Singapore, la proposta di legge sull’infrastruttura digitale: chi dovrà ottenere una licenza e cosa cambia

Singapore vuole sottoporre una parte rilevante della propria infrastruttura digitale a un nuovo sistema di licenze. Il progetto di Digital Infrastructure Bill, presentato dal Ministry of Digital Development and Information (MDDI) e dall’Infocomm Media Development Authority (IMDA), combina due obiettivi: aumentare la sicurezza e la resilienza dei servizi digitali essenziali e rendere più sostenibili le attività dei data center .

Il punto centrale è la distinzione tra due autorizzazioni. La licenza per le major Foundational Digital Infrastructure (FDI) sarebbe rivolta ai data center e ai fornitori cloud più grandi; la più ampia licenza per gli operatori di data center (DC Operator licence) riguarderebbe invece le strutture che superano una soglia energetica più bassa.

Chi dovrebbe ottenere una licenza?

Licenza major FDI

Il regime major FDI comprenderebbe due categorie di servizi:

• Servizi commerciali di struttura per data center erogati da un impianto con un carico IT critico di almeno 10 MW, quando la struttura serve altre imprese o organizzazioni e non soltanto il proprio operatore .
• Servizi cloud Infrastructure as a Service (IaaS) e Platform as a Service (PaaS) che abbiano generato, nei tre anni precedenti, almeno 100 milioni di dollari di Singapore (S$) di ricavi medi annui dagli utenti di Singapore .

L’obbligo varrebbe sia per i provider stabiliti a Singapore sia per quelli esteri, se forniscono a utenti di Singapore un servizio major FDI rilevante . Le descrizioni disponibili indicano IaaS e PaaS, ma non SaaS, come categorie cloud soggette alla soglia di ricavi .

Licenza per gli operatori di data center

Una licenza distinta, la DC Operator licence, si applicherebbe ai data center situati a Singapore con un carico IT critico di almeno 3 MW . Questo livello è pensato soprattutto per definire e far rispettare requisiti ambientali e di efficienza nell’uso delle risorse validi per un segmento più ampio del settore, non solo per i maggiori operatori .

Di conseguenza, un data center potrebbe rientrare nel regime DC senza raggiungere la soglia di 10 MW necessaria per essere classificato come major FDI. Le strutture di grandi dimensioni che soddisfano entrambi i criteri potrebbero essere sottoposte sia agli obblighi generali previsti per i data center sia ai requisiti aggiuntivi di sicurezza e resilienza dei servizi major FDI.

Cosa cambierebbe per i titolari di una licenza major FDI?

Il quadro proposto non si limita ai rischi informatici. I fornitori major FDI dovrebbero gestire anche i rischi fisici e operativi che possono interrompere un servizio. Gli obblighi principali riguarderebbero:

• Cybersicurezza: adottare misure per proteggere le strutture di data center e i servizi cloud coperti, in coordinamento con il quadro già previsto dal Cybersecurity Act di Singapore .
• Sicurezza fisica: proteggere impianti e infrastrutture da accessi non autorizzati e altre minacce materiali .
• Continuità operativa: predisporre procedure per mantenere i servizi attivi durante eventuali interruzioni .
• Disaster recovery: elaborare e mantenere piani per ripristinare i servizi dopo un guasto o un altro incidente .
• Segnalazione degli incidenti: notificare a IMDA gli incidenti di cybersicurezza rilevanti e le interruzioni nella fornitura dei servizi, così da migliorare la visibilità del regolatore sugli eventi che colpiscono le infrastrutture principali .
• Conformità regolamentare: rispettare le condizioni della licenza e le eventuali direttive impartite da IMDA .

L’impostazione è quindi più ampia di un regime dedicato esclusivamente agli attacchi informatici. La continuità dei servizi viene considerata il risultato di più fattori: sicurezza digitale, protezione fisica, pianificazione operativa e capacità di recupero .

Le sanzioni proposte

Per la violazione degli obblighi previsti, delle condizioni della licenza o di una direttiva di IMDA, la sanzione finanziaria massima sarebbe pari al valore più alto tra:

• 1 milione di S$; oppure
• il 10% del fatturato annuo realizzato a Singapore dal titolare della licenza .

