Singapur’un önerilen Dijital Altyapı Yasası ne getiriyor?

Singapur’un önerdiği Dijital Altyapı Yasa Tasarısı, büyük veri merkezi ve bulut bilişim hizmetlerini Infocomm Media Development Authority (IMDA) tarafından yürütülecek yeni bir lisans sistemine dahil etmeyi amaçlıyor. Tasarının iki ana hedefi var: kritik dijital altyapının güvenliğini ve dayanıklılığını artırmak, ayrıca Singapur’daki veri merkezi operasyonlarının çevresel sürdürülebilirliğini güçlendirmek .

Düzenlemenin merkezinde iki farklı lisans bulunuyor. Büyük Temel Dijital Altyapı (FDI) lisansı, en büyük veri merkezi ve bulut sağlayıcılarını hedeflerken, daha geniş kapsamlı Veri Merkezi (DC) Operatörü lisansı, daha düşük bir güç eşiğini aşan Singapur’daki veri merkezlerine uygulanacak.

Kimlerin lisans alması gerekecek?

Büyük FDI lisansı

Önerilen büyük FDI rejimi iki hizmet kategorisini kapsıyor:

• Başkalarına, yani işletmelere veya kuruluşlara hizmet sunan ve en az 10 MW kritik BT yüküne sahip bir tesisten sağlanan ticari veri merkezi tesisi hizmetleri .
• Son üç yılda Singapur’daki kullanıcılardan yıllık ortalama en az 100 milyon Singapur doları (S$) gelir elde eden Hizmet Olarak Altyapı (IaaS) ve Hizmet Olarak Platform (PaaS) bulut hizmetleri .

Şirketin Singapur’da veya başka bir ülkede bulunması sonucu değiştirmeyecek. Singapur’daki kullanıcılara ilgili büyük FDI hizmetini sunan yurt dışı sağlayıcılar da kapsama girecek . Mevcut açıklamalarda gelir eşiğinin Hizmet Olarak Yazılım (SaaS) için değil, IaaS ve PaaS kategorileri için öngörüldüğü belirtiliyor .

DC Operatörü lisansı

Ayrı bir DC Operatörü lisansı, Singapur’da kritik BT yükü en az 3 MW olan veri merkezlerine uygulanacak . Bu lisans kademesinin temel amacı yalnızca en büyük sağlayıcıları değil, veri merkezi sektörünün genelini kapsayan asgari çevre ve kaynak verimliliği kuralları oluşturmak ve uygulamak .

Bu nedenle bir veri merkezi, büyük FDI sınıflandırması için gereken 10 MW eşiğine ulaşmadan DC lisansı kapsamına girebilir. Eşiği karşılayan büyük veri merkezleri ise hem genel DC yükümlülükleriyle hem de büyük FDI hizmetlerine ilişkin ek güvenlik ve dayanıklılık şartlarıyla karşılaşabilir.

Büyük FDI lisansı sahiplerinin yükümlülükleri neler olacak?

Tasarı, büyük FDI sağlayıcılarının yalnızca siber tehditleri değil, siber olmayan riskleri de yönetmesini öngörüyor. Başlıca yükümlülükler şöyle:

• Siber güvenlik: Kapsam dahilindeki veri merkezi tesislerini ve bulut hizmetlerini koruyacak önlemler almak. Bu düzenlemeler, Singapur’un mevcut Siber Güvenlik Yasası’nı tamamlayacak .
• Fiziksel güvenlik: Tesisleri ve altyapıyı yetkisiz erişim ile diğer fiziksel tehditlere karşı korumak .
• İş sürekliliği: Kesinti veya başka bir aksaklık sırasında hizmetlerin devamını sağlamaya yönelik düzenlemeler oluşturmak .
• Felaket kurtarma: Kesinti ya da olay sonrasında hizmetleri yeniden devreye almak için planlar hazırlamak ve bunları güncel tutmak .
• Olay bildirimi: İlgili siber güvenlik olaylarını ve hizmet sunumundaki kesintileri IMDA’ya bildirmek. Böylece düzenleyicinin büyük altyapıyı etkileyen olayları daha yakından izlemesi sağlanacak .
• Düzenleyici uyum: Lisans koşullarına ve IMDA’nın geçerli talimatlarına uymak .

Bu yaklaşım yalnızca siber güvenliğe odaklanan bir modelden daha geniş. Tasarıya göre hizmet sürekliliği; dijital güvenlik, fiziksel koruma, operasyonel planlama ve kurtarma kapasitesinin birlikte ele alınmasını gerektiriyor .

Önerilen cezalar

Bir lisans sahibinin yükümlülükleri, lisans koşullarını veya IMDA talimatlarını ihlal etmesi halinde uygulanabilecek azami mali ceza şu iki tutardan yüksek olanı olacak:

• 1 milyon Singapur doları veya
• Lisans sahibinin Singapur’daki yıllık cirosunun yüzde 10’u .

