シンガポールのデジタルインフラ法案を解説：誰にライセンスが必要か

シンガポール政府は、データセンターやクラウドサービスを対象にしたデジタルインフラ法案を提案しています。情報通信メディア開発庁（IMDA）が新しいライセンス制度を運用し、重要なデジタル基盤の安全性・復旧力と、データセンター運用の環境面の持続可能性を高める狙いです 。

ポイントは、規模や事業内容に応じて2種類のライセンスを設けることです。最大規模のデータセンターやクラウド事業者には、サイバー面に限らない幅広いレジリエンス義務が課されます。一方、より広い範囲のデータセンターには、エネルギーや水の効率利用に関する基準が適用されます。

ライセンスが必要になる事業者

主要FDIライセンス

「FDI」は、**Foundational Digital Infrastructure（基盤デジタルインフラ）**の略です。法案では、次の2種類のサービスが「主要FDI」に該当します。

• 商用データセンター施設サービス：クリティカルIT負荷が少なくとも10MWの施設から提供され、運営事業者自身だけでなく、他の企業や組織にサービスを提供するもの 。
• クラウドサービス：シンガポールの利用者から、過去3年間に年平均で少なくとも1億Sドルの売上を得たIaaSまたはPaaS 。

IaaSはサーバーやストレージなどのIT基盤を、PaaSはアプリケーション開発・実行の基盤を提供するサービスです。今回、売上高の基準で明示されているのはIaaSとPaaSであり、SaaSは対象カテゴリーとして示されていません 。

提供事業者がシンガポール国内にあるか海外にあるかは問われません。シンガポールの利用者に該当する主要FDIサービスを提供する場合、海外事業者も対象となる可能性があります 。

DCオペレーターライセンス

別の「DCオペレーターライセンス」は、シンガポール国内にある、クリティカルIT負荷が3MW以上のデータセンターに適用されます 。

この制度は、最大手だけを対象にするのではなく、データセンター業界全体に環境・資源効率の最低基準を設け、実施を促すことが主な目的です 。そのため、3MW以上10MW未満のデータセンターはDCライセンスの対象になっても、主要FDIライセンスの10MW基準には達しない場合があります。

一方、10MW以上の大規模データセンターは、DCライセンスに加えて、主要FDIサービスに伴うセキュリティーや事業継続の義務も負う可能性があります。

主要FDIライセンス保有者に求められること

法案が想定するのは、サイバー攻撃だけでなく、設備の故障、物理的な侵入、設定ミスなども含めたサービス停止リスクへの対応です 。主な義務は次のとおりです。

• サイバーセキュリティー：対象となるデータセンター施設やクラウドサービスを保護する措置を講じる。既存のサイバーセキュリティー法制を補完する位置付けです 。
• 物理セキュリティー：施設や関連インフラへの不正侵入など、物理的な脅威に対処する 。
• 事業継続：障害や混乱が起きてもサービスを継続できる体制を整える 。
• 災害復旧：停止や事故の後にサービスを復旧する計画を策定・維持する 。
• インシデント報告：関連するサイバーセキュリティー事故やサービス提供の中断をIMDAに報告する 。
• 規制対応：ライセンス条件やIMDAの指示に従う 。

つまり、求められるのは防御策だけではありません。障害を想定した計画、復旧能力、そして規制当局への速やかな情報共有まで含む、運用全体のレジリエンスです。

違反時の罰金

ライセンス保有者が法案上の義務、ライセンス条件、またはIMDAの指示に違反した場合、金銭的制裁の上限は次のうち高い方とされています 。

• 100万Sドル
• シンガポール国内の年間売上高の10％

固定額だけでなく、シンガポールでの事業規模に応じて制裁額が大きくなり得る仕組みです。必要なライセンスを取得せずにサービスを提供する行為については、別途違反規定が設けられる案となっていますが、具体的な適用は法案本文と最終的な立法内容の確認が必要です 。

3MW以上のデータセンターに広がる環境規制

DCオペレーター制度は、3MW以上のデータセンターに対する環境・資源効率基準を法的に設定する土台になります。検討されている主な項目は以下のとおりです。

• 電力効率：PUE（Power Usage Effectiveness、電力使用効率）に関する基準 。
• 水効率：WUE（Water Usage Effectiveness、水使用効率）に関するベンチマーク 。
• エネルギー源：再生可能エネルギーの利用状況や温室効果ガス排出の程度 。
• 運用・容量データ：設備の利用状況や、経済的・運用上の貢献を評価するためのデータ 。

ただし、公開された協議資料の段階では、PUEやWUEの具体的な数値、再生可能エネルギーの比率、排出量の上限までは確定していません 。これらの実務的な基準は、今後の下位法令、標準、実務規範などで定められる見込みです。

したがって、法案が成立しても、すべての技術要件が直ちに確定するわけではありません。法案はライセンスと執行の枠組みを示し、具体的な達成目標は後から整備される可能性があります。

IT機器や冷却設備への規制も将来対象に

法案は、今後さらに規制を広げられる余地も残しています。想定されるのは、次のような追加基準です 。

• サーバーやストレージなど、IT機器のエネルギー効率基準
• 冷却システムなどを含む、施設レベルの水効率基準

これらは現時点で最終的な数値基準が定められた義務ではなく、将来導入され得る基準として説明されています 。

なぜ法案が提案されたのか

MDDI（デジタル開発・情報省）とIMDAは、データセンター施設とクラウドサービスをデジタル経済の基盤と位置付けています。これらが止まれば影響が広範囲に及ぶため、重要インフラとして安全性と復旧力を高める必要があるという考えです 。

背景には、AI関連の処理需要を含むデータセンター需要の拡大があります。シンガポールでは、電力、水、土地といった資源への制約が強まっており、データセンターの増設を進める際にも、効率性と環境負荷が重要な論点になっています 。

また、過去のサービス障害や停止も、監督強化の背景として協議資料や報道で取り上げられています。ただし、提供された資料だけから、特定の事故が法案の唯一の直接的な契機だったと断定したり、すべての業界影響を列挙したりすることはできません。より確実に言えるのは、集中度の高いデジタルインフラの継続性と、資源制約への懸念が重なっているという点です 。

公開意見募集の期限

MDDIとIMDAは、法案について2026年7月1日に公開意見募集を開始しました。意見の提出期限は、シンガポール時間の2026年7月22日午前10時で、REACHの協議プロセスまたはIMDA宛ての電子メールでの提出が案内されていました 。

この期限はすでに過ぎており、現時点での法案は最終法ではなく、協議段階の提案です。事業者にとって特に重要なのは、次の3点です。

1. 10MW以上のデータセンターと、一定規模以上のIaaS・PaaSに主要FDIライセンスが必要になること。
2. 対象事業者に、サイバー対策だけでなく、物理セキュリティー、事業継続、災害復旧、インシデント報告が求められること。
3. 3MW以上のデータセンターに、数値の詳細が今後定められる環境・資源効率基準が適用される方向であること。

今後は、法案の最終化に加え、PUE・WUE、再生可能エネルギー、排出量などの具体的な基準がどのように定められるかが、実務上の焦点になります。