HSA veröffentlicht GL-10 zur Medizinprodukte-Cybersicherheit

Die Health Sciences Authority Singapurs (HSA) hat GL-10-R1, Best Practices Guide for Medical Device Cybersecurity veröffentlicht. Die Revisionshistorie weist das Dokument als Erstveröffentlichung mit Wirkung zum 17. August 2026 aus. Die Liste der Leitfäden für Medizinprodukte der HSA führt die Datei unter der Bezeichnung „GL-10-R1 … (2026 Aug) PUB“. In einer Mitteilung zu den Konsultationsergebnissen vom 14. August 2026 wird angegeben, dass die HSA öffentliche Stellungnahmen eingearbeitet und den finalisierten Leitfaden in dieser Liste veröffentlicht hat.

Der rechtliche Status von GL-10 ist der entscheidende Ausgangspunkt. Abschnitt 2 legt fest: „Dieses Dokument stellt keine regulatorische Leitlinie dar und begründet weder regulatorische Anforderungen noch Erwartungen an die Einreichung vor dem Inverkehrbringen oder die Registrierung.“ Es handelt sich um praxisorientierte Empfehlungen für das Management der Cybersicherheit über den gesamten Produktlebenszyklus (Total Product Life Cycle, TPLC) vernetzter Produkte. Es ist weder ein neues Cybersicherheitsgesetz noch eine Registrierungs-Checkliste und kein Ersatz für die separaten regulatorischen Software-Leitlinien der HSA.

Wer und was in den Anwendungsbereich fällt

Der Leitfaden gilt für alle vernetzten allgemeinen Medizinprodukte und IVDs, die auf dem Markt in Singapur bereitgestellt werden, unabhängig davon, ob sie ausschließlich für den professionellen Gebrauch (Professional Use Only, PUO) oder den nicht-professionellen Gebrauch (Non-PUO) bestimmt sind. Er deckt sowohl in Singapur neu gelieferte Produkte als auch Produkte ab, die bereits installiert sind und angewendet werden.

Die Zielgruppe umfasst Hersteller, Produktregistrierer, Importeure, lokale Bevollmächtigte und Gesundheitsdienstleister. Die herstellerbezogenen Empfehlungen beginnen in der Entwicklungsphase (Development). Die im Leitfaden beschriebenen Aufgaben der Gesundheitsdienstleister beginnen in der Supportphase (Support) und setzen sich über den eingeschränkten Support (Limited Support) bis zum Supportende (End of Support) fort.

GL-10 schafft keine neue Klasse für vernetzte Produkte und ändert nicht die SMDR-Registrierungskategorien. Dieser Artikel befasst sich ausschließlich mit den Inhalten von GL-10 selbst.

Das TPLC-Modell in GL-10

GL-10 unterteilt Cybersicherheitsmaßnahmen in vier Phasen: Development, Support, Limited Support und End of Support. Der Limited Support liegt zwischen dem End of Life (EOL) und dem End of Support (EOS). Nach den Definitionen der HSA bedeutet EOL, dass der Hersteller das Produkt über seine definierte Nutzungsdauer hinaus nicht mehr vertreibt und der Support reduziert werden kann; EOS bedeutet, dass der Hersteller die Service- und Supportaktivitäten eingestellt hat.

Die betriebliche Übergabe bei EOS ist an klare Bedingungen geknüpft. Bei Produkten, die zuvor mit einem adäquaten, vom Hersteller unterstützten Cybersicherheits-Lebenszyklus auf dem Markt in Singapur in Verkehr gebracht wurden, geht die betriebliche Verantwortung für das Risikomanagement einer Weiternutzung nach EOS auf den Gesundheitsdienstleister über. Diese Übergabe:

• entbindet Hersteller, Produktregistrierer, Importeure oder lokale Bevollmächtigte nicht von fortbestehenden Pflichten, einschließlich der Kommunikation bekannter Sicherheitsrisiken, der Unterstützung bei angemessenen Sicherheitsmaßnahmen und der anwendbaren behördlichen Meldepflichten; und
• darf nicht als Grundlage dafür herangezogen werden, die Lebenszyklusverantwortung des Herstellers bereits vor dem EOS auf Gesundheitsdienstleister zu verlagern.

GL-10 empfiehlt, den Übergang von Support zu Limited Support etwa zwei bis drei Jahre vor dem EOS einzuleiten, mit dem Vorbehalt, dass der Zeitrahmen je nach Komplexität und Kritikalität des Produkts variieren kann. Bei diesem Zeitplan handelt es sich um eine Empfehlung im Leitfaden, nicht um eine gesetzliche Frist.

