CRACI：搶先佈局 EU《Cyber Resilience Act》合規工具嘅芬蘭初創

歐洲科技企業正踏入一個全新監管時代。隨住 **EU《Cyber Resilience Act》（CRA）**逐步落實，所有含有數碼元素嘅產品——由軟件到硬件——都要符合更嚴格嘅網絡安全標準。面對呢個轉變，一批新創公司開始出現，專門幫企業處理合規問題，其中之一就係來自芬蘭嘅 CRACI。

CRACI 係做咩？

CRACI 係一間芬蘭網絡安全初創，開發一個平台，目標係將 安全監控、漏洞追蹤同修復流程直接整合到軟件開發流程之中。

佢嘅系統可以接入常見 CI/CD 工具，例如 GitHub、GitLab 同 Jenkins。當開發團隊提交新程式碼或者更新依賴庫時，平台可以自動：

• 發現軟件依賴入面嘅漏洞
• 建立修復任務並分配俾開發人員
• 追蹤漏洞修復進度
• 留下可追溯嘅安全紀錄

換句話講，CRACI 想將「安全合規」由傳統嘅審計式流程，變成 開發流程入面持續進行嘅工程工作。

已融資幾多？

CRACI 已完成 €1.4 million（約 140 萬歐元）pre‑seed 融資，用嚟開發同擴展佢嘅合規與軟件供應鏈安全平台。

公開資料確認咗融資金額，但關於投資者名單或者資金具體用途，目前並未有太多詳細披露。

核心問題：軟件供應鏈安全

現代軟件幾乎都依賴大量 開源套件、第三方組件同自動化 build pipeline。呢種架構形成所謂嘅「軟件供應鏈」。

問題係：漏洞未必只存在於自己寫嘅程式碼，亦可能來自：

• 開源依賴套件
• build 工具
• 第三方 integration

企業要管理呢啲風險，往往要同時做幾件事：

• 追蹤依賴套件嘅安全漏洞
• 記錄安全流程與文檔
• 快速推出安全補丁
• 在整個產品生命周期維持安全更新

CRACI 嘅做法係將 漏洞發現、追蹤同修復流程直接嵌入開發 pipeline，令安全問題可以像普通 bug 一樣被處理，而唔需要另開一套合規流程。

點解 CRA 令需求急升

EU《Cyber Resilience Act》係歐盟針對數碼產品安全推出嘅重要監管框架，涵蓋所有 含有數碼元素嘅產品，包括軟件、操作系統、設備固件以及連網裝置。

呢條法例嘅核心目標包括：

• 確保產品設計時已考慮網絡安全
• 減少整個科技供應鏈嘅漏洞
• 要求廠商提供安全更新並維持產品生命周期安全

對企業嚟講，呢意味住安全不再係「可選項」，而係 市場准入條件之一。

CRA 重要時間表

CRA 已經喺 2024 年 12 月正式生效，但企業仍然處於過渡期。

未來幾年有兩個關鍵期限：

• 2026 年 9 月 11 日：企業必須向歐盟網絡安全機構報告已被利用嘅漏洞同重大安全事件。
• 2027 年 12 月 11 日：所有相關產品在進入歐盟市場前都必須完全符合 CRA 要求。

由於很多軟件與硬件產品嘅開發周期長達幾年，企業其實已經開始重構開發流程去應對新法規。

CRACI 點幫企業準備

CRACI 嘅平台核心理念係：合規應該在開發流程入面完成，而唔係之後先補文件。

透過將安全工具整合到 CI/CD pipeline，企業可以：

• 自動偵測依賴套件漏洞
• 記錄漏洞處理過程
• 分配修復任務俾開發人員
• 建立可追蹤嘅安全紀錄

呢種持續監控與生命周期安全管理，正正係 CRA 預期企業需要做到嘅能力。

為何呢類初創正開始冒起

CRA 被視為全球首批 針對軟件供應鏈安全的大規模監管框架之一。

由於法規適用範圍極廣，幾乎所有在歐盟市場銷售嘅連網產品——由 IoT 裝置到企業軟件——都會受到影響。

呢意味住大量企業需要：

• 新嘅漏洞管理工具
• 更完善嘅安全文檔
• 自動化合規流程

能夠將安全與合規自動化、並且嵌入開發流程嘅平台，很可能會成為未來幾年企業科技堆疊入面嘅重要一環。

CRACI 正正係嘗試搶佔呢個市場機會，趁住企業為 2026 同 2027 CRA 期限做準備之際，提供一套更自動化、開發者導向嘅解決方案。