Projet de loi singapourien sur les infrastructures numériques : les changements à retenir

Le projet de Digital Infrastructure Bill de Singapour ferait entrer les principaux centres de données et services d’infrastructure cloud dans un nouveau cadre de licences administré par l’Infocomm Media Development Authority (IMDA), l’autorité singapourienne chargée des technologies de l’information et des médias.

Le texte poursuit deux objectifs liés : renforcer la sécurité et la résilience des infrastructures numériques essentielles, et améliorer la durabilité environnementale des centres de données installés à Singapour .

L’essentiel à retenir tient à la coexistence de deux régimes. La licence FDI majeure viserait les plus grands centres de données et fournisseurs cloud. La licence d’opérateur de centre de données (DC) s’appliquerait plus largement aux centres dépassant un seuil de puissance inférieur.

Qui devrait obtenir une licence ?

La licence FDI majeure

Le régime proposé pour les Foundational Digital Infrastructure (FDI) majeures couvrirait deux catégories de services :

• les services commerciaux d’infrastructure de centre de données fournis depuis un site affichant une charge informatique critique d’au moins 10 MW, lorsque le site sert d’autres entreprises ou organisations et pas uniquement son propre opérateur ;
• les services cloud Infrastructure as a Service (IaaS) et Platform as a Service (PaaS) ayant généré au moins 100 millions de dollars singapouriens de chiffre d’affaires annuel moyen auprès d’utilisateurs à Singapour au cours des trois années précédentes .

L’obligation concernerait les fournisseurs établis à Singapour comme ceux situés à l’étranger, dès lors qu’ils fournissent le service FDI concerné à des utilisateurs singapouriens . Les documents disponibles mentionnent les catégories IaaS et PaaS, mais pas le Software as a Service (SaaS), dans le cadre du seuil de chiffre d’affaires .

La licence d’opérateur de centre de données

Une seconde licence s’appliquerait aux centres de données situés à Singapour dont la charge informatique critique atteint au moins 3 MW . Ce régime vise surtout à établir et à faire respecter un socle d’exigences environnementales et d’efficacité des ressources pour l’ensemble du secteur, plutôt qu’à cibler uniquement les opérateurs les plus importants .

Un centre de données pourrait donc relever du régime DC sans atteindre le seuil de 10 MW requis pour être classé parmi les infrastructures FDI majeures. Les grands centres remplissant les conditions pourraient être soumis à la fois aux exigences générales liées à la licence DC et aux obligations supplémentaires de sécurité et de résilience applicables aux services FDI majeurs.

Quelles obligations pour les titulaires d’une licence FDI majeure ?

Le cadre envisagé ne se limiterait pas aux cyberattaques. Les fournisseurs concernés devraient gérer des risques numériques, physiques et opérationnels, notamment dans les domaines suivants :

• Cybersécurité : mettre en place des mesures pour protéger les centres de données et services cloud couverts, en complément du cadre existant du Cybersecurity Act ;
• sécurité physique : protéger les installations et les infrastructures contre les accès non autorisés et les autres menaces physiques ;
• continuité d’activité : maintenir des dispositifs destinés à assurer la poursuite des services en cas de perturbation ;
• reprise après sinistre : préparer et tenir à jour des plans permettant de rétablir les services après une panne ou un autre incident ;
• signalement des incidents : notifier à l’IMDA les incidents de cybersécurité et les interruptions pertinentes de fourniture des services, afin d’améliorer la visibilité du régulateur ;
• respect des règles applicables : se conformer aux conditions de licence ainsi qu’aux directives de l’IMDA .

La proposition adopte donc une conception large de la résilience. La continuité d’un service dépendrait à la fois de sa sécurité numérique, de la protection de ses installations, de sa préparation opérationnelle et de sa capacité à se remettre d’une défaillance .

Des pénalités potentiellement lourdes

Lorsqu’un titulaire de licence enfreindrait les obligations prévues, les conditions de sa licence ou une directive de l’IMDA, la pénalité financière maximale proposée serait le montant le plus élevé entre :

• 1 million de dollars singapouriens ;
• 10 % de son chiffre d’affaires annuel réalisé à Singapour .

