Wanneer e-mailbeveiliging een jurisdictiekwestie wordt

Een ronde van 5 miljoen euro met een ongewone boodschap

xorlab, een e-mailbeveiligingsbedrijf uit Zurich, sloot een Series A+ ronde van 5 miljoen euro af, bestemd voor uitbreiding naar de DACH-regio, de Benelux en de Scandinavische landen. Het bedrijf verkoopt detectie tegen phishing, business email compromise en account-overname, de alledaagse aanvallen die e-mail tot een van de meest misbruikte toegangspoorten tot een bedrijfsnetwerk maken.

Spicehaus Partners leidde de ronde als bestaande investeerder, samen met de doorgaande investeerders Grapha Holding, EquityPitcher Ventures en ZKB Start-up Finance. De aankondiging kwam op 1 september, en vijf miljoen euro is een bescheiden bedrag vergeleken met wat late-stage security- en AI-startups elders in Europa doorgaans ophalen. Dat dezelfde groep investeerders opnieuw geld inlegde, in plaats van een nieuw syndicaat dat de waardering opnieuw zou vaststellen, leest eerder als een teken van continuïteit dan als een reddingsactie.

Deze ronde is minder interessant om het bedrag dan om waarvoor het wordt ingezet: een bredere uitrol van een product dat is gebouwd rond een ontwerpkeuze die de meeste aanbieders van e-mailbeveiliging niet als echte optie bieden, namelijk de klant zelf laten kiezen in welke jurisdictie zijn mail daadwerkelijk wordt verwerkt. E-mail blijft bovendien een van de meest voorkomende toegangspunten voor precies de incidenten die DORA en NIS2 moeten terugdringen, wat verklaart waarom een nichespeler die juist in deze categorie groeit meer aandacht verdient dan zijn balans alleen suggereert. Een ronde van 5 miljoen euro koopt geen nieuwe technologie, maar vooral verkoopcapaciteit, lokaal personeel en de compliancedocumentatie die nodig is om te verkopen aan een nieuwe reeks nationale toezichthouders, onopvallend werk dat bepaalt of de boodschap inkoopteams daadwerkelijk bereikt.

De klantenlijst is het echte signaal

De bestaande klantenlijst van xorlab leest al als een checklist van gereguleerd Europa: de privébank Julius Baer, telecomoperator Swisscom, vermogensbeheerder Vontobel, het beveiligings- en muntentechnologiebedrijf Giesecke+Devrient, en onderzoeksorganisatie CERN. Samen bestrijken zij precies de mix van sectoren waarvoor DORA, NIS2 en de AVG elk zijn geschreven: financiële dienstverlening, kritieke infrastructuur en organisaties waarvan dataverlies echt zware gevolgen zou hebben.

Geen van deze klanten is speculatief. Een bank valt onmiskenbaar binnen het bereik van DORA. Een telecomoperator valt binnen dat van NIS2. Een bedrijf als Giesecke+Devrient werkt met munt-, identiteits- en beveiligingstechnologie, waar operationele veerkracht en controle over data al op bestuursniveau spelen, en CERN verzorgt gevoelige internationale onderzoekscommunicatie die veel overheden liever niet over infrastructuur zien lopen die ze niet zelf controleren. Toezichthouders die DORA en NIS2 hebben opgesteld, hebben deze zorg niet uit het niets verzonnen: ze legden vast wat bedrijven als deze al onrustig maakte, namelijk concentratierisico bij een klein aantal niet-EU-leveranciers, en dat risico is voor geen van deze vijf klanten abstract, want een bank, een telecomoperator, een beveiligingsfabrikant en een natuurkundig laboratorium zijn elke dag afhankelijk van correct en vertrouwelijk werkende e-mail.

Het product is gebouwd om die zorg te beantwoorden in plaats van te relativeren: klanten kiezen tussen een volledig on-premises inzet met lokale verwerking en opslag, een hybride opzet of een cloudoptie, en in elk van die modi staan de datacenters in de EU en zit het personeel dat de dienst beheert in Europa. Die keuzevrijheid is belangrijk omdat complianceteams steeds vaker moeten vastleggen niet alleen dat data versleuteld is, maar ook welk land, met zijn rechtbanken en inlichtingendiensten, in theorie toegang zou kunnen afdwingen.

Wat er deze week is veranderd voor een EU-compliancekoper

Voor deze week kon een EU-complianceteam dat e-mailbeveiliging beoordeelde de jurisdictie van de leverancier redelijkerwijs als voetnoot behandelen, ondergeschikt aan functievergelijking en prijs. Een gefinancierd alternatief met echte klanten, precies rond die voetnoot gebouwd, maakt het lastiger om die weg te laten uit het beoordelingsformulier. Die verschuiving telt zelfs bij een klein financieringsbedrag, omdat ze verandert wat een verkoopteam geloofwaardig kan beloven in een due-diligencevragenlijst, en het geeft kleinere leveranciers een sjabloon om gereguleerde klanten alleen al op jurisdictie te winnen, niet enkel door meer phishing te vangen dan de gevestigde partij.

xorlab bouwt zijn boodschap expliciet rond naleving van DORA, NIS2 en de AVG, en rond het verminderen van afhankelijkheid van door de VS gecontroleerde infrastructuur en beveiligingsleveranciers, een framing die het bedrijf en zijn investeerders soeverein noemen. De ceo verwoordde het onderliggende argument zonder omwegen: Europa heeft eigen cybersecuritykampioenen nodig, geen Europese kopieën van Amerikaanse marktleiders, een uitspraak die inspeelt op een zorg die veel Europese bestuurskamers al hebben, namelijk dat beslissingen over kritieke infrastructuur die in Brussel of Berlijn worden genomen, toch nog gevormd kunnen worden door beslissingen in Washington.

Niets van dit alles maakt xorlab tot een gegarandeerde winnaar, en vijf miljoen euro koopt geen marktdominantie in een categorie met gevestigde, goed gefinancierde marktleiders. Maar het bevestigt wel dat jurisdictie een post is geworden waarvoor bedrijven daadwerkelijk willen betalen om er controle over te houden, niet alleen een compliancezorg die wordt genoteerd en terzijde gelegd, en voor een sector die is gebouwd op het overtuigen van kopers dat de volgende functie het belangrijkst is, is dat een wezenlijk ander verkoopgesprek.

Waarom we dit doen

We doen dit voor iedereen die probeert bij te blijven met wat technologie met ons leven doet. De mensen die het bouwen, en de mensen aan wie het gebeurt. Het Servola Journal bestaat zodat wat wij leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. Wij geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet mag afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit u vandaag iets heeft gegeven, laat het ons weten zodat we door kunnen gaan. Volg ons, geef een like of schrijf een positieve reactie. We lezen ze allemaal, en dat is wat ons gaande houdt.

Lees hierna: Een datalek dat uw DORA-register niet verklaart  |  Hugging Face moest om zijn eigen inbraaklogs vragen