Was GL-10 während der Entwicklung empfiehlt

Während der Phase Development konzentrieren sich die Empfehlungen der HSA auf Sicherheitsdesign, Risikomanagement, Verifikation und Prüfung, Benutzerinformationen, einen Post-Market-Plan sowie eine Software-Stückliste (Software Bill of Materials, SBOM).

Secure by Design und Secure by Default. Secure by Design bedeutet, Sicherheit von Beginn an in die Architektur zu integrieren. Secure by Default bedeutet, dass das Produkt so sicher wie möglich vorkonfiguriert ist, ohne dass der Anwender Einstellungen ändern muss.

Risikomanagement. Der Leitfaden betrachtet Cybersicherheit als festen Bestandteil des Lebenszyklus-Risikomanagements – vom Konzept bis zum EOL. Ist die Wahrscheinlichkeit eines vorsätzlichen Cyberangriffs schwer zu quantifizieren, wird empfohlen, die Ausnutzbarkeit bekannter Schwachstellen zu bewerten, unter anderem anhand von Verfahren des Common Vulnerability Scoring System (CVSS). Die Priorisierung bei der Risikobeherrschung folgt ISO 14971: integrierte Sicherheit bei der Auslegung, danach Schutzmaßnahmen, gefolgt von Sicherheitsinformationen.

Benutzerinformationen. Die Empfehlungen für Benutzerinformationen in der Entwicklungsphase umfassen Angaben zum End of Support der Cybersicherheit sowie eine SBOM.

Post-Market-Plan. Der empfohlene Plan deckt Post-Market Vigilance, die koordinierte Offenlegung von Schwachstellen (Vulnerability Disclosure), Patching und Updates, Wiederherstellung (Recovery) sowie den Informationsaustausch ab.

SBOM. GL-10 beschreibt eine SBOM als detaillierte Aufstellung von Softwarekomponenten, einschließlich Open-Source-Tools, Software von Drittanbietern und Bibliotheken. Als Kernelemente führt das Dokument auf: Name des Erstellers, Zeitstempel, Anbieter der Softwarekomponente, Name, Version, eindeutiger Identifikator und Abhängigkeitsbeziehungen. Zwei veranschaulichende Anwendungsfälle zeigen einen Hersteller, der eine SBOM für das Lieferketten- und Patch-Management einsetzt, sowie einen Gesundheitsdienstleister, der herstellerseitige SBOMs bei der Reaktion auf Sicherheitsvorfälle nutzt. Es handelt sich hierbei um Beispiele, nicht um verpflichtende Vorlagen für Zulassungsdossiers.

KI-gestützte Produkte. Abschnitt 6.7 stellt eine ergänzende Erwägung dar und keinen neuen Registrierungsweg für KI. Darin wird ausgeführt, dass generative KI Bedrohungen wie Prompt Injection, Halluzinationen, Fehlinformationen und unbeabsichtigten Datenabfluss mit sich bringt, die parallel zu klassischen Cybersicherheitsrisiken adressiert werden sollten. Zu den empfohlenen Schwerpunkten gehören Modellarchitektur, Schutz der KI-Lieferkette, sichere Implementierung sowie Sicherheit im laufenden Betrieb und bei Aktualisierungen.

Da GL-10 keine regulatorische Leitlinie ist, wird keine der oben genannten Empfehlungen allein durch ihr Erscheinen in diesem Dokument zu einer Einreichungserwartung der HSA vor dem Inverkehrbringen. Hersteller müssen weiterhin sämtliche Cybersicherheits-, Software- und Post-Market-Pflichten erfüllen, die sich aus anderen Instrumenten der HSA ergeben. GL-10 bietet eine Übersicht an Verfahren, die die HSA über diesen Lebenszyklus hinweg als zweckmäßig erachtet.

Was sich bei Support, Limited Support und EOS ändert

Während der Supportphase sollten Hersteller uneingeschränkten Cybersicherheits-Support einschließlich Patches und Updates bereitstellen. Produktregistrierer, Importeure und lokale Bevollmächtigte sollten dabei unterstützen, diesen Support und diese Informationen an Anwender in Singapur weiterzugeben. Von Gesundheitsdienstleistern wird nicht erwartet, dass sie die gesamte Cybersicherheitslast tragen, solange herstellerseitiger Support verfügbar ist.

