Résumé

  • Le texte adopté par le Parlement sépare deux régimes : la durabilité des centres de données à partir de 3 MW de puissance informatique de conception, et la résilience des grands services d'hébergement à partir de 10 MW. Les grands services cloud IaaS et PaaS ont un seuil de recettes distinct.
  • Une entrée en vigueur progressive est attendue en 2027. Les règles d'application devront préciser le contrôle des équipements, les mesures d'efficacité et les délais, sans confondre demande de licence et travaux de mise à niveau.

Une panne de refroidissement dans un centre de données, et des paiements ne passent plus. Ce rapprochement n'a rien d'une hypothèse à Singapour : selon le gouvernement, un incident d'octobre 2023 a perturbé des services bancaires et de paiement pendant plus de douze heures. Le bilan fait état de 2,5 millions de transactions de paiement et de distributeur automatique échouées. Il compte des opérations, pas des personnes.

Pour les utilisateurs, l'urgence était le retour du service. Pour la réglementation, la question remonte jusqu'à l'équipement qui l'a interrompu : qui peut le remettre en état, et les autres services dépendent-ils du même point fragile ? Le Digital Infrastructure Bill, adopté par le Parlement le 7 octobre 2026, donne à IMDA un cadre pour surveiller ces risques.

Dans un centre de colocation, l'hébergeur entretient l'alimentation et le refroidissement du bâtiment, tandis que le client choisit et exploite ses serveurs. Confier une obligation au mauvais interlocuteur ne lui donnera pas le pouvoir d'intervenir sur la machine. C'est pourquoi le texte ne traite pas la salle entière comme si une seule entreprise en tenait toutes les commandes.

La puissance ne dit pas tout

Le premier seuil est de 3 mégawatts (MW). Il ouvre, pour les centres concernés, le régime de licence portant sur leur performance environnementale. Pour savoir si une installation le franchit, il faut regarder ce qu'elle est conçue pour alimenter, pas ce qu'elle consomme aujourd'hui.

Le chiffre retenu est la puissance maximale prévue pour les serveurs et les équipements de réseau. Le texte l'appelle « critical IT load ». Prenons un exemple de calcul, et non un site réel : une installation conçue pour fournir 6 MW à ces équipements ne repasse pas sous 3 MW parce qu'elle est peu occupée un matin. La puissance destinée au refroidissement du bâtiment ne fait pas partie de cette mesure.

Des installations commerciales utilisées pour les propres besoins informatiques d'une entreprise peuvent entrer dans ce périmètre. Le texte prévoit aussi des exceptions précises pour certaines installations publiques, de recherche et dédiées à des activités de services publics sous licence. Un hébergeur commercial ne devient pas exempté parce qu'il accueille des services de l'État.

À partir de 10 MW, un second régime vise les grands services de centres de données. Il pose une autre question : que se passe-t-il si le service s'arrête ? L'hébergement des machines de clients et les installations fournissant du cloud à d'autres entreprises peuvent être concernés. Les obligations portent alors sur la sécurité, la continuité du service, sa reprise et les alertes en cas d'incident.

Les services réservés aux seuls besoins internes de l'exploitant ont un traitement différent. Il faut donc vérifier ce que fournit l'installation, pas seulement sa puissance. Le premier seuil concerne les ressources du site ; le second, les services dont d'autres dépendent.

Pour les grands services cloud, on quitte les mégawatts pour les recettes. Le seuil est d'au moins 100 millions de dollars de Singapour par an en moyenne sur les trois années précédentes, provenant des utilisateurs à Singapour.

Deux types de services sont visés : IaaS, qui fournit des ressources telles que le calcul et le stockage, et PaaS, qui offre une plateforme pour déployer et faire fonctionner des applications. SaaS, où le client utilise le logiciel du fournisseur, n'entre pas dans cette définition précise. La taille d'un seul bâtiment ne suffirait pas à mesurer la portée de ces services.

Le gouvernement estime que le pays compte environ 70 centres de données et que près des deux tiers atteignent 10 MW. C'est une estimation de couverture, pas un registre vérifié des futurs titulaires.

L'efficacité peut progresser, la facture énergétique aussi

La réponse de MDDI et d'IMDA à la consultation revient à la séparation des commandes : les obligations de résilience des installations doivent viser le contrôle direct de l'exploitant, pas les équipements des clients qu'il ne maîtrise pas. Des codes distincts sont prévus pour le cloud et la colocation. La désignation du responsable dans les groupes complexes devra également être précisée.

La même difficulté explique pourquoi les exigences initiales de durabilité portent sur les installations. Le PUE rapporte leur énergie totale à celle consommée par l'informatique. Plus il se rapproche de 1, moins les fonctions annexes pèsent. Mais une baisse du ratio peut accompagner une hausse de la consommation totale si l'activité informatique augmente.

Le PUE n'est pas non plus une mesure de l'eau consommée ou des émissions. L'efficacité des équipements informatiques ne ferait pas l'objet d'obligations dès le départ, notamment parce que l'hébergeur ne contrôle pas toujours les machines de ses clients. De nouvelles exigences sur l'eau devront être consultées. Les règles environnementales existantes ne s'effacent pas pour autant.

Le texte adopté n'est pas encore le calendrier d'exploitation

Lors du débat final, Tan Kiat How a annoncé une mise en œuvre progressive attendue en 2027, après élaboration des textes secondaires, codes et procédures. L'adoption parlementaire ne prouve pas leur entrée en vigueur. Les exploitants déjà présents disposeraient de six mois à compter de l'entrée en vigueur de la partie concernée pour demander une licence. Un dossier déposé à temps permettrait de poursuivre l'activité jusqu'à l'octroi, au refus définitif ou au retrait de la demande. Ce délai n'est pas une échéance universelle pour tous les travaux.

La simplification des signalements a elle aussi une limite : lorsque les exigences de cybersécurité sont similaires et se recoupent, le titulaire signalerait l'incident à IMDA, qui transmettrait les informations pertinentes à CSA. Cela ne supprime pas indistinctement les autres obligations.

La Note 64 de Lu Heng propose de séparer un socle commun minimal des choix ultérieurs dans la coordination de l'Internet. La comparaison aide à poser la question de la marge laissée aux exploitants. Elle s'arrête toutefois devant le droit : les codes statutaires applicables à Singapour seront contraignants, pas facultatifs.

Une reprise réussie exigera finalement plus qu'un partage propre des responsabilités sur le papier. Plusieurs clients peuvent avoir chacun un plan convaincant et dépendre du même refroidissement, du même réseau ou du même fournisseur cloud. C'est cette dépendance commune que la surveillance doit rendre visible avant la prochaine panne.

Sources