Digital Infrastructure Bill ของสิงคโปร์ : กรอบกฎหมายเพื่อกำกับความมั่นคง ความต่อเนื่อง และความยั่งยืนของโครงสร้างพื้นฐานดิจิทัล

Digital Infrastructure Bill, Bill No. 20/2026 ซึ่งเสนอเข้าสู่รัฐสภาสิงคโปร์วาระแรกเมื่อวันที่ 8 กันยายน 2026 โดยใช้เอกสารแนบเป็นแหล่งข้อมูลหลัก ครอบคลุมบทบัญญัติทั้ง 71 ข้อ บัญชีท้ายร่าง และคำอธิบายประกอบร่างกฎหมาย พร้อมเชื่อมโยงกับกฎหมายและเอกสารทางการที่เกี่ยวข้อง

หมายเหตุเกี่ยวกับสถานะกฎหมาย ณ วันที่ 11 พฤศจิกายน 2026 : เอกสารแนบเป็นฉบับร่างสำหรับวาระแรก ขณะที่คำชี้แจงของรัฐบาลเมื่อวันที่ 7 ตุลาคม 2026 ระบุว่า คาดว่าจะเริ่มใช้กรอบกฎหมายในปี 2027 หลังจัดทำกฎหมายลำดับรองและรายละเอียดที่เกี่ยวข้อง นอกจากนี้ พบข้อมูลติดตามกฎหมายว่ามีการประกาศ Digital Infrastructure Act 2026 เป็น Act 25 of 2026 เมื่อวันที่ 10 พฤศจิกายน 2026 แต่การตรวจสอบครั้งนี้ไม่สามารถเปิดตัวบทฉบับประกาศใช้จาก Singapore Statutes Online ได้โดยตรง

ดังนั้น เลขข้อและรายละเอียดทางกฎหมายในบทความนี้ยึดตาม Bill No. 20/2026 ที่แนบมา และไม่ถือเป็นการยืนยันว่าข้อความทุกส่วนตรงกับฉบับประกาศใช้แล้ว ส่วนกำหนดวันเริ่มบังคับใช้ต้องตรวจจากประกาศในราชกิจจานุเบกษาสิงคโปร์ตามบทบัญญัติว่าด้วยการเริ่มใช้กฎหมายอีกครั้ง

1. ความเป็นมาและเหตุผลในการจัดทำกฎหมาย

เศรษฐกิจดิจิทัลพึ่งพาศูนย์ข้อมูลและบริการคลาวด์ในฐานะโครงสร้างพื้นฐานร่วมของกิจกรรมทางเศรษฐกิจและบริการสาธารณะ ความขัดข้องของโครงสร้างพื้นฐานดังกล่าวจึงอาจส่งผลต่อผู้ใช้จำนวนมากพร้อมกัน ทั้งภาคการเงิน การสาธารณสุข การขนส่ง การค้า และบริการภาครัฐ

ปัญหาที่ต้องกำกับดูแลไม่ได้จำกัดอยู่เฉพาะการโจมตีทางไซเบอร์ แต่รวมถึงความเสียหายของอุปกรณ์ ความผิดพลาดในการตั้งค่าระบบ ไฟฟ้าขัดข้อง ระบบทำความเย็นล้มเหลว อัคคีภัย น้ำรั่ว และความผิดพลาดในการดำเนินงานด้วย รัฐบาลสิงคโปร์จึงเสนอ Digital Infrastructure Bill เพื่อสร้างฐานอำนาจในการกำกับความมั่นคงและความต่อเนื่องของบริการ ควบคู่กับการยกระดับความยั่งยืนของดาต้าเซ็นเตอร์ภายใต้ข้อจำกัดด้านทรัพยากรของประเทศ 

ในเชิงนโยบาย ร่างกฎหมายสะท้อนแนวคิดว่า การลงทุนดาต้าเซ็นเตอร์ต้องพิจารณาทั้งความจำเป็นต่อเศรษฐกิจ ความเสี่ยงจากการหยุดชะงัก และประสิทธิภาพในการใช้ทรัพยากร โดยรัฐต้องมีเครื่องมือกำกับผลการดำเนินงานหลังได้รับอนุญาตด้วย

 

2. โครงสร้างกฎหมายและบทบาทของหน่วยงานกำกับ

ร่างกฎหมายแบ่งออกเป็น 9 ภาค ได้แก่ บททั่วไป การบริหารกฎหมาย การอนุญาตผู้ให้บริการโครงสร้างพื้นฐานดิจิทัลหลักรายสำคัญ การอนุญาตผู้ประกอบการดาต้าเซ็นเตอร์ การทบทวนและอุทธรณ์ การบังคับใช้ บทเบ็ดเตล็ด การแก้ไขกฎหมาย Cybersecurity Act 2018 และบทเฉพาะกาล

ข้อ 2 และข้อ 4 กำหนดให้ Info-communications Media Development Authority หรือ IMDA เป็นหน่วยงานหลักในการบริหารกฎหมาย โดยมีอำนาจเกี่ยวกับการอนุญาต กำหนดเงื่อนไข ตรวจสอบ และบังคับใช้ตามกรอบที่กฎหมายกำหนด ข้อ 5 และข้อ 6 แยกบทบาทระหว่างเจ้าหน้าที่ผู้ได้รับมอบอำนาจ หรือ authorised officers กับเจ้าหน้าที่สอบสวน หรือ investigation officers ซึ่งมีอำนาจตามบทบัญญัติที่ต่างกัน

การพิจารณาใบอนุญาตยังเชื่อมโยงกับ Economic Development Board หรือ EDB และหน่วยงานด้านพลังงานและสิ่งแวดล้อม โดยเฉพาะข้อ 25(4) ซึ่งกำหนดให้ IMDA ต้องคำนึงถึงความเห็นของ EDB เมื่อประเมินคุณค่าทางเศรษฐกิจและยุทธศาสตร์ของกิจกรรมที่ผู้ขออนุญาตเสนอ

โครงสร้างดังกล่าวทำให้การกำกับดาต้าเซ็นเตอร์เชื่อมโยงทั้งมิติทางเทคนิค เศรษฐกิจ และทรัพยากร โดยมี IMDA เป็นผู้บริหารระบบใบอนุญาตหลัก

