Localización de datos del CBN: qué debe estar en Nigeria el 1 de enero de 2027

Emisor

Central Bank of Nigeria (CBN), como regulador del sistema de pagos nigeriano.

Fecha de publicación

15 de junio de 2026.

Fecha límite de cumplimiento

1 de enero de 2027. Unos dieciocho meses desde la publicación, y menos desde el día en que la mayoría de las entidades empezó a planificar.

Ámbito subjetivo

Bancos comerciales, fintechs, proveedores de servicios de pago licenciados, operadores de dinero móvil y demás participantes del sistema de pagos nigeriano. El ámbito sigue a la actividad, no al lugar de constitución.

Ámbito objetivo

Datos de transacciones de pago: entornos de procesamiento primario, bases de datos, backups y las funciones administrativas asociadas: gestión de identidades y accesos, claves de cifrado y logs de auditoría.

Prohibiciones expresas

Almacenar o procesar datos de pago fuera de Nigeria; depender de infraestructura cloud extranjera para cargas de pago; réplica transfronteriza de datos de pago.

Obligaciones adicionales

Cláusulas de localización en los contratos con proveedores, derechos de auditoría, facilitación de la inspección regulatoria, protocolos de notificación de brechas, un data mapping documentado y un modelo de gobierno del dato actualizado.

Consecuencias

Sanciones por incumplimiento y obligación permanente de conservar documentación probatoria que resista una inspección. En la práctica, el dosier de evidencias pesa tanto como la arquitectura.

Central Bank of Nigeria, circular de 15 de junio de 2026, “Introduction of Market Structure Requirements, Data Localisation, Ultimate Beneficial Ownership Disclosure, and Systemic Oversight Measures in the Nigeria Payments System”.

El límite importa porque decide qué hay que mover y qué basta con controlar. Los sistemas que se quedan fuera necesitan evidencia de que no pueden recibir datos de pago (controles de salida, prevención de fuga de datos, cláusulas contractuales y procedimientos de soporte probados), no solo una declaración de que no los reciben. Cada excepción que invoque será una línea que un inspector puede pedirle que demuestre.

1. 01

   Semanas 1-4

   Mapear y clasificar

   • Inventariar todo sistema que toque transacciones de pago nigerianas, incluidos reporting, conciliación y herramientas de fraude.
   • Trazar los flujos de datos de extremo a extremo, siguiendo backups, réplicas, envío de logs y exportaciones analíticas como flujos de primer nivel.
   • Localizar el material de claves, los servicios de identidad y el acceso administrativo de cada sistema dentro del ámbito.
   • Clasificar cada sistema como dentro del perímetro, fuera con controles, o a desmantelar.
   • Elaborar el data mapping que exige la directiva, en un formato legible para el regulador.

2. 02

   Semanas 5-9

   Diseñar el destino

   • Elegir el patrón de arquitectura: datacenter propio, colocation nigeriana o híbrido con perímetro de pagos aislado.
   • Dimensionar cómputo, almacenamiento y red del perímetro de pagos, incluido el sitio de DR y su ancho de banda.
   • Diseñar desde el inicio la gestión de claves, la identidad, el logging y el backup como servicios nacionales.
   • Fijar los objetivos de recuperación y verificar que un segundo emplazamiento nigeriano puede cumplirlos.
   • Acordar los cambios contractuales necesarios con cada proveedor, incluidos los derechos de auditoría e inspección.

3. 03

   Semanas 10-20

   Construir la plataforma nigeriana

   • Instalar la base de nube privada en el sitio primario y en el de DR, con la segmentación de red de la que depende el perímetro.
   • Poner en servicio el clúster HSM y ejecutar la ceremonia de claves, con custodia y depósito documentados.
   • Desplegar identidad, logging, SIEM y backup nacionales antes de que llegue cualquier carga de pagos.
   • Bastionar la plataforma y someterla a test de intrusión, corrigiendo hallazgos antes de que aterricen datos.
   • Ensayar el cutover con datos sintéticos, incluida la vía de retroceso.

4. 04

   Semanas 21-34

   Migrar y cambiar de entorno

   • Mover las cargas por oleadas, empezando por los sistemas cuya caída es más fácil de absorber.
   • Replicar las bases de datos de transacciones en el país y hacer el cutover en una ventana planificada con retroceso probado.
   • Recifrar los datos bajo las claves raíz nigerianas y retirar los key rings extranjeros.
   • Redirigir backups y observabilidad, y confirmar con evidencia de red que ningún tráfico de pagos sale del país.
   • Desmantelar réplicas, buckets y planos de control extranjeros, conservando los certificados de borrado.

5. 05

   Semanas 35-40, y después de forma continua

   Evidencia y régimen estable

   • Montar el dosier de evidencias: data mapping, arquitectura, registros de custodia de claves, contratos, certificados de borrado y resultados de pruebas.
   • Ejecutar una prueba de restauración y un failover de DR al sitio nigeriano, y archivar los resultados.
   • Fijar los controles recurrentes que mantienen honesto el perímetro: monitorización de salida, revisiones de acceso y registro de cambios.
   • Informar al consejo y a la función de riesgos con una visión única de la directiva del CBN, la NDPA y el marco de ciberseguridad.
   • Programar un remapeo trimestral, porque siempre habrá sistemas nuevos que intenten salir del país.

• Un registro, tres fuentes de obligación

  Construya un único registro de controles en el que cada requisito lleve su fuente. La directiva impulsa los controles de ubicación y de transferencia transfronteriza, la NDPA impulsa la base jurídica, los derechos de los interesados y las condiciones para encargados, y el marco de ciberseguridad impulsa la evaluación de riesgos, el testeo de controles y el reporte al consejo. La mayoría de los controles satisface más de una fuente, y ahí está el ahorro.

• NDPA 2023: el data mapping sirve dos veces

  La NDPA exige un registro de actividades de tratamiento, una base jurídica por finalidad, un delegado de protección de datos y el respeto de los derechos de los interesados, además de obligaciones que se trasladan a los encargados. El data mapping que pide la directiva es sustancialmente el mismo artefacto. Elabórelo una vez pensando en ambos regímenes y registre la entidad ante la NDPC en lugar de tratarlo como un ejercicio aparte.

• Ciberseguridad basada en riesgo: los controles que prueban la ubicación

  El marco de ciberseguridad del CBN ya exige segmentación, gestión de accesos privilegiados, logging, respuesta a incidentes y pruebas periódicas. Son exactamente los controles que demuestran que un perímetro de pagos es real. Amplíelos con monitorización de salida y evidencia de custodia de claves, y las mismas pruebas de control responderán a la vez a la pregunta de seguridad y a la de localización.

• Un flujo de evidencia, un informe al consejo

  Recoja evidencia de forma continua de los sistemas que ya la producen (revisiones de acceso, registros de cambios, pruebas de restauración, failovers de DR, logs de flujo de red) en lugar de montarla antes de cada inspección. Repórtela al consejo en una visión única que cubra los tres instrumentos. La notificación de brechas es el ejemplo más claro: un único proceso de incidentes satisface al CBN y a la NDPC si se diseña así desde el principio.