Information Technology Development Agency (NITDA) moet worden beoordeeld op grond van artikel zeven van het beleid.

“Aanvragen voor vrijstelling worden door NITDA getoetst aan gepubliceerde criteria en afgehandeld binnen gepubliceerde termijnen,” zo staat in het beleid. “Vrijstellingen zijn tijdgebonden, onderworpen aan periodieke herbeoordeling en worden vastgelegd in een register dat door NITDA wordt bijgehouden.”

Hoe de aanbesteding zal verlopen

Galaxy Backbone Limited (GBB), het agentschap dat digitale infrastructuur bouwt en beheert voor overheidsdiensten, zal de cloudvraag van meerdere geregistreerde providers bundelen, waaronder binnenlandse en internationale bedrijven. In plaats dat elke overheidsinstelling afzonderlijk onderhandelt over capaciteit, zal GBB deze vraag samenvoegen en raamovereenkomsten onderhandelen.

De overheid zal de inkoop beheren via een Nationale Digitale Marktplaats. NITDA zal de registratie en vermelding van providers verzorgen; het Bureau of Public Procurement (BPP) zal toezien op de naleving van de inkoopregels; en GBB zal de bundeling, raamovereenkomsten en commerciële afspraken met MDA's voor zijn rekening nemen.

De marktplaats zal van start gaan op infrastructuur waarin internationale partijen al zijn gaan investeren. Equinix nam in 2022 de in Lagos gevestigde connectiviteits- en datacenterexploitant MainOne over, en carrier-neutrale partijen zoals Rack Centre en Africa Data Centres hebben hun capaciteit in Lagos uitgebreid. De drie grootste wereldwijde cloudproviders — Microsoft, Amazon Web Services en Google Cloud — hebben hun Afrikaanse cloudregio's tot dusver in Zuid-Afrika gesitueerd, een hiaat dat de investeringsstimuleringsmaatregelen van het beleid moeten helpen dichten.

Een classificatiesysteem met vier niveaus

Het beleid creëert een classificatiesysteem met vier niveaus dat overheids- en gereguleerde gegevens sorteert op gevoeligheid en de vereiste mate van nationale controle.

• Niveau 4, dat betrekking heeft op informatie over nationale veiligheid, defensie en kritieke infrastructuur, mag uitsluitend worden gehost op infrastructuur die fysiek in Nigeria is gelegen.
• Niveau 3, dat financiële, medische, biometrische en identiteitsgegevens omvat, moet in rusttoestand in Nigeria worden opgeslagen; verwerking elders is alleen toegestaan onder strikte regulatorische waarborgen.
• Niveau 2, dat interne operationele overheidsdossiers omvat, kan in hybride omgevingen worden ingezet, waaronder goedgekeurde infrastructuur buiten Nigeria, maar alleen met voorafgaande toestemming.
• Niveau 1, bedoeld voor openbare toegang of anderszins laagrisico, kan zonder verblijfsbeperkingen overal worden gehost.

“Classificatie gaat vóór gegevenstype: dezelfde categorie informatie kan een verschillende behandeling krijgen, afhankelijk van de context waarin zij wordt bewaard en de gevolgen van een inbreuk,” zo staat in het beleid.

Het beleid stelt geen algemene regel dat alle in Nigeria gegenereerde gegevens in het land moeten blijven. De classificatie- en verblijfseisen zijn van toepassing op gegevens die door de federale overheid zelf worden gegenereerd, of op gegevens die onder een federale verordening, licentie, vergunning of richtlijn worden gegenereerd en formeel zijn aangewezen als soevereine gegevens.

Voor gereguleerde bedrijven die gegevens genereren, waaronder fintechs en healthtechs, betekent het feit dat zij onder toezicht staan niet automatisch dat elke gegevenscategorie in hun bezit onder de soevereiniteitsregels valt. Een toezichthouder zoals de Centrale Bank van Nigeria of de Nigeria Data Protection Commission kan er echter om verzoeken dat een door hem gereguleerde gegevenscategorie wordt aangewezen als soevereine gegevens, waardoor die categorie onder de verblijfsregels komt te vallen.

