CRACI et la course des entreprises européennes pour se conformer au Cyber Resilience Act

Les entreprises européennes qui développent des logiciels ou des appareils connectés entrent dans une nouvelle phase réglementaire. Le Cyber Resilience Act (CRA) de l’Union européenne impose progressivement des exigences strictes en matière de cybersécurité pour tous les produits numériques vendus sur le marché européen.

Dans ce contexte, de nouvelles startups apparaissent pour aider les entreprises à s’y conformer. Parmi elles figure CRACI, une jeune pousse finlandaise spécialisée dans la sécurité de la chaîne d’approvisionnement logicielle et l’automatisation de la conformité réglementaire.

CRACI, une plateforme de sécurité intégrée au développement

Basée en Finlande, CRACI développe une plateforme de cybersécurité conçue pour intégrer la sécurité et la conformité directement dans les flux de développement logiciel.

Concrètement, la solution relie plusieurs éléments clés :

• la surveillance de sécurité
• le suivi des vulnérabilités
• les processus de correction (remediation)

Ces fonctions sont intégrées directement dans les pipelines de développement afin de gérer en continu les risques liés à la chaîne d’approvisionnement logicielle.

La plateforme se connecte notamment à des outils CI/CD très répandus comme GitHub, GitLab et Jenkins. Elle peut ainsi détecter automatiquement les vulnérabilités, créer des tâches de correction pour les développeurs et suivre leur résolution dans le flux de travail habituel.

L’objectif est de transformer la conformité réglementaire — souvent gérée via des audits ponctuels et des feuilles de suivi — en un processus continu intégré à l’ingénierie logicielle.

Un financement pré‑seed de 1,4 million d’euros

CRACI a levé 1,4 million d’euros en financement pré‑seed pour développer sa plateforme de conformité en cybersécurité.

Les informations publiques disponibles confirment le montant de la levée de fonds, mais les investisseurs impliqués et l’utilisation détaillée du capital n’ont pas été largement divulgués dans les sources accessibles.

Ce financement doit néanmoins permettre à la startup de poursuivre le développement de sa technologie et de se positionner sur un marché en forte croissance lié aux nouvelles obligations réglementaires européennes.

Le défi : sécuriser la chaîne d’approvisionnement logicielle

Les logiciels modernes reposent sur un écosystème complexe : bibliothèques open source, composants tiers, outils de compilation et pipelines d’intégration continue.

Cet ensemble constitue ce que l’on appelle la software supply chain — la chaîne d’approvisionnement logicielle — qui peut introduire des vulnérabilités à différents niveaux : dépendances externes, outils de build ou systèmes d’intégration.

Pour les équipes de développement, cela implique de :

• surveiller les vulnérabilités dans de multiples dépendances
• documenter les processus de sécurité
• corriger rapidement les failles
• maintenir les mises à jour de sécurité sur toute la durée de vie du produit

La plateforme de CRACI vise à simplifier ces tâches en reliant détection, suivi et correction des vulnérabilités directement au pipeline de développement.

Le Cyber Resilience Act, un tournant réglementaire majeur

Le Cyber Resilience Act est une réglementation européenne qui établit des exigences minimales de cybersécurité pour les produits comportant des éléments numériques — qu’il s’agisse de logiciels, d’appareils connectés ou de solutions de traitement de données à distance.

L’objectif est double :

• améliorer la sécurité des produits numériques
• réduire les vulnérabilités dans toute la chaîne technologique

La réglementation exige notamment que les produits soient conçus, mis à jour et maintenus avec des mesures de cybersécurité adéquates tout au long de leur cycle de vie.

Le champ d’application est très large. Il inclut par exemple :

• applications logicielles
• systèmes d’exploitation
• appareils connectés
• logiciels embarqués
• équipements réseau et objets connectés.

Pour de nombreuses entreprises, cela implique la mise en place de nouveaux processus de gestion des vulnérabilités, de documentation et de reporting.

Les échéances clés : 2026 et 2027

Le Cyber Resilience Act est entré officiellement en vigueur le 10 décembre 2024, mais une période de transition est prévue.

Deux dates sont particulièrement importantes pour les entreprises :

• 11 septembre 2026 : obligation de signaler aux autorités européennes les vulnérabilités activement exploitées et les incidents de sécurité majeurs.
• 11 décembre 2027 : conformité complète requise avant qu’un produit numérique puisse être mis sur le marché européen.

Compte tenu des cycles de développement parfois longs dans l’industrie logicielle et matérielle, de nombreuses entreprises commencent déjà à adapter leurs pipelines de développement pour répondre à ces exigences.

Comment CRACI aide les entreprises à se préparer

La stratégie de CRACI repose sur une idée simple : la conformité doit être intégrée dans le travail quotidien des développeurs plutôt que gérée uniquement lors d’audits externes.

En intégrant les outils de sécurité dans les pipelines CI/CD, la plateforme permet aux organisations de :

• détecter automatiquement les vulnérabilités dans les dépendances logicielles
• suivre et documenter les corrections
• assigner les tâches de remédiation aux développeurs
• conserver un historique traçable des actions de sécurité

Ces fonctionnalités correspondent précisément aux pratiques de surveillance continue et de gestion de la sécurité sur le cycle de vie complet que le Cyber Resilience Act cherche à instaurer.

Un nouveau marché autour de la conformité logicielle

Le Cyber Resilience Act représente l’une des premières réglementations majeures visant explicitement la sécurité de la chaîne d’approvisionnement logicielle à grande échelle.

Étant donné que la loi concerne pratiquement tous les produits connectés vendus dans l’Union européenne, des secteurs entiers — fabricants d’appareils, éditeurs de logiciels, fournisseurs SaaS — devront adapter leurs processus.

Dans ce contexte, des outils capables d’automatiser la gestion des vulnérabilités, la documentation et la conformité directement dans les pipelines de développement pourraient devenir essentiels.

CRACI fait partie des premières startups à se positionner sur ce marché émergent, alors que les entreprises européennes se préparent aux échéances réglementaires de 2026 et 2027.