HSA publica GL-10: cibersegurança médica

A Health Sciences Authority (HSA) de Singapura publicou o GL-10-R1, Best Practices Guide for Medical Device Cybersecurity. O histórico de revisões registra o documento como uma primeira versão com vigência a partir de 17 de agosto de 2026. A lista de guias para dispositivos médicos da HSA identifica o arquivo como “GL-10-R1 … (2026 Aug) PUB”. Um aviso de resposta à consulta de 14 de agosto de 2026 informa que a HSA incorporou comentários públicos e publicou o guia finalizado nessa lista.

O status legal do GL-10 é o primeiro fato relevante. A Seção 2 estabelece: “Este documento não constitui orientação regulatória e não estabelece requisitos ou expectativas regulatórias para submissão pré-mercado ou registro.” Trata-se de aconselhamento prático para o gerenciamento da segurança cibernética ao longo de todo o ciclo de vida do produto (TPLC) de dispositivos conectados. Não se trata de uma nova legislação de segurança cibernética, não é uma lista de verificação de registro e não substitui as diretrizes regulatórias de software separadas da HSA.

Quem e o que está no escopo

O guia se aplica a todos os dispositivos médicos gerais e IVDs conectados disponibilizados no mercado de Singapura, sejam eles exclusivos para uso profissional (PUO) ou não PUO. Ele abrange dispositivos recém-fornecidos em Singapura e dispositivos já instalados e em uso.

O público-alvo são fabricantes, detentores de registro do produto, importadores, representantes locais autorizados e prestadores de serviços de saúde. As recomendações relacionadas ao fabricante começam na etapa de Desenvolvimento. As responsabilidades dos prestadores de serviços de saúde descritas no guia começam na etapa de Suporte e continuam ao longo do Suporte Limitado e do Fim do Suporte.

O GL-10 não cria uma nova classe de dispositivos conectados nem altera as categorias de registro no SMDR. Este artigo aborda apenas o que o próprio GL-10 declara.

O modelo de TPLC no GL-10

O GL-10 organiza o trabalho de segurança cibernética em quatro etapas: Desenvolvimento, Suporte, Suporte Limitado e Fim do Suporte. O Suporte Limitado fica entre o Fim da Vida Útil (EOL) e o Fim do Suporte (EOS). Nas definições da HSA, EOL significa que o fabricante não comercializa mais o produto além de sua vida útil definida e o suporte pode ser reduzido; EOS significa que o fabricante encerrou as atividades de suporte a serviços.

A transferência operacional no EOS é cuidadosamente qualificada. Para dispositivos que foram colocados anteriormente no mercado de Singapura com um ciclo de vida de segurança cibernética adequado e suportado pelo fabricante, a responsabilidade operacional pelo gerenciamento dos riscos do uso contínuo após o EOS é transferida para o prestador de serviços de saúde. Essa transferência:

• não elimina os deveres contínuos do fabricante, do detentor de registro do produto, do importador ou do representante local autorizado, incluindo a comunicação de riscos conhecidos à segurança, o suporte a ações de segurança apropriadas e as notificações regulatórias aplicáveis; e
• não deve ser interpretada como base para transferir as responsabilidades do ciclo de vida do fabricante para os prestadores de serviços de saúde antes do EOS.

O GL-10 recomenda iniciar a transição de Suporte para Suporte Limitado cerca de dois a três anos antes do EOS, com a ressalva de que o cronograma pode variar de acordo com a complexidade e a criticidade do dispositivo. Esse cronograma é uma recomendação do guia, não um prazo legal de notificação prévia.

O que o GL-10 recomenda durante o desenvolvimento

Durante o Desenvolvimento, as recomendações da HSA concentram-se em design de segurança, gerenciamento de risco, testes, informações ao usuário, um plano pós-mercado e uma Lista de Componentes de Software (SBOM).

Secure by Design e Secure by Default. Secure by Design significa incorporar a segurança à arquitetura desde o início. Secure by Default significa que o dispositivo é configurado para ser o mais seguro possível sem exigir que o usuário altere as configurações.

Gerenciamento de risco. O guia trata a segurança cibernética como parte do escopo do gerenciamento de risco do ciclo de vida, desde a concepção até o EOL. Onde a probabilidade de um ataque cibernético intencional for difícil de estimar, recomenda-se avaliar a capacidade de exploração de vulnerabilidades conhecidas, incluindo abordagens do Common Vulnerability Scoring System (CVSS). A ordem de preferência no controle de riscos segue a ISO 14971: segurança inerente pelo design, seguida de medidas de proteção e, por fim, informações de segurança.

Informações ao usuário. As recomendações de informações ao usuário na etapa de desenvolvimento incluem informações sobre o Fim do Suporte de segurança cibernética e um SBOM.

Plano pós-mercado. O plano recomendado abrange a vigilância pós-mercado, divulgação de vulnerabilidades, aplicação de correções (patching) e atualizações, recuperação e compartilhamento de informações.

SBOM. O GL-10 descreve o SBOM como uma lista detalhada de componentes de software, incluindo ferramentas de código aberto, software de terceiros e bibliotecas. Os elementos-chave listados são nome do autor, registro de data e hora (timestamp), fornecedor do componente de software, nome, versão, identificador exclusivo e relação de dependência. Dois casos de uso ilustrativos mostram um fabricante utilizando um SBOM para gerenciamento da cadeia de suprimentos e de correções, e um prestador de serviços de saúde utilizando SBOMs de fornecedores durante a resposta a incidentes. São exemplos, não modelos obrigatórios de dossiê.