De aanwijzingsroute bouwt voort op een bestaande juridische basis: de Nigeria Data Protection Act 2023, die de Commissie in het leven riep, stelt al voorwaarden aan het overbrengen van persoonsgegevens buiten het land.

Toezicht en handhaving

Het beleid creëert een verdeling van verantwoordelijkheden tussen overheidsinstellingen. NITDA zal regulatorisch toezicht, standaarden en assurance leveren. GBB wordt verantwoordelijk voor operationele uitvoering, gedeelde infrastructuur en bundeling, terwijl het BPP toeziet op de afstemming op de eisen voor openbare aanbestedingen.

Providers en MDA's die zich niet aan de regels houden, kunnen te maken krijgen met herstelrichtlijnen, opschorting van implementaties en, voor providers, sancties of schorsing en intrekking van de registratie. Zware schendingen met betrekking tot gegevens van Niveau 3 of Niveau 4 kunnen worden voorgelegd aan het Office of the National Security Adviser en andere bevoegde autoriteiten.

Een implementatieroutekaart van 24 maanden

De overheid heeft een routekaart van 24 maanden om het beleid van een kader tot implementatie te brengen.

In de eerste zes maanden ligt de focus op het activeren van het beleid, het uitvoeren van nulmetingen, het uitgeven van implementatierichtlijnen, het opzetten van de vereiste instellingen en het invoeren van maatregelen om investeringen te faciliteren.

Tussen de zesde en twaalfde maand wil de overheid de Nationale Digitale Marktplaats operationeel maken, prioritaire MDA's gaan migreren, geregistreerde cloudproviders onboarden en regionale marktontwikkelingsactiviteiten starten, aldus een verklaring van het ministerie van Communicatie, Innovatie en Digitale Economie.

De laatste 12 maanden van de routekaart zijn gericht op het opschalen van overheidmigraties, het uitbreiden van de infrastructuurcapaciteit, het betrekken van deelnemende staten bij het kader, het verbeteren van regionale interconnectiviteit en het versnellen van de export van digitale diensten.

De federale overheid heeft aan de routekaart ook financiële en operationele doelstellingen gekoppeld. Binnen de eerste 12 maanden wil zij 250 miljoen dollar aan privé-investeringen in Nigeriaanse cloud- en data-infrastructuur aantrekken, oplopend tot 750 miljoen dollar binnen 24 maanden, naast geleidelijke uitbreiding van conforme hostingcapaciteit en de ontwikkeling van de regionale cloudexportmarkt van Nigeria.

De eerste test van het kader zal procedureel zijn in plaats van financieel: of NITDA haar vrijstellingscriteria en register op schema publiceert, of de Nationale Digitale Marktplaats live gaat in de tweede fase van de routekaart, hoe snel providers zich registreren en of toezichthouders verzoeken gaan indienen om nieuwe categorieën soevereine gegevens aan te wijzen.

“Onze aanpak is bewust open en investeringsgericht. We willen dat Nigeriaanse en internationale providers investeren, capaciteit opbouwen, talent ontwikkelen en zowel de Nigeriaanse markt als het bredere Afrikaanse continent bedienen vanuit Nigeria,” zei Tijani. “Tegelijkertijd heeft de overheid de verantwoordelijkheid ervoor te zorgen dat haar meest gevoelige digitale activa worden beheerd en beveiligd op een manier die strookt met onze nationale belangen.”

Parallelle uitbouw van infrastructuur

Het beleid komt op een moment waarop Nigeria tegelijkertijd werkt aan de fysieke infrastructuur die een binnenlandse cloudmarkt mogelijk moet maken. Het Building Resilient Digital Infrastructure for Growth (BRIDGE)-project is een digitaal infrastructuurproject van 1,6 miljard dollar dat gericht is op het uitbreiden van de breedband-backbone van het land. Van het project wordt verwacht dat het 90.000 kilometer open-access-glasvezel over het hele land uitrolt, waarmee de nationale glasvezel-backbone wordt uitgebreid naar ongeveer 120.000 kilometer.