3. นิยาม “ดาต้าเซ็นเตอร์” และความสำคัญของ Critical IT Load

ข้อ 2 นิยามดาต้าเซ็นเตอร์ว่าเป็นอาคารหรือกลุ่มอาคารภายในสถานประกอบการในสิงคโปร์ ซึ่งมีพื้นที่และสิ่งอำนวยความสะดวกสำหรับการติดตั้ง เชื่อมต่อ และทำงานของอุปกรณ์เทคโนโลยีสารสนเทศและโทรคมนาคม รวมทั้งระบบจ่ายไฟฟ้าและควบคุมสภาพแวดล้อมที่สนับสนุนอุปกรณ์ดังกล่าว และมี Critical IT Load ตั้งแต่ 3 เมกะวัตต์ขึ้นไป

Critical IT Load หมายถึงกำลังไฟฟ้าสูงสุดที่ดาต้าเซ็นเตอร์ได้รับการออกแบบให้จ่ายแก่อุปกรณ์ IT และอุปกรณ์เครือข่ายโทรคมนาคมที่ติดตั้งอยู่ภายใน จึงต้องแยกจากกำลังไฟฟ้ารวมของสถานประกอบการ ซึ่งรวมระบบทำความเย็น ปั๊ม พัดลม และระบบสนับสนุนอื่นด้วย
ตัวอย่างเชิงอธิบาย หากดาต้าเซ็นเตอร์มี Critical IT Load 10 MW แม้กำลังไฟฟ้ารวมของสถานประกอบการจะสูงกว่า 10 MW เนื่องจากระบบสนับสนุน เกณฑ์ขนาดตามนิยามนี้ยังอ้างอิงความสามารถจ่ายไฟฟ้าให้ระบบ IT ตามที่ออกแบบไว้ ไม่ใช่นำกำลังไฟฟ้ารวมมาใช้แทนโดยตรง

ผลทางกฎหมายที่สำคัญคือ การประเมินว่าโครงการเข้าเกณฑ์หรือไม่ต้องพิจารณาความสามารถตามการออกแบบ ไม่อาจพิจารณาเฉพาะโหลดใช้งานจริงที่ยังต่ำในช่วงเริ่มดำเนินงาน

คำอธิบายประกอบร่างยังระบุว่า นิยามดาต้าเซ็นเตอร์นำแนวคิดมาปรับจาก ISO/IEC 22237-1:2021 และ ISO/IEC 30134-1:2016 แสดงถึงการเชื่อมโยงระหว่างนิยามทางกฎหมายกับมาตรฐานโครงสร้างพื้นฐานและการวัดสมรรถนะของดาต้าเซ็นเตอร์

4. ระบบใบอนุญาตสองประเภทและขอบเขตที่แตกต่างกัน

แกนหลักของร่างกฎหมายคือระบบใบอนุญาตสองประเภท ซึ่งมีวัตถุประสงค์และเกณฑ์การครอบคลุมต่างกัน

ประเภทแรกคือ major FDI licence ตามภาค 3 สำหรับผู้ให้บริการ major foundational digital infrastructure services โดย FDI ในที่นี้หมายถึง Foundational Digital Infrastructure เกี่ยวข้องกับความมั่นคงและความต่อเนื่องของบริการ

ประเภทที่สองคือ DC licence ตามภาค 4 สำหรับผู้ประกอบการดาต้าเซ็นเตอร์ในสิงคโปร์ที่เข้าเกณฑ์ โดยมุ่งกำกับความยั่งยืนด้านสิ่งแวดล้อมและเงื่อนไขการดำเนินกิจการ

บัญชีท้ายร่างกำหนดบริการหลักที่เกี่ยวข้องกับ major FDI licence สองกลุ่ม ได้แก่

• บริการสิ่งอำนวยความสะดวกดาต้าเซ็นเตอร์ที่ให้บริการภายในดาต้าเซ็นเตอร์ซึ่งมี Critical IT Load ตั้งแต่ 10 MW
• บริการคลาวด์ประเภท Infrastructure-as-a-Service หรือ IaaS และ Platform-as-a-Service หรือ PaaS ซึ่งมีรายได้จากผู้ใช้ในสิงคโปร์เฉลี่ยอย่างน้อย 100 ล้านดอลลาร์สิงคโปร์ต่อปี ในช่วงสามปีก่อนหน้า

บริการ Software-as-a-Service หรือ SaaS ไม่อยู่ในนิยาม regulated cloud computing service ของบัญชีท้ายร่างนี้

สำหรับ DC licence เกณฑ์ 3 MW มาจากนิยามดาต้าเซ็นเตอร์ในข้อ 2 ประกอบข้อ 23 ซึ่งห้ามดำเนินกิจการโดยไม่มีใบอนุญาตที่มีผลใช้บังคับ ทั้งนี้ต้องพิจารณาข้อยกเว้นตามข้อ 3 ด้วย

ดังนั้น ดาต้าเซ็นเตอร์แบบให้บริการบุคคลภายนอกขนาด 12 MW อาจอยู่ภายใต้ใบอนุญาตทั้งสองประเภท ขณะที่ดาต้าเซ็นเตอร์เพื่อใช้ภายในองค์กรขนาด 12 MW อาจอยู่ภายใต้ DC licence แต่ไม่เป็น data centre facility service ตามนิยามสำหรับ major FDI licence หากใช้เพื่อกิจการของตนเองเพียงอย่างเดียวและไม่เข้าข้อยกเว้นเกี่ยวกับการให้บริการคลาวด์แก่บุคคลอื่น

5. ขอบเขตข้ามพรมแดนและข้อยกเว้น

ข้อ 3 กำหนดขอบเขตของภาค 3 ให้ครอบคลุมบริการรายสำคัญที่ให้จากภายในหรือภายนอกสิงคโปร์แก่ผู้ใช้ในสิงคโปร์ และบริการที่ให้ทั้งหมดหรือบางส่วนจากสิงคโปร์แก่ผู้ใช้ภายในหรือภายนอกประเทศ ส่วนข้อ 57 วางบทบัญญัติเกี่ยวกับความผิดที่มีองค์ประกอบอยู่นอกประเทศ

ผลคือ การตั้งบริษัทหรือระบบประมวลผลไว้นอกสิงคโปร์ไม่ได้ทำให้ผู้ให้บริการพ้นจากขอบเขตกฎหมายโดยอัตโนมัติ ต้องพิจารณาประเภทบริการ ผู้ใช้ รายได้ และเงื่อนไขของบริการรายสำคัญร่วมกัน