Dispositivos habilitados para IA. A Seção 6.7 é uma consideração adicional, não uma nova via de registro para IA. Ela afirma que a IA Generativa introduz ameaças como injeção de comandos (prompt injection), alucinações, desinformação e vazamento acidental de dados, que devem ser tratadas em conjunto com as ameaças tradicionais de segurança cibernética. As áreas de foco recomendadas são o design do modelo, a proteção da cadeia de suprimentos de IA, a implantação segura e a segurança durante a operação e atualizações.

Como o GL-10 não é uma orientação regulatória, nenhum dos pontos acima se torna uma expectativa de submissão pré-mercado da HSA apenas por constar neste documento. Os fabricantes ainda devem cumprir quaisquer deveres de segurança cibernética, software e pós-mercado aplicáveis sob outros instrumentos da HSA. O GL-10 é um mapa de práticas que a HSA considera úteis ao longo desse ciclo de vida.

O que muda no Suporte, no Suporte Limitado e no EOS

Durante o Suporte, os fabricantes devem fornecer suporte completo de segurança cibernética, incluindo correções e atualizações. Os detentores de registro do produto, importadores e representantes locais autorizados devem ajudar a disponibilizar esse suporte e essas informações aos usuários de Singapura. Não se espera que os prestadores de serviços de saúde suportem todo o fardo da segurança cibernética enquanto o suporte do fabricante permanecer disponível.

No Suporte Limitado, o suporte do fabricante diminui. O guia recomenda que os fabricantes informem os usuários sobre a redução, o prazo restante até o EOS, os componentes sem suporte, as atualizações de software disponíveis e os controles compensatórios. Solicita-se aos prestadores de serviços de saúde que reavaliem o uso contínuo considerando o risco de segurança, a usabilidade restante, os recursos de suporte e o impacto no paciente.

No EOS, o prestador de serviços de saúde assume a responsabilidade operacional primária pelos riscos de segurança cibernética do uso contínuo sem o suporte ativo do fabricante — mais uma vez, apenas para dispositivos que contaram com um ciclo de vida de segurança cibernética adequado e suportado pelo fabricante. Os fabricantes ainda devem repassar as informações de segurança do produto, comunicar a transição para o EOS e manter a comunicação de riscos conhecidos à segurança do paciente relacionados à segurança cibernética e as notificações regulatórias aplicáveis.

O GL-10 também estabelece que os prestadores de serviços de saúde devem cumprir as Cyber & Data Security Guidelines for Healthcare Providers do Ministério da Saúde, no âmbito da Health Information Act 2026. Trata-se de um dever do prestador de serviços de saúde apontado pelo GL-10, e não de um novo requisito de registro de dispositivos médicos emitido no próprio GL-10.

Como este documento se relaciona com o guia de software da HSA

O GL-10 é um novo documento em primeira versão. Ele não revisa o GL-04-R4, que traz as diretrizes regulatórias da HSA para dispositivos médicos de software, incluindo dispositivos habilitados por aprendizado de máquina. Mantenha os dois documentos em pastas separadas: o GL-04 trata do registro de software e do controle de mudanças; o GL-10 aborda as práticas de segurança cibernética para dispositivos conectados e não define expectativas de submissão.

O que os fabricantes devem fazer com um guia não vinculativo

O uso recomendado do GL-10 pela Pure Global é testar se o portfólio de dispositivos conectados da empresa em Singapura pode realmente ser operado no mapa de TPLC da HSA — e não tratar o PDF como um novo processo de registro:

1. Listar todos os dispositivos médicos gerais e IVDs conectados no mercado de Singapura, incluindo a base instalada, e atribuir a etapa atual do TPLC (Desenvolvimento, Suporte, Suporte Limitado ou EOS).
2. Registrar ou confirmar as datas de EOL e EOS e o plano de comunicação de dois a três anos que o GL-10 recomenda antes do EOS. Os detentores de registro do produto, importadores e representantes locais autorizados devem estar aptos a fornecer essas informações em Singapura.
3. Verificar o pacote de desenvolvimento em relação aos tópicos do GL-10: Secure by Design/Default, gerenciamento de risco do ciclo de vida, testes, informações ao usuário (incluindo informações sobre EOS e SBOM) e o plano pós-mercado em cinco partes.
4. Confirmar se o SBOM pode dar suporte à resposta a incidentes, utilizando pelo menos os sete elementos-chave listados pela HSA. O GL-10 não prescreve um formato de arquivo.
5. Manter a análise de ameaças de IA dentro do gerenciamento de riscos de segurança cibernética quando a IA Generativa estiver presente no dispositivo, sem tratar a seção 6.7 como uma regra autônoma de submissão de IA da HSA.
6. Não transferir os deveres do fabricante precocemente. A transição operacional no EOS é qualificada e não cancela a comunicação de riscos conhecidos nem as notificações regulatórias aplicáveis.

Leia o guia GL-10-R1 completo e o aviso de resposta à consulta da HSA. Para obter o contexto sobre o mercado de Singapura, consulte o termo do glossário sobre HSA, a visão geral do mercado de Singapura e as regulamentações de dispositivos médicos da HSA. O serviço de segurança cibernética para dispositivos médicos da Pure Global abrange o trabalho de segurança no TPLC que atua em conjunto com o registro na HSA, sem substituí-lo.