Projeto de lei de infraestrutura digital de Singapura: quem precisará de licença e o que muda

A regra valeria para provedores sediados em Singapura e também para empresas estrangeiras, desde que forneçam o serviço abrangido a usuários no país . As descrições disponíveis citam IaaS e PaaS — e não Software as a Service (SaaS) — como as categorias de nuvem sujeitas ao limite de receita .

Licença para operadores de data centers

Uma licença separada de operador de data center seria exigida de data centers localizados em Singapura com carga crítica de TI de pelo menos 3 MW . Essa categoria foi desenhada principalmente para criar e fiscalizar requisitos básicos de sustentabilidade e eficiência no setor, em vez de se limitar aos maiores provedores .

Assim, um data center poderia estar sujeito ao regime de licenciamento de DC sem alcançar o limite de 10 MW necessário para ser classificado como grande serviço de FDI. Data centers de grande porte que atendam aos dois critérios poderão ficar sujeitos tanto às regras gerais de DC quanto às obrigações adicionais de segurança e resiliência aplicáveis aos serviços de FDI.

O que os grandes licenciados de FDI teriam de fazer?

A proposta exige que os provedores administrem riscos cibernéticos e também riscos operacionais e físicos. Entre as principais obrigações estão:

• Cibersegurança: adotar medidas para proteger as instalações de data center e os serviços de nuvem abrangidos, em complemento à estrutura já existente da Lei de Cibersegurança de Singapura .
• Segurança física: proteger instalações e infraestrutura contra acessos não autorizados e outras ameaças físicas .
• Continuidade de negócios: manter planos e procedimentos para preservar a operação dos serviços durante interrupções .
• Recuperação de desastres: preparar e manter planos para restaurar os serviços depois de uma queda ou de outro incidente .
• Comunicação de incidentes: informar à IMDA incidentes cibernéticos relevantes e interrupções na prestação dos serviços, aumentando a visibilidade do regulador sobre eventos que afetem infraestruturas importantes .
• Conformidade regulatória: cumprir as condições da licença e as determinações aplicáveis da IMDA .

O alcance da proposta é maior que o de uma regulamentação exclusivamente voltada a ataques virtuais. O texto trata a continuidade dos serviços como resultado da combinação entre segurança digital, proteção física, planejamento operacional e capacidade de recuperação .

Multas previstas

Se um licenciado descumprir as obrigações propostas, as condições da licença ou uma determinação da IMDA, a penalidade financeira máxima seria o maior valor entre:

• S$ 1 milhão; ou
• 10% da receita anual da empresa em Singapura .

Com esse modelo, a possível exposição financeira acompanharia o tamanho da operação da empresa no país, em vez de ficar limitada a um teto fixo. O projeto também prevê infrações específicas para a prestação de um serviço sem a licença exigida; a aplicação exata dessas regras deve ser analisada conforme o texto do projeto e eventual legislação aprovada .

Regras de sustentabilidade para data centers

O regime de operadores de data centers criaria a base legal para padrões obrigatórios de sustentabilidade aplicáveis a unidades com carga crítica de TI de pelo menos 3 MW. Entre os aspectos que poderiam ser avaliados e reportados estão:

• Eficiência energética, incluindo requisitos de Power Usage Effectiveness (PUE), indicador que relaciona o consumo total da instalação à energia usada pelos equipamentos de TI .
• Eficiência no uso da água, com referências a parâmetros de Water Usage Effectiveness (WUE) .
• Fontes de energia, incluindo a consideração do uso de fontes renováveis e do nível de emissões de gases de efeito estufa .
• Dados operacionais e de capacidade, como informações que ajudem o regulador a avaliar a utilização da infraestrutura e outras contribuições econômicas ou operacionais .

Os materiais da consulta pública não definem todos os limites numéricos finais. Em particular, os valores exatos de PUE e WUE, os percentuais de energia renovável e eventuais tetos de emissões deverão ser desenvolvidos por legislação complementar, padrões ou códigos de prática, em vez de serem fixados no texto geral da proposta .

Essa diferença é importante para os operadores: o projeto criaria o sistema de licenciamento e fiscalização, mas algumas metas práticas de conformidade seriam definidas posteriormente.

Possíveis regras futuras para equipamentos e consumo de água

O projeto também abre espaço para a introdução de exigências adicionais no futuro. Elas poderiam incluir:

• padrões de eficiência para equipamentos de TI, como servidores e sistemas de armazenamento; e
• requisitos adicionais de eficiência hídrica no nível da instalação, potencialmente abrangendo sistemas de refrigeração e infraestrutura relacionada .

As informações disponíveis descrevem essas medidas como possíveis padrões futuros, e não como obrigações já totalmente detalhadas com limites técnicos definitivos .

Por que Singapura propôs a lei?

A justificativa combina a dependência da economia em relação à infraestrutura digital com as limitações físicas do país. O Ministério do Desenvolvimento Digital e da Informação (MDDI) e a IMDA consideram data centers e serviços de nuvem essenciais para a economia digital. Por isso, uma interrupção nesses serviços pode ter consequências mais amplas, aumentando a necessidade de requisitos de resiliência .

A proposta também responde à pressão sobre energia, água e território à medida que cresce a demanda por capacidade de data centers, inclusive aquela associada a cargas de trabalho de inteligência artificial . Nesse contexto, a sustentabilidade não aparece apenas como uma iniciativa voluntária: a licença de DC daria à IMDA um mecanismo para impor e fiscalizar padrões ambientais básicos .

Relatórios e materiais da consulta também mencionam interrupções e quedas de serviço como parte do contexto que levou ao debate sobre uma supervisão mais rígida. No entanto, as fontes disponíveis não estabelecem uma lista única e exaustiva de incidentes nem comprovam todos os impactos setoriais às vezes atribuídos a eles. A conclusão mais segura é que o projeto responde a uma preocupação mais ampla com a resiliência de uma infraestrutura digital concentrada, ao mesmo tempo que aumentam as restrições de recursos .

Consulta pública e próximos passos

O MDDI e a IMDA abriram a consulta pública em 1º de julho de 2026. O prazo para envio de comentários terminou às 10h de 22 de julho de 2026, no horário de Singapura. As contribuições podiam ser encaminhadas pelo processo de consulta da REACH ou por e-mail à IMDA .

Por estar em fase de consulta, a proposta não deve ser interpretada como uma definição final de todos os requisitos técnicos. As consequências mais claras, por enquanto, são os dois limites de licenciamento, as novas expectativas de segurança, continuidade e comunicação de incidentes para grandes provedores de FDI e a preparação de padrões ambientais obrigatórios para data centers com carga crítica de TI de pelo menos 3 MW.