De tekortkomingen uit het assessment dichten, document voor document.
De sprint maakt van de lijst van tekortkomingen de documenten en processen die de Cyberweerbaarheidsverordening van een fabrikant vraagt: de technische documentatie (bijlage VII), de gebruikersinformatie (bijlage II), de verklaring die u ondertekent (bijlage V), een SBOM en een proces voor de behandeling van kwetsbaarheden (bijlage I, deel II), en een ondersteuningsperiode die u kunt verdedigen (art. 13, lid 8). Offerte aan het einde van het assessment; die hangt af van de productklasse en het aantal producten.
Geen juridisch advies. De fabrikant verklaart conformiteit; SkyQon voert geen conformiteitsbeoordeling uit.
Een vaste offerte vraagt een bekende scope, en die levert het assessment. De sprint begint bij de lijst van tekortkomingen, werkt de punten af in de volgorde van het plan, en laat elk punt achter als een document of een lopend proces met bewijs erachter. Wij schrijven met u, niet voor u: elk document noemt uw product, uw beslissingen en uw mensen, omdat de fabrikant degene is die ondertekent.
Wat het vindt
Welke documenten en processen na het assessment nog ontbreken, en wat elk ervan voor uw product moet bevatten.
Wat u krijgt
Een skelet van de technische documentatie, de gebruikersinformatie, een conceptverklaring die u ondertekent, een SBOM met proces voor de behandeling van kwetsbaarheden, een openbaarmakingsbeleid met security.txt, updatebewijs en een gedocumenteerde ondersteuningsperiode.
Wat het niet is
Geen conformiteitsbeoordeling, geen certificaat, geen handtekening onder uw verklaring, en geen juridisch advies.
Wat erin zit
Zeven werkpakketten, elk met zijn artikel.
1. Skelet van de technische documentatie (bijlage VII)
De structuur van het dossier dat artikel 31 u verplicht op te stellen en te bewaren, punt voor punt: de productbeschrijving, het ontwerp en de ontwikkeling, de cyberbeveiligingsrisicobeoordeling, de toepasselijke eisen, de toegepaste normen of specificaties, de testrapporten, de verklaring en de SBOM (bijlage VII, punten 1 tot en met 8). Elk punt wordt ingevuld waar het assessment materiaal vond en gemarkeerd als "aan te vullen" waar niet. Voor micro- en kleine ondernemingen: het vereenvoudigde formulier van art. 33, lid 5, is nog niet vastgesteld, en elk element blijft vereist.
2. Gebruikersinformatie (bijlage II)
De informatie en instructies die gebruikers volgens bijlage II, punten 1 tot en met 9, moeten ontvangen, waaronder wie de fabrikant is en hoe die te bereiken is, waar een kwetsbaarheid te melden, het beoogde doel en de beveiligingseigenschappen, veilige installatie en configuratie, hoe updates worden geïnstalleerd, en het einde van de ondersteuningsperiode, dat ook bij aankoop moet worden vermeld (art. 13, lid 19).
3. Het concept van de verklaring die u ondertekent (bijlage V / VI)
Een concept-EU-conformiteitsverklaring met de elementen van bijlage V, of de vereenvoudigde formulering van bijlage VI waar die is toegestaan, gemarkeerd als concept tot u ondertekent. De fabrikant stelt haar op (art. 28); SkyQon verklaart geen conformiteit en ondertekent niet.
4. SBOM en behandeling van kwetsbaarheden (bijlage I, deel II, punten 1 en 2)
Een SBOM gegenereerd uit uw buildsysteem in CycloneDX of SPDX, die ten minste de topniveau-afhankelijkheden van het product dekt (deel II, punt 1; de handeling van de Commissie over het formaat onder art. 13, lid 24, is nog niet vastgesteld), en een schriftelijk proces om kwetsbaarheden zonder vertraging aan te pakken en te verhelpen, met beveiligingsupdates die, waar technisch haalbaar, gescheiden van functionele updates worden geleverd (deel II, punt 2).
5. Openbaarmakingsbeleid en security.txt (deel II, punten 5 en 6)
Een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden, gepubliceerd en gehandhaafd (deel II, punt 5), en het contactadres voor melders dat deel II, punt 6, vraagt, aangeboden als een security.txt die de gangbare controles doorstaat. Met de add-on Incident Reporting controleert SkyQon dat bestand daarna elke dag van buitenaf.
6. Bewijs van veilige updates (deel II, punten 7 en 8)
Schriftelijk bewijs van hoe updates het product bereiken: het mechanisme, hoe updates worden ondertekend en met welke identiteit, dat beveiligingsupdates zonder vertraging en kosteloos uitgaan, en het advies dat ze vergezelt (deel II, punten 7 en 8). Komt het ondertekeningscertificaat van een CA die u zelf beheert, dan kan Private CA Management in het dashboard het uitgeven op basis van een CSR.
7. Vaststelling van de ondersteuningsperiode (art. 13, lid 8)
Een gedocumenteerd besluit over de ondersteuningsperiode: de verwachte gebruiksduur, de ondergrens van ten minste vijf jaar tenzij het product naar verwachting korter wordt gebruikt (art. 13, lid 8), waartoe de periode uw engineeringteam verplicht voor de behandeling van kwetsbaarheden (bijlage I, deel II), dat elke beveiligingsupdate die in die periode wordt uitgebracht ten minste tien jaar of tot het einde van de periode beschikbaar blijft, wat het langst is (art. 13, lid 9), en de einddatum die bij aankoop wordt vermeld (art. 13, lid 19).
Grenzen
Gezegd voordat u een offerte vraagt.
Bewijs, geen conformiteit
De fabrikant verklaart conformiteit (art. 28) en brengt de CE-markering aan (art. 30). SkyQon voert geen conformiteitsbeoordeling uit, certificeert niet en ondertekent de verklaring niet. Waar een aangemelde instantie vereist is, bereidt de sprint het dossier voor dat zij zal lezen; hij vervangt haar niet.
Wanneer een aangemelde instantie nodig is
Een belangrijk product van klasse I kan alleen zelf worden beoordeeld als geharmoniseerde normen, gemeenschappelijke specificaties of een Europese cyberbeveiligingscertificeringsregeling die de eisen dekken worden toegepast; geen daarvan is nog in het Publicatieblad opgenomen (gecontroleerd op 12 november 2026), dus vandaag heeft het een aangemelde instantie nodig (art. 32, lid 2). Een belangrijk product van klasse II altijd (art. 32, lid 3). Kritieke producten (bijlage IV) volgen ook de route via een aangemelde instantie tot een certificeringsregeling voor ze verplicht wordt (art. 8, art. 32, lid 3).
De offerte is een offerte
Vanaf € 5.000, vastgesteld aan het einde van het assessment. Zij hangt af van de productklasse en het aantal producten, en wordt op papier gezet voordat u bestelt; het is geen vooraf beloofd plafond.
Het assessment komt eerst
De sprint wordt afgebakend vanuit de lijst van tekortkomingen van het assessment. Zonder die lijst is er niets om mee te werken en geen basis voor een vaste offerte.
Geen juridisch advies
De documenten citeren de verordening zodat uw juridisch adviseur ze snel kan nakijken. Vragen die de tekst niet beslist, worden gemarkeerd, niet beslist.
Een offerte aanvragen, of een vraag stellen
De offerte volgt op het assessment. Als u er nog geen heeft gedaan, zeggen wij dat en stellen wij het voor. Wij antwoorden binnen één werkdag. Prijzen exclusief btw.