La sécurité email, une question de juridiction

Un tour de 5 millions d'euros au discours inhabituel

xorlab, société de sécurité email basée à Zurich, a bouclé un tour de série A+ de 5 millions d'euros destiné à financer son expansion dans la région DACH, au Benelux et dans les pays nordiques. La société vend de la détection de menaces contre le phishing, la compromission de messagerie professionnelle et le piratage de comptes, les attaques du quotidien qui font de l'email l'un des canaux les plus exploités pour pénétrer le réseau d'une entreprise.

Spicehaus Partners a mené le tour en tant qu'investisseur déjà présent, rejoint par les investisseurs historiques Grapha Holding, EquityPitcher Ventures et ZKB Start-up Finance. L'annonce est tombée le 1er septembre, et cinq millions d'euros restent modestes face aux montants habituellement levés par les startups de sécurité ou d'intelligence artificielle en phase avancée ailleurs en Europe. Que ce même groupe d'investisseurs ait choisi de remettre au pot, plutôt qu'un nouveau syndicat venant redéfinir la valorisation, se lit davantage comme un vote de continuité que comme un sauvetage.

Ce tour compte moins par son montant que par l'usage qui en est fait: renforcer un produit construit autour d'un choix de conception que la plupart des fournisseurs de sécurité email ne proposent pas comme une option réelle, laisser le client décider dans quelle juridiction son courrier est réellement traité. L'email reste par ailleurs l'un des points d'entrée les plus courants pour les incidents que DORA et NIS2 cherchent à réduire, ce qui explique pourquoi un acteur de niche qui grandit précisément dans cette catégorie mérite qu'on s'y intéresse au-delà de son bilan. Un tour de 5 millions d'euros n'achète pas de nouvelle technologie, il achète surtout de la capacité commerciale, du personnel local et la paperasse de conformité nécessaire pour vendre auprès d'un nouvel ensemble de régulateurs nationaux, un travail peu glorieux qui détermine si le discours atteint réellement les équipes achats.

La liste des clients est le vrai signal

La liste de clients de xorlab se lit déjà comme une check-list de l'Europe régulée: la banque privée Julius Baer, l'opérateur télécom Swisscom, le gestionnaire de fortune Vontobel, le groupe technologique dédié à la monnaie et à la sécurité Giesecke+Devrient, et l'organisation de recherche CERN. Ensemble, ils couvrent exactement le mélange de secteurs pour lesquels DORA, NIS2 et le RGPD ont chacun été rédigés: les services financiers, les infrastructures critiques et les organisations dont la perte de données aurait des conséquences réellement lourdes.

Aucun de ces clients n'est spéculatif. Une banque entre pleinement dans le champ de DORA. Un opérateur télécom entre dans celui de NIS2. Une entreprise comme Giesecke+Devrient travaille sur les technologies monétaires, d'identité et de sécurité, où la résilience opérationnelle et le contrôle des données sont déjà des sujets de conseil d'administration, et le CERN gère des communications de recherche internationale sensibles que beaucoup de gouvernements préféreraient ne pas voir transiter par une infrastructure qu'ils ne contrôlent pas. Les régulateurs qui ont rédigé DORA et NIS2 n'ont pas inventé cette préoccupation de toutes pièces: ils l'ont mise par écrit parce que des entreprises comme celles-ci s'inquiétaient déjà du risque de concentration sur un petit nombre de fournisseurs hors UE, un risque qui n'a rien d'abstrait pour aucun de ces cinq clients, puisqu'une banque, un opérateur télécom, un fabricant de sécurité et un laboratoire de physique dépendent chaque jour d'une messagerie qui fonctionne correctement et de façon confidentielle.

Le produit est conçu pour répondre à cette préoccupation plutôt que pour la contourner: les clients choisissent entre un déploiement entièrement sur site avec traitement et stockage locaux, une configuration hybride ou une option cloud, et dans chacun de ces modes, les centres de données restent dans l'UE et le personnel qui gère le service est basé en Europe. Cet éventail d'options compte parce que les équipes conformité doivent de plus en plus documenter non seulement que les données sont chiffrées, mais aussi de quel pays, avec ses tribunaux et ses services de renseignement, pourrait théoriquement en exiger l'accès.

Ce qui a changé cette semaine pour un acheteur conformité dans l'UE

Avant cette semaine, une équipe conformité dans l'UE évaluant la sécurité email pouvait raisonnablement traiter la juridiction du fournisseur comme une note de bas de page, derrière la comparaison fonctionnelle et le prix. Une alternative financée et déjà adoptée par de vrais clients, construite précisément autour de cette note de bas de page, rend plus difficile de l'exclure de la grille d'évaluation. Ce basculement compte même avec un montant de levée modeste, car il change ce qu'une équipe commerciale peut promettre de manière crédible dans un questionnaire de due diligence, et il offre aux fournisseurs plus modestes un modèle pour gagner des clients régulés sur la seule juridiction, pas uniquement en bloquant plus de phishing que l'acteur en place.

xorlab construit son discours explicitement autour de la conformité à DORA, NIS2 et au RGPD, et autour de la réduction de la dépendance aux infrastructures et fournisseurs de sécurité contrôlés par les États-Unis, un positionnement que l'entreprise et ses investisseurs qualifient de souverain. Son directeur général a résumé l'argument de fond sans détour: l'Europe a besoin de ses propres champions de la cybersécurité, pas de copies européennes des acteurs dominants américains, une phrase qui vise une inquiétude déjà présente dans beaucoup de conseils d'administration européens, celle que des décisions sur les infrastructures critiques prises à Bruxelles ou à Berlin restent malgré tout façonnées par des décisions prises à Washington.

Rien de tout cela ne fait de xorlab un gagnant assuré, et cinq millions d'euros n'achètent pas une domination de marché dans une catégorie occupée par des acteurs établis et bien financés. Mais cela confirme que la juridiction est devenue un poste que les entreprises sont prêtes à payer pour contrôler, et pas seulement une inquiétude de conformité que l'on note puis oublie, et pour un secteur construit sur l'idée de convaincre les acheteurs que la prochaine fonctionnalité compte le plus, c'est une conversation commerciale véritablement différente.

Pourquoi nous faisons cela

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui elle arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-nous de continuer. Suivez-nous, laissez un like ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font avancer.

À lire ensuite: Une faille que votre registre DORA n'explique pas  |  Hugging Face a dû réclamer ses propres journaux