就《数码基础设施法案》中有关数码设施服务安全和数据中心运营环境可持续发展的问题展开各种咨询

序言

数据中心设施服务和云计算服务等数码基础设施服务在新加坡蓬勃发展的数码经济中扮演着关键角色。鉴于其重要性，新加坡正寻求建立一套法律框架，以确保服务提供商采取措施保护其安全性和韧性。该框架还考虑到其环境足迹和资源的密集型使用，致力于确保受监管的数据中心运营商满足基本的环境可持续发展要求。

新加坡数码发展及新闻部和资讯通信媒体发展局（“资媒局”）于2026年7月1日发布了《数据基础设施法案》（“法案”）草案。该法案草案目前正在开展公众咨询，截止日期为2026年7月22日。其目标如下：

1. 确保大型数据中心设施服务和云计算服务提供商采取措施，维持足够的安全性和韧性；
2. 提高对影响大型数据中心设施服务和云计算服务的网络安全事件和服务中断的监管透明度；及
3. 在整个数据中心领域设定并提升环境可持续发展基本标准。

本动态重点介绍该法案草案的关键内容，包括：

1. 为大型关键数码基础设施服务提供商引入新的执照制度和监管框架；
2. 为数据中心运营商引入新的执照制度和监管框架；及
3. 授权资媒局管理和执行相关制度。

关键数码基础设施框架

该法案为向新加坡用户提供大型关键数码基础设施服务的供应商引入了新的执照制度和监管框架。

范围

大型关键数码基础设施服务系指下述数码基础设施服务：(i) 其缺失或损坏可能导致新加坡企业或机构运营广泛中断或恶化；及 (ii) 其在该法案附表中被列为大型关键数码基础设施服务。附表载明，大型关键数码基础设施服务包括：

1. 在关键信息技术负载 ≥ 10兆瓦，用于服务于与数据中心运营商无关的其他方（例如，云数据中心和托管数据中心）的数据中心提供的数据中心设施服务；及
2. 过去三年平均每年从新加坡用户获得的收入≥1亿新元，属于基础设施即服务 (IaaS) 或平台即服务 (PaaS) 类别，而不属于软件即服务 (SaaS) 类别的云计算服务。

执照

提供这些大型数据中心设施服务和云计算服务的供应商必须向资媒局申请大型关键数码基础设施执照。资媒局可酌情对执照附加条件。

在审核此类申请时，资媒局会考虑以下因素：(i) 申请人的经验；及 (ii) 申请是否有悖于公共利益。

义务

持照人必须采取措施确保其服务的安全性和弹性，包括以下义务：

1. 实施适当流程和措施，以确保其服务的安全性，包括实体安全和网络安全；
2. 实施业务连续性和灾难恢复计划，以确保在业务活动和流程中断后及时恢复服务；及
3. 将网络安全事件或服务交付中断的情况通知资媒局。

如果持照人未能履行上述义务、执照条款或资媒局的指示，可被处以不超过以下金额的罚款：(i) 100 万新元；或 (ii) 持照人在新加坡的年营业额的 10%，以较高者为准。

数据中心运营商框架

数据中心运营商（即关键信息技术负载 ≥ 3 兆瓦）必须向资媒局申请数据中心执照。值得注意的是，数据中心执照制度适用于所有达到关键信息技术负载阈值的数据中心运营商，无论该数据中心的运营目的是为了向第三方提供数据中心设施服务，还是供运营商自身使用。

执照

在评估数据中心执照申请时，资媒局会考虑以下因素：

1. 申请人的经验及其履行相关职责的能力；
2. 数据中心的能效和水效；及
3. 申请是否有悖于公共利益。

资媒局还可能考虑以下因素：

1. 申请人所用电力的能源特性（例如可再生能源、温室气体等）；
2. 产生的排放物将被处置、处理、封存还是减排；
3. 数据中心的能源消耗可能对新加坡减少温室气体排放的国际承诺产生的影响；及
4. 申请人的业务运营对新加坡经济的经济或战略重要性。

义务

资媒局可对执照附加其认为适当的条件。这些条件可能包括：

1. 支付执照费；
2. 在指定期限内开始运营；
3. 完成或实现持照人在申请过程中承诺的特定任务或特定目标；
4. 确定一个位于新加坡的合适的低碳能源项目以供应电力，并在指定日期前从该项目获取电力；
5. 安排对排放物进行处置、处理、储存或减排；
6. 安排进口电力用于数据中心运营；以及
7. 要求持照人使用特定能源产生的电力，不得超过规定度数或比例。

持照数据中心运营商必须满足设施层面的能效要求，包括确保数据中心符合以下方面的最低能效要求：(i) 设施层面的能效；(ii) 信息技术设备的设备层面能效； (iii) 设施层面的水效。

持照数据中心运营商还必须向资媒局提交年度报告，说明其是否遵守法定义务、执照条件以及任何适用的行业规范。

如果持照人未能履行上述义务、执照条件或资媒局的指示，可被处以不超过以下金额的罚款：(i) 100 万新元；或 (ii)持照人在新加坡的年营业额的 10%，以较高者为准。

