Dois anúncios, com quatro meses de intervalo, sobre a mesma capacidade

A 5 de março de 2026, a CrowdStrike e a Schwarz Digits anunciaram uma parceria. A CrowdStrike levaria a plataforma Falcon à STACKIT, a nuvem soberana que a Schwarz Digits opera dentro da UE, com a residência dos dados e a conformidade com o RGPD como argumento de venda. O comunicado descrevia a colaboração como a entrega da plataforma Falcon com visibilidade total dos caminhos de ataque sobre infraestrutura totalmente operada dentro da UE. As empresas do grupo Schwarz iriam consolidar a sua própria segurança no Falcon, e as duas partes admitiram trabalho conjunto num navegador empresarial seguro e num SIEM baseado em inteligência artificial.

Esse comunicado de março não menciona a XM Cyber uma única vez.

A 16 de julho de 2026, as duas empresas alargaram a parceria. A CrowdStrike assinou um acordo definitivo para adquirir a propriedade intelectual da XM Cyber, uma empresa da Schwarz Digits conhecida pela visualização de caminhos de ataque e pela simulação ofensiva. Aquilo que a CrowdStrike prometeu entregar em março é aquilo cujas patentes aceitou comprar em julho, e em março essas patentes estavam dentro do grupo do seu próprio parceiro.

O que está de facto a ser comprado

A redação do comunicado de julho é invulgarmente direta e merece ser lida tal como está escrita. No fecho, a CrowdStrike vai adquirir a propriedade intelectual da XM Cyber, incluindo mais de 45 patentes e código-fonte proprietário, e não vai adquirir qualquer receita ou cliente. A XM Cyber vai continuar a operar como negócio autónomo com uma licença de propriedade intelectual da CrowdStrike.

Retire o embrulho e a estrutura fica limpa. O comprador leva as patentes e o código-fonte. O vendedor fica com os clientes, a receita e o negócio em funcionamento, e aluga de volta o direito de usar aquilo que acabou de vender. Não são divulgados termos financeiros. O fecho é esperado na segunda metade do ano fiscal de 2027 da CrowdStrike e continua sujeito a aprovação regulatória.

É assim que se compra uma capacidade sem comprar um negócio. É uma figura legítima e cada vez mais comum. É também uma figura que deixa os clientes da empresa adquirida numa posição que a maioria nunca teve de avaliar.

A pergunta que passa a ser do cliente da XM Cyber

Se tem a XM Cyber a correr para gestão de exposição e análise de caminhos de ataque, nada muda na sua fatura, e é precisamente por isso que este assunto passa despercebido. A empresa com quem contratou continua. A renovação chega do mesmo fornecedor. O apoio atende no mesmo telefone.

O que mudou está por baixo. O seu fornecedor deixou de ser dono do código-fonte do produto que está a utilizar, e o direito de continuar a entregá-lo passa a decorrer de uma licença concedida por uma empresa que vende uma plataforma concorrente. Cada pergunta que faria normalmente sobre o roteiro do produto, sobre que funcionalidades vão ser construídas, sobre quanto tempo uma linha se mantém suportada, tem agora mais uma parte na resposta, e essa parte não está no seu contrato.

A instrução prática é estreita e deve ser cumprida antes do fecho e não depois. Na próxima renovação, peça ao fornecedor que declare por escrito quem é o titular da propriedade intelectual do produto, qual o prazo e o âmbito de qualquer licença de entrada, o que acontece à sua instalação se essa licença caducar ou não for renovada, e se existe depósito de código-fonte. São perguntas correntes de compras. São apenas perguntas que, para este produto, ainda não tinham respostas interessantes.

Soberania no discurso, transferência na estrutura

O negócio vem embrulhado na linguagem da independência europeia, e parte desse embrulho é real. Um roteiro faseado vai entregar o Falcon na STACKIT, infraestrutura de nuvem soberana operada dentro da União Europeia. O comunicado nomeia o Cyber Resilience Act da UE e a NIS2 como as normas que elevam a fasquia para os operadores de infraestruturas críticas na Europa. Para uma empresa europeia regulada, correr uma plataforma de segurança de topo sobre infraestrutura operada na UE é uma melhoria genuína face a corrê-la noutro sítio, e a residência dos dados não é coisa pouca.

Mas as alegações de soberania devem ser testadas contra a propriedade, não contra o alojamento. A localização dos servidores está a melhorar. A titularidade da propriedade intelectual segue no sentido oposto: mais de 45 patentes e o código-fonte da empresa de segurança de um grupo europeu passam para um fornecedor norte-americano, e a empresa europeia prossegue com uma licença do comprador. As duas coisas são verdadeiras ao mesmo tempo, e só uma delas está no título.

A lição útil ultrapassa este negócio. Quando um fornecedor lhe oferece soberania, estabeleça a que camada se aplica. O alojamento soberano diz onde estão os dados. Não diz quem é dono do código, quem pode retirar o direito de o executar, nem em que jurisdição está a empresa que detém as patentes. São perguntas separadas com respostas separadas, e um negócio pode melhorar a primeira enquanto inverte em silêncio a terceira.

Leia a seguir: A Europa tem armazenamento S3 sem nuvem dos EUA  |  A sua sandbox foi atacada um mês antes do aviso