싱가포르 디지털 인프라 법안, 데이터센터·클라우드 규제의 핵심

싱가포르가 제안한 **디지털 인프라 법안(Digital Infrastructure Bill)**은 대형 데이터센터와 클라우드 컴퓨팅 서비스를 새로운 허가 체계에 편입하는 내용을 담고 있다. 싱가포르 정보통신미디어개발청(IMDA)이 제도를 운영하며, 핵심 목표는 디지털 인프라의 보안·복원력을 높이고 데이터센터 운영의 환경 지속가능성을 강화하는 것이다 .

사업자가 가장 먼저 확인해야 할 부분은 두 가지 허가의 적용 기준이다. 주요 기반 디지털 인프라(Foundational Digital Infrastructure·FDI) 허가는 가장 규모가 큰 데이터센터와 클라우드 사업자를 겨냥하고, 데이터센터(DC) 운영자 허가는 더 낮은 전력 기준을 충족하는 싱가포르 내 데이터센터 전반에 적용될 예정이다.

어떤 사업자가 허가 대상인가

주요 FDI 허가

제안된 주요 FDI 제도는 다음 두 유형의 서비스를 대상으로 한다.

• 상업용 데이터센터 시설 서비스: 핵심 IT 부하(critical IT load)가 최소 10MW인 시설에서 제공되며, 운영자 자체 용도가 아니라 다른 기업이나 조직에 서비스를 제공하는 경우
• 서비스형 인프라(IaaS) 및 서비스형 플랫폼(PaaS): 직전 3년 동안 싱가포르 이용자에게서 올린 연평균 매출이 최소 **1억 싱가포르달러(S$100 million)**인 클라우드 서비스

사업자가 싱가포르에 소재하는지 여부는 적용 여부를 좌우하지 않는다. 해외 사업자라도 싱가포르 이용자에게 해당 주요 FDI 서비스를 제공하면 대상이 될 수 있다 . 현재 공개된 설명에서 매출 기준에 포함된 클라우드 유형은 IaaS와 PaaS이며, 서비스형 소프트웨어(SaaS)는 명시돼 있지 않다 .

DC 운영자 허가

별도의 DC 운영자 허가는 싱가포르에 위치한 데이터센터 가운데 핵심 IT 부하가 최소 3MW인 곳에 적용될 예정이다 . 이 제도의 주된 목적은 초대형 사업자에만 규제를 집중하는 것이 아니라 데이터센터 업계 전반에 환경·자원 효율성의 기본 기준을 세우고 이를 집행하는 데 있다 .

따라서 10MW 기준을 충족하지 않는 데이터센터라도 3MW 이상이면 DC 운영자 허가 대상이 될 수 있다. 규모가 큰 데이터센터는 DC 운영자 허가 요건과 함께 주요 FDI 서비스에 부과되는 추가적인 보안·복원력 의무까지 적용받을 가능성이 있다.

주요 FDI 허가 보유자에게 요구되는 사항

법안은 사이버 공격뿐 아니라 설비 고장, 물리적 침입, 운영 차질 등 비(非)사이버 위험까지 함께 다루는 방향이다. 주요 FDI 사업자는 다음과 같은 조치를 마련해야 할 수 있다.

• 사이버보안: 대상 데이터센터 시설과 클라우드 서비스를 보호하는 조치를 시행하고, 기존 싱가포르 사이버보안법 체계와 연계
• 물리적 보안: 무단 출입과 기타 물리적 위협으로부터 시설과 관련 인프라를 보호
• 업무연속성: 장애나 재난 상황에서도 서비스 운영을 이어가기 위한 체계를 유지
• 재해복구: 중단이나 사고 이후 서비스를 복구하기 위한 계획을 수립·유지
• 사고 보고: 주요 인프라에 영향을 미치는 관련 사이버보안 사고와 서비스 제공 중단을 IMDA에 보고
• 규제 준수: 허가 조건과 IMDA의 관련 지시를 이행

즉, 이번 제안은 사이버보안만을 관리하는 법안이 아니다. 서비스 연속성을 디지털 보안, 시설 보호, 운영 계획, 복구 역량을 합친 개념으로 보고 있다 .

제안된 제재 수준

허가 보유자가 법안상 의무, 허가 조건 또는 IMDA의 지시를 위반할 경우, 제안된 최대 금전 제재는 다음 중 더 큰 금액이다.

