Singapores foreslåede lov om digital infrastruktur forklaret

Singapores foreslåede lov om digital infrastruktur vil placere store datacentre og cloudtjenester under en ny licensordning, der administreres af Infocomm Media Development Authority (IMDA). Forslaget har to hovedformål: at gøre vigtig digital infrastruktur mere sikker og robust samt at forbedre datacentrenes miljømæssige bæredygtighed i Singapore .

Det centrale er, at lovforslaget skelner mellem to licenser. Den ene er målrettet de største datacentre og cloududbydere, mens den anden gælder bredere for datacentre over en lavere effektgrænse.

Hvem skal have licens?

Den store FDI-licens

Ordningen for såkaldt major Foundational Digital Infrastructure (FDI) vil omfatte to typer tjenester:

• Kommercielle datacenterfaciliteter fra et anlæg med en kritisk IT-belastning på mindst 10 MW, når anlægget leverer tjenester til andre virksomheder eller organisationer og ikke kun bruges af operatøren selv .
• Infrastructure as a Service (IaaS) og Platform as a Service (PaaS), hvis tjenesterne i gennemsnit har genereret mindst 100 mio. S$ i årlig omsætning fra brugere i Singapore i de foregående tre år .

Kravet vil gælde, uanset om udbyderen er etableret i Singapore eller i udlandet, så længe den leverer den relevante store FDI-tjeneste til brugere i Singapore . De tilgængelige beskrivelser nævner IaaS og PaaS, men ikke SaaS, i forbindelse med omsætningsgrænsen .

Licens til datacenteroperatører

En separat DC-operatørlicens vil gælde for datacentre i Singapore med en kritisk IT-belastning på mindst 3 MW . Denne ordning er især tænkt som et middel til at fastsætte og håndhæve grundlæggende krav til miljø og ressourceeffektivitet på tværs af datacentersektoren – ikke kun hos de allerstørste udbydere .

Et datacenter kan derfor være omfattet af DC-licensen uden at nå grænsen på 10 MW for den store FDI-kategori. Store datacentre, der opfylder betingelserne, kan blive underlagt både de generelle DC-krav og de ekstra sikkerheds- og robusthedskrav, der følger med større FDI-tjenester.

Hvilke krav får store FDI-udbydere?

Den foreslåede ordning omfatter både cybertrusler og andre risici, der kan afbryde driften. De vigtigste områder er:

• Cybersikkerhed: Udbyderne skal træffe foranstaltninger for at beskytte de omfattede datacenterfaciliteter og cloudtjenester. Reglerne skal supplere Singapores eksisterende Cybersecurity Act .
• Fysisk sikkerhed: Faciliteter og infrastruktur skal beskyttes mod uautoriseret adgang og andre fysiske trusler .
• Forretningskontinuitet: Operatørerne skal have ordninger, der skal holde tjenesterne kørende under forstyrrelser .
• Katastrofeberedskab: Der skal udarbejdes og vedligeholdes planer for genoprettelse efter nedbrud eller andre hændelser .
• Rapportering af hændelser: Relevante cybersikkerhedshændelser og afbrydelser i tjenesteleveringen skal rapporteres til IMDA, så myndighederne får bedre indblik i problemer, der rammer den vigtigste infrastruktur .
• Efterlevelse af regler: Licenshaverne skal følge licensvilkårene og de relevante påbud fra IMDA .

Forslaget handler dermed om mere end cybersikkerhed alene. Kontinuitet i tjenesterne ses som et samlet spørgsmål om digital sikkerhed, fysisk beskyttelse, driftsplanlægning og evnen til at genoprette systemer efter en hændelse .

Foreslåede bøder

Hvis en licenshaver overtræder de foreslåede forpligtelser, licensvilkårene eller et påbud fra IMDA, vil den maksimale økonomiske sanktion være det højeste af:

• 1 mio. S$, eller
• 10 procent af licenshaverens årlige omsætning i Singapore .