Bu yapı, olası mali yaptırımın yalnızca sabit bir üst sınıra bağlı kalmamasını ve işletmenin Singapur’daki faaliyetlerinin ölçeğine göre artabilmesini sağlıyor. Tasarıda gerekli lisans olmadan hizmet sunulmasına ilişkin ayrı suç hükümleri de bulunuyor; bu hükümlerin kapsamı, yasa metni ve nihai mevzuat birlikte değerlendirilerek kesinleştirilmeli .

Veri merkezleri için sürdürülebilirlik kuralları

DC Operatörü rejimi, kritik BT yükü en az 3 MW olan veri merkezleri için zorunlu sürdürülebilirlik standartları belirlenmesinin hukuki temelini oluşturacak. Tasarıda öne çıkan başlıklar şunlar:

• Enerji verimliliği: Power Usage Effectiveness (PUE) yani güç kullanım etkinliği ölçütleri .
• Su verimliliği: Water Usage Effectiveness (WUE) yani su kullanım etkinliği göstergeleri .
• Enerji kaynakları: Yenilenebilir enerji kullanımının yanı sıra sera gazı emisyonlarının düzeyi gibi unsurlar .
• Operasyon ve kapasite verileri: Kullanım oranlarının ve veri merkezlerinin ekonomik ya da operasyonel katkılarının değerlendirilmesine yardımcı olabilecek bilgiler .

Ancak istişare belgeleri nihai sayısal eşikleri henüz belirlemiyor. Özellikle kesin PUE ve WUE değerleri, yenilenebilir enerji oranları ve emisyon sınırlarının üst düzey tasarıda sabitlenmek yerine ikincil mevzuat, standartlar veya uygulama kurallarıyla daha sonra geliştirilmesi bekleniyor .

Bu ayrım veri merkezi işletmecileri açısından önemli: Tasarı lisanslama ve yaptırım çerçevesini kuracak, ancak günlük uyumda kullanılacak bazı teknik hedefler sonraki düzenlemelerle netleşecek.

Ekipman ve su kullanımı için gelecekteki kontroller

Önerilen çerçeve, ileride ek şartlar getirilmesine de imkân tanıyor. Bunlar arasında şunlar yer alabilir:

• Sunucu ve depolama sistemleri gibi BT ekipmanları için verimlilik standartları,
• Soğutma sistemleri ve ilgili altyapıyı da kapsayabilecek ek tesis düzeyi su verimliliği şartları .

Mevcut istişare raporlarında bu başlıklar, nihai teknik eşikleri belirlenmiş kesin yükümlülükler olarak değil, ileride getirilebilecek olası standartlar olarak anlatılıyor .

Singapur neden bu tasarıyı gündeme aldı?

Politikanın arka planında iki unsur öne çıkıyor: dijital altyapıya artan bağımlılık ve Singapur’un sınırlı fiziksel kaynakları. Singapur Dijital Kalkınma ve Enformasyon Bakanlığı (MDDI) ile IMDA, veri merkezi tesisleri ve bulut bilişim hizmetlerini dijital ekonominin temel unsurları olarak görüyor. Bu altyapıdaki kesintilerin sonuçları büyüdükçe daha güçlü dayanıklılık kuralları için gerekçe de güçleniyor .

Tasarı aynı zamanda veri merkezi kapasitesine yönelik talep artarken elektrik, su ve arazi üzerindeki baskıya yanıt veriyor. Bu talebin yapay zekâ iş yükleriyle daha da artması bekleniyor . Bu nedenle sürdürülebilirlik, gönüllü bir girişim olarak değil, DC lisansı üzerinden IMDA’nın asgari çevre standartlarını uygulayıp denetleyebileceği bir alan olarak ele alınıyor .

Raporlar ve istişare belgeleri, hizmet kesintileri ile arızaları da daha sıkı denetim ihtiyacının arka planındaki unsurlar arasında gösteriyor. Bununla birlikte mevcut kaynaklar, yaşanan olayların tek ve eksiksiz bir listesini sunmuyor ya da bu olaylara atfedilen her sektörel etkiyi doğrulamıyor. Kaynakların desteklediği daha temkinli sonuç, tasarının yoğunlaşmış dijital altyapının dayanıklılığına ilişkin genel kaygılara ve giderek artan kaynak kısıtlarına birlikte yanıt verdiği yönünde .

Kamu istişaresi ne zaman yapıldı?

MDDI ve IMDA kamu istişaresini 1 Temmuz 2026 tarihinde başlattı. Görüşler, Singapur saatiyle 22 Temmuz 2026 saat 10.00’a kadar REACH istişare süreci veya e-posta yoluyla kabul edildi .

Dolayısıyla öneri, her teknik şartın kesinleştiği nihai bir yasa değil, istişare aşamasındaki bir çerçeve olarak okunmalı. Şu an için en belirgin etkiler; iki lisans eşiğinin getirilmesi, büyük FDI sağlayıcıları için dayanıklılık ve bildirim yükümlülüklerinin artırılması ve en az 3 MW’lık veri merkezlerinde uygulanabilir sürdürülebilirlik standartlarına geçiş hazırlığı.