• 100만 싱가포르달러
• 사업자의 싱가포르 연간 매출액의 10%

고정된 상한만 두는 방식이 아니라 싱가포르 내 사업 규모에 따라 제재 가능 금액이 커지는 구조다. 또한 필요한 허가 없이 서비스를 제공하는 행위에 대해서는 별도의 위반 조항이 제안돼 있다. 다만 그 구체적인 적용 범위는 법안 원문과 향후 확정 법률을 함께 확인해야 한다 .

데이터센터 지속가능성 요건

DC 운영자 제도는 3MW 이상 데이터센터에 의무적인 지속가능성 기준을 적용할 수 있는 법적 근거를 마련한다. 공개된 협의 자료에서 언급된 주요 평가·보고 분야는 다음과 같다.

• 에너지 효율: 전력사용효율지수(PUE) 요건 등
• 물 효율: 물사용효율지수(WUE) 기준 등
• 에너지원: 재생에너지 사용 여부와 온실가스 배출 수준 등을 고려
• 운영·용량 데이터: 가동률과 기타 운영 현황, 경제적 기여도를 평가하는 데 활용될 수 있는 정보

다만 공개 협의 자료가 최종 수치를 확정한 것은 아니다. 구체적인 PUE·WUE 기준값, 재생에너지 비율, 배출 상한 등은 고위급 법안에 모두 고정돼 있지 않으며, 향후 하위 법령이나 표준, 실무 규범을 통해 정해질 것으로 예상된다 .

이 구분은 사업자에게 중요하다. 법안은 허가와 집행의 틀을 먼저 만들지만, 실제 운영 현장에서 지켜야 할 세부 목표치는 이후 별도로 제시될 수 있기 때문이다.

향후 장비·물 사용 규제로 확대될 가능성

제안된 체계는 추가 규제를 도입할 여지도 남겨두고 있다. 향후 다음과 같은 기준이 마련될 가능성이 언급됐다.

• 서버와 스토리지 시스템 등 IT 장비의 에너지 효율 기준
• 냉각 시스템과 관련 설비를 포함한 시설 단위 물 효율 기준

현재 공개된 자료는 이를 이미 확정된 기술 의무라기보다 향후 도입될 수 있는 기준으로 설명하고 있다. 최종 기술 수치가 정해졌다고 보기는 어렵다 .

싱가포르가 법안을 제안한 배경

싱가포르 정부가 제시한 정책 배경은 디지털 경제의 인프라 의존도와 국가의 물리적 자원 제약이 맞물린 데 있다. MDDI와 IMDA는 데이터센터와 클라우드 서비스를 디지털 경제의 핵심 기반으로 보고 있다. 이들 서비스가 중단되면 파급 효과가 커질 수 있는 만큼, 더 강한 복원력 기준이 필요하다는 설명이다 .

동시에 인공지능(AI) 관련 수요를 포함해 데이터센터 용량 수요가 커지면서 전력·물·토지에 대한 압박도 커지고 있다 . 이에 따라 지속가능성은 자율적인 권고 수준에 머무는 별도 정책이 아니라, DC 허가를 통해 IMDA가 환경 기준을 부과하고 집행할 수 있는 영역으로 제시됐다 .

서비스 장애와 중단 사례 역시 감독 강화의 배경으로 언급된다. 다만 제공된 자료만으로 특정 사건의 전체 목록을 확정하거나, 일부 보도에서 언급되는 모든 산업별 피해를 법안의 직접적 근거로 단정하기는 어렵다. 보다 신중한 결론은 집중된 디지털 인프라의 복원력에 대한 우려가 커졌고, 여기에 자원 제약이 더해지면서 법안이 제안됐다는 것이다 .

공공 의견수렴 일정

MDDI와 IMDA는 2026년 7월 1일 디지털 인프라 법안 초안에 대한 공공 의견수렴을 시작했다. 의견 제출 마감 시각은 싱가포르 시간 기준 2026년 7월 22일 오전 10시였으며, REACH 협의 절차 또는 IMDA 이메일을 통한 제출이 안내됐다 .

따라서 이 법안은 현재 확정된 모든 기술 요건을 담은 최종 규정이라기보다, 의견수렴 단계의 규제 틀로 이해해야 한다. 현재 가장 분명한 사업상 영향은 두 가지다. 첫째, 10MW와 3MW라는 데이터센터 전력 기준 및 클라우드 매출 기준에 따라 허가 필요 여부를 점검해야 한다. 둘째, 주요 FDI 사업자는 보안과 서비스 복구뿐 아니라 사고 보고 체계까지 준비해야 하며, 3MW 이상 데이터센터는 앞으로 강제력 있는 지속가능성 기준에 대비해야 한다.