Zusammenfassung

  • Singapur trennt die Nachhaltigkeit von Rechenzentren ab 3 MW geplanter IT-Versorgungsleistung von der Resilienz großer Standortdienste ab 10 MW. Große IaaS- und PaaS-Dienste werden zusätzlich anhand ihres Umsatzes mit Nutzern in Singapur erfasst.
  • Die Regierung erwartet eine schrittweise Einführung 2027. Die sechsmonatige Frist betrifft den Lizenzantrag bestehender Betreiber, nicht pauschal sämtliche technischen Nachrüstungen.

Sechs Monate können für einen Antrag reichen und für einen tiefgreifenden Umbau sehr kurz sein. Wer Singapurs Digital Infrastructure Bill liest, sollte deshalb genau hinsehen, wofür diese Frist gedacht ist. Sie beginnt für bestehende Betreiber mit dem Inkrafttreten des jeweiligen Gesetzesteils und betrifft die Beantragung einer Lizenz.

Das Parlament verabschiedete den Gesetzentwurf am 7. Oktober 2026. Die Regierung erwartet die gestaffelte Einführung 2027, wenn Verordnungen, technische Regelwerke und Verfahren ausgearbeitet sind. Aus dem Parlamentsbeschluss folgt nicht, dass die neuen Pflichten bereits gelten. Bei rechtzeitigem Antrag darf der Betrieb bis zur Erteilung, endgültigen Ablehnung oder Rücknahme des Antrags fortgeführt werden. Ein allgemeiner Termin, bis zu dem jede technische Verbesserung fertig sein muss, ist damit nicht gesetzt.

Nicht der Stromzähler entscheidet über die Schwelle

Der von IMDA beaufsichtigte Rahmen unterscheidet Ressourcenverbrauch und Ausfallsicherheit. Für die Nachhaltigkeitslizenz liegt die wesentliche Schwelle bei 3 MW kritischer IT-Last. Gemeint ist die maximale elektrische Leistung, für deren Versorgung der IT- und Netzwerkausrüstung die Anlage ausgelegt wurde. Das ist weder die momentane Auslastung noch die Leistung des gesamten Gebäudes einschließlich Kühlung.

Auch kommerzielle Anlagen für den Eigenbedarf eines Unternehmens können erfasst werden. Bestimmte staatliche, öffentlich-rechtliche, Forschungs- und zweckgebundene Anlagen lizenzierter Versorgungsdienste sind ausgenommen. Daraus folgt keine pauschale Befreiung kommerzieller Rechenzentren, sobald sie einen staatlichen Kunden haben.

Die 10-MW-Schwelle betrifft dagegen große Rechenzentrums-Standortdienste, darunter passende Colocation-Angebote und Cloud-Anlagen für Dritte. Hier geht es um physische und digitale Sicherheit, Betriebsfortführung, Wiederherstellung und Störungsmeldungen. Rein interne Standortdienste werden anders behandelt. Die beiden Schwellen beantworten also nicht dieselbe Frage mit unterschiedlicher Strenge.

Für große Cloud-Dienste gibt es einen Umsatztest: IaaS oder PaaS mit durchschnittlich mindestens 100 Millionen Singapur-Dollar Jahresumsatz aus Nutzern in Singapur während der drei vorangegangenen Jahre. SaaS gehört nicht zu dieser besonderen Definition. Die Größe eines einzelnen Gebäudes wäre für die Reichweite eines Cloud-Dienstes ohnehin nur ein Ausschnitt.

Nach Regierungsschätzung gibt es rund 70 Rechenzentren; etwa zwei Drittel erreichen 10 MW. Das ist eine Einschätzung der Reichweite, keine geprüfte Liste sämtlicher künftiger Lizenznehmer.

Die Kühlung gehört dem Betreiber, der Server womöglich dem Kunden

Warum diese Aufsicht mehr als Papierarbeit ist, zeigt ein von der Regierung angeführter Ausfall. Im Oktober 2023 beeinträchtigte eine Kühlungsstörung Bank- und Zahlungsdienste für mehr als zwölf Stunden. 2,5 Millionen Zahlungs- und Geldautomatentransaktionen scheiterten. Gezählt wurden Vorgänge, nicht 2,5 Millionen Menschen.

Ein Colocation-Betreiber kann seine Stromverteilung und Kühlung instand halten sowie den Zugang zum Gebäude steuern. Über Austausch und Betrieb eines Kundenservers verfügt er möglicherweise nicht. MDDI und IMDA ziehen in ihrer Konsultationsantwort deshalb eine Grenze: Die Resilienzanforderungen an die Anlage sollen den direkten Kontrollbereich des Betreibers betreffen, nicht fremde Geräte außerhalb seiner Verfügung.

Für Cloud- und Colocation-Anlagen sind getrennte Codes of Practice vorgesehen. Bei verschachtelten Unternehmensgruppen bleibt außerdem zu erläutern, welche Einheit die maßgebliche Kontrolle ausübt. Zuständigkeit muss zu einer tatsächlichen Eingriffsmöglichkeit passen.

Bei der Energieeffizienz beginnt der Ansatz auf Anlagenebene, unter anderem mit PUE. Der Wert setzt die gesamte Energie der Anlage zur Energie der IT-Ausrüstung ins Verhältnis. Näher an eins bedeutet weniger Zusatzaufwand. Trotzdem kann der absolute Verbrauch steigen, wenn mehr Rechenarbeit anfällt. Wasserverbrauch und Emissionen lassen sich aus PUE allein ebenfalls nicht ablesen.

Verbindliche Anforderungen an die Effizienz der IT-Geräte sind zunächst nicht vorgesehen, auch weil ein Betreiber nicht immer die Maschinen seiner Kunden kontrolliert. Zusätzliche Vorgaben zur Wassereffizienz sollen konsultiert werden. Andere bereits geltende Umweltvorschriften werden dadurch nicht aufgehoben.

Ein Meldeweg ersetzt nicht jede andere Pflicht

Bei ähnlichen und sich überschneidenden Cyber-Meldeanforderungen sollen Lizenznehmer an IMDA berichten; die Behörde gibt relevante Informationen an CSA weiter. Das soll doppelte Arbeit reduzieren, ist aber keine generelle Freistellung von anderen Meldungen. Die konkreten Codes und Übergänge bleiben für die Betriebsplanung entscheidend.

Lu Hengs Note 64 bietet dazu einen Vergleich aus der Internetkoordination: Ein gemeinsamer Mindestbestand an Regeln lässt sich von späteren Entscheidungen trennen. Seine freiwillige Übernahme technischer Änderungen ist jedoch nicht das Modell des singapurischen Rechts. Die jeweils geltenden gesetzlichen Codes werden verbindlich sein.

Die schwierigste Arbeit beginnt dort, wo mehrere ordentliche Einzelpläne zusammen nicht reichen. Eine Bank, ein Cloud-Kunde und ein weiterer Dienst können gut vorbereitet sein und dennoch von derselben Kühlung oder demselben Netz abhängen. Eine Lizenz schafft Verantwortlichkeit. Ob nach einer Störung tatsächlich wieder gezahlt werden kann, entscheidet sich an diesen gemeinsamen Abhängigkeiten.

Quellen