Die Lücken aus der Bewertung schließen, Dokument für Dokument.
Der Sprint macht aus der Lückenliste die Dokumente und Prozesse, die die Cyberresilienz-Verordnung von einem Hersteller verlangt: die technische Dokumentation (Anhang VII), die Nutzerinformationen (Anhang II), die Erklärung, die Sie unterzeichnen (Anhang V), eine SBOM und einen Prozess zur Schwachstellenbehandlung (Anhang I Teil II) und einen Unterstützungszeitraum, den Sie vertreten können (Art. 13 Abs. 8). Angebot am Ende der Bewertung; es hängt von der Produktklasse und der Zahl der Produkte ab.
Keine Rechtsberatung. Der Hersteller erklärt die Konformität; SkyQon führt keine Konformitätsbewertung durch.
Ein festes Angebot braucht einen bekannten Umfang, und den liefert die Bewertung. Der Sprint beginnt bei ihrer Lückenliste, arbeitet die Punkte in der Reihenfolge des Plans ab und hinterlässt jeden als Dokument oder laufenden Prozess mit Nachweisen dahinter. Wir schreiben mit Ihnen, nicht für Sie: Jedes Dokument nennt Ihr Produkt, Ihre Entscheidungen und Ihre Leute, denn der Hersteller ist es, der unterzeichnet.
Was es findet
Welche Dokumente und Prozesse nach der Bewertung noch fehlen und was jedes davon für Ihr Produkt enthalten muss.
Was Sie bekommen
Ein Gerüst der technischen Dokumentation, die Nutzerinformationen, einen Erklärungsentwurf, den Sie unterzeichnen, eine SBOM mit Prozess zur Schwachstellenbehandlung, eine Offenlegungsrichtlinie mit security.txt, Update-Nachweise und einen dokumentierten Unterstützungszeitraum.
Was es nicht ist
Keine Konformitätsbewertung, kein Zertifikat, keine Unterschrift unter Ihrer Erklärung und keine Rechtsberatung.
Was er abdeckt
Sieben Arbeitspakete, jedes mit seinem Artikel.
1. Gerüst der technischen Dokumentation (Anhang VII)
Die Struktur der Unterlagen, die Sie nach Artikel 31 erstellen und aufbewahren müssen, Punkt für Punkt: Produktbeschreibung, Entwurf und Entwicklung, Cybersicherheits-Risikobewertung, anwendbare Anforderungen, angewandte Normen oder Spezifikationen, Prüfberichte, Erklärung und SBOM (Anhang VII, Nummern 1 bis 8). Jeder Punkt wird ausgefüllt, wo die Bewertung Material gefunden hat, und als „zu ergänzen“ markiert, wo nicht. Für Kleinst- und Kleinunternehmen: Das vereinfachte Formular nach Art. 33 Abs. 5 wurde noch nicht erlassen, und jedes Element bleibt erforderlich.
2. Nutzerinformationen (Anhang II)
Die Informationen und Anleitungen, die Nutzer nach Anhang II, Nummern 1 bis 9, erhalten müssen, darunter wer der Hersteller ist und wie er erreichbar ist, wo eine Schwachstelle zu melden ist, die Zweckbestimmung und die Sicherheitseigenschaften, sichere Installation und Konfiguration, wie Updates eingespielt werden, und das Ende des Unterstützungszeitraums, das auch zum Zeitpunkt des Kaufs angegeben werden muss (Art. 13 Abs. 19).
3. Der Erklärungsentwurf, den Sie unterzeichnen (Anhang V / VI)
Ein Entwurf der EU-Konformitätserklärung mit den Elementen des Anhangs V oder, wo zulässig, mit dem vereinfachten Wortlaut des Anhangs VI, als Entwurf gekennzeichnet, bis Sie ihn unterzeichnen. Der Hersteller stellt sie aus (Art. 28); SkyQon erklärt keine Konformität und unterzeichnet nicht.
4. SBOM und Schwachstellenbehandlung (Anhang I Teil II Nummern 1 und 2)
Eine aus Ihrem Build-System erzeugte SBOM in CycloneDX oder SPDX, die mindestens die Top-Level-Abhängigkeiten des Produkts abdeckt (Teil II Nummer 1; der Rechtsakt der Kommission zum Format nach Art. 13 Abs. 24 ist noch nicht erlassen), und ein schriftlicher Prozess, um Schwachstellen unverzüglich zu behandeln und zu beheben, mit Sicherheitsupdates, die, wo technisch machbar, getrennt von Funktionsupdates bereitgestellt werden (Teil II Nummer 2).
