Résumé

  • Le dispositif singapourien applique des déclencheurs différents selon le risque : 3 MW de charge informatique critique pour la durabilité des centres de données, 10 MW pour la résilience des grands sites, et un seuil de recettes sur trois ans pour les services IaaS et PaaS majeurs.
  • La difficulté sera de faire suivre les obligations d’énergie, de résilience et de signalement aux actifs ou services réellement contrôlés, tout en gardant une vue de leur impact systémique.

Un centre de données peut franchir un seuil sans atteindre l’autre. La Digital Infrastructure Act 2026 donne une portée juridique à cette distinction : dès 3 MW, un site peut entrer dans le régime de licence de durabilité avant d’atteindre 10 MW, seuil applicable à la résilience des services majeurs de centre de données. Un fournisseur cloud peut aussi relever du régime majeur en raison de ses recettes auprès d’utilisateurs à Singapour, sans que son déclencheur soit la puissance d’un site.

Trois seuils, trois objets

Le seuil de 3 MW porte sur l’installation. Les exploitants concernés doivent obtenir une licence de centre de données et respecter des exigences de durabilité, qui commenceront par l’efficacité énergétique du site et le power usage effectiveness (PUE). La charge informatique critique correspond à la capacité électrique maximale prévue pour l’équipement informatique et réseau, non à la consommation mesurée à un instant donné.

À partir de 10 MW, un service fourni dans un centre de données peut être classé comme service majeur d’infrastructure numérique fondamentale. La mesure reste la charge informatique critique, mais l’objectif réglementaire change : une interruption pourrait affecter de nombreuses entreprises et organisations. Le régime couvre les services de colocation concernés ainsi que les centres cloud qui servent des tiers. Pour le cloud, le test est distinct : au moins 100 millions de dollars singapouriens de recettes annuelles moyennes sur trois ans auprès d’utilisateurs à Singapour, pour l’IaaS ou le PaaS. Le SaaS est exclu de cette catégorie.

Le ministère estime qu’environ 70 centres de données sont exploités à Singapour et que près des deux tiers atteignent 10 MW. Il s’agit d’estimations publiques, non d’un registre vérifié site par site. Leur portée dépendra des lignes directrices de licence et de l’application des seuils aux structures d’entreprises réelles.

Efficacité et contrôle ne se confondent pas

La consultation explique pourquoi les deux régimes applicables aux centres de données doivent avoir des périmètres différents. Un exploitant de colocation peut gérer le bâtiment, l’alimentation, le refroidissement et l’accès physique, tandis que le client possède et contrôle ses serveurs. MDDI et IMDA indiquent que les exigences de résilience doivent viser le contrôle direct de l’exploitant, et non les équipements clients hors de sa maîtrise. Ils prévoient aussi des codes distincts pour les centres de colocation et les centres cloud, après consultation supplémentaire.

La durabilité présente un problème comparable. Le PUE mesure l’efficacité des fonctions du site par rapport à la charge informatique, mais ne suffit pas à indiquer la quantité totale d’électricité, d’eau ou de carbone utilisée par le secteur. Le ministre le décrit comme un point de départ, pas comme le résultat final : un site peut gagner en efficacité tout en augmentant sa demande totale. La réponse à la consultation précise que l’efficacité énergétique des équipements informatiques ne sera pas obligatoire au lancement, car l’exploitant peut ne pas voir les serveurs du client.

Les règles sur l’eau feront également l’objet d’une consultation ultérieure.

Le mode d’emploi opérationnel reste à écrire

La loi fixe les licences, les obligations de base et les pouvoirs d’application. Les contrôles de résilience, seuils de signalement, exigences énergétiques et codes détaillés viendront ensuite. Pour les notifications de cybersécurité communes aux deux lois, le gouvernement prévoit un signalement à IMDA, qui transmettra les informations pertinentes à la Cyber Security Agency : un point d’entrée unique, pas un régime de risque unique.

La loi doit entrer en vigueur par étapes, aux dates fixées par notification au Journal officiel. Le gouvernement prévoit un début en 2027 ; les exploitants existants auront ensuite six mois pour déposer leur demande et pourront poursuivre leurs activités pendant son examen si elle est déposée dans les délais.

La Note 64 de Heng Lu fournit ici une discipline éditoriale : distinguer la règle commune initiale des choix ultérieurs. Les codes singapouriens resteront des instruments statutaires, et non une adoption volontaire dans un système Internet. La solidité du dispositif dépendra des données à l’appui de chaque seuil : capacité conçue, périmètre du service et des clients, contrôle opérationnel, calcul des recettes cloud et plan de transition. Si exploitants et autorités peuvent documenter ces éléments, les obligations distinctes peuvent correspondre aux risques concernés.

Si le PUE devient un substitut à la durabilité totale ou si un titulaire est tenu responsable de systèmes clients qu’il ne dirige pas, les seuils seront plus faciles à compter qu’à appliquer équitablement.

Sources