Singaporese wetsvoorstel zet datacenters en cloud onder toezicht

De verplichting zou gelden voor aanbieders in Singapore én voor aanbieders in het buitenland die de relevante major FDI-diensten leveren aan gebruikers in Singapore . De beschikbare omschrijvingen noemen IaaS en PaaS als de cloudcategorieën die onder de omzetdrempel vallen; Software as a Service (SaaS) wordt daar niet genoemd .

2. DC Operator-licentie vanaf 3 MW

Een afzonderlijke DC Operator-licentie zou van toepassing zijn op datacenters in Singapore met een kritieke IT-belasting van minstens 3 MW . Deze licentie is vooral bedoeld om basiseisen voor milieu- en hulpbronnenefficiëntie in de hele datacentersector vast te leggen en te handhaven, niet alleen bij de grootste aanbieders .

Een datacenter kan daardoor wel onder de DC-regels vallen zonder de drempel van 10 MW voor een major FDI-classificatie te halen. Grote datacenters die aan beide voorwaarden voldoen, kunnen zowel met de algemene DC-eisen als met aanvullende verplichtingen voor veiligheid en weerbaarheid te maken krijgen.

Wat moeten grote FDI-aanbieders doen?

De voorgestelde regels gaan verder dan alleen cybersecurity. Major FDI-aanbieders zouden zowel digitale als fysieke en operationele risico’s moeten beheersen. De belangrijkste verplichtingen zijn:

• Cybersecurity: maatregelen nemen om de betrokken datacenterfaciliteiten en clouddiensten te beveiligen, als aanvulling op de bestaande Cybersecurity Act .
• Fysieke beveiliging: locaties en infrastructuur beschermen tegen onbevoegde toegang en andere fysieke dreigingen .
• Bedrijfscontinuïteit: regelingen treffen om diensten tijdens een verstoring zo veel mogelijk operationeel te houden .
• Disaster recovery: plannen opstellen en onderhouden om diensten na een storing of ander incident te herstellen .
• Incidentrapportage: relevante cybersecurity-incidenten en verstoringen in de dienstverlening melden aan IMDA .
• Naleving: licentievoorwaarden en toepasselijke aanwijzingen van IMDA opvolgen .

De voorgestelde wet bekijkt continuïteit dus als een combinatie van digitale beveiliging, fysieke bescherming, operationele voorbereiding en herstelvermogen .

Mogelijke boetes lopen mee met de omzet

Wie als licentiehouder de voorgestelde verplichtingen, licentievoorwaarden of een aanwijzing van IMDA schendt, zou een financiële sanctie kunnen krijgen van maximaal het hoogste van:

• S$1 miljoen; of
• 10 procent van de jaarlijkse omzet van de licentiehouder in Singapore .

De mogelijke blootstelling groeit daarmee mee met de omvang van de Singaporese activiteiten, in plaats van te blijven steken op een vast maximumbedrag. Het ontwerp voorziet daarnaast in afzonderlijke strafbare feiten voor het leveren van een dienst zonder de vereiste licentie. De precieze toepassing daarvan moet worden beoordeeld aan de hand van de tekst van het wetsvoorstel en eventuele definitieve wetgeving .

Datacenters krijgen ook duurzaamheidsverplichtingen

De DC Operator-regels zouden een wettelijke basis creëren voor verplichte duurzaamheidsnormen voor datacenters vanaf 3 MW. Daarbij wordt onder meer gedacht aan:

• Energie-efficiëntie, waaronder eisen voor de Power Usage Effectiveness (PUE) . PUE meet hoeveel energie een datacenter in totaal verbruikt in verhouding tot de energie die rechtstreeks naar IT-apparatuur gaat.
• Water-efficiëntie, waaronder benchmarks voor Water Usage Effectiveness (WUE) .
• Energiebronnen, met aandacht voor het gebruik van hernieuwbare energie en de omvang van broeikasgasemissies .
• Operationele en capaciteitsgegevens, zodat toezichthouders het gebruik van de capaciteit en andere economische of operationele bijdragen kunnen beoordelen .

De consultatiedocumenten leggen nog niet alle definitieve cijfers vast. De precieze PUE- en WUE-drempels, percentages voor hernieuwbare energie en emissieplafonds zouden naar verwachting later worden uitgewerkt in onderliggende regelgeving, normen of gedragscodes .

Dat onderscheid is belangrijk voor exploitanten: de wet zou het vergunningen- en handhavingskader vastleggen, terwijl een deel van de concrete technische doelstellingen pas later volgt.

Mogelijk later ook regels voor apparatuur en watergebruik

Het voorstel laat ruimte voor aanvullende verplichtingen in een volgende fase. Het kan daarbij gaan om:

• efficiëntienormen voor IT-apparatuur, zoals servers en opslagsystemen; en
• aanvullende eisen voor watergebruik op locatieniveau, mogelijk voor koelsystemen en aanverwante infrastructuur .

Volgens de beschikbare informatie gaat het hier om mogelijke toekomstige normen, niet om volledig uitgewerkte verplichtingen met al vastgestelde technische drempelwaarden .

Waarom komt Singapore met dit voorstel?

De beleidsreden bestaat uit twee delen: Singapore is sterk afhankelijk van digitale infrastructuur en heeft tegelijk beperkte fysieke hulpbronnen. MDDI, het Ministry of Digital Development and Information, en IMDA beschouwen datacenters en clouddiensten als onmisbaar voor de bredere digitale economie. Daardoor kunnen verstoringen grotere gevolgen hebben en ontstaat er meer aanleiding voor strengere eisen aan weerbaarheid .

Daarnaast staat de sector onder druk door het groeiende verbruik van energie, water en land. Die druk neemt toe door de vraag naar datacentercapaciteit voor onder meer AI-toepassingen . Duurzaamheid wordt in het voorstel niet als een volledig vrijwillig initiatief behandeld: de DC-licentie zou IMDA de mogelijkheid geven om basiseisen voor milieuprestaties op te leggen en te handhaven .

Rapporten en consultatiestukken verwijzen ook naar storingen en uitval van digitale diensten als achtergrond voor het strengere toezicht. De beschikbare bronnen geven echter geen volledige, uitputtende lijst van incidenten en onderbouwen niet iedere sectorspecifieke impact die daar soms aan wordt gekoppeld. De meest voorzichtige conclusie is dat Singapore reageert op een bredere zorg over de weerbaarheid van geconcentreerde digitale infrastructuur, naast de toenemende schaarste aan hulpbronnen .

Consultatie is inmiddels gesloten

MDDI en IMDA startten de openbare consultatie op 1 juli 2026. Reageren kon tot 22 juli 2026 om 10.00 uur Singaporese tijd, via het REACH-consultatieproces of per e-mail aan IMDA .

Het voorstel moet daarom worden gelezen als een kader uit de consultatiefase, niet als een definitieve opsomming van alle technische voorschriften. De directe gevolgen die het duidelijkst uit de tekst naar voren komen, zijn de twee licentiedrempels, de nieuwe eisen voor veiligheid, continuïteit en rapportage bij major FDI-aanbieders en de stap naar afdwingbare duurzaamheidsnormen voor datacenters vanaf 3 MW.