CRACI и гонка компаний за соответствием закону ЕС о киберустойчивости

Европейские компании, создающие программное обеспечение и подключаемые устройства, входят в новую эпоху регулирования. EU Cyber Resilience Act (CRA) — масштабный закон Евросоюза о киберустойчивости — вводит обязательные требования безопасности для цифровых продуктов на протяжении всего их жизненного цикла. Уже сейчас появляются стартапы, которые помогают компаниям подготовиться к новым правилам. Один из них — финская компания CRACI, работающая в сфере безопасности цепочки поставок программного обеспечения и автоматизации комплаенса.

Что такое CRACI

CRACI — это стартап из Финляндии, разрабатывающий платформу кибербезопасности, которая интегрирует контроль безопасности и соблюдение требований прямо в процессы разработки программного обеспечения.

Система связывает мониторинг безопасности, отслеживание уязвимостей и процессы их устранения с конвейерами разработки. Благодаря этому компании могут постоянно управлять рисками в цепочке поставок программного обеспечения.

Платформа интегрируется с популярными инструментами CI/CD — такими как GitHub, GitLab и Jenkins. В результате задачи безопасности выполняются прямо внутри обычного процесса разработки. Вместо периодических аудитов или ручного отслеживания система автоматически:

• выявляет уязвимости
• создаёт задачи на исправление
• отслеживает их устранение внутри pipeline разработки

Таким образом комплаенс перестаёт быть отдельным бюрократическим процессом и превращается в непрерывную инженерную практику.

Сколько инвестиций привлёк стартап

CRACI привлёк €1,4 млн на стадии pre-seed для развития своей платформы безопасности и комплаенса.

Открытые источники подтверждают размер инвестиций, однако подробности — например, полный список инвесторов или точное распределение средств — публично раскрыты ограниченно.

Проблема: безопасность цепочки поставок ПО

Современное программное обеспечение редко создаётся полностью с нуля. Большинство продуктов строится на основе:

• библиотек с открытым исходным кодом
• сторонних компонентов
• сложных систем сборки

В результате формируется software supply chain — цепочка поставок программного обеспечения, через которую уязвимости могут проникать в продукт.

Для разработчиков это означает необходимость одновременно:

• отслеживать уязвимости во множестве зависимостей
• документировать процессы безопасности
• быстро выпускать исправления
• поддерживать безопасность продукта на протяжении всего жизненного цикла

Платформа CRACI объединяет обнаружение уязвимостей, их отслеживание и исправление внутри конвейера разработки, чтобы команды могли решать проблемы безопасности прямо в процессе создания продукта.

Почему спрос растёт из‑за закона EU Cyber Resilience Act

Cyber Resilience Act — это один из самых масштабных европейских законов в области кибербезопасности. Он распространяется на все продукты с цифровыми элементами, продаваемые на рынке ЕС — от программных приложений до сетевых устройств и встроенных систем.

Основные цели закона:

• обеспечить безопасность цифровых продуктов ещё на этапе проектирования
• снизить количество уязвимостей в технологической цепочке поставок
• обязать производителей поддерживать безопасность и выпускать обновления на протяжении всего жизненного цикла продукта

Под действие закона попадает широкий круг технологий — включая приложения, операционные системы, устройства интернета вещей и другие подключённые продукты.

Для многих компаний это означает необходимость внедрить новые процессы управления уязвимостями, документации и отчётности в командах разработки.

Ключевые даты: 2026 и 2027 годы

Закон официально вступил в силу 10 декабря 2024 года, однако компании получили переходный период для подготовки.

Есть две важные даты:

• 11 сентября 2026 года — производители обязаны сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах в европейские органы кибербезопасности.
• 11 декабря 2027 года — полное соответствие требованиям CRA станет обязательным для вывода продуктов с цифровыми элементами на рынок ЕС.

Из‑за длительных циклов разработки многие компании начинают перестраивать процессы безопасности уже сейчас.

Как CRACI помогает подготовиться к новым требованиям

Подход CRACI основан на простой идее: комплаенс должен происходить внутри разработки, а не после неё.

Интеграция инструментов безопасности в CI/CD‑конвейеры позволяет компаниям:

• автоматически обнаруживать уязвимости в зависимостях
• документировать процесс исправлений
• назначать задачи разработчикам
• хранить проверяемую историю действий по безопасности

Такая модель соответствует принципу непрерывного мониторинга безопасности и управления жизненным циклом продукта, который ожидается от компаний в рамках Cyber Resilience Act.

Почему это важно для бизнеса

Cyber Resilience Act считается одним из первых крупных регуляторных режимов, направленных именно на безопасность цепочек поставок программного обеспечения на уровне всего рынка.

Поскольку закон затрагивает практически любой подключённый продукт, продаваемый в ЕС, компаниям из разных отраслей — от производителей устройств до разработчиков программного обеспечения — придётся внедрять новые инструменты и процессы, чтобы доказать соответствие требованиям.

Платформы, которые автоматизируют обнаружение уязвимостей, их исправление и документирование прямо в процессе разработки, могут стать важной частью этой трансформации.

CRACI — один из ранних стартапов, пытающихся занять нишу на быстро формирующемся рынке решений для комплаенса и безопасности цепочек поставок программного обеспечения, пока европейские компании готовятся к дедлайнам CRA в 2026 и 2027 годах.