Bezpieczeństwo poczty jako kwestia jurysdykcji

Runda 5 milionów euro z nietypowym przekazem

xorlab, firma z Zurychu zajmująca się bezpieczeństwem poczty, zamknęła rundę serii A+ o wartości 5 milionów euro, przeznaczoną na ekspansję w regionie DACH, krajach Beneluksu i krajach nordyckich. Firma sprzedaje wykrywanie zagrożeń związanych z phishingiem, przejęciem korespondencji firmowej i przejęciem kont, czyli codziennych ataków, które czynią pocztę elektroniczną jednym z najczęściej wykorzystywanych kanałów wejścia do sieci firmowej.

Rundę poprowadził Spicehaus Partners jako dotychczasowy inwestor, dołączyli do niego kontynuujący udział inwestorzy Grapha Holding, EquityPitcher Ventures i ZKB Start-up Finance. Ogłoszenie padło 1 września, a pięć milionów euro to skromna kwota w porównaniu z sumami, jakie startupy z branży bezpieczeństwa i AI na późniejszych etapach zwykle pozyskują gdzie indziej w Europie. To, że ta sama grupa inwestorów zdecydowała się dołożyć kolejny kapitał, zamiast nowego konsorcjum, które przeceniłoby spółkę od nowa, brzmi bardziej jak głos za kontynuacją niż jak akcja ratunkowa.

Ta runda liczy się mniej ze względu na kwotę, a bardziej ze względu na to, na co idą pieniądze: rozszerzenie produktu zbudowanego wokół jednej decyzji projektowej, której większość dostawców bezpieczeństwa poczty nie oferuje jako realnego wyboru, czyli pozwolenia klientowi samodzielnie zdecydować, w jakiej jurysdykcji jego poczta jest faktycznie przetwarzana. Poczta elektroniczna pozostaje też jednym z najczęstszych punktów wejścia dla incydentów, które DORA i NIS2 mają ograniczyć, co tłumaczy, dlaczego niszowy dostawca rosnący właśnie w tej kategorii zasługuje na uwagę wykraczającą poza jego bilans. Runda o wartości 5 milionów euro nie kupuje nowej technologii, lecz przede wszystkim moce sprzedażowe, lokalny personel i papierkową robotę związaną ze zgodnością, potrzebną do sprzedaży wobec nowego zestawu krajowych regulatorów, niewdzięczną pracę, która decyduje o tym, czy przekaz w ogóle dotrze do zespołów zakupowych.

Lista klientów to prawdziwy sygnał

Obecna lista klientów xorlab czyta się już jak lista kontrolna uregulowanej Europy: bank prywatny Julius Baer, operator telekomunikacyjny Swisscom, zarządzający majątkiem Vontobel, grupa technologii walutowych i bezpieczeństwa Giesecke+Devrient oraz organizacja badawcza CERN. Razem obejmują dokładnie tę mieszankę sektorów, dla której powstały DORA, NIS2 i RODO: usługi finansowe, infrastrukturę krytyczną i organizacje, których utrata danych miałaby naprawdę poważne konsekwencje.

Żaden z nich nie jest klientem spekulacyjnym. Bank wprost mieści się w zakresie DORA. Operator telekomunikacyjny mieści się w zakresie NIS2. Firma taka jak Giesecke+Devrient działa w technologii walutowej, tożsamości i bezpieczeństwa, gdzie odporność operacyjna i kontrola nad danymi są już sprawą zarządu, a CERN prowadzi wrażliwą międzynarodową komunikację badawczą, której wiele rządów wolałoby nie widzieć przechodzącej przez infrastrukturę, nad którą nie ma kontroli. Regulatorzy, którzy opracowali DORA i NIS2, nie wymyślili tej obawy znikąd, lecz spisali ją, ponieważ firmy takie jak te już wcześniej niepokoiło ryzyko koncentracji u niewielkiej liczby dostawców spoza UE, a ryzyko to nie jest abstrakcyjne dla żadnego z tych pięciu klientów, skoro bank, operator telekomunikacyjny, producent związany z bezpieczeństwem i laboratorium fizyczne każdego dnia zależą od tego, czy poczta działa poprawnie i poufnie.

Produkt jest zbudowany, by odpowiadać na tę obawę, a nie ją bagatelizować: klienci wybierają w pełni lokalne wdrożenie z lokalnym przetwarzaniem i przechowywaniem danych, konfigurację hybrydową lub opcję chmurową, a w każdym z tych trybów centra danych znajdują się w UE, a personel obsługujący usługę pracuje w Europie. Ten zakres opcji ma znaczenie, ponieważ zespoły ds. zgodności coraz częściej muszą dokumentować nie tylko to, że dane są szyfrowane, ale też, którego kraju sądy i służby wywiadowcze mogłyby teoretycznie wymusić dostęp.

Co zmieniło się w tym tygodniu dla kupującego zgodność w UE

Przed tym tygodniem zespół ds. zgodności w UE oceniający bezpieczeństwo poczty mógł zasadnie traktować jurysdykcję dostawcy jako przypis pod porównaniem funkcji i ceną. Sfinansowana alternatywa, wspierana przez realnych klientów i zbudowana właśnie wokół tego przypisu, utrudnia pominięcie go w arkuszu oceny. Ta zmiana ma znaczenie nawet przy niewielkiej kwocie finansowania, ponieważ zmienia to, co zespół sprzedaży może wiarygodnie obiecać w kwestionariuszu due diligence, a mniejszym dostawcom daje wzorzec pozwalający zdobywać regulowanych klientów samą jurysdykcją, a nie tylko wyłapywaniem większej liczby phishingu niż dotychczasowy lider.

xorlab buduje swój przekaz wprost wokół zgodności z DORA, NIS2 i RODO oraz wokół ograniczania zależności od infrastruktury i dostawców bezpieczeństwa kontrolowanych przez USA, co firma i jej inwestorzy nazywają podejściem suwerennym. Dyrektor generalny ujął tę myśl wprost: Europa potrzebuje własnych liderów cyberbezpieczeństwa, a nie europejskich kopii amerykańskich potentatów, co trafia w obawę, którą wiele europejskich zarządów już nosi, że decyzje o infrastrukturze krytycznej podejmowane w Brukseli czy Berlinie i tak mogą być kształtowane przez decyzje podejmowane w Waszyngtonie.

Żadne z tego nie czyni xorlab pewnym zwycięzcą, a pięć milionów euro nie kupuje dominacji rynkowej w kategorii z ugruntowanymi, dobrze finansowanymi liderami. Potwierdza to jednak, że jurysdykcja stała się pozycją, za której kontrolę firmy naprawdę są gotowe płacić, a nie tylko obawą dotyczącą zgodności, którą się odnotowuje i zostawia za sobą, a dla branży zbudowanej na przekonywaniu kupujących, że najważniejsza jest kolejna funkcja, to zupełnie inna rozmowa sprzedażowa.

Czytaj dalej: Wyciek, którego nie wyjaśni rejestr DORA  |  Xiaomi właśnie podcięło każdy plan suwerenności AI