CRACI entra na corrida para ajudar empresas a cumprir o Cyber Resilience Act da União Europeia

Softwares modernos raramente são construídos do zero. Eles dependem de:

• bibliotecas open source
• componentes de terceiros
• pipelines complexos de build e integração

Esse ecossistema forma a chamada software supply chain (cadeia de suprimentos de software). Vulnerabilidades podem surgir em qualquer ponto desse processo — desde dependências externas até ferramentas de compilação.

Para equipes de desenvolvimento, isso significa lidar simultaneamente com tarefas como:

• rastrear vulnerabilidades em múltiplas dependências
• documentar processos de segurança
• aplicar correções rapidamente
• manter atualizações de segurança durante todo o ciclo de vida do produto

A proposta da CRACI é automatizar grande parte desse trabalho, conectando descoberta de falhas, acompanhamento e correção diretamente ao pipeline de desenvolvimento.

Por que o Cyber Resilience Act está impulsionando esse mercado

O Cyber Resilience Act é uma nova legislação europeia que estabelece requisitos mínimos de cibersegurança para produtos com elementos digitais vendidos na União Europeia.

O objetivo da lei é:

• garantir que produtos digitais já sejam projetados com segurança desde o início
• reduzir vulnerabilidades em cadeias tecnológicas complexas
• exigir atualizações de segurança ao longo de todo o ciclo de vida do produto

A regulamentação abrange uma grande variedade de produtos conectados, incluindo softwares, sistemas operacionais, dispositivos embarcados e equipamentos ligados à internet ou a redes.

Para muitas empresas, cumprir essas regras exige criar novos processos de gestão de vulnerabilidades, documentação e monitoramento contínuo de segurança.

Prazos importantes: 2026 e 2027

O Cyber Resilience Act entrou oficialmente em vigor em dezembro de 2024, mas existe um período de transição para adaptação das empresas.

Dois marcos importantes estão no horizonte:

• 11 de setembro de 2026: fabricantes deverão reportar vulnerabilidades exploradas ativamente e incidentes relevantes às autoridades europeias de cibersegurança.
• 11 de dezembro de 2027: todos os produtos com elementos digitais precisarão cumprir integralmente os requisitos do CRA antes de serem vendidos no mercado europeu.

Como muitos produtos digitais têm ciclos de desenvolvimento longos, diversas empresas já começaram a adaptar seus pipelines de software para atender às futuras exigências.

Como a plataforma da CRACI ajuda empresas a se preparar

A solução da CRACI parte da ideia de que conformidade precisa acontecer dentro do fluxo de trabalho do desenvolvedor, não apenas em auditorias externas.

Ao integrar ferramentas de segurança diretamente nos pipelines CI/CD, a plataforma permite que empresas:

• detectem automaticamente vulnerabilidades em dependências
• acompanhem e documentem correções
• atribuam tarefas de segurança a desenvolvedores
• mantenham registros rastreáveis de segurança

Esses recursos ajudam organizações a manter o tipo de monitoramento contínuo de segurança e gestão do ciclo de vida esperado pelo Cyber Resilience Act.

Por que startups como a CRACI estão ganhando atenção

O CRA representa uma das primeiras grandes regulamentações focadas especificamente na segurança da cadeia de suprimentos de software em escala continental.

Como a regra se aplica a praticamente qualquer produto conectado vendido na União Europeia, empresas de vários setores — de fabricantes de dispositivos a desenvolvedores de software — precisarão demonstrar conformidade técnica e documental.

Isso cria um novo mercado para plataformas que automatizam gestão de vulnerabilidades, documentação e correções dentro do processo de desenvolvimento.

A CRACI está entre as startups que tentam ocupar esse espaço enquanto empresas europeias se preparam para os prazos regulatórios de 2026 e 2027.