CRACI и гонка компаний за соответствием закону ЕС о киберустойчивости

• библиотек с открытым исходным кодом
• сторонних компонентов
• сложных систем сборки

В результате формируется software supply chain — цепочка поставок программного обеспечения, через которую уязвимости могут проникать в продукт.

Для разработчиков это означает необходимость одновременно:

• отслеживать уязвимости во множестве зависимостей
• документировать процессы безопасности
• быстро выпускать исправления
• поддерживать безопасность продукта на протяжении всего жизненного цикла

Платформа CRACI объединяет обнаружение уязвимостей, их отслеживание и исправление внутри конвейера разработки, чтобы команды могли решать проблемы безопасности прямо в процессе создания продукта.

Почему спрос растёт из‑за закона EU Cyber Resilience Act

Cyber Resilience Act — это один из самых масштабных европейских законов в области кибербезопасности. Он распространяется на все продукты с цифровыми элементами, продаваемые на рынке ЕС — от программных приложений до сетевых устройств и встроенных систем.

Основные цели закона:

• обеспечить безопасность цифровых продуктов ещё на этапе проектирования
• снизить количество уязвимостей в технологической цепочке поставок
• обязать производителей поддерживать безопасность и выпускать обновления на протяжении всего жизненного цикла продукта

Под действие закона попадает широкий круг технологий — включая приложения, операционные системы, устройства интернета вещей и другие подключённые продукты.

Для многих компаний это означает необходимость внедрить новые процессы управления уязвимостями, документации и отчётности в командах разработки.

Ключевые даты: 2026 и 2027 годы

Закон официально вступил в силу 10 декабря 2024 года, однако компании получили переходный период для подготовки.

Есть две важные даты:

• 11 сентября 2026 года — производители обязаны сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах в европейские органы кибербезопасности.
• 11 декабря 2027 года — полное соответствие требованиям CRA станет обязательным для вывода продуктов с цифровыми элементами на рынок ЕС.

Из‑за длительных циклов разработки многие компании начинают перестраивать процессы безопасности уже сейчас.

Как CRACI помогает подготовиться к новым требованиям

Подход CRACI основан на простой идее: комплаенс должен происходить внутри разработки, а не после неё.

Интеграция инструментов безопасности в CI/CD‑конвейеры позволяет компаниям:

• автоматически обнаруживать уязвимости в зависимостях
• документировать процесс исправлений
• назначать задачи разработчикам
• хранить проверяемую историю действий по безопасности

Такая модель соответствует принципу непрерывного мониторинга безопасности и управления жизненным циклом продукта, который ожидается от компаний в рамках Cyber Resilience Act.

Почему это важно для бизнеса

Cyber Resilience Act считается одним из первых крупных регуляторных режимов, направленных именно на безопасность цепочек поставок программного обеспечения на уровне всего рынка.

Поскольку закон затрагивает практически любой подключённый продукт, продаваемый в ЕС, компаниям из разных отраслей — от производителей устройств до разработчиков программного обеспечения — придётся внедрять новые инструменты и процессы, чтобы доказать соответствие требованиям.

Платформы, которые автоматизируют обнаружение уязвимостей, их исправление и документирование прямо в процессе разработки, могут стать важной частью этой трансформации.

CRACI — один из ранних стартапов, пытающихся занять нишу на быстро формирующемся рынке решений для комплаенса и безопасности цепочек поставок программного обеспечения, пока европейские компании готовятся к дедлайнам CRA в 2026 и 2027 годах.