สำหรับ DC licence ข้อ 3(5) กำหนดข้อยกเว้นเฉพาะ เช่น ดาต้าเซ็นเตอร์ที่รัฐบาลหรือหน่วยงานสาธารณะดำเนินการภายในสถานที่ที่ตนเป็นเจ้าของหรือครอบครอง ดาต้าเซ็นเตอร์ของสถาบันการศึกษาตามนิยามที่ใช้สนับสนุนการวิจัยและพัฒนา และดาต้าเซ็นเตอร์ของผู้รับใบอนุญาตด้านโทรคมนาคม ไฟฟ้า หรือก๊าซ ซึ่งใช้สนับสนุนกิจกรรมที่ได้รับอนุญาตและการใช้งานประกอบที่เกี่ยวข้อง

ข้อยกเว้นดังกล่าวมีเงื่อนไขเฉพาะ จึงไม่ควรสรุปว่าดาต้าเซ็นเตอร์ของมหาวิทยาลัยหรือบริษัทสาธารณูปโภคทุกแห่งได้รับยกเว้นทั้งหมด และข้อยกเว้นของภาค 4 ไม่ได้แปลว่าได้รับยกเว้นจากกฎหมายอื่นด้วย

6. หน้าที่ด้านความมั่นคงและความต่อเนื่องของบริการ

ข้อ 15 กำหนดหน้าที่หลักของผู้ถือ major FDI licence ไว้สี่ประการ คือ จัดให้มีกระบวนการและมาตรการรักษาความมั่นคงทั้งทางกายภาพและไซเบอร์ ลดโอกาสเกิดการหยุดชะงักที่ไม่คาดหมาย จัดทำแผนความต่อเนื่องทางธุรกิจและแผนกู้คืนบริการ และแจ้งเหตุการณ์ไซเบอร์หรือเหตุขัดข้องของบริการตามที่กำหนด

ข้อ 16 ให้อำนาจ IMDA ออกหรือรับรอง Codes of Practice เพื่อกำหนดแนวปฏิบัติที่ละเอียดขึ้น รวมถึงระยะเวลาแจ้งเหตุ ส่วนข้อ 17 ให้อำนาจออกคำสั่งเป็นหนังสือเพื่อสนับสนุนการกำกับและการแก้ไขปัญหา

ในเชิงวิศวกรรม หน้าที่เหล่านี้ทำให้การปฏิบัติตามกฎหมายเกี่ยวข้องกับวงจรการดำเนินงานตลอดอายุโครงการ ตั้งแต่การประเมินความเสี่ยง การบำรุงรักษา การควบคุมการเปลี่ยนแปลง การทดสอบแผนกู้คืน ไปจนถึงการจัดการผู้รับเหมาและห่วงโซ่อุปทาน อย่างไรก็ตาม รายการดังกล่าวเป็นการแปลความหมายสู่การปฏิบัติ ไม่ใช่รายการข้อกำหนดทางเทคนิคที่ร่างกฎหมายกำหนดไว้ครบถ้วนแล้ว

จึงไม่ควรอ้างว่าร่างกฎหมายบังคับให้ทุกแห่งต้องได้รับ Tier III ใช้ระบบไฟฟ้า 2N หรือสำรองเชื้อเพลิงเป็นจำนวนชั่วโมงเดียวกัน เพราะข้อกำหนดเหล่านั้นไม่ได้ปรากฏเป็นเงื่อนไขทั่วไปโดยตรงในข้อ 15

7. ความเชื่อมโยงกับ Cybersecurity Act 2018 และระบบ OT

Digital Infrastructure Bill ทำงานประกอบกับ Cybersecurity Act 2018 และการแก้ไขเพิ่มเติมในปี 2024 ซึ่งขยายกรอบการกำกับให้รองรับโครงสร้างพื้นฐานดิจิทัลรูปแบบใหม่ รวมถึงบริการคลาวด์และดาต้าเซ็นเตอร์ ขณะที่ร่างกฎหมายฉบับนี้เพิ่มกรอบการอนุญาตและความต่อเนื่องในการดำเนินงานที่ครอบคลุมความเสี่ยงกว้างกว่าการโจมตีทางไซเบอร์เพียงอย่างเดียว 

ข้อ 70 เสนอแก้ไขนิยามและข้อความบางส่วนใน Cybersecurity Act 2018 เพื่อให้กรอบกฎหมายสอดคล้องกัน โดยเฉพาะนิยาม digital infrastructure service, foundational digital infrastructure service และ data centre facility service

ประเด็นสำคัญสำหรับดาต้าเซ็นเตอร์คือ ข้อ 2 ของร่างนิยาม computer system ให้รวมระบบ Operational Technology หรือ OT เช่น Industrial Control System, Programmable Logic Controller, SCADA และ Distributed Control System

ในเชิงวิเคราะห์ การจัดการความมั่นคงจึงต้องพิจารณาทั้งระบบ IT และระบบควบคุมโครงสร้างพื้นฐาน เช่น ระบบไฟฟ้า ระบบทำความเย็น และระบบบริหารอาคารตามสถาปัตยกรรมของแต่ละโครงการ เพราะความผิดปกติของระบบควบคุมอาจทำให้บริการดิจิทัลหยุดชะงักได้ แม้เซิร์ฟเวอร์ยังไม่ถูกโจมตีโดยตรง

อย่างไรก็ดี การมีนิยามครอบคลุม OT ไม่ได้ทำให้มาตรฐาน IEC 62443 หรือมาตรฐานอื่นกลายเป็นข้อบังคับโดยอัตโนมัติ ต้องตรวจว่าถูกนำมาอ้างอิงผ่านกฎหมายลำดับรอง Code of Practice หรือเงื่อนไขใบอนุญาตอย่างไร

8. หน้าที่ด้านความยั่งยืน: พลังงาน อุปกรณ์ IT และน้ำ

ข้อ 35 กำหนดฐานหน้าที่ด้านความยั่งยืนสามระดับ ได้แก่

ประการแรก ประสิทธิภาพพลังงานระดับสถานประกอบการ โดยผู้รับใบอนุญาตต้องทำให้การดำเนินงานเป็นไปตามข้อกำหนดขั้นต่ำที่จะกำหนดต่อไป