Il meccanismo farebbe quindi dipendere l’esposizione economica anche dalle dimensioni dell’attività svolta nel Paese, invece di applicare soltanto un tetto fisso. La proposta prevede inoltre reati distinti per chi fornisce un servizio senza la licenza richiesta; l’applicazione precisa di queste disposizioni dovrà essere valutata alla luce del testo del Bill e dell’eventuale legge definitiva .

Sostenibilità: energia, acqua ed emissioni

Il regime DC Operator creerebbe la base giuridica per imporre standard di sostenibilità ai data center con un carico IT critico di almeno 3 MW. Le aree considerate comprendono:

• Efficienza energetica, anche attraverso requisiti di Power Usage Effectiveness (PUE) . Il PUE misura quanta energia complessiva consuma un data center rispetto a quella utilizzata direttamente dalle apparecchiature IT.
• Efficienza idrica, con parametri di Water Usage Effectiveness (WUE) .
• Fonti energetiche, tenendo conto dell’uso di energia rinnovabile e dell’entità delle emissioni di gas serra .
• Dati operativi e di capacità, comprese informazioni utili a valutare l’utilizzo delle strutture e altri contributi economici o operativi .

È importante distinguere tra il quadro autorizzativo e gli standard tecnici. I documenti della consultazione non fissano tutti i valori numerici definitivi: in particolare, non stabiliscono ancora le soglie PUE e WUE, le percentuali di energia rinnovabile o eventuali limiti alle emissioni. Questi parametri dovrebbero essere sviluppati successivamente attraverso legislazione secondaria, standard o codici di condotta .

Per gli operatori, ciò significa che il Bill definirebbe licenze e poteri di controllo, mentre diversi obiettivi pratici di conformità arriverebbero in una fase successiva.

Possibili regole future su apparecchiature e consumo d’acqua

La proposta lascia inoltre spazio all’introduzione di ulteriori requisiti, tra cui:

• standard di efficienza per apparecchiature IT come server e sistemi di archiviazione;
• requisiti aggiuntivi di efficienza idrica a livello di struttura, potenzialmente applicabili ai sistemi di raffreddamento e alle infrastrutture collegate .

Le informazioni disponibili descrivono queste misure come possibili standard futuri, non come obblighi già definiti con soglie tecniche finali .

Perché Singapore ha proposto il Digital Infrastructure Bill

La motivazione politica unisce la crescente dipendenza dall’infrastruttura digitale ai limiti fisici del territorio. MDDI e IMDA considerano data center e servizi cloud componenti essenziali dell’economia digitale: eventuali interruzioni possono avere conseguenze più ampie e giustificano requisiti più stringenti di resilienza .

Il progetto risponde anche alla pressione su energia, acqua e suolo mentre cresce la domanda di capacità di calcolo, inclusa quella legata ai carichi di lavoro dell’intelligenza artificiale . In quest’ottica, la sostenibilità non sarebbe soltanto un’iniziativa volontaria: la licenza DC offrirebbe a IMDA uno strumento per imporre e far rispettare standard ambientali di base .

I materiali della consultazione e i resoconti sul progetto citano inoltre interruzioni e disservizi come parte del contesto che ha spinto verso una supervisione più forte. Le fonti disponibili, tuttavia, non definiscono un elenco esaustivo di incidenti né dimostrano ogni impatto settoriale talvolta associato a questi eventi. La conclusione più prudente è che il Bill risponda a una preoccupazione più ampia sulla resilienza di un’infrastruttura digitale concentrata, insieme all’aumento dei vincoli sulle risorse .

Consultazione pubblica: date e stato della proposta

MDDI e IMDA hanno avviato la consultazione pubblica il 1° luglio 2026. Il termine per inviare osservazioni era fissato alle 10:00 del 22 luglio 2026, ora di Singapore; i contributi potevano essere trasmessi attraverso il processo di consultazione REACH o via e-mail a IMDA .

La proposta va quindi letta come un quadro ancora in fase di consultazione, non come un elenco definitivo di tutti i requisiti tecnici. Le conseguenze più immediate indicate dal progetto sono le due soglie di licenza, i nuovi obblighi di resilienza e segnalazione per i provider major FDI e il passaggio verso standard ambientali applicabili e verificabili per i data center da almeno 3 MW.