资媒局的权力

如果该法案获得通过，资媒局将负责执行该法案，并被赋予以下主要权力：

1. 颁发执照：资媒局可颁发、续发、暂扣或吊销大型关键数码基础设施执照和数据中心执照，并在适当情况下附加和/或修改执照的条件。
2. 行为准则和指示：资媒局可向持照人发布行为准则和指示，包括要求遵守适用于该持照人的任何行为准则的指示。
3. 罚款：资媒局可在适当情况下对违规行为处以罚款。
4. 执法和调查：资媒局执法人员将被授权开展执法和调查行动，包括要求提供证据、文件和信息。 

实际影响

对于云计算服务而言，“大型受监管云计算服务”的门槛是过去三年中来自“新加坡用户”的平均年收入至少达到1亿新元。法案草案并未明确规定如何确定“新加坡用户”的标准。

潜在问题包括收入是基于计费实体、账户位置、服务消耗位置、客户总部、工作负载位置还是终端用户位置来归属。相关问题包括集团内使用是否计入门槛，市场或经销商收入如何处理，衡量总收入还是净收入，与新加坡用户的全球合同如何分配，以及新进入者或新重组供应商在缺乏三年收入记录时如何评估。

对于数据中心设施服务和数据中心执照，关键的实际问题是谁具备相关“运营商”资格，因为所有权、运营和占有权被分散到不同实体。例如，监管责任可能需要在所有者兼出租人、主承租人、托管运营商、运营自有设施的云服务提供商、设施管理者、合资企业或外包技术运营商之间加以区分。这一区分尤为重要，因为执照和可持续发展义务可能与财产的法定所有权/产权不完全一致。

此外，鉴于数据中心执照门槛（关键信息技术负载≥3 兆瓦）低于大型关键数码基础设施执照门槛（关键信息技术负载≥10兆瓦），要求大型关键数码基础设施执照的数据中心也必然需要数据中心执照。这两种制度的范围和政策目标不同 – 大型关键数码基础设施执照制度侧重于安全与韧性，而数据中心执照制度则侧重于环境可持续发展。为第三方服务、关键信息技术负载≥10兆瓦的数据中心运营商，必须同时遵守这两项要求。这一点在公众咨询文件中得到确认，资媒局表示将简化同时达到两项门槛的数据中心运营商的申请流程。

与现有法规的互动 

该法案草案旨在通过解决网络安全以外的更广泛的运营韧性问题，来补充《网络安全法》框架。实际问题不仅仅是新执照制度的引入，更在于拟议义务将如何与现有的网络安全、运营韧性、业务连续性以及行业特定监管要求相协调。拥有现有全球运营框架的供应商可能需要将新加坡特定的义务与其全球政策和客户承诺进行比对，以识别重叠、冲突或额外合规要求领域。

合同与商业影响 

法案一旦通过，可能会影响包括云客户条款、服务水平承诺、事件通知条款、审计和信息权利、监管披露条款、保密例外条款以及分处理商或供应商义务在内的多种合同安排。数据中心业主、运营商、租户和托管运营商还应审查现有设施、租赁、托管、能源采购和服务安排下的监管责任分配方式，特别是当运营设施的一方与拥有场地或与终端客户签约的一方不同时。

结语

如果获得通过，该法案将对数字基础设施服务提供商施加重大义务。虽然该法案被定位为一项安全和可持续发展措施，但它也代表着新加坡数字基础设施行业监管力度的显著加强。利益相关方不仅应评估自身是否符合拟议的许可制度，还应评估现有的运营、合同和治理安排是否能够支持其履行拟议的义务。

为做好准备，受影响的服务提供商应评估其在新加坡的运营是否达到拟议的门槛，将现有的网络安全、弹性、业务连续性、灾难恢复、事件响应和可持续发展控制措施与拟议的义务进行比对，确定任何需要通过咨询流程寻求澄清的领域。我们鼓励利益相关方就该法案提交反馈意见，尤其是在许可门槛、多租户设施的处理、外包运营商的处理、与现有监管要求的互动以及实施时间表等方面。如果您希望就提交反馈意见寻求建议，请随时联系本页列出的团队，他们将竭诚为您提供协助。

完整的公众咨询文件可在此处查看。

有关区域科技法律事务，请联系立杰亚洲区域数据与数字经济业务团队（Regional Data & Digital Economy Practice）了解更多信息。有关区域可持续发展事务，请联系立杰亚洲区域可持续发展业务团队（Regional Sustainability Practice）了解更多信息。

撰稿说明

本法律动态由新加坡立杰律师事务所的合伙人Chou Ching, Benjamin ST Tay, Marcus Tay, Lee Weilin, Loh Yong Hui, Rajesh Sreenivasan, Steve Tan 和 Benjamin Cheong 撰写。