ประการที่สอง ประสิทธิภาพพลังงานระดับอุปกรณ์ IT โดยครอบคลุมอุปกรณ์ที่ติดตั้งโดยลูกค้าด้วย

ประการที่สาม ประสิทธิภาพการใช้น้ำระดับสถานประกอบการ ตามข้อกำหนดขั้นต่ำที่จะกำหนดต่อไป

บทบัญญัติเรื่องอุปกรณ์ของลูกค้ามีนัยสำคัญต่อธุรกิจ colocation เพราะเมื่อมีข้อกำหนดที่เกี่ยวข้องออกมา ผู้ประกอบการอาจต้องมีกลไกประสานงาน ข้อกำหนดในสัญญา และข้อมูลจากลูกค้า เพื่อแสดงการปฏิบัติตามเงื่อนไขดังกล่าว

รัฐบาลชี้แจงว่า แนวทางเริ่มต้นจะมุ่งที่ประสิทธิภาพพลังงานระดับสถานประกอบการ รวมถึง PUE ส่วนข้อกำหนดด้านอุปกรณ์ IT และน้ำสามารถพัฒนาต่อไปภายหลังการหารือกับภาคอุตสาหกรรม จึงต้องแยกระหว่าง ฐานอำนาจที่ร่างกฎหมายเปิดไว้ กับ รายละเอียดและช่วงเวลาที่ข้อกำหนดแต่ละเรื่องเริ่มใช้จริง 

ในเชิงการประเมินผล PUE ช่วยสะท้อนพลังงานของระบบสนับสนุนเมื่อเทียบกับพลังงานของอุปกรณ์ IT แต่ไม่สามารถบอกประสิทธิภาพการประมวลผล ความคุ้มค่าทางเศรษฐกิจ หรือผลกระทบด้านน้ำได้ครบถ้วน โครงสร้างของข้อ 35 จึงเปิดทางให้กำกับหลายมิติร่วมกัน

9. ความแตกต่างระหว่าง Digital Infrastructure Bill กับ DC-CFA2

ประเด็นที่ต้องแยกให้ชัดคือ Digital Infrastructure Bill เป็นกรอบกฎหมายสำหรับการอนุญาตและกำกับกิจการ ส่วน Data Centre–Call for Application 2 หรือ DC-CFA2 เป็นกระบวนการคัดเลือกเพื่อจัดสรรกำลังรองรับดาต้าเซ็นเตอร์ใหม่

เอกสารทางการของ EDB และ IMDA ลงวันที่ 1 ธันวาคม 2025 กำหนดองค์ประกอบสำคัญของ DC-CFA2 ได้แก่ การรับรอง BCA-IMDA Green Mark for Data Centres 2024 ระดับ Platinum การบรรลุ PUE 1.25 หรือต่ำกว่าที่โหลด IT 100% การใช้อุปกรณ์ตามแนวทางประสิทธิภาพของ SS 715:2025 และการจัดหาพลังงานอย่างน้อย 50% จาก eligible green energy pathways พร้อมการประเมินคุณค่าทางยุทธศาสตร์และผลประโยชน์ทางเศรษฐกิจของข้อเสนอ 

ดังนั้น ไม่ควรเขียนว่า “Digital Infrastructure Bill กำหนดให้ดาต้าเซ็นเตอร์ทุกแห่งต้องมี PUE ไม่เกิน 1.25 และใช้พลังงานสีเขียวอย่างน้อย 50%” เพราะตัวเลขดังกล่าวเป็นเงื่อนไขของ DC-CFA2 ที่ต้องพิจารณาตามขอบเขตโครงการ

ความสัมพันธ์ระหว่างสองกลไกอยู่ที่ร่างกฎหมายเปิดทางให้นำคำมั่นที่ใช้ประกอบการจัดสรรกำลังรองรับ มาเป็นเงื่อนไขใบอนุญาตที่ติดตามและบังคับให้ปฏิบัติได้

10. การอนุญาตโดยพิจารณาคุณค่าทางเศรษฐกิจและข้อจำกัดทรัพยากร

ข้อ 25 เป็นบทบัญญัติสำคัญในการเชื่อมการอนุญาตกับนโยบายประเทศ โดยแยกเรื่องที่ IMDA “ต้องคำนึงถึง” และเรื่องที่ “อาจคำนึงถึง”

ข้อ 25(2) กำหนดให้ต้องคำนึงถึงประสบการณ์และความสามารถของผู้ขออนุญาตในกรณีที่เกี่ยวข้อง ประสิทธิภาพพลังงานและน้ำ และประโยชน์สาธารณะ

ข้อ 25(3) เปิดให้พิจารณาเพิ่มเติม เช่น ลักษณะของแหล่งพลังงาน ความสามารถในการลดหรือจัดการการปล่อยก๊าซเรือนกระจก การใช้คาร์บอนเครดิตระหว่างประเทศที่เข้าเกณฑ์ การนำเข้าไฟฟ้า ความสัมพันธ์กับพันธกรณีด้านภูมิอากาศ และความสำคัญทางเศรษฐกิจหรือยุทธศาสตร์ของกิจกรรมที่ผู้ประกอบการเสนอ

ข้อ 25(4) กำหนดให้ต้องคำนึงถึงความเห็นของ EDB ในการประเมินความสำคัญทางเศรษฐกิจและยุทธศาสตร์ ขณะที่ข้อ 25(6) วางคุณสมบัติของผู้ขออนุญาต เช่น รูปแบบนิติบุคคล สถานประกอบธุรกิจหรือสำนักงานจดทะเบียนในสิงคโปร์ คุณสมบัติของผู้บริหาร และข้อกำหนดด้านการเงินและการดำเนินงาน

นอกจากนี้ ข้อ 26(2) กำหนดให้ DC licence ต้องระบุ Critical IT Load ที่อนุญาตให้ดำเนินการได้ ทำให้กำลังรองรับของดาต้าเซ็นเตอร์เป็นองค์ประกอบของใบอนุญาตโดยตรง
ในเชิงนโยบาย การอนุญาตจึงสามารถพิจารณาความสัมพันธ์ระหว่างทรัพยากรที่โครงการต้องใช้กับคุณค่าที่ประเทศคาดว่าจะได้รับ โดยร่างไม่ได้กำหนดสูตรผลตอบแทนทางเศรษฐกิจต่อ MW หรืออัตราส่วนผลประโยชน์ต่อต้นทุนที่ใช้เหมือนกันทุกโครงการ

