Startup-yhtiö CRACI auttaa ohjelmistoyrityksiä vastaamaan EU:n kyberkestävyyssäädöksen vaatimuksiin. Kun asiakkaat suojaavat ohjelmistojensa tuotantoketjuja, he edellyttävät korkeatasoista tietoturvaa myös kumppaneiltaan.Nyt yhtiön tietoturvallisuuden hallintajärjestelmä on ISO 27001 -sertifioitu.
CRACI tuo näkyvyyttä ohjelmiston koko tuotanto- ja toimitusketjuun
Vuonna 2025 perustettu CRACI Corporation on kehittänyt ratkaisunsa vastaamaan kyberkestävyyssäädöksen (CRA) vaateisiin. Säädös edellyttää ohjelmistojen valmistajilta muun muassa, että ne tuntevat tuotteidensa komponentit ja hallitsevat niiden haavoittuvuuksia. Asiakkaat kytkevät olemassa olevat ohjelmisto- ja käännösprosessinsa suoraan CRACIn CI/CD-alustaan, joka antaa näkyvyyden ohjelmiston toimitusketjuun: mistä komponenteista ohjelmisto koostuu (Software Bill of Materials, SBOM) ja mitä haavoittuvuuksia niissä mahdollisesti on. Tavoitteena on luonnollisesti korjata ne viipymättä.
Ratkaisu poikkeaa muista markkinoilla olevista tuotteista tavassa, jolla tietoa kerätään: CRACI tarkastelee sitä, mitä ohjelmistoon todella menee sisään, eikä yritä päätellä tätä valmiista lopputuotteesta jälkikäteen.
Yhtiön Security Officer Santeri Sointu kuvaa ainutlaatuisen näkyvyyden antavaa ratkaisua röntgenlaitteeksi, joka näkee ohjelmiston kaikki pienet osaset.
”Elintarvikkeissa tuoteseloste on ollut pakollinen jo pitkään. Kukaan ei arvaile ainesosia valmiin tuotteen maun perusteella. Aivan samoin tulee toimia softan kanssa. Ainakin jos haluaa agenttisen koodaamisen aikakaudella perillä siitä, mitä softapakettiin oikeasti päätyy”, vertaa Sointu.
Idea CRACIn uniikkiin palveluun syntyi, kun perustaja ja CISO Petteri Pulkkinen kuunteli syksyllä 2024 suuren IT-yhtiön edustajan esitelmää CRA:sta. Puhuja näki sääntelyssä lähinnä hidasteen, mutta Pulkkinen piti tavoitteita varsin hyvinä. Ongelma oli hänen mielestään toisaalla: vastuu tietoturvasta on annettu ihmisille, joilla ei ole siihen tarvittavia työkaluja.
Ajatus jalostui yhdessä muun perustajatiimin kanssa, ja syksyllä 2025 perustettiin yhtiö. Jo keväällä 2026 CRACI keräsi 1,4 miljoonan euron pre-seed-rahoituksen Lifeline Venturesin ja Risto Siilasmaan First Fellow Partnersin johdolla. VC-konkari Petteri Koponen istuu yhtiön hallituksessa.
Asiakkaat etsivät luotettavia toimittajia
CRACIn alustalla käsitellään asiakkaan sensitiivistä lähdekoodia ja tietoa ohjelmiston haavoittuvuuksista. Luottamus on toiminnan edellytys. Uusien asiakkaiden kanssa neuvoteltaessa tietoturva nousee esiin välittömästi. ISO 27001 -sertifikaatti toimii nyt oivallisena ovenavaajana ja kitkanpoistajana.
”Asiakkaat haluavat varmistua siitä, että heidän toimittajansa tietoturva on korkeatasoista. Kun käytössä on tunnettu viitekehys ja sertifikaatti, vertailu käy huomattavasti nopeammin kuin jos asiakas tekisi täyden auditoinnin itse”, kuvaa Pulkkinen.
Taustalla vaikuttaa myös NIS2-direktiivin toimeenpaneva kyberturvallisuuslaki. Lain piirissä olevien organisaatioiden on arvioitava toimitusketjunsa, mikä lisää tarvetta arvioida myös CRACIn kaltaisia teknologiatoimittajia.
