Resumo

  • Singapura usa gatilhos diferentes para riscos distintos: 3 MW de carga crítica de TI para sustentabilidade de data centers, 10 MW para resiliência de instalações maiores e uma receita de três anos para IaaS e PaaS de grande escala.
  • O desafio de implementação é vincular os deveres de energia, resiliência e reporte aos ativos ou serviços sob controle real de cada operador, sem perder de vista o impacto sistêmico.

Um data center pode superar um limite sem chegar ao outro. A Digital Infrastructure Act 2026 transforma essa distinção em dois regimes. A partir de 3 MW de carga crítica de TI, uma instalação pode entrar no licenciamento de sustentabilidade. O patamar de 10 MW se aplica aos serviços de data center considerados relevantes para a resiliência sistêmica. Um provedor de nuvem pode entrar no regime de serviços essenciais por uma terceira medida: a receita obtida com usuários de Singapura, e não a potência de uma instalação.

Três critérios, três objetos regulatórios

O limite de 3 MW se refere à instalação. Os operadores cobertos devem obter uma licença de data center e atender a requisitos de sustentabilidade, começando pela eficiência energética da instalação e pela efetividade do uso de energia (PUE). A carga crítica de TI é a capacidade elétrica máxima para a qual o local foi projetado para alimentar equipamentos de TI e telecomunicações; não é o consumo medido em um momento específico.

A partir de 10 MW, um serviço oferecido em um data center pode ser classificado como serviço maior de infraestrutura digital fundamental. A medida continua sendo a carga crítica de TI, mas o objetivo muda: uma interrupção pode afetar muitas empresas e organizações. A regra alcança serviços de colocation que atendam aos critérios e data centers de nuvem que atendam terceiros. Para IaaS e PaaS, há um teste separado: receita anual média de pelo menos S$ 100 milhões de usuários em Singapura nos três anos anteriores. SaaS não entra nessa categoria regulada.

O Ministério estima que Singapura tenha cerca de 70 data centers, dos quais aproximadamente dois terços atingiriam o limite de 10 MW. É uma estimativa do Governo, não uma lista pública verificada instalação por instalação. A abrangência dependerá das diretrizes de licenciamento e da aplicação dos critérios a estruturas corporativas reais.

Eficiência e controle não são a mesma coisa

A resposta à consulta mostra por que os regimes de data center precisam de limites diferentes. Um operador de colocation pode controlar prédio, distribuição de energia, refrigeração e acesso físico, enquanto o cliente é dono dos servidores e os administra. MDDI e IMDA dizem que as obrigações de resiliência devem cobrir o controle direto do operador, não equipamentos do cliente que ele não controla. A intenção é criar códigos de prática distintos para data centers de nuvem e colocation, sujeitos a nova consulta.

A sustentabilidade enfrenta limite parecido. O PUE mede eficiência da instalação diante da carga de TI, mas não informa sozinho quanta eletricidade, água ou carbono o setor usa no total. O ministro o chama de ponto de partida, não de objetivo final: uma instalação pode melhorar o índice enquanto sua demanda total aumenta. A resposta à consulta diz que eficiência de equipamentos de TI não será obrigatória no início, pois o operador pode não ter visibilidade sobre os servidores dos clientes. Requisitos de água também ficam para consulta posterior.

As regras operacionais ainda virão

A lei estabelece licenças, deveres básicos e poderes de fiscalização. Controles detalhados de resiliência, limites para reportar incidentes, regras de energia e códigos de prática serão definidos posteriormente. Quando os reportes de cibersegurança se sobrepuserem à Cybersecurity Act, o Governo pretende que o licenciado reporte à IMDA, que compartilhará as informações pertinentes com a Cyber Security Agency. É um canal único de reporte, não um regime único de risco.

A lei deve entrar em vigor por etapas, nas datas fixadas por notificação no Diário Oficial. O Governo prevê que esse processo comece em 2027; depois disso, operadores existentes terão seis meses para solicitar a licença e poderão continuar operando enquanto um pedido feito no prazo estiver em análise.

A Nota 64 de Heng Lu oferece aqui uma disciplina editorial: separar a regra inicial comum das escolhas posteriores. Os códigos de Singapura continuarão sendo instrumentos legais, não uma adoção voluntária em um sistema de Internet. O funcionamento do regime dependerá das evidências por trás de cada limite: carga projetada, escopo de serviço e clientes, controle operacional, receita de nuvem e plano de transição. Se operadores documentarem esses pontos e a IMDA explicar sua análise de controle, os deveres distintos podem corresponder a riscos diferentes.

Se PUE virar substituto da sustentabilidade total ou se o titular da licença responder por sistemas de clientes que não pode comandar, os limites serão fáceis de contar e difíceis de aplicar com justiça.

Fontes