L'audit cybersécurité que votre direction comprend, que votre IT peut exécuter, que votre assureur reconnaît.

Sbyk Sàrl est une société d'audit et d'évaluation en cybersécurité dédiée aux PME de Suisse romande. Trois activités : auditer la posture cyber, structurer la gouvernance (politiques, registre nLPD, plan d'amélioration), et accompagner la mise en œuvre sur 12 à 24 mois. Pas de revente d'outils, pas de licences, pas de partenariat commercial avec des éditeurs. Le livrable est un rapport, un plan d'actions et un accompagnement de pilotage.

La cible Sbyk va de 5 à 250 collaborateurs en Suisse romande. Le format d'entrée pour les petites structures (5-15 personnes) est le Pack β, ciblé cabinets médicaux. Au-dessus de 250 personnes, les enjeux changent (multi-sites, gouvernance groupe, équipe interne dédiée) et Sbyk n'est pas le format adapté. Hors-cible : secteur public lourd, grandes entreprises.

Trois secteurs prioritaires : santé privée (cabinets médicaux, cliniques privées, laboratoires — nLPD exigeante, directives FMH), industrie (PME manufacturières, machines connectées, ICS/OT), services B2B romands. Hors de ces secteurs, Sbyk intervient sur dossier. Pas de spécialisation banque/finance.

Référentiels principaux : ISO/IEC 27001:2022 et 27002:2022, nLPD, NIST CSF 2.0 (Govern, Identify, Protect, Detect, Respond, Recover), CIS Controls v8.1. Référentiel sectoriel FMH activé pour les clients santé. Le rapport inclut une annexe de mapping multi-référentiels — chaque constat rattaché à au moins deux référentiels.

Méthode FMEA — Failure Mode and Effects Analysis. Trois variables : Probabilité, Impact, Détectabilité, sur une échelle paire (pas de milieu confortable). La cotation force le client à arbitrer chiffres en main. Côté direction, chaque risque est restitué en niveau qualitatif clair (Critique / Élevé / Modéré / Faible).

Format dual obligatoire. Partie A — Direction : lisible par un dirigeant non-technicien en 25 minutes. Partie B — Technique : pour le responsable IT ou le RSSI. Les deux parties sont physiquement séparables — la Partie A peut être diffusée à un assureur ou un auditeur tiers sans exposer le détail technique de la Partie B.

Pack β (santé) : 7-8 jours-conseil. Offre A (ISO 27001) : 5-9 jours-conseil. Offre B (multi-référentiels) : 8-15 jours-conseil. Audit Pulse (post-incident) : 3-5 jours-conseil, livraison J+15 à J+21. Le calendrier est arrêté en charte de mission — pas de glissement non discuté.

Non. Le pentest est un métier à part qui demande des outils, des compétences offensives spécialisées et une posture éthique distincte. Quand c'est nécessaire, Sbyk s'appuie sur des partenaires identifiés et coordonne le périmètre, l'analyse des résultats et l'intégration au plan de remédiation.

Non. Aucune. C'est le différenciateur structurant Sbyk. Aucun lien capitalistique avec un éditeur, aucun accord d'apporteur d'affaires, aucune commission de revente. Cette neutralité est inscrite dans nos CGV et notre politique de gestion des conflits d'intérêt. Si un client demande de l'aider à choisir entre deux solutions, Sbyk le fait — sans incitation économique.

Non en publication publique — par cohérence avec la neutralité commerciale. Oui en livrable client confidentiel, quand c'est nécessaire pour identifier concrètement une solution à mettre en place ou à arrêter. Règle explicite : aucune marque éditeur citée comme recommandation publique.

Pseudonymisation systématique avant toute manipulation par un agent interne : noms, raisons sociales, IP, hostnames, identifiants — remplacés par des codes. La table de correspondance reste sur une machine locale, jamais transmise. Stockage et sauvegarde sur infrastructure souveraine suisse, chiffrés. Durée de rétention contractuellement définie.

Trois raisons. Cohérence avec la règle nLPD de minimisation des données. Hygiène opérationnelle — un consultant qui manipule vingt clients ne doit pas avoir vingt jeux de données identifiantes en mémoire active. Posture vis-à-vis des outils IA — pseudonymiser en amont est la seule garantie crédible que le client n'apparaîtra jamais dans un jeu de données d'entraînement futur.

Fourchettes indicatives HT, tout compris (préparation, terrain, rédaction, restitution, suivi 90 jours) : Pack β 13-19 KCHF · Offre A 9-16 KCHF · Offre B 12-30 KCHF · Audit Pulse 5-8 KCHF. Le budget exact est précisé lors du premier contact puis dans le mandat, après un cadrage gratuit de 30 minutes. Montants sans TVA en 2026 ; TVA 8,1 % applicable dès le 1ᵉʳ janvier 2027.

Inclus. C'est un engagement ferme de la méthodologie Sbyk, pas une option. Le suivi est non-commercial — pas de tentative de vente d'une mission complémentaire pendant cette période, sauf demande explicite du client.

Mission par mission. Chaque mission fait l'objet d'un Contrat d'audit et d'un NDA mutuel signés avant tout démarrage. Pas de contrat-cadre annuel, pas de retainer, pas d'engagement de volume. Sbyk reste un fournisseur que le client peut quitter à la fin d'une mission sans pénalité.

Sur le périmètre, le calendrier et les modalités pratiques : oui. Sur les clauses structurantes (responsabilité, propriété intellectuelle, neutralité commerciale, confidentialité, juridiction Sion VS) : non, elles sont issues d'un cadrage juridique. Le tarif est encadré par une politique de remise documentée.

Posture explicite : Sbyk est un humain augmenté par agents IA. L'IA intervient sur des étapes structurées (suggestion de cotation, génération de mappings, mise en forme de plans, premières versions de sections) — toujours pseudonymisée, toujours sous décision humaine finale. Aucune sortie d'agent n'est livrée au client sans relecture humaine.

Sbyk développe une capacité d'audit de gouvernance de l'IA (ISO/IEC 42001, EU AI Act, NIST AI RMF, OWASP LLM Top 10), aujourd'hui en cours de maturation. Elle n'est pas encore une offre active : Sbyk mène avec la cybersécurité et positionne l'IA une fois le socle établi. À discuter sur demande.