Sertifikaatti kertoo lisäksi jotain, mitä paraskaan tekninen tiimi ei pysty itse uskottavasti todentamaan asiakkaalle.
”Vaikka tiimimme on keskimääräistä pk-softayritystä huomattavasti teknisempi ja tietoturvaorientoituneempi, sertifiointi on tarpeen. Se on luotettava tapa viestiä, että asiat oikeasti toimivat ja ovat käytössä”, kertoo Sointu.
Into erottui edukseen ketteryydellä ja fokuksella
CRACI kartoitti kesäkuussa 2026 sertifiointielimiä Pohjois-Euroopasta ja pyysi tarjouksia useilta toimijoilta. Ratkaisevaa toimittajavalinnassa oli se, että Inton kanssa saimme mutkattomasti sovittua auditointiaikataulun niin, että prosessi saatiin vietyä maaliin ennen CRA:n raportointivelvollisuuksien voimaanastumista 11.9.2026.
”Moni toimija vastasi, että katsotaan asiaa syksymmällä. Arvostimme Inton ketteryyttä ja mutkatonta etenemistä meille tärkeässä asiassa”, Pulkkinen sanoo.
Toinen päätöksentekoperuste oli Inton erikoistuminen.
”Monelle muulle ISO 27001 auditoinnit olivat sivujuonne, Intolle se ja kyberturvallisuus ovat vahva fokus. Tämä resonoi hyvin omien arvojemme kanssa”, Sointu jatkaa.
Kitkattomat prosessit ovat ohjelmistokehityksessä tärkeitä
Dramaattisia yllätyksiä ei matkan varrella tullut, sillä CRACI on rakennettu alusta asti Intonkin soveltaman security-native -periaatteen mukaan. Se tarkoittaa, että tietoturva on otettu huomioon ohjelmistokehityksessä alusta alkaen.
Eniten työtä teetti prosessien kirjaaminen ja muotoilu niin, että ne voidaan jatkossakin auditoida sujuvasti ja kitkattomasti.
”Eniten aikaa meni siihen, että prosesseista saatiin sellaisia, että ne tuottavat näyttöä toiminnastaan ilman ylimääräistä kitkaa kehitystiimille. Startupissa ylimääräiset kirjaukset erillisiin työkaluihin eivät toimi, varsinkaan jos niitä ei koeta omaa työtä tukeviksi. Onnistuimme tässä hyvin. Tiimi on tyytyväinen”, kertoo Pulkkinen.
CRACI poistaa kitkaa käyttämällä niitä työkaluja, joita kehittäjät käyttävät muutenkin.
Kehitysprosessiin on lisätty muutama kohta, joihin aiemmin ääneen käydyt pohdinnat kirjataan, ja josta ne siirtyvät jäsennellysti riskienhallintaan. Esimerkiksi käyttöoikeuksien hyväksynnät kulkevat Slack-integraation kautta, joka tuottaa niistä automaattisesti auditointijäljen. Kehittäjän arki näyttää hyvin samalta kuin ennenkin.
Sama periaate on CRACIn tuotteen ytimessä: kehittäjät jatkavat tutuilla työkaluilla, ja auditoinneissa, sekä tietoturvan ylläpitämisessä tarvittava näyttö kertyy samalla. Jäljitettävyys ja systematiikka auttavat myös CRA-vaatimusten täyttämisessä.
Koko organisaatio hallintajärjestelmän piirissä
Hallintajärjestelmän soveltamisala kattaa koko organisaation kaikkine toimintoineen. Soveltamisalaa ei haluttu rajata pelkästään tuotteen tietoturvallisuuden hallintaan.
”Meille oli tärkeää osoittaa, että meihin voi luottaa organisaationa, ei pelkästään teknologiaamme. Riippumaton taho on huolella tarkastanut tietoturvallisuuden hallintajärjestelmämme ja koko organisaatio on sen kautta jatkuvan kehittämisen piirissä”, kiteyttää Sointu.
