PreVeil parie que le mandat CMMC fera de la messagerie chiffrée un incontournable de la défense

PreVeil est une plateforme de messagerie et de partage de fichiers chiffrés de bout en bout destinée aux organisations qui traitent des données sensibles, installée comme une surcouche sur Microsoft 365 ou Google Workspace et commercialisée principalement auprès des sous-traitants de la défense qui doivent respecter les règles CMMC, NIST 800-171 et ITAR.

Que le CMMC contraindrait des dizaines de milliers de sous-traitants à protéger les CUI, et qu'une surcouche à connaissance nulle peu coûteuse — et non GCC High — serait le moyen pour les petites structures de réussir leurs audits.

Environ 27 M$ levés au total, dont une série C de 20 M$ menée par PSG (octobre 2022).

PreVeil a été fondée à Boston en 2015 par les anciens dirigeants d'Apple et d'Airvana Randy Battat et Sanjeev Verma, sur la base des recherches en chiffrement du MIT menées par la CTO Raluca Ada Popa. Le positionnement initial était un chiffrement de bout en bout que des utilisateurs ordinaires peuvent exploiter : les données sont chiffrées sur l'appareil, aucun serveur, administrateur ni même PreVeil ne peut les lire, et il n'existe aucun point d'attaque unique.

Le pivot vers la défense est intervenu lorsque le NIST 800-171 et l'ITAR ont fait de la protection des CUI une condition contractuelle : PreVeil est devenu la voie de conformité pour les petits sous-traitants qui ne pouvaient pas se permettre le cloud gouvernemental GCC High de Microsoft. PSG a mené une série C de 20 M$ en octobre 2022 pour se développer au-delà de la défense. La règle finale CMMC 2.0 du DoD (octobre 2024) et l'application de la phase 1 (novembre 2025) ont transformé la conformité en déclencheur d'achat, et en février 2026 PreVeil comptait plus de 2 500 clients sous-traitants de la défense avec plus de 60 certifications CMMC parfaites à 110.

Toujours en activité. Le 13 juillet 2026, le Pentagone a suspendu la phase 2 du CMMC — la certification de niveau 2 par un tiers prévue le 10 novembre 2026 — invoquant des coûts de conformité prohibitifs, une grave pénurie d'évaluateurs et un préjudice pour les petits fournisseurs, et a ouvert un examen de 60 jours par la CMMC Reform Task Force, laissant le vent réglementaire sur lequel l'entreprise avait parié en cours de réforme.

Le pari était calé sur la réglementation, non sur la mode : le CMMC a transformé un produit de sécurité optionnel en condition pour remporter des contrats publics.

L'architecture attaquait l'objection du coût : une migration GCC High citée à environ 200 000 $ contre environ 20 000 $ pour PreVeil rendait l'argument évident pour les petits sous-traitants.

Des résultats d'audit concrets — plus de 60 clients avec des scores parfaits de 110/110 — ont apporté à l'entreprise la preuve que son offre de conformité fonctionnait.

La suspension de juillet 2026 montre le risque de bâtir sur un mandat : un seul mémorandum a mis en pause l'échéance exacte sur laquelle l'entreprise faisait son marketing.

Une start-up peut surfer sur un mandat réglementaire pour se constituer une clientèle, mais le même régulateur peut le suspendre : vendez sur l'obligation sous-jacente, pas sur l'échéance de certification spécifique.

Au 2 septembre 2026, PreVeil est toujours en activité avec environ plus de 2 500 clients sous-traitants de la défense. L'examen de 60 jours de la CMMC Reform Task Force devait rendre son rapport vers la mi-septembre 2026 ; le DoD a maintenu les obligations d'auto-évaluation NIST SP 800-171 mais a retiré des appels d'offres les exigences de certification C3PAO de niveau 2 et de niveau 3 pendant la pause. La consigne de PreVeil à ses clients est que les obligations du DFARS 252.204-7012 demeurent tant que le programme de certification est réévalué, et l'entreprise continue de prospecter les services professionnels, les services financiers et la santé parallèlement à la défense.