Ce mécanisme ferait varier l’exposition financière selon l’activité de l’opérateur à Singapour, au lieu de prévoir uniquement un plafond fixe. Le projet prévoit également des infractions distinctes pour la fourniture d’un service sans la licence requise ; la portée précise de ces dispositions doit toutefois être appréciée à la lumière du texte du projet de loi et de la législation qui serait finalement adoptée .

Des normes environnementales pour les centres de données

Le régime de licence DC créerait la base juridique nécessaire à l’imposition de normes obligatoires de durabilité pour les centres de données d’au moins 3 MW. Les domaines envisagés comprennent notamment :

• l’efficacité énergétique, avec des exigences relatives au Power Usage Effectiveness (PUE), un indicateur de l’efficacité énergétique globale d’un centre de données ;
• l’efficacité dans l’utilisation de l’eau, avec des références au Water Usage Effectiveness (WUE) ;
• les sources d’énergie, notamment la prise en compte du recours aux énergies renouvelables et du niveau d’émissions de gaz à effet de serre ;
• les données opérationnelles et de capacité, qui pourraient aider les autorités à évaluer le taux d’utilisation et d’autres contributions économiques ou opérationnelles .

Les documents de consultation ne fixent pas encore tous les seuils chiffrés définitifs. Les valeurs précises du PUE et du WUE, les éventuels pourcentages d’énergie renouvelable et les plafonds d’émissions devraient être définis ultérieurement par des textes d’application, des normes ou des codes de pratique, plutôt que dans le cadre général présenté par le projet .

Cette distinction est importante pour les opérateurs : le projet établirait le cadre de licence et de contrôle, tandis que certaines cibles concrètes de conformité seraient précisées dans un second temps.

Vers un contrôle du matériel informatique et de la consommation d’eau ?

Le dispositif laisse également la possibilité d’introduire de nouvelles exigences à l’avenir. Elles pourraient porter sur :

• des normes d’efficacité pour les équipements informatiques, notamment les serveurs et les systèmes de stockage ;
• des exigences supplémentaires d’efficacité hydrique au niveau des installations, potentiellement pour les systèmes de refroidissement et les infrastructures associées .

Les informations disponibles présentent ces mesures comme des normes susceptibles d’être adoptées ultérieurement. Elles ne constituent pas encore des obligations entièrement définies avec des seuils techniques définitifs .

Pourquoi Singapour propose-t-il ce texte ?

La justification du projet repose sur deux réalités : la dépendance croissante de l’économie à l’égard des infrastructures numériques et les contraintes physiques propres à Singapour.

Le ministère du Développement numérique et de l’Information (MDDI) et l’IMDA considèrent les centres de données et les services cloud comme des éléments essentiels de l’économie numérique. Une interruption de ces services pourrait donc avoir des conséquences plus importantes, ce qui renforce l’argument en faveur d’exigences de résilience plus strictes .

Le projet répond également aux tensions croissantes sur l’électricité, l’eau et les terrains disponibles, alors que la demande de capacité de calcul augmente, notamment sous l’effet des charges de travail liées à l’intelligence artificielle . Dans ce contexte, la durabilité ne serait plus seulement une démarche volontaire : la licence DC donnerait à l’IMDA un moyen juridique d’imposer et de faire respecter des normes environnementales minimales .

Les rapports et documents de consultation évoquent aussi des interruptions de service et des pannes parmi les éléments ayant nourri la réflexion sur un contrôle accru. Les sources disponibles ne permettent toutefois pas d’établir une liste exhaustive d’incidents ni d’attribuer à chacun des effets précis dans certains secteurs. La conclusion la plus prudente est que le projet répond à une inquiétude plus large concernant la résilience d’infrastructures numériques concentrées, dans un contexte de contraintes croissantes sur les ressources .

Une consultation publique déjà clôturée

Le MDDI et l’IMDA ont lancé la consultation publique le 1er juillet 2026. Les contributions devaient être transmises avant le 22 juillet 2026 à 10 h, heure de Singapour, via le processus de consultation REACH ou par courrier électronique à l’IMDA .

Le texte doit donc être lu comme un projet soumis à consultation, et non comme une liste définitive de toutes les exigences techniques. À ce stade, les conséquences les plus nettes sont les deux seuils de licence, les nouvelles obligations de résilience et de signalement pour les principaux fournisseurs FDI, ainsi que l’orientation vers des normes environnementales contraignantes pour les centres de données d’au moins 3 MW.