Virallisen sertifiointiauditoinnin suoritti FINAS-akkreditoitu Into Certification. Inton auditoija perehtyi CRACIn prosesseihin syvällisesti.
”Auditointeja voi tehdä monella tavalla, asentamalla agentin, täyttämällä paljon papereita etukäteen tai skannaamalla ympäristöä. Inton kanssa auditointi eteni omasta mielestäni parhaiten standardin tarkoittamalla tavalla. Auditoija osallistui aktiivisesti ja kysyi todella syvällisesti, jotta hän ymmärsi, mitä teemme ja miten. Sitä kautta hän pystyi sovittamaan auditoinnin meidän toimintaamme ja mittakaavaamme. Hän oli erittäin tarkka, mutta kuunteli myös meidän näkemyksemme”, kuvaa Sointu.
Kun kaikki eivät enää tiedä kaikkea – kasvavan tiimin yhteinen tapa toimia
Hallintajärjestelmä näkyy CRACIn arjessa erityisesti poikkeamien hallinnassa. Havainnot syötetään takaisin kehitysputkeen, ja niiden avulla yhtiö kehittää omaa toimintaansa. Koko henkilöstölle on selvää, missä vaiheessa tietoturva otetaan huomioon kehityksessä, arvioinnissa ja tuotantoon viennissä, ja miksi.
”Kolmen tai neljän hengen tiimissä voi vielä pitkälti luottaa siihen, että kaikki tietävät kaiken. Tiimin kasvaessa isommaksi prosessien ja hallintajärjestelmän merkitys korostuu”, luonnehtii Pulkkinen.
Ymmärrä, miksi standardi vaatii, mitä vaatii
CRACIn neuvo muille alkuvaiheen ohjelmistoyrityksille on rakentaa prosessit varhain, mutta oman toiminnan mittakaavaan sopiviksi.
”Kannattaa pyrkiä ymmärtämään, mitä standardin kirjoittajat ovat oikeasti tavoitelleet. Standardi on tehty skaalautumaan erikokoisiin organisaatioihin. Se ei tarkoita, että asioita pitäisi tehdä kankeasti, vaan että oikeasti ymmärtää, miksi niitä tehdään.”, Sointu neuvoo.
”Prosesseista ei kannata tehdä liian monimutkaisia. Paras keino on pysähtyä hetkeksi ja hypätä kehittäjän rooliin: miltä prosessi näyttää sieltä katsottuna, ja miten toteutettuna se aiheuttaa mahdollisimman vähän ylimääräistä työtä. Jos standardi edellyttää mittareita, mieti, miten niistä on hyötyä myös arjessa. Se on yleensä myös paras motivaattori niiden käyttämiseen”, Pulkkinen lisää.
Trust as growth strategy – luottamuksesta kasvua
CRACI tiivistää tietoturva-ajattelunsa ilmaisuun “trust as growth strategy” eli yhtiö pitää luottamusta kasvun edellytyksenä. Sertifikaatin jälkeen muutos näkyi pian. Asiakkaiden kanssa päästään etenemään rivakammin, ja CRACI on saanut positiivista ja tyytyväistä palautetta asiakkailtaan ja heidän tietoturvatiimeiltään.
”Hankintaprosesseissa sertifikaattia kysytään nykyään nopeasti. Nyt voimme vastata, että sertifikaatti löytyy kansallisesti tunnustetun tahon myöntämänä”, Pulkkinen toteaa.
CRACI Corporation Oy
- Perustettu: 2025
- Rahoitus: 1,4 miljoonan euron pre-seed-kierros 2026, vetäjinä Lifeline Ventures ja First Fellow Partners
- Tuote: Automatisoitu kyberkestävyysalusta – CI/CD joka antaa näkyvyyden ohjelmiston toimitusketjuun (SBOM ja haavoittuvuuksien hallinta) ja tukee EU:n kyberkestävyyssäädöksen (CRA) vaatimusten täyttämistä
- Asiakkaat: omia ohjelmistoja ja ohjelmistokomponentteja kehittävät yritykset
- Tietoturvan hallintajärjestelmä: ISO 27001 -sertifioitu 2026, sertifiointielin Into Certification
- Verkkosivu: https://craci.com/