싱가포르 데이터센터 규제: 냉각 장애가 결제로 번질 때

요약

싱가포르 의회가 통과시킨 디지털 인프라 법안은 데이터센터의 지속가능성 허가와 주요 서비스의 복원력 허가를 구분한다. 시설 기준은 설계상 IT 전력 용량 3 MW와 10 MW이며, 대형 IaaS·PaaS에는 별도의 싱가포르 이용자 매출 기준이 적용된다.
정부는 2027년부터 단계적으로 시행할 계획이다. 세부 규정은 운영자가 통제하는 설비와 고객 소유 서버를 구별하고, 에너지 효율 개선과 총사용량 감소를 따로 확인해야 한다.

결제가 안 될 때 이용자가 데이터센터의 냉각 설비부터 떠올리지는 않는다. 하지만 싱가포르 정부가 제시한 2023년 10월 사례에서는 냉각 장애로 은행·결제 서비스가 12시간 넘게 영향을 받았다. 실패한 결제와 ATM 거래는 250만 건이었다. 이용자 250만 명이라는 뜻은 아니지만, 보이지 않는 설비의 문제가 일상으로 얼마나 넓게 번질 수 있는지는 보여준다.

싱가포르 의회는 2026년 10월 7일 Digital Infrastructure Bill을 통과시켰다. IMDA가 맡게 될 새 허가 체계는 이런 장애에 대비하는 일과 데이터센터의 자원 사용을 관리하는 일을 나눈다. 같은 건물을 두고도 묻는 질문이 다르기 때문이다.

전력계보다 설계도를 먼저 보는 이유

지속가능성 허가의 기준은 핵심 IT 부하 3 MW다. 여기서 부하란 실제로 지금 쓰는 전력이 아니라, 시설이 IT·네트워크 장비에 공급하도록 설계된 최대 전력 용량이다. 냉각이나 조명까지 합친 건물 전체의 전력 용량도 아니다.

기준을 충족하는 싱가포르 내 대상 시설에는 기업이 자체 업무에 쓰는 상업용 데이터센터도 포함될 수 있다. 다만 특정 정부·공공기관 시설, 연구용 시설, 허가받은 공익사업 활동에 전용되는 시설 등에는 법안에 정해진 예외가 있다. 정부 서비스를 맡았다는 이유만으로 상업용 호스팅 시설 전체가 면제되는 것은 아니다.

10 MW는 주요 데이터센터 시설 서비스의 복원력 허가를 가르는 기준이다. 정의에 맞는 코로케이션 서비스와 제3자에게 클라우드 서비스를 제공하는 시설 등이 대상이다. 물리·사이버 보안, 업무 연속성, 재해 복구, 사고 보고가 중요해진다. 순수한 내부 용도의 시설 서비스는 다르게 취급되므로, 3 MW 허가 대상이라는 사실만으로 두 번째 허가까지 판단할 수는 없다.

클라우드는 또 다른 단위로 본다. IaaS와 PaaS는 직전 3년간 싱가포르 이용자에게서 얻은 연평균 매출이 1억 싱가포르달러 이상이면 주요 규제 대상 클라우드 서비스의 매출 기준에 해당한다. SaaS는 이 특정 정의에서 제외된다. 한 건물의 크기가 아니라 서비스가 이용자와 맺는 관계를 보는 기준이다.

정부 추산으로는 싱가포르에 데이터센터가 약 70곳 있고, 그중 약 3분의 2가 10 MW 기준에 이른다. 개별 허가 대상을 모두 확인한 공개 명부는 아니다.

건물은 하나여도 조작 권한은 나뉜다

코로케이션 운영자는 전력 분배와 냉각을 관리하고 출입을 통제한다. 그러나 고객 서버를 언제 교체할지까지 결정하지는 못할 수 있다. 서버를 소유하고 운영하는 쪽은 고객이기 때문이다.

MDDI와 IMDA의 의견수렴 답변은 시설 복원력 의무를 운영자의 직접 통제 범위에 맞추겠다고 설명한다. 통제할 수 없는 고객 장비까지 같은 방식으로 책임을 묻지는 않겠다는 취지다. 클라우드와 코로케이션 시설에는 별도 실무규범을 마련할 계획이며, 복잡한 기업집단 안에서 누가 실질적인 통제권을 갖는지도 더 명확히 해야 한다.

이 구분은 에너지 관리에도 이어진다. 초기에는 시설 차원의 효율, 특히 PUE를 중심으로 본다. PUE는 시설 전체 에너지를 IT 장비 에너지로 나눈 값이다. 1에 가까워질수록 부대 설비에 드는 몫이 줄지만, 연산량이 늘면 총전력 사용은 오히려 증가할 수 있다.

PUE만으로 물 사용량이나 탄소배출량을 알 수도 없다. 운영자가 고객 장비를 통제하기 어려운 점 등을 고려해 IT 장비 효율 의무는 처음부터 부과하지 않을 예정이다. 추가적인 물 효율 요건도 의견수렴을 거쳐야 한다. 다른 법에 따른 기존 환경 규정이 없어지는 것은 아니다.

신청할 시간과 고칠 시간은 다르다

Tan Kiat How는 마무리 의회 발언에서 하위 법령, 실무규범, 허가 절차를 준비한 뒤 2027년에 단계적으로 시행할 것으로 예상한다고 밝혔다. 의회 통과가 곧 해당 의무의 시행을 뜻하지는 않는다.

기존 운영자는 관련 조항의 시행일부터 6개월 안에 허가를 신청할 수 있다. 기한 내 신청하면 허가가 나거나 최종 거절 또는 신청 철회가 이뤄질 때까지 운영을 계속할 수 있다. 이는 모든 기술 개선을 6개월 안에 끝내야 한다는 뜻이 아니다.

사이버 사고 보고를 줄이는 방안에도 조건이 붙는다. 신고 요건이 유사하고 중복될 때 IMDA에 보고하면 관련 정보가 CSA로 공유되도록 하겠다는 것이다. 다른 모든 신고 의무를 없앤다는 발표는 아니다.

Lu Heng의 Note 64는 공통으로 필요한 최소 규칙과 나중에 선택할 사항을 구분하자고 제안한다. 제도 설계를 비교하는 데는 도움이 되지만, 그 글의 대상은 자발적인 인터넷 조정이다. 싱가포르에서 적용되는 법정 실무규범은 의무이므로, 나중에 만들어진다는 이유로 따를지 말지를 선택할 수는 없다.

결국 복구는 허가증이 아니라 실제 설비와 사람을 통해 이뤄진다. 여러 기업이 저마다 계획을 갖췄더라도 같은 냉각 장치, 네트워크, 클라우드에 기대고 있다면 함께 멈출 수 있다. 새 제도가 그 공통 의존성을 드러내고 책임 사이의 빈틈을 메워야, 다음 장애 때 이용자가 체감할 차이도 생긴다.