11. การเปลี่ยนคำมั่นด้านเศรษฐกิจและพลังงานให้มีผลผูกพัน

ข้อ 27 ให้อำนาจกำหนดเงื่อนไขใบอนุญาตสำหรับผู้ประกอบการทั้งหมด ผู้ประกอบการบางกลุ่ม หรือรายใดรายหนึ่งโดยเฉพาะ

ข้อ 27(3)(c) เปิดทางให้กำหนดเงื่อนไขเกี่ยวกับภารกิจหรือเป้าหมายที่ผู้ประกอบการรับปากไว้ในคำขออนุญาต ซึ่งเกี่ยวกับกิจกรรมทางธุรกิจในสิงคโปร์ที่มีคุณค่าทางเศรษฐกิจ ยุทธศาสตร์ หรือการพัฒนาเศรษฐกิจดิจิทัล

ข้อ 27(3)(d) - (g) เปิดทางให้กำหนดเงื่อนไขด้านพลังงาน เช่น การพัฒนาและสนับสนุนโครงการพลังงานคาร์บอนต่ำ การเริ่มรับไฟฟ้าจากโครงการภายในเวลาที่กำหนด การจัดการการปล่อยก๊าซเรือนกระจก การใช้คาร์บอนเครดิตที่เข้าเกณฑ์ การจัดหาไฟฟ้านำเข้า และการจำกัดปริมาณหรือสัดส่วนไฟฟ้าจากแหล่งพลังงานบางประเภท

ในทางปฏิบัติ กลไกนี้ช่วยให้รัฐติดตามได้ว่าผู้ประกอบการทำตามคำมั่นที่เป็นเหตุให้ได้รับการจัดสรรทรัพยากรหรือไม่ อย่างไรก็ตาม เงื่อนไขที่ผูกพันผู้ประกอบการแต่ละรายต้องตรวจจากใบอนุญาตจริง ไม่อาจอนุมานจากรายการอำนาจในกฎหมายเพียงอย่างเดียว

12. การเชื่อมโยงกับกฎหมายพลังงานและคาร์บอน

ร่างกฎหมายเชื่อมกับ Carbon Pricing Act 2018 โดยข้อ 2 อ้างอิงนิยามเกี่ยวกับก๊าซเรือนกระจกและคาร์บอนไดออกไซด์เทียบเท่า รวมถึงแยก reckonable และ non-reckonable greenhouse gas emissions ซึ่งมีความสำคัญต่อการคำนวณและมาตรการด้านคาร์บอน

ข้อ 25(7) อ้างอิงนิยาม low-carbon electricity จากข้อ 19A(6) ของ Energy Market Authority of Singapore Act 2001 ส่วนกฎหมายดังกล่าววางกรอบเกี่ยวกับ Future Energy Fund และโครงการพลังงานที่เกี่ยวข้องด้วย 

ข้อ 68 ให้อำนาจรัฐมนตรีที่รับผิดชอบการประสานนโยบายการเปลี่ยนแปลงสภาพภูมิอากาศออกกฎในเรื่องที่อยู่ในความรับผิดชอบ ขณะที่ข้อ 69 เปิดทางให้มีการอ้างอิงเอกสารภายนอกตามเงื่อนไขที่กำหนด

จึงต้องแยกการใช้พลังงานคาร์บอนต่ำ การนำเข้าไฟฟ้า การใช้คาร์บอนเครดิต และการลดการใช้พลังงานออกจากกัน เพราะเป็นเครื่องมือคนละประเภท และไม่สามารถนำมาใช้ทดแทนกันได้ทุกกรณีโดยอัตโนมัติ

13. รายงานประจำปี การตรวจสอบ และสถานะของ Codes of Practice

ข้อ 36 กำหนดให้ผู้ถือ DC licence จัดส่งรายงานเป็นรายปี หรือรอบที่ห่างกว่านั้นตามที่จะกำหนด ครอบคลุมการปฏิบัติตามกฎหมาย กฎหมายลำดับรอง เงื่อนไขใบอนุญาต และ Code of Practice ที่เกี่ยวข้อง โดย IMDA อาจกำหนดให้มีการตรวจสอบรายงานและแนบรายงานผู้ตรวจสอบด้วย

ข้อ 37 ให้อำนาจออกหรือรับรอง Codes of Practice เกี่ยวกับประสิทธิภาพพลังงานและน้ำ โดยต้องประกาศการออกหรือแก้ไขตามวิธีที่กำหนด ส่วนข้อ 38 ให้อำนาจออกคำสั่งเกี่ยวกับการตรวจสอบ การแก้ไขการไม่ปฏิบัติตาม และการปฏิบัติตาม Code

ประเด็นทางกฎหมายที่สำคัญคือ ข้อ 37(5) ระบุว่า Code of Practice ไม่มีผลเป็นกฎหมายในตัวเอง แต่ข้อ 37(6) กำหนดหน้าที่ให้ผู้รับใบอนุญาตต้องปฏิบัติตาม Code ที่ใช้กับตน โดยอยู่ภายใต้เงื่อนไขและการยกเว้นที่เกี่ยวข้อง ดังนั้น การเรียก Code ว่าเป็น “แนวทางสมัครใจ” ทั้งหมดจึงไม่ถูกต้อง

นอกจากนี้ หน้าที่ส่งข้อมูลให้ IMDA ไม่เท่ากับหน้าที่เปิดเผยข้อมูลทั้งหมดต่อสาธารณะ เพราะต้องพิจารณาบทบัญญัติด้านการรักษาความลับตามข้อ 60 ประกอบด้วย

14. การเปลี่ยนผู้ถือหุ้น ผู้ควบคุมกิจการ และการยุติบริการ

ข้อ 30 - 33 วางกรอบการรายงานการเปลี่ยนแปลงผู้ถือหุ้นและอำนาจควบคุมของผู้ถือ DC licence โดยข้อ 33 กำหนดให้แจ้ง IMDA เป็นหนังสือภายใน 7 วันนับแต่ทราบข้อเท็จจริง เมื่อมีเหตุ เช่น บุคคลกลายเป็นหรือเลิกเป็น 5% controller มีผู้ควบคุมทางอ้อมรายใหม่ หรือมีการรับโอนกิจการดำเนินงานดาต้าเซ็นเตอร์ทั้งหมดหรือบางส่วนในลักษณะกิจการที่ดำเนินอยู่ เกณฑ์ 5% ต้องอ่านร่วมกับนิยามในข้อ 30-32 ซึ่งครอบคลุมส่วนได้เสีย สิทธิออกเสียง บุคคลที่เกี่ยวข้อง และการควบคุมทางอ้อมตามที่กำหนด

