Singapore haluaa lisenssit suurille datakeskuksille ja pilvipalveluille

Singapore ehdotti heinäkuussa 2026 uutta Digital Infrastructure Bill -lakia, joka toisi suuret datakeskukset ja tietyt pilvipalvelut Infocomm Media Development Authorityn (IMDA) hallinnoiman lisenssijärjestelmän piiriin. Tavoitteena on samanaikaisesti parantaa digitaalisen infrastruktuurin turvallisuutta ja toimintavarmuutta sekä tehdä datakeskusten toiminnasta ympäristön kannalta kestävämpää .

Lakiesityksen kannalta olennaista on erottaa kaksi eri lisenssiä: major Foundational Digital Infrastructure (FDI) -lisenssi koskisi kaikkein suurimpia datakeskus- ja pilvipalveluja, kun taas Data Centre (DC) Operator -lisenssi ulottuisi laajempaan joukkoon Singaporessa toimivia datakeskuksia.

Kuka tarvitsisi lisenssin?

Major FDI -lisenssi

Ehdotettu major FDI -sääntely koskisi kahta palveluryhmää:

• Kaupalliset datakeskuspalvelut, joita tarjotaan keskuksesta, jonka kriittinen IT-kuorma on vähintään 10 megawattia (MW) ja joka palvelee muita yrityksiä tai organisaatioita eikä ainoastaan keskuksen omaa operaattoria .
• Infrastructure as a Service (IaaS)- ja Platform as a Service (PaaS) -pilvipalvelut, joiden Singaporen käyttäjiltä saama keskimääräinen vuotuinen liikevaihto on ollut vähintään 100 miljoonaa Singaporen dollaria kolmen edeltävän vuoden aikana .

Vaatimus koskisi sekä Singaporeen sijoittautuneita että ulkomaisia palveluntarjoajia, jos ne tarjoavat kyseisiä merkittäviä FDI-palveluja Singaporen käyttäjille . Käytettävissä olevissa kuvauksissa mainitaan IaaS ja PaaS, mutta ei SaaS-palveluja, tämän liikevaihtorajan piirissä .

DC Operator -lisenssi

Erillinen DC Operator -lisenssi koskisi Singaporessa sijaitsevia datakeskuksia, joiden kriittinen IT-kuorma on vähintään 3 MW . Tämän lisenssitasoon painopiste olisi koko toimialaa koskevissa ympäristö- ja resurssitehokkuuden vähimmäisvaatimuksissa, ei vain suurimpien operaattorien valvonnassa .

Datakeskus voisi siis kuulua DC-lisenssin piiriin, vaikka se ei saavuttaisi major FDI -luokituksen 10 MW:n rajaa. Suuret vaatimukset täyttävät datakeskukset voisivat joutua noudattamaan sekä yleisiä DC-vaatimuksia että major FDI -palveluihin liitettyjä turvallisuus- ja toimintavarmuusvelvoitteita.

Mitä suurilta FDI-toimijoilta vaadittaisiin?

Lakiesitys kattaisi sekä kyberuhat että muut palvelukatkoja aiheuttavat riskit. Major FDI -lisenssin haltijoiden pitäisi muun muassa:

• huolehtia kyberturvallisuudesta ja suojata säänneltyjä datakeskus- ja pilvipalveluja Singaporen nykyistä Cybersecurity Act -kehikkoa täydentävillä toimilla ;
• suojata tilat fyysisesti luvattomalta pääsyltä ja muilta fyysisiltä uhilta ;
• ylläpitää liiketoiminnan jatkuvuutta koskevia järjestelyjä, joiden avulla palveluja voidaan jatkaa häiriötilanteissa ;
• laatia ja ylläpitää palautumissuunnitelmia palvelujen palauttamiseksi käyttökatkon tai muun häiriön jälkeen ;
• ilmoittaa IMDA:lle asiaankuuluvista kyberturvallisuus- ja palveluntuotannon häiriöistä, jotta viranomaisilla olisi parempi näkyvyys kriittiseen infrastruktuuriin vaikuttaviin tapahtumiin ;
• noudattaa lisenssiehtoja ja IMDA:n määräyksiä .

Kyse ei siis olisi pelkästään kyberlaista. Ehdotus käsittelee palvelujen jatkuvuutta kokonaisuutena, johon kuuluvat digitaalinen turvallisuus, fyysinen suojaus, operatiivinen suunnittelu ja häiriöistä palautuminen .

Millaisia seuraamuksia rikkomuksista voisi tulla?

Jos lisensinhaltija rikkoisi ehdotettuja velvoitteita, lisenssiehtoja tai IMDA:n määräystä, taloudellinen seuraamus voisi olla enintään:

• 1 miljoona Singaporen dollaria tai
• 10 prosenttia lisensinhaltijan Singaporessa saamasta vuosiliikevaihdosta – sen mukaan, kumpi summa on suurempi .