Im Limited Support verringert sich der Herstellersupport. Der Leitfaden empfiehlt Herstellern, Anwender über diese Reduzierung, den verbleibenden Zeitraum bis zum EOS, nicht mehr unterstützte Komponenten, verfügbare Software-Updates und kompensierende Kontrollmaßnahmen zu informieren. Gesundheitsdienstleister sind aufgefordert, die Weiternutzung unter Abwägung von Sicherheitsrisiken, verbleibender Nutzbarkeit, Supportressourcen und Patientenauswirkungen neu zu bewerten.

Bei EOS übernimmt der Gesundheitsdienstleister die primäre betriebliche Verantwortung für Cybersicherheitsrisiken bei fortgesetzter Nutzung ohne aktiven Herstellersupport – dies gilt wiederum nur für Produkte, die über einen angemessenen, vom Hersteller unterstützten Cybersicherheits-Lebenszyklus verfügten. Hersteller sollten weiterhin Produktsicherheitsinformationen übergeben, den EOS-Übergang kommunizieren sowie die Kommunikation bekannter cybersicherheitsrelevanter Patientensicherheitsrisiken und anwendbare Meldungen fortführen.

GL-10 hält zudem fest, dass Gesundheitsdienstleister die Cyber & Data Security Guidelines for Healthcare Providers des Ministry of Health gemäß dem Health Information Act 2026 einhalten sollten. Dies ist eine Pflicht für Gesundheitsdienstleister, auf die GL-10 verweist, und keine neue Registrierungsanforderung für Medizinprodukte, die durch GL-10 selbst begründet wird.

Verhältnis zu den Software-Leitlinien der HSA

GL-10 ist ein neues Dokument in Erstveröffentlichung. Es ändert nicht GL-04-R4, die regulatorischen Leitlinien der HSA für Software-Medizinprodukte einschließlich Produkten mit maschinellem Lernen. Führen Sie diese beiden Dokumente getrennt: GL-04 befasst sich mit der Softwareregistrierung und dem Änderungsmanagement; GL-10 behandelt die Cybersicherheitspraxis vernetzter Produkte und formuliert keine Einreichungserwartungen.

Wie Hersteller mit einem unverbindlichen Leitfaden umgehen sollten

Die von Pure Global empfohlene Vorgehensweise für GL-10 besteht darin zu prüfen, ob das vernetzte Portfolio des Unternehmens in Singapur tatsächlich anhand des TPLC-Modells der HSA betrieben werden kann – und das PDF nicht als neues Registrierungsdossier zu behandeln:

1. Erfassen Sie jedes vernetzte allgemeine Medizinprodukt und IVD auf dem Markt in Singapur einschließlich der installierten Basis und ordnen Sie die aktuelle TPLC-Phase zu (Development, Support, Limited Support oder EOS).
2. Legen Sie EOL- und EOS-Daten fest oder bestätigen Sie diese zusammen mit dem Zwei- bis Dreijahres-Kommunikationsplan, den GL-10 vor dem EOS empfiehlt. Produktregistrierer, Importeure und lokale Bevollmächtigte sollten in der Lage sein, diese Informationen in Singapur bereitzustellen.
3. Prüfen Sie die Entwicklungsunterlagen anhand der Themenbereiche von GL-10: Secure by Design/Default, Lebenszyklus-Risikomanagement, Prüfung und Verifikation, Benutzerinformationen (einschließlich EOS-Informationen und SBOM) und den fünfteiligen Post-Market-Plan.
4. Stellen Sie sicher, dass die SBOM die Incident Response unterstützen kann, unter Berücksichtigung von mindestens den sieben Kernelementen, die die HSA aufführt. GL-10 schreibt kein Dateiformat vor.
5. Führen Sie die KI-Bedrohungsanalyse im Rahmen des Cybersicherheits-Risikomanagements durch, sofern generative KI im Produkt enthalten ist, ohne Abschnitt 6.7 als eigenständige KI-Einreichungsvorschrift der HSA zu behandeln.
6. Übertragen Sie Herstellerpflichten nicht vorzeitig. Die betriebliche Verlagerung bei EOS ist an Bedingungen geknüpft und hebt weder die Kommunikation bekannter Risiken noch anwendbare Meldepflichten auf.

Lesen Sie den vollständigen Leitfaden GL-10-R1 und die Mitteilung zu den Konsultationsergebnissen der HSA. Kontextinformationen zum Markt in Singapur finden Sie im Glossareintrag zu HSA, der Marktübersicht Singapur und den Medizinproduktevorschriften der HSA. Der Cybersicherheitsservice für Medizinprodukte von Pure Global umfasst Sicherheitsaktivitäten über den gesamten TPLC, die die Registrierung bei der HSA begleiten und nicht ersetzen.