ข้อ 12 และข้อ 28 ยังแยกเรื่องการโอนใบอนุญาต ซึ่งต้องได้รับความเห็นชอบเป็นหนังสือจาก IMDA ออกจากการรายงานการเปลี่ยนผู้ถือหุ้น จึงไม่ควรสรุปว่าการถือหุ้นถึง 5% ทุกกรณีต้องขออนุมัติล่วงหน้าตามข้อ 33

สำหรับการคืนใบอนุญาต ข้อ 13 และข้อ 29 วางกระบวนการแจ้งล่วงหน้าและการให้ความยินยอมของหน่วยงานกำกับ โดยอาจมีเงื่อนไขประกอบ กลไกนี้ช่วยให้รัฐพิจารณาผลกระทบจากการยุติบริการต่อผู้ใช้ก่อนการคืนใบอนุญาตมีผล

15. มาตรการบังคับใช้และการเรียกคืนประโยชน์จากการฝ่าฝืน

ข้อ 19 และข้อ 39 ให้อำนาจใช้มาตรการทางกำกับดูแลตามเหตุและความร้ายแรง เช่น การพักใช้หรือเพิกถอนใบอนุญาต การลดอายุใบอนุญาต การแก้ไขเงื่อนไข และการตำหนิ สำหรับ DC licence ข้อ 39(2)(b) ยังเปิดทางให้ลด Critical IT Load ที่อนุญาตได้ด้วย
มาตรการที่โดดเด่นอยู่ในข้อ 39(3) ซึ่งใช้เมื่อฝ่าฝืนเงื่อนไขตามข้อ 27(3)(g) เกี่ยวกับข้อจำกัดการใช้ไฟฟ้าจากแหล่งพลังงานที่กำหนด โดย IMDA อาจสั่งให้ดำเนินการอย่างใดอย่างหนึ่งหรือทั้งสองอย่าง ได้แก่

ประการแรก โอนคาร์บอนเครดิตระหว่างประเทศที่เข้าเกณฑ์เพื่อชดเชยการปล่อยส่วนที่เพิ่มขึ้นจากการฝ่าฝืน ภายใต้สูตรและเพดานที่บทบัญญัติกำหนด

ประการที่สอง ชำระเงินที่สะท้อนต้นทุนที่ผู้ประกอบการประหยัดได้จากการฝ่าฝืน โดยคำนึงถึงต้นทุนและรายการหักที่ระบุไว้

ตัวอย่างเชิงอธิบาย หากผู้ประกอบการมีเงื่อนไขให้จำกัดการใช้ไฟฟ้าจากแหล่งพลังงานประเภทหนึ่ง แต่กลับใช้เกินเงื่อนไขจนลดต้นทุนของตนและเพิ่มการปล่อยก๊าซเรือนกระจก กลไกนี้เปิดทางให้จัดการทั้งผลกระทบคาร์บอนส่วนเพิ่มและประโยชน์ทางต้นทุนที่ได้รับ ทั้งนี้ ต้องเข้าองค์ประกอบของบทบัญญัติและใช้วิธีคำนวณตามกฎหมาย

ข้อ 39(3) จึงไม่ได้เป็นอำนาจเรียกคืนกำไรสำหรับการฝ่าฝืนทุกประเภท แต่เป็นมาตรการเฉพาะที่เชื่อมกับเงื่อนไขแหล่งพลังงานดังกล่าว

16. มาตรการทางการเงินและความผิดอาญา

ข้อ 20 และข้อ 40 กำหนด financial penalty สำหรับการฝ่าฝืนบางประเภท โดยมีเพดานไม่เกินจำนวนที่สูงกว่าระหว่าง 1 ล้านดอลลาร์สิงคโปร์ กับ 10% ของ annual turnover ของผู้รับใบอนุญาตในสิงคโปร์

คำว่า “จำนวนที่สูงกว่า” มีความสำคัญ เช่น หากฐาน annual turnover ตามบทบัญญัติเท่ากับ 50 ล้านดอลลาร์สิงคโปร์ จำนวน 10% คือ 5 ล้านดอลลาร์สิงคโปร์ ซึ่งสูงกว่า 1 ล้านดอลลาร์สิงคโปร์ อย่างไรก็ตาม ตัวเลขดังกล่าวเป็นเพดานที่อาจใช้ได้ ไม่ใช่ค่าปรับอัตโนมัติทุกกรณี และไม่ใช่ฐานรายได้ทั่วโลกของกลุ่มบริษัท

การไม่ปฏิบัติตามคำสั่งเป็นหนังสือบางประเภทถูกแยกไว้ในข้อ 20(3) และข้อ 40(3) โดยมีเพดาน financial penalty 100,000 ดอลลาร์สิงคโปร์
ส่วนความผิดอาญาเป็นอีกกลไกหนึ่ง เช่น ข้อ 23(3) กำหนดโทษสำหรับการดำเนินกิจการดาต้าเซ็นเตอร์โดยไม่มี DC licence ปรับไม่เกิน 100,000 ดอลลาร์สิงคโปร์ และมีค่าปรับเพิ่มสำหรับความผิดต่อเนื่องหลังคำพิพากษาตามเงื่อนไขที่ระบุ

ข้อ 51-52 เกี่ยวข้องกับการให้ข้อมูลเท็จและการขัดขวางการปฏิบัติหน้าที่ ขณะที่ข้อ 54-55 วางหลักเกี่ยวกับความผิดของนิติบุคคลและองค์กรรูปแบบอื่น จึงต้องแยกความรับผิดทางอาญา financial penalty และมาตรการต่อใบอนุญาตออกจากกันเมื่ออธิบายผลทางกฎหมาย