5. Offenlegungsrichtlinie und security.txt (Teil II Nummern 5 und 6)
Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen, veröffentlicht und durchgesetzt (Teil II Nummer 5), und die Kontaktadresse für Meldende, die Teil II Nummer 6 verlangt, bereitgestellt als security.txt, die die üblichen Prüfungen besteht. Mit dem Add-on Incident Reporting prüft SkyQon diese Datei danach jeden Tag von außen.
6. Nachweise für sichere Updates (Teil II Nummern 7 und 8)
Schriftliche Nachweise, wie Updates das Produkt erreichen: der Mechanismus, wie Updates signiert werden und mit welcher Identität, dass Sicherheitsupdates unverzüglich und kostenlos ausgehen, und der Hinweis, der sie begleitet (Teil II Nummern 7 und 8). Stammt das Signaturzertifikat aus einer CA, die Sie selbst betreiben, kann Private CA Management im Dashboard es aus einem CSR ausstellen.
7. Festlegung des Unterstützungszeitraums (Art. 13 Abs. 8)
Eine dokumentierte Entscheidung über den Unterstützungszeitraum: die erwartete Nutzungsdauer, die Untergrenze von mindestens fünf Jahren, sofern das Produkt nicht voraussichtlich kürzer genutzt wird (Art. 13 Abs. 8), wozu der Zeitraum Ihr Engineering-Team bei der Schwachstellenbehandlung verpflichtet (Anhang I Teil II), dass jedes in dieser Zeit herausgegebene Sicherheitsupdate mindestens zehn Jahre oder bis zum Ende des Zeitraums verfügbar bleibt, je nachdem, was länger ist (Art. 13 Abs. 9), und das beim Kauf angegebene Enddatum (Art. 13 Abs. 19).
Grenzen
Gesagt, bevor Sie ein Angebot anfragen.
Nachweise, keine Konformität
Der Hersteller erklärt die Konformität (Art. 28) und bringt die CE-Kennzeichnung an (Art. 30). SkyQon führt keine Konformitätsbewertung durch, zertifiziert nicht und unterzeichnet die Erklärung nicht. Wo eine notifizierte Stelle erforderlich ist, bereitet der Sprint die Unterlagen vor, die sie lesen wird; er ersetzt sie nicht.
Wann eine notifizierte Stelle nötig ist
Ein wichtiges Produkt der Klasse I kann nur dann selbst bewertet werden, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung, die die Anforderungen abdecken, angewandt werden; keines davon wurde bisher im Amtsblatt zitiert (geprüft am 12. November 2026), daher braucht es heute eine notifizierte Stelle (Art. 32 Abs. 2). Ein wichtiges Produkt der Klasse II braucht sie immer (Art. 32 Abs. 3). Kritische Produkte (Anhang IV) gehen ebenfalls den Weg über die notifizierte Stelle, bis ein Zertifizierungsschema für sie verbindlich wird (Art. 8, Art. 32 Abs. 3).
Das Angebot ist ein Angebot
Ab 5.000 €, festgelegt am Ende der Bewertung. Es hängt von der Produktklasse und der Zahl der Produkte ab und wird vor Ihrer Bestellung schriftlich festgehalten; es ist keine im Voraus versprochene Obergrenze.
Die Bewertung kommt zuerst
Der Sprint wird aus der Lückenliste der Bewertung abgeleitet. Ohne sie gibt es keine Liste, mit der gearbeitet werden kann, und keine Grundlage für ein festes Angebot.
Keine Rechtsberatung
Die Dokumente zitieren die Verordnung, damit Ihre Rechtsberatung sie schnell prüfen kann. Fragen, die der Text nicht entscheidet, werden markiert, nicht entschieden.
Angebot anfragen oder eine Frage stellen
Das Angebot folgt auf die Bewertung. Haben Sie noch keine gemacht, sagen wir das und schlagen sie vor. Wir antworten innerhalb eines Werktags. Preise zzgl. MwSt.