CRACI：搶先佈局 EU《Cyber Resilience Act》合規工具嘅芬蘭初創

公開資料確認咗融資金額，但關於投資者名單或者資金具體用途，目前並未有太多詳細披露。

核心問題：軟件供應鏈安全

現代軟件幾乎都依賴大量 開源套件、第三方組件同自動化 build pipeline。呢種架構形成所謂嘅「軟件供應鏈」。

問題係：漏洞未必只存在於自己寫嘅程式碼，亦可能來自：

• 開源依賴套件
• build 工具
• 第三方 integration

企業要管理呢啲風險，往往要同時做幾件事：

• 追蹤依賴套件嘅安全漏洞
• 記錄安全流程與文檔
• 快速推出安全補丁
• 在整個產品生命周期維持安全更新

CRACI 嘅做法係將 漏洞發現、追蹤同修復流程直接嵌入開發 pipeline，令安全問題可以像普通 bug 一樣被處理，而唔需要另開一套合規流程。

點解 CRA 令需求急升

EU《Cyber Resilience Act》係歐盟針對數碼產品安全推出嘅重要監管框架，涵蓋所有 含有數碼元素嘅產品，包括軟件、操作系統、設備固件以及連網裝置。

呢條法例嘅核心目標包括：

• 確保產品設計時已考慮網絡安全
• 減少整個科技供應鏈嘅漏洞
• 要求廠商提供安全更新並維持產品生命周期安全

對企業嚟講，呢意味住安全不再係「可選項」，而係 市場准入條件之一。

CRA 重要時間表

CRA 已經喺 2024 年 12 月正式生效，但企業仍然處於過渡期。

未來幾年有兩個關鍵期限：

• 2026 年 9 月 11 日：企業必須向歐盟網絡安全機構報告已被利用嘅漏洞同重大安全事件。
• 2027 年 12 月 11 日：所有相關產品在進入歐盟市場前都必須完全符合 CRA 要求。

由於很多軟件與硬件產品嘅開發周期長達幾年，企業其實已經開始重構開發流程去應對新法規。

CRACI 點幫企業準備

CRACI 嘅平台核心理念係：合規應該在開發流程入面完成，而唔係之後先補文件。

透過將安全工具整合到 CI/CD pipeline，企業可以：

• 自動偵測依賴套件漏洞
• 記錄漏洞處理過程
• 分配修復任務俾開發人員
• 建立可追蹤嘅安全紀錄

呢種持續監控與生命周期安全管理，正正係 CRA 預期企業需要做到嘅能力。

為何呢類初創正開始冒起

CRA 被視為全球首批 針對軟件供應鏈安全的大規模監管框架之一。

由於法規適用範圍極廣，幾乎所有在歐盟市場銷售嘅連網產品——由 IoT 裝置到企業軟件——都會受到影響。

呢意味住大量企業需要：

• 新嘅漏洞管理工具
• 更完善嘅安全文檔
• 自動化合規流程

能夠將安全與合規自動化、並且嵌入開發流程嘅平台，很可能會成為未來幾年企業科技堆疊入面嘅重要一環。

CRACI 正正係嘗試搶佔呢個市場機會，趁住企業為 2026 同 2027 CRA 期限做準備之際，提供一套更自動化、開發者導向嘅解決方案。