Modellen betyder, at den mulige sanktion kan følge virksomhedens størrelse på det singaporeanske marked i stedet for kun at være begrænset til et fast beløb. Lovudkastet indeholder også særskilte bestemmelser om levering af tjenester uden den krævede licens. Den præcise anvendelse bør vurderes ud fra lovteksten og den endelige lovgivning .

Bæredygtighedskrav til datacentre

DC-operatørordningen vil skabe et juridisk grundlag for bindende bæredygtighedsstandarder for datacentre på mindst 3 MW. Forslaget peger blandt andet på følgende områder:

• Energieffektivitet, herunder krav til Power Usage Effectiveness (PUE) .
• Vandeffektivitet, herunder målepunkter for Water Usage Effectiveness (WUE) .
• Energikilder, herunder overvejelser om brug af vedvarende energi og omfanget af udledningen af drivhusgasser .
• Drifts- og kapacitetsdata, for eksempel oplysninger der kan hjælpe myndighederne med at vurdere udnyttelsesgrad og andre økonomiske eller driftsmæssige bidrag .

Høringsmaterialet fastlægger dog ikke alle endelige talgrænser. De præcise PUE- og WUE-værdier, procentmål for vedvarende energi og eventuelle emissionsgrænser ventes i stedet at blive fastsat gennem underliggende lovgivning, standarder eller praksiskoder .

Det er en vigtig forskel for operatørerne: Lovforslaget etablerer licens- og håndhævelsesrammen, mens nogle af de konkrete mål for efterlevelse kommer senere.

Mulige fremtidige krav til udstyr og vandforbrug

Forslaget åbner også for, at der senere kan indføres yderligere krav. Det kan blandt andet dreje sig om:

• effektivitetsstandarder for IT-udstyr som servere og lagringssystemer, og
• yderligere krav til vandeffektivitet på anlægsniveau, herunder mulig regulering af kølesystemer og tilhørende infrastruktur .

De tilgængelige oplysninger beskriver dette som mulige fremtidige standarder – ikke som fuldt specificerede pligter med endelige tekniske grænser, der allerede gælder .

Hvorfor foreslår Singapore loven?

Baggrunden er både samfundets afhængighed af digital infrastruktur og Singapores begrænsede adgang til land, energi og vand. MDDI og IMDA beskriver datacentre og cloudtjenester som afgørende for den bredere digitale økonomi. Derfor kan driftsforstyrrelser få større konsekvenser, og det styrker argumentet for krav om højere robusthed .

Forslaget skal samtidig håndtere presset på energi, vand og areal, efterhånden som behovet for datacenterkapacitet vokser – blandt andet på grund af AI-arbejdsbelastninger . Bæredygtighed fremstilles derfor ikke som et frivilligt sideprojekt: DC-licensen skal give IMDA mulighed for at fastsætte og håndhæve grundlæggende miljøstandarder .

Rapporter og høringsmateriale henviser også til driftsforstyrrelser og nedbrud som en del af baggrunden for et skærpet tilsyn. De tilgængelige kilder dokumenterer dog ikke én samlet og udtømmende liste over hændelser eller alle de sektorspecifikke konsekvenser, som nogle omtaler. Den mere sikre konklusion er, at lovforslaget udspringer af en bredere bekymring for robustheden i en koncentreret digital infrastruktur – samtidig med at presset på ressourcerne vokser .

Høringens tidsplan

MDDI og IMDA lancerede den offentlige høring 1. juli 2026. Fristen for at indsende bemærkninger var 22. juli 2026 kl. 10.00 Singapore-tid. Bidrag kunne sendes via høringsprocessen hos REACH eller pr. e-mail til IMDA .

Forslaget skal derfor læses som en ramme på høringsstadiet – ikke som en endelig beskrivelse af alle tekniske krav. De mest umiddelbare konsekvenser er de to licensgrænser, de nye krav til robusthed og rapportering for store FDI-udbydere samt bevægelsen mod håndhævelige bæredygtighedsstandarder for datacentre på mindst 3 MW.