EUサイバーレジリエンス法に備えるフィンランド発スタートアップ「CRACI」

CRACIのような企業への需要が高まっている最大の理由が、**EUサイバーレジリエンス法（CRA）**です。

この法律は、EU市場で販売される**デジタル要素を持つ製品（ソフトウェアやネット接続機器など）**に対して、最低限のサイバーセキュリティ要件を義務付けるものです。

主な目的は以下の通りです。

• デジタル製品を設計段階から安全にする
• 技術サプライチェーン全体の脆弱性を減らす
• 製品ライフサイクル全体でセキュリティ更新を維持する

つまり、ソフトウェア企業やデバイスメーカーは、セキュリティ対策・脆弱性管理・アップデート提供を継続的に行う責任を負うことになります。

重要なスケジュール：2026年と2027年

CRAは2024年12月に発効しましたが、企業には移行期間が与えられています。

特に重要なのは次の2つの期限です。

• 2026年9月11日：悪用された脆弱性や重大インシデントをEU当局へ報告する義務が開始。
• 2027年12月11日：CRAの完全適用。対象製品は規制を満たさないとEU市場で販売できない。

多くの製品は開発サイクルが長いため、企業はすでに開発プロセス自体をCRA対応に変える必要があります。

CRACIが企業のCRA対応をどう支援するのか

CRACIの考え方はシンプルです。

コンプライアンスは監査のための作業ではなく、エンジニアリングの一部にするべきだというものです。

同社のプラットフォームはCI/CDパイプラインに統合され、次のような機能を提供します。

• 依存ソフトウェアの脆弱性を自動検出
• 修正作業を開発者へ割り当て
• 対応履歴を自動記録
• セキュリティ対応の追跡可能な証跡を作成

これにより企業は、CRAで求められる継続的なセキュリティ監視とライフサイクル管理を実装しやすくなります。

規制が生む新しいスタートアップ市場

CRAは、ソフトウェア供給網のセキュリティを本格的に規制する初めての大規模な枠組みの一つとされています。

EUで販売されるほぼすべてのデジタル製品が対象になるため、企業は今後次のような仕組みを整える必要があります。

• 脆弱性管理
• セキュリティ文書化
• インシデント報告
• 継続的なアップデート提供

その結果、開発パイプラインに組み込まれたセキュリティ・コンプライアンスツールの需要は急速に高まると見られています。

CRACIは、この新しい市場で早期にポジションを取ろうとしているスタートアップの一社です。2026年と2027年のCRA期限が近づくにつれ、同様のソリューションを提供する企業はさらに増えていく可能性があります。