Cuando el correo exige elegir jurisdicción

Una ronda de 5 millones de euros con un discurso poco habitual

xorlab, una empresa de seguridad de correo con sede en Zúrich, ha cerrado una ronda Serie A+ de 5 millones de euros destinada a su expansión por la región DACH, el Benelux y los países nórdicos. La empresa vende detección de amenazas para phishing, compromiso de correo corporativo y toma de control de cuentas, los ataques cotidianos que convierten el correo en uno de los canales más explotados para entrar en la red de una empresa.

Spicehaus Partners lideró la ronda como inversor ya existente, junto a los inversores que continúan respaldando la empresa, Grapha Holding, EquityPitcher Ventures y ZKB Start-up Finance. El anuncio se produjo el 1 de septiembre, y cinco millones de euros es una cifra modesta frente a lo que suelen levantar en etapas avanzadas las startups de seguridad e inteligencia artificial en el resto de Europa. Que el mismo grupo de inversores decidiera aportar más capital, en lugar de que un nuevo consorcio reajustara la valoración, se lee más como un voto de continuidad que como un rescate.

La ronda importa menos por su importe que por aquello en lo que se invierte el dinero: ampliar un producto construido sobre una sola decisión de diseño que la mayoría de proveedores de seguridad de correo no ofrecen como opción real, dejar que el cliente elija en qué jurisdicción se procesa realmente su correo. El correo electrónico sigue siendo además una de las vías de entrada más comunes para los incidentes que DORA y NIS2 buscan reducir, lo que explica por qué un proveedor especializado que crece justo en esta categoría merece atención más allá de su balance. Una ronda de 5 millones de euros no compra tecnología nueva, sino sobre todo capacidad comercial, personal local y el papeleo de cumplimiento necesario para vender ante un nuevo conjunto de reguladores nacionales, un trabajo poco vistoso que determina si el discurso llega realmente a los equipos de compras.

La lista de clientes es la señal real

La cartera de clientes de xorlab ya parece una lista de comprobación de la Europa regulada: el banco privado Julius Baer, la operadora Swisscom, el gestor de patrimonios Vontobel, el grupo de tecnología de seguridad y divisas Giesecke+Devrient, y la organización de investigación CERN. Juntos abarcan exactamente la combinación de sectores para la que se redactaron DORA, NIS2 y el RGPD: servicios financieros, infraestructuras críticas y organizaciones cuya pérdida de datos tendría consecuencias verdaderamente graves.

Ninguno de ellos es un cliente especulativo. Un banco entra de lleno en el ámbito de DORA. Una operadora entra en el de NIS2. Una empresa como Giesecke+Devrient trabaja en tecnología de divisas, identidad y seguridad, donde la resiliencia operativa y el control de los datos ya son asunto de consejo de administración, y el CERN gestiona comunicaciones de investigación internacional sensibles que muchos gobiernos prefieren no ver circular por infraestructura que no controlan. Los reguladores que redactaron DORA y NIS2 no inventaron esta preocupación de la nada: la plasmaron por escrito porque empresas como estas ya estaban inquietas por el riesgo de concentración en un número reducido de proveedores ajenos a la UE, y ese riesgo no es abstracto para ninguno de estos cinco clientes, ya que un banco, una operadora, un fabricante de seguridad y un laboratorio de física dependen a diario de que el correo funcione de forma correcta y confidencial.

El producto está diseñado para responder a esa preocupación en lugar de restarle importancia: los clientes eligen entre un despliegue totalmente local con procesamiento y almacenamiento locales, un modelo híbrido o una opción en la nube, y en cualquiera de esos modos los centros de datos están en la UE y el personal que gestiona el servicio está en Europa. Ese abanico de opciones importa porque los equipos de cumplimiento necesitan cada vez más documentar no solo que los datos están cifrados, sino qué país, con sus tribunales y sus servicios de inteligencia, podría en teoría obligar a acceder a ellos.

Qué ha cambiado esta semana para un responsable de cumplimiento en la UE

Antes de esta semana, un equipo de cumplimiento en la UE que evaluara seguridad de correo podía razonablemente tratar la jurisdicción del proveedor como una nota a pie de página, por detrás de la comparación de funciones y el precio. Una alternativa financiada y respaldada por clientes reales, construida precisamente en torno a esa nota a pie de página, hace más difícil dejarla fuera de la hoja de evaluación. Ese cambio importa incluso con un importe de financiación pequeño, porque modifica lo que el equipo comercial de un proveedor puede prometer con credibilidad en un cuestionario de diligencia debida, y ofrece a proveedores más pequeños una plantilla para ganar clientes regulados solo por la jurisdicción, no únicamente por detectar más phishing que el proveedor establecido.

xorlab plantea su discurso explícitamente en torno al cumplimiento de DORA, NIS2 y el RGPD, y en torno a reducir la dependencia de infraestructura y proveedores de seguridad controlados por Estados Unidos, un enfoque que la empresa y sus inversores llaman soberano. Su consejero delegado resumió el argumento de fondo con claridad: Europa necesita sus propios campeones de la ciberseguridad, no copias europeas de los grandes proveedores estadounidenses, una frase que apunta a una inquietud que ya comparten muchos consejos de administración europeos, la de que las decisiones sobre infraestructura crítica tomadas en Bruselas o Berlín sigan pudiendo estar condicionadas por decisiones tomadas en Washington.

Nada de esto convierte a xorlab en un ganador garantizado, y cinco millones de euros no compran dominio de mercado en una categoría con proveedores consolidados y bien financiados. Pero sí confirma que la jurisdicción se ha convertido en una partida que las empresas están dispuestas a pagar por controlar, y no solo en una preocupación de cumplimiento que se anota y se deja atrás, y para un sector construido sobre convencer a los compradores de que la próxima función es lo que más importa, esa es una conversación de venta genuinamente distinta.

Por qué hacemos esto

Hacemos esto por todos los que intentan seguirle el ritmo a lo que la tecnología le está haciendo a nuestras vidas. Las personas que la construyen y las personas a quienes les sucede. El Servola Journal existe para que lo que aprendemos pertenezca a todos ellos.

Nadie nos paga por esto. Sin anuncios, sin muro de pago, gratis para todos. Simplemente creemos que entender lo que nos está pasando a todos no debería depender de quién puede pagarlo.

Si esto le aportó algo hoy, díganos que sigamos adelante. Síganos, dejen un me gusta o escriban un comentario positivo. Leemos cada uno, y son lo que nos mantiene en marcha.

Leer a continuación: Una brecha que su registro DORA no puede explicar  |  Hugging Face tuvo que pedir sus propios registros