17. อำนาจตรวจสอบ อำนาจฉุกเฉิน และสิทธิของผู้ถูกกำกับ

ข้อ 47 ให้อำนาจเรียกข้อมูลและเอกสารเพื่อประเมินการปฏิบัติตามกฎหมาย ข้อ 48 เกี่ยวข้องกับการเข้าตรวจสถานที่ตามเงื่อนไขที่กำหนด ส่วนข้อ 49-50 กำหนดอำนาจสอบสวน รวมถึงการเข้าสถานที่โดยหมายของศาลในกรณีที่เกี่ยวข้อง อำนาจเหล่านี้มีองค์ประกอบและเงื่อนไขต่างกัน จึงไม่ควรสรุปว่าร่างให้อำนาจเข้าถึงทุกสถานที่หรือข้อมูลได้โดยไม่มีข้อจำกัด

ข้อ 18 เป็นอำนาจฉุกเฉินสำหรับกรณีที่ภัยต่อความต่อเนื่องของบริการ major FDI ก่อให้เกิดภัยร้ายแรงและใกล้จะถึงต่อผลประโยชน์สำคัญของสิงคโปร์ เช่น ความมั่นคง เศรษฐกิจ หรือความปลอดภัยสาธารณะ โดยรัฐมนตรีอาจออกหนังสือรับรองเพื่อให้อำนาจหรือสั่งบุคคลหรือองค์กรที่ระบุดำเนินมาตรการที่จำเป็น บทบัญญัตินี้ยังคงมีข้อจำกัดเกี่ยวกับข้อมูลที่ได้รับเอกสิทธิ์ทางกฎหมาย ด้านกระบวนการที่เป็นธรรม ข้อ 21 และข้อ 41 กำหนดให้มีหนังสือแจ้งก่อนสั่ง financial penalty และเปิดโอกาสให้ชี้แจง โดยวันที่ตั้งใจออกคำสั่งต้องไม่น้อยกว่า 21 วันหลังหนังสือแจ้งตามบทบัญญัติ

ข้อ 43-46 วางระบบทบทวนและอุทธรณ์ ผู้ได้รับผลกระทบอาจขอให้ IMDA ทบทวนคำตัดสินที่อุทธรณ์ได้ภายในเวลาที่กำหนดตามข้อ 44 และอุทธรณ์ผลการทบทวนต่อรัฐมนตรีตามข้อ 45 โดยทั่วไปภายใน 30 วันหลังได้รับคำตัดสินที่อุทธรณ์ ทั้งนี้ การขอทบทวนหรืออุทธรณ์ไม่ทำให้คำตัดสินหยุดมีผลโดยอัตโนมัติ

18. บทเฉพาะกาลและการเปลี่ยนผ่านของกิจการเดิม

ข้อ 71 กำหนดให้ผู้ประกอบการเดิมที่เข้าเงื่อนไขสามารถดำเนินกิจการต่อได้เป็นเวลา 6 เดือนนับจากวันที่ภาคที่เกี่ยวข้องเริ่มใช้บังคับ และหากยื่นคำขอภายในช่วงนั้น สามารถดำเนินกิจการต่อระหว่างการพิจารณาจนถึงเหตุสิ้นสุดตามที่กฎหมายกำหนด ระยะเวลาหกเดือนจึงต้องนับจากวันเริ่มใช้ของภาค 3 หรือภาค 4 ตามกรณี ไม่ใช่นับจากวันเสนอร่าง วันผ่านรัฐสภา หรือวันเผยแพร่เอกสารโดยอัตโนมัติ รัฐบาลชี้แจงเพิ่มเติมว่า การกำหนดรายละเอียดจะหารือกับภาคอุตสาหกรรมและจัดช่วงเปลี่ยนผ่านที่เหมาะสม รวมทั้งพยายามใช้ผลตรวจสอบและการรับรองที่เป็นที่ยอมรับอยู่แล้วเพื่อลดงานซ้ำซ้อน โดยคาดว่าจะเริ่มใช้กฎหมายในปี 2027 

19. ความสัมพันธ์กับแนวทางและมาตรฐานทางเทคนิค

ก่อนการจัดทำร่างกฎหมาย IMDA เผยแพร่ Advisory Guidelines สำหรับบริการคลาวด์และดาต้าเซ็นเตอร์เมื่อวันที่ 25 กุมภาพันธ์ 2025 โดยแนะนำการประเมินความเสี่ยง การวิเคราะห์ผลกระทบทางธุรกิจ การวางแผนความต่อเนื่อง และมาตรการไซเบอร์ ครอบคลุมทั้งความผิดพลาดทางเทคนิค อัคคีภัย น้ำรั่ว และระบบทำความเย็นล้มเหลว แนวทางดังกล่าวอ้างอิงมาตรฐานและกรอบปฏิบัติ เช่น Multi-Tier Cloud Security, Cloud Security Alliance Cloud Controls Matrix, ISO 27001 และ ISO 22301 เอกสารกลุ่มนี้ช่วยอธิบายฐานทางเทคนิคของการกำกับ แต่ต้องแยกสถานะระหว่างคำแนะนำ มาตรฐานสมัครใจ และข้อกำหนดที่ถูกนำมาผูกพันผ่านกฎหมายหรือใบอนุญาต

คำอธิบายประกอบร่างยังระบุแหล่งแนวคิดของนิยามหลายรายการ ได้แก่ NIST SP 800-145 สำหรับรูปแบบบริการคลาวด์ ISO/IEC 22123-1:2023 สำหรับศัพท์ด้านคลาวด์ และ NIS 2 Directive ของสหภาพยุโรปสำหรับแนวคิดเกี่ยวกับบริการดาต้าเซ็นเตอร์ ส่วน NIST SP 800-145 เป็นเอกสารที่อธิบายลักษณะสำคัญ รูปแบบบริการ และรูปแบบการใช้งานคลาวด์อย่างเป็นระบบ การนำแนวคิดจากเอกสารเหล่านี้มาปรับเป็นนิยามในกฎหมายสิงคโปร์ ไม่ได้ทำให้เอกสารหรือมาตรฐานต้นทางทุกข้อกลายเป็นกฎหมายสิงคโปร์โดยอัตโนมัติ

20. บทวิเคราะห์เชิงนโยบายและบทเรียนสำหรับประเทศไทย

ในมุมมองของบทความนี้ จุดเด่นของ Digital Infrastructure Bill คือการเชื่อมการอนุญาต การกำหนดหน้าที่ การติดตาม และการบังคับใช้เข้าไว้ด้วยกัน โดยมีฐานอำนาจรองรับทั้งความต่อเนื่องของบริการและผลกระทบจากการใช้ทรัพยากร

