Combler les écarts trouvés par l'évaluation, document par document.
Le sprint transforme la liste d'écarts en documents et processus que le règlement sur la cyberrésilience demande à un fabricant d'avoir : la documentation technique (annexe VII), les informations destinées aux utilisateurs (annexe II), la déclaration que vous signez (annexe V), un SBOM et un processus de traitement des vulnérabilités (annexe I, partie II), et une période d'assistance que vous pouvez défendre (art. 13, paragraphe 8). Devis à l'issue de l'évaluation ; il dépend de la classe du produit et du nombre de produits.
Pas un avis juridique. Le fabricant déclare la conformité ; SkyQon ne réalise pas d'évaluation de la conformité.
Un devis fixe exige un périmètre connu, et c'est l'évaluation qui le produit. Le sprint part de sa liste d'écarts, traite les points dans l'ordre fixé par le plan, et laisse chacun sous forme de document ou de processus en service, avec des preuves à l'appui. Nous écrivons avec vous, pas à votre place : chaque document nomme votre produit, vos décisions et vos personnes, parce que c'est le fabricant qui signe.
Ce que ça trouve
Quels documents et processus manquent encore après l'évaluation, et ce que chacun doit contenir pour votre produit.
Ce que vous obtenez
Un squelette de documentation technique, les informations destinées aux utilisateurs, un projet de déclaration que vous signez, un SBOM et un processus de traitement des vulnérabilités, une politique de divulgation avec security.txt, des preuves de mise à jour et une période d'assistance documentée.
Ce que ce n’est pas
Ni une évaluation de la conformité, ni un certificat, ni une signature sur votre déclaration, ni un avis juridique.
Ce que ça couvre
Sept chantiers, chacun avec son article.
1. Squelette de la documentation technique (annexe VII)
La structure du dossier que l'article 31 vous impose d'établir et de conserver, point par point : la description du produit, sa conception et son développement, l'évaluation des risques de cybersécurité, les exigences applicables, les normes ou spécifications appliquées, les rapports d'essai, la déclaration et le SBOM (annexe VII, points 1 à 8). Chaque point est rempli là où l'évaluation a trouvé matière et marqué « à compléter » là où ce n'est pas le cas. Pour les micro et petites entreprises : le formulaire simplifié de l'art. 33, paragraphe 5, n'a pas encore été adopté, et chaque élément reste exigé.
2. Informations destinées aux utilisateurs (annexe II)
Les informations et instructions que les utilisateurs doivent recevoir au titre de l'annexe II, points 1 à 9, dont l'identité du fabricant et la façon de le joindre, où signaler une vulnérabilité, la finalité prévue et les propriétés de sécurité, l'installation et la configuration sécurisées, la façon d'appliquer les mises à jour, et la fin de la période d'assistance, qui doit aussi être indiquée au moment de l'achat (art. 13, paragraphe 19).
3. Le projet de déclaration que vous signez (annexes V / VI)
Un projet de déclaration UE de conformité avec les éléments de l'annexe V, ou la formulation simplifiée de l'annexe VI lorsqu'elle est permise, marqué projet jusqu'à votre signature. Le fabricant l'établit (art. 28) ; SkyQon ne déclare pas la conformité et ne signe pas.
4. SBOM et traitement des vulnérabilités (annexe I, partie II, points 1 et 2)
Un SBOM généré depuis votre système de build en CycloneDX ou SPDX, couvrant au minimum les dépendances de premier niveau du produit (partie II, point 1 ; l'acte de la Commission sur le format, prévu à l'art. 13, paragraphe 24, n'est pas encore adopté), et un processus écrit de traitement et de correction des vulnérabilités sans retard, avec des mises à jour de sécurité fournies séparément des mises à jour fonctionnelles lorsque c'est techniquement faisable (partie II, point 2).
5. Politique de divulgation et security.txt (partie II, points 5 et 6)
Une politique de divulgation coordonnée des vulnérabilités, publiée et appliquée (partie II, point 5), et l'adresse de contact pour les rapporteurs que demande la partie II, point 6, servie sous forme de security.txt qui passe les vérifications courantes. Avec le module complémentaire Incident Reporting, SkyQon vérifie ensuite ce fichier chaque jour depuis l'extérieur.
6. Preuves de mise à jour sécurisée (partie II, points 7 et 8)
Des preuves écrites de la façon dont les mises à jour atteignent le produit : le mécanisme, la façon dont elles sont signées et avec quelle identité, le fait que les mises à jour de sécurité partent sans retard et gratuitement, et l'avis qui les accompagne (partie II, points 7 et 8). Lorsque le certificat de signature provient d'une AC que vous exploitez, Private CA Management dans le tableau de bord peut l'émettre à partir d'une CSR.
7. Détermination de la période d'assistance (art. 13, paragraphe 8)
Une décision documentée sur la période d'assistance : la durée d'utilisation attendue, le plancher d'au moins cinq ans sauf si le produit est censé être utilisé moins longtemps (art. 13, paragraphe 8), ce à quoi la période engage votre équipe d'ingénierie pour le traitement des vulnérabilités (annexe I, partie II), le fait que chaque mise à jour de sécurité publiée pendant cette période reste disponible au moins dix ans ou jusqu'à la fin de la période, la plus longue des deux durées prévalant (art. 13, paragraphe 9), et la date de fin indiquée à l'achat (art. 13, paragraphe 19).
Limites
Énoncées avant la demande de devis.
Des preuves, pas la conformité
Le fabricant déclare la conformité (art. 28) et appose le marquage CE (art. 30). SkyQon ne réalise pas d'évaluation de la conformité, ne certifie pas et ne signe pas la déclaration. Lorsqu'un organisme notifié est requis, le sprint prépare le dossier qu'il lira ; il ne le remplace pas.
Quand un organisme notifié est nécessaire
Un produit important de classe I ne peut être auto-évalué que si des normes harmonisées, des spécifications communes ou un schéma européen de certification de cybersécurité couvrant les exigences sont appliqués ; aucun n'a encore été cité au Journal officiel (vérifié le 12 novembre 2026), donc aujourd'hui il lui faut un organisme notifié (art. 32, paragraphe 2). Un produit important de classe II en a toujours besoin (art. 32, paragraphe 3). Les produits critiques (annexe IV) suivent aussi la voie de l'organisme notifié tant qu'aucun schéma de certification n'est rendu obligatoire pour eux (art. 8, art. 32, paragraphe 3).
Le devis est un devis
À partir de 5 000 €, fixé à l'issue de l'évaluation. Il dépend de la classe du produit et du nombre de produits, et il est écrit avant votre commande ; ce n'est pas un plafond promis d'avance.
L'évaluation vient d'abord
Le sprint est cadré à partir de la liste d'écarts de l'évaluation. Sans elle, il n'y a pas de liste de travail et pas de base pour un devis fixe.
Pas un avis juridique
Les documents citent le règlement pour que votre conseil puisse les relire rapidement. Les questions que le texte ne tranche pas sont signalées, pas tranchées.
Demander un devis, ou poser une question
Le devis suit l'évaluation. Si vous ne l'avez pas encore faite, nous le dirons et nous la proposerons. Nous répondons sous un jour ouvré. Prix hors TVA.