La sicurezza email come questione di giurisdizione

Un round da 5 milioni di euro con un messaggio insolito

xorlab, azienda di sicurezza email con sede a Zurigo, ha chiuso un round Serie A+ da 5 milioni di euro destinata all'espansione nella regione DACH, nel Benelux e nei paesi nordici. L'azienda vende rilevamento delle minacce per phishing, business email compromise e furto di account, gli attacchi quotidiani che rendono l'email uno dei canali più sfruttati per entrare nella rete di un'azienda.

Spicehaus Partners ha guidato il round in qualità di investitore già presente, affiancato dagli investitori che continuano a sostenere l'azienda, Grapha Holding, EquityPitcher Ventures e ZKB Start-up Finance. L'annuncio è arrivato il 1 settembre, e cinque milioni di euro sono una cifra modesta rispetto a quanto raccolgono di solito le startup di sicurezza e intelligenza artificiale in fasi avanzate altrove in Europa. Il fatto che lo stesso gruppo di investitori abbia scelto di scrivere un altro assegno, invece di un nuovo consorzio che rivedesse la valutazione, si legge più come un voto di continuità che come un salvataggio.

Il round conta meno per il suo importo che per l'uso che ne viene fatto: ampliare un prodotto costruito attorno a un'unica scelta progettuale che la maggior parte dei fornitori di sicurezza email non offre come opzione reale, lasciare che sia il cliente a decidere in quale giurisdizione la propria posta viene effettivamente gestita. L'email resta inoltre uno dei principali punti di ingresso per gli incidenti che DORA e NIS2 vogliono ridurre, motivo per cui un operatore di nicchia in crescita proprio in questa categoria merita attenzione oltre il proprio bilancio. Un round da 5 milioni di euro non compra nuova tecnologia, quanto piuttosto capacità commerciale, personale locale e la documentazione di conformità necessaria per vendere a un nuovo insieme di regolatori nazionali, un lavoro poco appariscente che determina se il messaggio arrivi davvero ai team di acquisto.

L'elenco clienti è il segnale vero

L'elenco clienti di xorlab si legge già come una checklist dell'Europa regolamentata: la banca privata Julius Baer, l'operatore telefonico Swisscom, il gestore patrimoniale Vontobel, il gruppo tecnologico per valuta e sicurezza Giesecke+Devrient, e l'organizzazione di ricerca CERN. Insieme coprono esattamente il mix di settori per cui sono state scritte DORA, NIS2 e il GDPR: servizi finanziari, infrastrutture critiche e organizzazioni la cui perdita di dati avrebbe conseguenze davvero rilevanti.

Nessuno di questi è un cliente ipotetico. Una banca rientra pienamente nell'ambito di DORA. Un operatore telefonico rientra in quello di NIS2. Un'azienda come Giesecke+Devrient lavora su tecnologie di valuta, identità e sicurezza, dove resilienza operativa e controllo dei dati sono già temi da consiglio di amministrazione, e il CERN gestisce comunicazioni di ricerca internazionale sensibili che molti governi preferirebbero non vedere transitare su infrastrutture che non controllano. I regolatori che hanno redatto DORA e NIS2 non hanno inventato questa preoccupazione dal nulla: l'hanno messa per iscritto perché aziende come queste erano già preoccupate dal rischio di concentrazione su un numero ristretto di fornitori extra-UE, e questo rischio non è astratto per nessuno di questi cinque clienti, dato che una banca, un operatore telefonico, un produttore di sicurezza e un laboratorio di fisica dipendono ogni giorno dal corretto e riservato funzionamento della posta elettronica.

Il prodotto è costruito per rispondere a questa preoccupazione invece di aggirarla: i clienti scelgono tra una distribuzione interamente on-premises con elaborazione e archiviazione locali, un assetto ibrido o un'opzione cloud, e in ognuna di queste modalità i data center restano nell'UE e il personale che gestisce il servizio è basato in Europa. Questa gamma di opzioni conta perché i team di conformità devono sempre più spesso documentare non solo che i dati sono cifrati, ma anche quale paese, con i suoi tribunali e i suoi servizi di intelligence, potrebbe in teoria obbligare all'accesso.

Cosa è cambiato questa settimana per chi si occupa di conformità nell'UE

Prima di questa settimana, un team di conformità nell'UE che valutava la sicurezza email poteva ragionevolmente trattare la giurisdizione del fornitore come una nota a margine, dietro il confronto tra funzionalità e prezzo. Un'alternativa finanziata e già scelta da clienti reali, costruita proprio attorno a quella nota, rende più difficile lasciarla fuori dalla scheda di valutazione. Questo cambiamento conta anche con un importo di raccolta modesto, perché modifica ciò che il team commerciale di un fornitore può promettere con credibilità in un questionario di due diligence, e offre ai fornitori più piccoli un modello per conquistare clienti regolamentati puntando solo sulla giurisdizione, non solo bloccando più phishing dell'operatore dominante.

xorlab costruisce il proprio messaggio esplicitamente attorno alla conformità a DORA, NIS2 e GDPR, e alla riduzione della dipendenza da infrastrutture e fornitori di sicurezza controllati dagli Stati Uniti, un'impostazione che l'azienda e i suoi investitori definiscono sovrana. Il suo amministratore delegato ha riassunto l'argomento di fondo con chiarezza: l'Europa ha bisogno di propri campioni della cybersicurezza, non di copie europee degli operatori statunitensi dominanti, un'affermazione che tocca un'ansia già diffusa in molti consigli di amministrazione europei, quella secondo cui le decisioni sulle infrastrutture critiche prese a Bruxelles o Berlino possano restare comunque condizionate da decisioni prese a Washington.

Nulla di tutto ciò rende xorlab un vincitore garantito, e cinque milioni di euro non comprano il dominio di un mercato in una categoria con operatori affermati e ben finanziati. Ma conferma che la giurisdizione è diventata una voce che le aziende sono disposte a pagare per controllare, non solo una preoccupazione di conformità da annotare e superare, e per un settore costruito sul convincere gli acquirenti che la prossima funzionalità sia ciò che conta di più, questa è una conversazione di vendita genuinamente diversa.

Perché lo facciamo

Lo facciamo per tutti coloro che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono e le persone a cui accade. Servola Journal esiste affinché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun paywall, gratuito per tutti. Crediamo semplicemente che capire cosa sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi vi ha dato qualcosa, diteci di continuare. Seguiteci, lasciate un like o scrivete un commento positivo. Li leggiamo tutti, e sono ciò che ci tiene ad andare avanti.

Da leggere ora: Una violazione che il registro DORA non spiega  |  Hugging Face ha dovuto chiedere i propri registri