บทเรียนประการแรก คือ ควรแยกการกำกับความเสี่ยงต่อระบบเศรษฐกิจออกจากการกำกับประสิทธิภาพทรัพยากร ดาต้าเซ็นเตอร์บางแห่งอาจไม่เป็นผู้ให้บริการรายสำคัญต่อบุคคลภายนอก แต่ยังใช้ไฟฟ้าและน้ำมากพอที่จะต้องมีหน้าที่ด้านความยั่งยืน

ประการที่สอง นิยามและขอบเขตการวัดต้องชัดเจน โดยเฉพาะ IT load กำลังไฟฟ้ารวม กำลังตามการออกแบบ และพลังงานที่ใช้จริง เพราะการใช้ตัวเลขต่างฐานกันอาจทำให้การจัดกลุ่มโครงการและการประเมินผลคลาดเคลื่อน

ประการที่สาม เงื่อนไขที่ใช้อนุมัติควรติดตามผลได้ หากโครงการได้รับสิทธิจากคำมั่นด้านการพัฒนาบุคลากร การวิจัย หรือพลังงานคาร์บอนต่ำ ควรกำหนดผลลัพธ์ ช่วงเวลา หลักฐาน และผลเมื่อไม่ปฏิบัติให้ชัดเจน

ประการที่สี่ การกำกับควรครอบคลุมวงจรการดำเนินงาน ทั้งการเปลี่ยนผู้ควบคุม การปรับกำลังรองรับ การเปลี่ยนแหล่งพลังงาน และการเลิกกิจการ เพราะความเสี่ยงและผลประโยชน์สาธารณะเปลี่ยนแปลงได้หลังเริ่มโครงการ

ประการที่ห้า การใช้มาตรฐานทางเทคนิคควรมีวิธีรับรองความสอดคล้องที่เหมาะสม ลดการตรวจซ้ำ และเปิดให้ปรับข้อกำหนดตามเทคโนโลยี โดยยังรักษาความชัดเจนของหน้าที่ทางกฎหมาย

ข้อเสนอเหล่านี้เป็นการวิเคราะห์เพื่อประยุกต์ใช้ ไม่ใช่ข้อกำหนดของกฎหมายไทย และการนำเกณฑ์ 3 MW, 10 MW หรือรายได้ 100 ล้านดอลลาร์สิงคโปร์มาใช้ในประเทศไทยจำเป็นต้องประเมินโครงสร้างอุตสาหกรรม ความเสี่ยง และระบบกฎหมายของไทยก่อน

เอกสารอ้างอิง

1. Parliament of Singapore. (2026, September 8). Digital Infrastructure Bill (Bill No. 20/2026). Singapore Statutes Online. 
แหล่งหลักสำหรับข้อ 1-71 บัญชีท้ายร่าง และ Explanatory Statement
2. Ministry of Digital Development and Information. (2026, September 8). New Digital Infrastructure Bill to strengthen the foundations for Singapore’s digital economy. 
3. Ministry of Digital Development and Information. (2026, September 8). Public consultation on the Digital Infrastructure Bill. 
4. Ministry of Digital Development and Information. (2026, October 6). Opening speech by SMS Tan Kiat How for the Second Reading of the Digital Infrastructure Bill. 
5. Ministry of Digital Development and Information. (2026, October 7). Closing speech by SMS Tan Kiat How for the Second Reading of the Digital Infrastructure Bill. 
6. Singapore Economic Development Board, & Infocomm Media Development Authority. (2025, December 1). Launch of second Data Centre–Call for Application [Fact sheet]. เอกสารข้อกำหนด DC-CFA2
7. Infocomm Media Development Authority. (2025, February 25). IMDA introduces advisory guidelines to enhance the resilience and security of cloud services and data centres [Media release]. 
8. Cyber Security Agency of Singapore. (2026, July 16). Cybersecurity Act. 
ใช้ประกอบการอธิบาย Cybersecurity Act 2018 และ Cybersecurity (Amendment) Act 2024 โดยต้องตรวจวันเริ่มใช้ของแต่ละบทบัญญัติแยกกัน
9. Singapore. (2018). Carbon Pricing Act 2018.
กฎหมายที่ข้อ 2 ของร่างอ้างอิงสำหรับนิยามก๊าซเรือนกระจก คาร์บอนไดออกไซด์เทียบเท่า และประเภทการปล่อยที่เกี่ยวข้อง
10. Singapore. (2001). Energy Market Authority of Singapore Act 2001, § 19A(6). 
ข้อ 25(7) ของร่างอ้างอิงนิยาม low-carbon electricity จากบทบัญญัตินี้
11. Singapore. (2016). Info-communications Media Development Authority Act 2016.
กฎหมายจัดตั้ง IMDA ซึ่งข้อ 2 และข้อ 4 ของร่างเชื่อมโยงถึง
12. Mell, P., & Grance, T. (2011). The NIST definition of cloud computing (NIST Special Publication 800-145). National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800-145
13. International Organization for Standardization, & International Electrotechnical Commission. (2021). Information technology Data centre facilities and infrastructures Part 1: General concepts (ISO/IEC 22237-1:2021).
14. International Organization for Standardization, & International Electrotechnical Commission. (2016). Information technology Data centres Key performance indicators Part 1: Overview and general requirements (ISO/IEC 30134-1:2016).
15. International Organization for Standardization, & International Electrotechnical Commission. (2023). Information technology—Cloud computing—Part 1: Vocabulary (ISO/IEC 22123-1:2023).
16. European Parliament, & Council of the European Union. (2022). Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS 2 Directive). Official Journal of the European Union, L 333, 80–152.
รายการที่ 13–16 ใช้เพื่อระบุที่มาของนิยามตามคำอธิบายประกอบร่าง ไม่ได้หมายถึงการตรวจข้อกำหนดฉบับเต็มของมาตรฐานเหล่านั้นในการวิเคราะห์ครั้งนี้ และปีฉบับที่ระบุเป็นปีที่ร่างกฎหมายอ้างถึง
17. OT Governance Radar. (2026, November 10). Singapore Cybersecurity Act: Status and deadlines. 
ใช้เฉพาะหมายเหตุสถานะ Digital Infrastructure Act 2026 ซึ่งยังต้องตรวจยืนยันกับฉบับประกาศใช้ทางการเพิ่มเติม