Når e-mailsikkerhed bliver et jurisdiktionsspørgsmål

En runde på 5 millioner euro med et usædvanligt budskab

xorlab, en e-mailsikkerhedsvirksomhed med hovedsæde i Zürich, har lukket en Series A+ runde på 5 millioner euro øremærket til ekspansion i DACH-regionen, Benelux og Norden. Virksomheden sælger trusselsdetektion mod phishing, business email compromise og kontoovertagelse, de hverdagsangreb der gør e-mail til en af de mest udnyttede veje ind i et virksomhedsnetværk.

Spicehaus Partners ledte runden som eksisterende investor, sammen med de fortsættende investorer Grapha Holding, EquityPitcher Ventures og ZKB Start-up Finance. Meddelelsen kom den 1. september, og fem millioner euro er et beskedent beløb sammenlignet med, hvad senfase-startups inden for sikkerhed og kunstig intelligens typisk rejser andre steder i Europa. At den samme kreds af investorer valgte at lægge flere penge, i stedet for at et nyt syndikat kom ind og satte værdiansættelsen om, læses mere som en tillidserklæring til kontinuitet end som en redningsaktion.

Runden er mindre interessant på grund af beløbets størrelse end på grund af, hvad pengene skal bruges til: at udbrede et produkt bygget omkring et enkelt designvalg, som de fleste e-mailsikkerhedsudbydere ikke tilbyder som et reelt valg, nemlig at lade kunden selv bestemme, i hvilken jurisdiktion posten rent faktisk behandles. E-mail er desuden fortsat et af de mest almindelige indgangspunkter for netop de hændelser, DORA og NIS2 skal reducere, hvilket forklarer, hvorfor en nicheaktør, der vokser præcis i denne kategori, fortjener mere opmærksomhed end balancen alene antyder. En runde på 5 millioner euro køber ikke ny teknologi, men først og fremmest salgskapacitet, lokalt personale og det compliancepapirarbejde, der kræves for at sælge til et nyt sæt nationale tilsynsmyndigheder, ugørligt arbejde der afgør, om budskabet overhovedet når frem til indkøbsafdelinger.

Kundelisten er det egentlige signal

xorlabs eksisterende kundeliste ligner allerede en tjekliste for det regulerede Europa: privatbanken Julius Baer, teleselskabet Swisscom, formueforvalteren Vontobel, sikkerheds- og valutateknologikoncernen Giesecke+Devrient og forskningsorganisationen CERN. Tilsammen dækker de netop den mikstur af brancher, som DORA, NIS2 og GDPR hver især er skrevet til: finansielle tjenester, kritisk infrastruktur og organisationer, hvor datatab ville få reelt alvorlige konsekvenser.

Ingen af disse er spekulative referencer. En bank falder direkte inden for DORA's anvendelsesområde. Et teleselskab falder inden for NIS2's. Et selskab som Giesecke+Devrient arbejder med valuta-, identitets- og sikkerhedsteknologi, hvor operationel modstandsdygtighed og datakontrol allerede er et bestyrelsesanliggende, og CERN driver følsom international forskningskommunikation, som mange regeringer hellere vil undgå at se løbe gennem infrastruktur, de ikke selv kontrollerer. De tilsynsmyndigheder, der har udformet DORA og NIS2, har ikke opfundet denne bekymring ud af det blå; de skrev den ned, fordi virksomheder som disse allerede var bekymrede for koncentrationsrisiko hos et lille antal ikke-EU-leverandører, og den risiko er ikke abstrakt for nogen af disse fem kunder, eftersom en bank, et teleselskab, en sikkerhedsproducent og et fysiklaboratorium hver dag er afhængige af, at e-mail fungerer korrekt og fortroligt.

Produktet er bygget til at imødekomme denne bekymring i stedet for at bortforklare den: kunder vælger mellem fuldt on-premises drift med lokal behandling og lagring, en hybrid opsætning eller en cloud-mulighed, og i hver af disse tilstande ligger datacentrene i EU, og personalet, der driver tjenesten, sidder i Europa. Dette udvalg af muligheder betyder noget, fordi complianceteams i stigende grad skal dokumentere ikke blot, at data er krypteret, men hvilket lands domstole og efterretningstjenester der teoretisk kunne tvinge adgang igennem.

Hvad der ændrede sig denne uge for en EU-compliancekøber

Før denne uge kunne et EU-complianceteam, der vurderede e-mailsikkerhed, med rimelighed behandle leverandørens jurisdiktion som en fodnote under funktionssammenligning og pris. Et finansieret alternativ med reelle kunder, bygget netop omkring den fodnote, gør det sværere at udelade den fra evalueringsskemaet. Det skifte betyder noget selv ved et lille finansieringsbeløb, fordi det ændrer, hvad et salgsteam troværdigt kan love i et due diligence-spørgeskema, og det giver mindre leverandører en skabelon til at vinde regulerede kunder alene på jurisdiktion, ikke kun ved at fange mere phishing end den etablerede aktør.

xorlab bygger sit budskab eksplicit omkring overholdelse af DORA, NIS2 og GDPR, og omkring at reducere afhængigheden af amerikansk-kontrolleret infrastruktur og sikkerhedsleverandører, en ramme, som selskabet og dets investorer kalder suveræn. Direktøren formulerede argumentet ligeud: Europa har brug for sine egne cybersikkerhedschampions, ikke europæiske kopier af amerikanske markedsledere, en bemærkning der rammer en bekymring, mange europæiske bestyrelser allerede bærer rundt på, nemlig at beslutninger om kritisk infrastruktur truffet i Bruxelles eller Berlin stadig kan formes af beslutninger truffet i Washington.

Intet af dette gør xorlab til en garanteret vinder, og fem millioner euro køber ikke markedsdominans i en kategori med etablerede, velfinansierede markedsledere. Men det bekræfter, at jurisdiktion er blevet en post, virksomheder rent faktisk vil betale for at kontrollere, ikke bare en compliancebekymring, man noterer og lægger til side, og for en branche bygget på at overbevise købere om, at den næste funktion betyder mest, er det en grundlæggende anderledes salgssamtale.

Hvorfor vi gør dette

Vi gør dette for alle, der prøver at følge med i, hvad teknologi gør ved vores liv. De mennesker, der bygger den, og de mennesker, det sker for. Servola Journal findes, så det, vi lærer, tilhører dem alle.

Ingen betaler os for dette. Ingen annoncer, ingen betalingsmur, gratis for alle. Vi tror simpelthen, at det at forstå, hvad der sker med os alle, ikke bør afhænge af, hvem der har råd til at betale for det.

Hvis det gav dig noget i dag, så sig til, at vi skal fortsætte. Følg os, giv et like, eller skriv en positiv kommentar. Vi læser dem alle, og de er det, der holder os i gang.

Læs videre: Et brud dit DORA-register ikke kan forklare  |  Hugging Face måtte bede om sine egne logfiler