När e-postsäkerhet blir en jurisdiktionsfråga

En runda på 5 miljoner euro med ett ovanligt budskap

xorlab, ett e-postsäkerhetsbolag med säte i Zürich, har slutfört en serie A+-runda på 5 miljoner euro öronmärkt för expansion i DACH-regionen, Benelux och Norden. Bolaget säljer hotdetektion mot phishing, business email compromise och kontokapning, de vardagliga attacker som gör e-post till en av de mest utnyttjade vägarna in i ett företagsnätverk.

Spicehaus Partners ledde rundan som befintlig investerare, tillsammans med de fortsatta investerarna Grapha Holding, EquityPitcher Ventures och ZKB Start-up Finance. Beskedet kom den 1 september, och fem miljoner euro är ett blygsamt belopp jämfört med vad senfas-startups inom säkerhet och AI vanligtvis tar in på andra håll i Europa. Att samma grupp investerare valde att skjuta till mer kapital, i stället för att ett nytt syndikat kom in och satte om värderingen, läses mer som en kontinuitetsröst än som en räddningsaktion.

Rundan är mindre intressant för sitt belopp än för vad pengarna används till: att bredda ett erbjudande byggt kring ett enda designval som de flesta e-postsäkerhetsleverantörer inte erbjuder som ett reellt alternativ, nämligen att låta kunden själv välja i vilken jurisdiktion posten faktiskt hanteras. E-post är dessutom fortfarande en av de vanligaste ingångarna för just de incidenter som DORA och NIS2 ska minska, vilket förklarar varför en nischaktör som växer just i denna kategori förtjänar mer uppmärksamhet än balansräkningen ensam antyder. En runda på 5 miljoner euro köper inte ny teknik, utan framför allt säljkapacitet, lokal personal och det compliancearbete som krävs för att sälja till en ny uppsättning nationella tillsynsmyndigheter, ett föga glamoröst arbete som avgör om budskapet faktiskt når fram till inköpsteam.

Kundlistan är den egentliga signalen

xorlabs befintliga kundlista läser redan som en checklista över det reglerade Europa: privatbanken Julius Baer, teleoperatören Swisscom, kapitalförvaltaren Vontobel, säkerhets- och valutateknikkoncernen Giesecke+Devrient och forskningsorganisationen CERN. Tillsammans täcker de exakt den blandning av branscher som DORA, NIS2 och GDPR var för sig är skrivna för: finansiella tjänster, kritisk infrastruktur och organisationer vars dataförlust skulle få verkligt allvarliga följder.

Ingen av dessa är en spekulativ referenskund. En bank hamnar rakt in i DORA:s tillämpningsområde. En teleoperatör hamnar in i NIS2:s. Ett bolag som Giesecke+Devrient arbetar med valuta-, identitets- och säkerhetsteknik, där operativ motståndskraft och datakontroll redan är styrelsefrågor, och CERN driver känslig internationell forskningskommunikation som många regeringar hellre inte ser passera genom infrastruktur de inte kontrollerar. De tillsynsmyndigheter som utformade DORA och NIS2 uppfann inte denna oro ur tomma intet, utan skrev ned den eftersom bolag som dessa redan oroades av koncentrationsrisk hos ett fåtal leverantörer utanför EU, och den risken är inte abstrakt för någon av dessa fem kunder, eftersom en bank, en teleoperatör, en säkerhetstillverkare och ett fysiklaboratorium varje dag är beroende av att e-post fungerar korrekt och konfidentiellt.

Produkten är byggd för att möta den oron snarare än att bortförklara den: kunder väljer mellan helt lokal drift med lokal bearbetning och lagring, en hybridlösning eller ett molnalternativ, och i vart och ett av dessa lägen ligger datacentren inom EU och personalen som sköter tjänsten finns i Europa. Detta utbud av alternativ spelar roll eftersom compliance-team i allt högre grad behöver dokumentera inte bara att data är krypterad, utan vilket lands domstolar och underrättelsetjänster som i teorin skulle kunna tvinga fram åtkomst.

Vad som förändrades denna vecka för en EU-efterlevnadsköpare

Före denna vecka kunde ett EU-efterlevnadsteam som utvärderade e-postsäkerhet rimligen behandla leverantörens jurisdiktion som en fotnot under funktionsjämförelse och pris. Ett finansierat alternativ med riktiga kunder, byggt just kring den fotnoten, gör det svårare att utelämna den från utvärderingsunderlaget. Det skiftet spelar roll även vid ett litet finansieringsbelopp, eftersom det förändrar vad ett säljteam trovärdigt kan lova i ett due diligence-formulär, och det ger mindre leverantörer en mall för att vinna reglerade kunder enbart på jurisdiktion, inte bara genom att fånga mer phishing än den etablerade aktören.

xorlab bygger sitt budskap uttryckligen kring efterlevnad av DORA, NIS2 och GDPR, och kring att minska beroendet av amerikanskt kontrollerad infrastruktur och säkerhetsleverantörer, en ram som bolaget och dess investerare kallar suverän. Vd:n formulerade grundargumentet rakt av: Europa behöver sina egna cybersäkerhetsmästare, inte europeiska kopior av amerikanska marknadsledare, ett uttalande som träffar en oro som redan finns i många europeiska styrelserum, nämligen att beslut om kritisk infrastruktur som fattas i Bryssel eller Berlin ändå kan formas av beslut som fattas i Washington.

Inget av detta gör xorlab till en garanterad vinnare, och fem miljoner euro köper inte marknadsdominans i en kategori med etablerade, välfinansierade marknadsledare. Men det bekräftar att jurisdiktion har blivit en post som företag faktiskt är beredda att betala för att kontrollera, inte bara en efterlevnadsoro man noterar och går vidare från, och för en bransch byggd på att övertyga köpare om att nästa funktion betyder mest är det ett genuint annorlunda säljsamtal.

Varför vi gör detta

Vi gör detta för alla som försöker hålla jämna steg med vad tekniken gör med våra liv. Människorna som bygger den, och människorna som det händer med. Servola Journal finns så att det vi lär oss tillhör dem alla.

Ingen betalar oss för detta. Inga annonser, ingen betalvägg, gratis för alla. Vi tror helt enkelt att förståelsen av vad som händer med oss alla inte borde bero på vem som har råd att betala för den.

Om det gav dig något idag, säg till oss att fortsätta. Följ oss, lämna en gilla-markering eller skriv en positiv kommentar. Vi läser varenda en, och de är det som håller oss igång.

Läs vidare: Ett dataintrång ert DORA-register inte kan förklara  |  Hugging Face fick be om sina egna loggar