Sakko ei siten olisi vain kiinteä enimmäismäärä, vaan voisi kasvaa operaattorin Singaporen-liiketoiminnan koon mukaan. Lakiluonnoksessa ehdotetaan lisäksi erillisiä rikkomuksia palvelun tarjoamisesta ilman vaadittua lisenssiä. Näiden säännösten tarkka soveltaminen on arvioitava lakitekstin ja mahdollisen lopullisen lainsäädännön perusteella .

Datakeskuksille tulisi sitovia vastuullisuussääntöjä

DC Operator -järjestelmä loisi oikeudellisen perustan vähintään 3 MW:n datakeskuksia koskeville pakollisille vastuullisuusstandardeille. Arvioinnissa ja raportoinnissa voitaisiin tarkastella esimerkiksi seuraavia asioita:

• energiatehokkuutta, mukaan lukien Power Usage Effectiveness (PUE) -vaatimukset ;
• vedenkäytön tehokkuutta, mukaan lukien Water Usage Effectiveness (WUE) -vertailuarvot ;
• energialähteitä, kuten uusiutuvan energian käyttöä ja kasvihuonekaasupäästöjen määrää ;
• toiminta- ja kapasiteettitietoja, joiden avulla viranomaiset voisivat arvioida käyttöastetta sekä muita toiminnan taloudellisia tai operatiivisia vaikutuksia .

Kuulemisasiakirjat eivät kuitenkaan vielä määrittele kaikkia lopullisia numeerisia raja-arvoja. Esimerkiksi täsmälliset PUE- ja WUE-arvot, uusiutuvan energian osuudet ja päästökatot oli tarkoitus valmistella myöhemmin alemmanasteisella lainsäädännöllä, standardeilla tai käytännesäännöillä .

Tällä erolla on käytännössä merkitystä operaattoreille: laki loisi lisensointi- ja valvontakehyksen, mutta osa konkreettisista vaatimuksista määriteltäisiin vasta myöhemmin.

Myös laitteet ja jäähdytyksen vedenkulutus voivat joutua sääntelyyn

Ehdotettu kehikko jättäisi mahdollisuuden uusiin vaatimuksiin tulevaisuudessa. Ne voisivat koskea esimerkiksi:

• IT-laitteiden, kuten palvelinten ja tallennusjärjestelmien, energiatehokkuutta;
• datakeskusten vedenkäyttöä koskevia lisävaatimuksia, jotka voisivat ulottua jäähdytysjärjestelmiin ja muuhun niihin liittyvään infrastruktuuriin .

Kuulemisesta saatavilla olevissa kuvauksissa nämä ovat mahdollisia tulevia standardeja, eivät jo valmiiksi yksityiskohtaisesti määriteltyjä velvoitteita, joille olisi asetettu lopulliset tekniset raja-arvot .

Miksi Singapore ehdotti lakia?

Taustalla on digitaalisen infrastruktuurin kasvava merkitys ja Singaporen rajallinen tila ja resurssipohja. MDDI ja IMDA pitävät datakeskuksia ja pilvipalveluja koko digitaalitalouden kannalta olennaisina. Siksi niiden häiriöillä voi olla aiempaa laajempia seurauksia, mikä vahvistaa perustetta tiukemmille toimintavarmuusvaatimuksille .

Samalla datakeskuskapasiteetin kasvava kysyntä, mukaan lukien tekoälykuormien synnyttämä kysyntä, lisää painetta sähkön, veden ja maan käyttöön . Tässä mallissa vastuullisuus ei jäisi vapaaehtoiseksi aloitteeksi, vaan DC-lisenssi antaisi IMDA:lle keinon asettaa ja valvoa datakeskusten ympäristöä koskevia vähimmäisstandardeja .

Raporteissa ja kuulemisasiakirjoissa palvelukatkot ja käyttökatkot mainitaan yhtenä taustana tiukemmalle valvonnalle. Käytettävissä olevat lähteet eivät kuitenkaan muodosta yhtä tyhjentävää luetteloa tapauksista eivätkä tue kaikkia niihin joskus liitettyjä toimialakohtaisia vaikutuksia. Varovaisin johtopäätös on, että lakiesitys vastaa laajempaan huoleen keskittyneen digitaalisen infrastruktuurin toimintavarmuudesta samalla, kun resurssirajoitteet kiristyvät .

Julkinen kuuleminen on jo päättynyt

MDDI ja IMDA käynnistivät lakiesitystä koskevan julkisen kuulemisen 1. heinäkuuta 2026. Palautteen määräaika oli 22. heinäkuuta 2026 kello 10.00 Singaporen aikaa, ja lausuntoja pystyi toimittamaan REACH-kuulemisprosessin kautta tai sähköpostitse IMDA:lle .

Kyseessä on siis kuulemisvaiheen ehdotus, ei lopullinen kuvaus kaikista teknisistä vaatimuksista. Tällä hetkellä selkeimmät vaikutukset ovat kaksi lisenssirajaa, major FDI -palveluntarjoajille suunnitellut uudet turvallisuus- ja raportointivelvoitteet sekä vähintään 3 MW:n datakeskuksia koskevien sitovien vastuullisuusstandardien valmistelu.