PreVeil apuesta a que el mandato de CMMC convierte el correo electrónico cifrado en una compra obligada para la defensa

PreVeil es una plataforma de correo electrónico y uso compartido de archivos con cifrado de extremo a extremo para organizaciones que manejan datos sensibles, instalada como una capa superpuesta sobre Microsoft 365 o Google Workspace y comercializada principalmente entre contratistas de defensa que deben cumplir las normas CMMC, NIST 800-171 e ITAR.

Que CMMC obligaría a decenas de miles de contratistas a proteger la CUI, y que una capa de conocimiento cero económica —no GCC High— sería la forma en que los pequeños negocios superarían las auditorías.

Alrededor de 27 millones de dólares recaudados en total, incluida una Serie C de 20 millones de dólares liderada por PSG (octubre de 2022).

PreVeil fue fundada en Boston en 2015 por los exdirectivos de Apple y Airvana Randy Battat y Sanjeev Verma, a partir de la investigación sobre cifrado del MIT realizada por la CTO Raluca Ada Popa. La propuesta original era el cifrado de extremo a extremo que los usuarios comunes pueden manejar: los datos se cifran en el dispositivo, ni el servidor, ni el administrador, ni siquiera PreVeil pueden leerlos, y no existe un único punto de ataque.

El giro hacia la defensa llegó cuando NIST 800-171 e ITAR convirtieron la protección de la CUI en una condición contractual: PreVeil se convirtió en la vía de cumplimiento para los pequeños contratistas que no podían costear la nube gubernamental GCC High de Microsoft. PSG lideró una Serie C de 20 millones de dólares en octubre de 2022 para expandirse más allá de la defensa. La norma final CMMC 2.0 del Departamento de Defensa (octubre de 2024) y la aplicación de la Fase 1 (noviembre de 2025) convirtieron el cumplimiento en un detonante de compra, y para febrero de 2026 PreVeil contaba con más de 2.500 clientes contratistas de defensa y más de 60 certificaciones CMMC con la puntuación perfecta de 110.

Sigue en funcionamiento. El 13 de julio de 2026 el Pentágono suspendió la Fase 2 de CMMC —la certificación de Nivel 2 por terceros prevista para el 10 de noviembre de 2026— alegando costos de cumplimiento prohibitivos, una grave escasez de evaluadores y perjuicios para los pequeños proveedores, y abrió una revisión de 60 días del Grupo de Trabajo para la Reforma de CMMC, dejando el viento regulatorio de cola en el que la empresa apostó bajo revisión.

La apuesta estaba sincronizada con la regulación, no con la moda: CMMC convirtió un producto de seguridad opcional en una condición para ganar contratos gubernamentales.

La arquitectura atacaba la objeción de costos: una migración a GCC High cotizada en ~200.000 dólares frente a ~20.000 dólares para PreVeil hacía obvia la propuesta para los pequeños contratistas.

Resultados de auditoría concretos —más de 60 clientes con puntuaciones perfectas de 110/110— dieron a la empresa la prueba de que su paquete de cumplimiento funcionaba.

La suspensión de julio de 2026 muestra el riesgo de construir sobre un mandato: un solo memorando pausó el plazo exacto contra el que la empresa comercializaba.

Una startup puede aprovechar un mandato regulatorio para construir una base de clientes, pero el mismo regulador puede pausarlo: véndase a la obligación subyacente, no al plazo de certificación específico.

A 2 de septiembre de 2026, PreVeil sigue en funcionamiento con aproximadamente más de 2.500 clientes contratistas de defensa. Se esperaba que la revisión de 60 días del Grupo de Trabajo para la Reforma de CMMC presentara su informe hacia mediados de septiembre de 2026; el Departamento de Defensa mantuvo las obligaciones de autoevaluación de NIST SP 800-171, pero retiró de las licitaciones los requisitos de certificación de Nivel 2 y Nivel 3 de C3PAO durante la pausa. La orientación de PreVeil a sus clientes es que las obligaciones de DFARS 252.204-7012 perduran mientras se reevalúa el programa de certificación, y la empresa continúa comercializando hacia servicios profesionales, servicios financieros y atención médica, además de la defensa.