La propuesta de ley digital de Singapur, explicada: nuevas licencias para centros de datos y servicios cloud

IaaS proporciona recursos informáticos bajo demanda, mientras que PaaS ofrece una plataforma para desarrollar y ejecutar aplicaciones. Las descripciones disponibles mencionan estas dos categorías, pero no SaaS —software como servicio—, como parte del umbral de ingresos .

La obligación se aplicaría tanto a proveedores establecidos en Singapur como a proveedores extranjeros, siempre que presten el servicio regulado a usuarios en Singapur .

Licencia de operador de centros de datos

Una licencia separada se aplicaría a los centros de datos situados en Singapur con una carga crítica de TI de al menos 3 MW . Este segundo nivel está concebido principalmente para establecer y hacer cumplir requisitos básicos de sostenibilidad ambiental y eficiencia en el uso de recursos en todo el sector, no solo entre los operadores más grandes .

Por tanto, un centro de datos podría necesitar una licencia de operador sin alcanzar el umbral de 10 MW que activa la clasificación como FDI principal. Los centros de datos grandes que cumplan ambos criterios podrían quedar sujetos a los requisitos generales de la licencia DC y a las obligaciones adicionales de seguridad y resiliencia aplicables a los servicios FDI principales.

¿Qué obligaciones tendrían los grandes proveedores?

El proyecto no se limita a los riesgos de ciberseguridad. Los proveedores de FDI principales tendrían que gestionar también riesgos físicos y operativos, entre ellos:

• Ciberseguridad: adoptar medidas para proteger las instalaciones de centros de datos y los servicios cloud regulados, en complemento de la legislación de ciberseguridad vigente en Singapur .
• Seguridad física: proteger las instalaciones y la infraestructura frente a accesos no autorizados y otras amenazas físicas .
• Continuidad de negocio: mantener mecanismos destinados a que los servicios sigan funcionando durante una interrupción .
• Recuperación ante desastres: preparar y mantener planes para restaurar los servicios después de una caída u otro incidente .
• Notificación de incidentes: informar a la IMDA sobre determinados incidentes de ciberseguridad y alteraciones en la prestación de servicios, lo que permitiría al regulador conocer mejor los problemas que afecten a la infraestructura más importante .
• Cumplimiento regulatorio: respetar las condiciones de la licencia y las instrucciones aplicables de la IMDA .

El enfoque propuesto entiende la continuidad del servicio como una combinación de seguridad digital, protección física, planificación operativa y capacidad de recuperación .

Sanciones propuestas

Si un licenciatario incumpliera las obligaciones del proyecto, las condiciones de su licencia o una instrucción de la IMDA, la sanción económica máxima sería la cifra más alta entre:

• S$1 millón; o
• el 10 % de su facturación anual en Singapur .

La fórmula haría que la posible exposición económica creciera junto con el negocio del operador en Singapur, en lugar de limitarse a una cantidad fija. El borrador también contempla infracciones separadas por prestar un servicio sin la licencia exigida; la aplicación concreta de esas disposiciones debe analizarse a la luz del texto del proyecto y de la legislación que finalmente se apruebe .

Qué cambiaría en materia de sostenibilidad

El régimen de operadores de centros de datos proporcionaría la base legal para imponer estándares obligatorios de sostenibilidad a las instalaciones de al menos 3 MW. Entre las áreas previstas figuran:

• Eficiencia energética, incluido el uso de requisitos de Power Usage Effectiveness (PUE), un indicador de la eficiencia energética total de un centro de datos .
• Eficiencia hídrica, con posibles referencias a indicadores de Water Usage Effectiveness (WUE) .
• Fuentes de energía, considerando el uso de energías renovables y el nivel de emisiones de gases de efecto invernadero .
• Datos operativos y de capacidad, incluida información que ayude al regulador a evaluar la utilización de las instalaciones y otras aportaciones económicas u operativas .

Sin embargo, los documentos de consulta no fijan todavía todos los valores numéricos definitivos. En particular, no establecen de forma final los umbrales concretos de PUE y WUE, los porcentajes de energía renovable ni los límites de emisiones. Esos objetivos se desarrollarían previsiblemente mediante legislación secundaria, estándares o códigos de práctica .

La distinción es importante para los operadores: el proyecto establecería el marco de licencias y cumplimiento, pero algunos objetivos técnicos concretos llegarían en una fase posterior.

Posibles controles futuros sobre equipos y agua

La propuesta también dejaría margen para introducir nuevos requisitos más adelante. Entre ellos podrían figurar:

• estándares de eficiencia para equipos informáticos, como servidores y sistemas de almacenamiento; y
• requisitos adicionales de eficiencia hídrica a escala de las instalaciones, potencialmente aplicables a sistemas de refrigeración y otra infraestructura relacionada .

La información disponible describe estas medidas como posibles estándares futuros, no como obligaciones completamente definidas con umbrales técnicos ya aprobados .

Por qué Singapur propone esta regulación

La justificación combina la dependencia de la economía digital con las limitaciones físicas del país. El Ministerio de Desarrollo Digital y de la Información (MDDI) y la IMDA consideran que los centros de datos y los servicios cloud son esenciales para la economía digital, por lo que una interrupción puede tener consecuencias más amplias y justificar mayores exigencias de resiliencia .

La propuesta también responde a la presión sobre la electricidad, el agua y el suelo a medida que aumenta la demanda de capacidad de centros de datos, incluida la asociada a las cargas de trabajo de inteligencia artificial . En ese contexto, la sostenibilidad dejaría de ser únicamente una iniciativa voluntaria: la licencia DC daría a la IMDA una herramienta para imponer y hacer cumplir estándares ambientales básicos .

Los informes y materiales de consulta mencionan además interrupciones y caídas de servicio como parte del contexto de una supervisión más estricta. No obstante, las fuentes disponibles no ofrecen una lista exhaustiva de incidentes ni respaldan todas las consecuencias sectoriales que en ocasiones se les atribuyen. La conclusión más prudente es que el proyecto responde a una preocupación general por la resiliencia de una infraestructura digital concentrada, junto con el aumento de las restricciones sobre los recursos .

La consulta pública ya terminó

El MDDI y la IMDA abrieron la consulta pública el 1 de julio de 2026. El plazo para presentar comentarios finalizó a las 10:00 del 22 de julio de 2026, hora de Singapur. Las respuestas podían enviarse a través del proceso de consulta de REACH o por correo electrónico a la IMDA .

Por ello, el texto debe entenderse como un marco en fase de consulta y no como una descripción definitiva de todos los requisitos técnicos. Sus efectos más claros serían la creación de dos umbrales de licencia, nuevas obligaciones de resiliencia y notificación para los grandes proveedores de FDI y el avance hacia estándares ambientales exigibles para los centros de datos de al menos 3 MW.