Mozambique et Nigeria : deux lois cloud, deux conformités à payer
Deux décrets mozambicains exigent que le centre de données primaire soit sur le sol national. Une politique nigériane laisse circuler les données selon leur sensibilité. Derrière la souveraineté, deux façons de déplacer la conformité — et aucune ne dit son prix.
Dans cet article
Deux décrets contre une politique
Le Mozambique a tranché par la loi. Deux décrets, le n° 72/2025 sur le cloud et le n° 71/2025 sur les centres de données, fixent les conditions de licence, de sécurité et de continuité de service. Ils imposent que le centre de données primaire soit situé dans le pays. Les sites secondaires, sauvegardes et reprises après sinistre compris, peuvent rester à l'étranger, à condition de respecter des standards de continuité et de récupération. Les obligations ne s'arrêtent pas aux fournisseurs : les organisations qui achètent du cloud doivent vérifier que les services et les centres dont elles dépendent sont conformes. Les secteurs essentiels subissent des exigences plus lourdes, portant sur l'emplacement, la classification de l'infrastructure et la sécurité.
Le Nigeria a pris l'autre chemin. Sa Politique nationale du cloud numérique, annoncée par le ministère des Communications en août, n'exige pas que toutes les données restent dans le pays. Elle applique un cadre fondé sur le risque, qui tient compte du secteur et de la sensibilité de l'information, avec des protections renforcées pour les services financiers et la santé. L'objectif affiché : ne pas décourager l'investissement tout en protégeant ce qui doit l'être. La politique a une seconde ambition : faire du Nigeria un fournisseur régional de cloud, pas seulement un client. Le gouvernement prévoit de coordonner la migration des agences fédérales vers le cloud et d'utiliser cette demande pour attirer les investissements des fournisseurs. Un rapport antérieur, non daté avec précision dans la documentation disponible, chiffrait la cible à 750 millions de dollars sur 24 mois.
Ce que le Mozambique impose sans dire quand
La règle mozambicaine a un mérite : elle est lisible. Elle dit où doit dormir la donnée primaire. Elle ne dit pas quand elle entre en vigueur, ni quelles sanctions s'appliquent. La documentation publiée à la mi-octobre ne l'établissait pas. Une entreprise qui doit décider aujourd'hui où installer son centre de données principal n'a donc ni calendrier ni barème de sanction. Elle a une obligation de moyen : vérifier la conformité de ses fournisseurs, sans savoir à quelle date la vérification devient opposable.
Le pays a un profil qui rend la contrainte concrète. Le Mozambique compte 35,6 millions d'habitants pour un PIB de 22,3 milliards de dollars en 2025, selon la Banque mondiale. Le PIB par habitant s'élève à 627 dollars. L'économie s'est contractée de 0,5 % cette même année. L'accès à l'électricité atteint 36,9 % de la population en 2024, et 20,5 % des habitants utilisent Internet. Un centre de données primaire, dans un pays où près de deux tiers des habitants n'ont pas l'électricité, ne se justifie pas par le marché local de la consommation. Il se justifie par la loi. C'est exactement ce que le décret fait : il transforme une contrainte d'infrastructure en obligation légale, et donc en demande pour celui qui construira le centre.
La conséquence est mécanique. Une entreprise qui opère au Mozambique devra payer un hébergement local, même si son trafic est ailleurs. Aucun document ne dit combien ce client paiera de plus qu'un hébergement offshore, ni comment le prix se fixera. On sait seulement que la loi crée la demande et que la demande n'existe pas sans elle.
Le Nigeria fait payer la sensibilité, pas la géographie
Le Nigeria ne dit pas où dormir, mais ce qui doit être protégé. Le cadre par risque déplace l'obligation : ce n'est plus le lieu qui détermine la conformité, c'est la classification. Une donnée de santé ou financière exige des protections renforcées ; le fournisseur qui les offre doit les documenter. Pour une entreprise nigériane, la question n'est plus « où est mon centre ? » mais « dans quelle catégorie tombe ma donnée ? ». La réponse peut changer d'un service à l'autre, et le contrat avec le fournisseur doit suivre.
La seconde ambition est plus intéressante que la première. Le gouvernement veut utiliser la migration de ses propres agences comme levier d'investissement : il promet un client public massif aux fournisseurs qui s'installent. La cible de 750 millions de dollars sur 24 mois, si elle se réalise, ne sera pas un investissement privé attiré par le marché nigérian seul. Ce sera un investissement attiré par un contrat public. L'État achète la demande qu'il veut voir naître.
Reste une inconnue que la documentation ne tranche pas : le Nigeria n'a pas publié de texte équivalent aux décrets mozambicains. La politique annoncée en août n'est pas une loi. Une entreprise qui s'y conforme aujourd'hui se conforme à un cadre administratif, pas à un texte opposable. Le Mozambique publie des décrets sans en annoncer le calendrier ni les sanctions ; le Nigeria annonce une politique sans la traduire en texte contraignant. Dans les deux cas, l'entreprise qui doit décider aujourd'hui avance sans savoir ce qui l'oblige exactement.
Le même contrat, deux conformités
Une entreprise présente dans les deux pays signera le même contrat cloud et devra prouver deux choses différentes. Au Mozambique, elle devra démontrer que son centre primaire est sur le sol national. Au Nigeria, elle devra démontrer que sa donnée sensible est protégée. Un service autorisé à tourner dans une région cloud offshore au Nigeria peut se heurter à l'obligation mozambicaine de localisation. Le contrat est identique ; la preuve ne l'est pas.
La documentation recommande un registre des charges de travail : quelle information, quelle sensibilité, quel secteur, quel hébergement. C'est un conseil de CIO, pas une règle. Mais il révèle le vrai coût des deux lois : ce n'est pas le centre de données, c'est l'inventaire. Il faut savoir où dort chaque donnée avant de pouvoir jurer qu'elle dort au bon endroit. Or rien dans la documentation ne dit combien d'entreprises mozambicaines ou nigérianes tiennent déjà un tel registre.
La question que personne ne chiffre
Les deux pays ne déplacent pas la conformité vers le même acteur. Le Mozambique la fait peser sur l'acheteur de cloud, qui doit vérifier la localisation de son fournisseur. Le Nigeria la fait peser sur l'acheteur aussi, mais pour classifier sa donnée. Dans les deux cas, la dépense est réelle ; dans aucun cas, la documentation ne dit qui l'encaisse ni combien.
Une question reste ouverte, et elle n'est pas technique. Le Mozambique a 36,9 % d'accès à l'électricité et un PIB par habitant de 627 dollars. Le Nigeria veut devenir fournisseur régional de cloud avec des agences fédérales pour clients. Si la souveraineté des données impose une infrastructure que le marché local ne peut pas rentabiliser seul, qui paiera assez longtemps pour que le centre reste allumé ?
