PreVeil aposta que o mandato do CMMC torna o e-mail criptografado uma compra obrigatória para a defesa

A PreVeil é uma plataforma de e-mail e compartilhamento de arquivos com criptografia ponta a ponta para organizações que lidam com dados sensíveis, instalada como uma camada sobre o Microsoft 365 ou o Google Workspace e comercializada principalmente para contratados da defesa que precisam cumprir as regras do CMMC, do NIST 800-171 e do ITAR.

Que o CMMC forçaria dezenas de milhares de contratados a proteger informações não classificadas controladas (CUI), e que uma camada barata de conhecimento zero — e não o GCC High — seria a forma como pequenas empresas passariam nas auditorias.

Cerca de US$ 27 milhões captados no total, incluindo uma Série C de US$ 20 milhões liderada pela PSG (outubro de 2022).

A PreVeil foi fundada em Boston em 2015 pelos ex-executivos da Apple e da Airvana Randy Battat e Sanjeev Verma, com base na pesquisa de criptografia do MIT da CTO Raluca Ada Popa. A proposta original era a criptografia ponta a ponta que usuários comuns conseguem operar: os dados são criptografados no dispositivo, nenhum servidor, administrador ou mesmo a PreVeil consegue lê-los, e não há um único ponto de ataque.

A virada para a defesa veio quando o NIST 800-171 e o ITAR tornaram a proteção de CUI uma condição contratual: a PreVeil se tornou o caminho de conformidade para pequenos contratados que não podiam pagar a nuvem governamental GCC High da Microsoft. A PSG liderou uma Série C de US$ 20 milhões em outubro de 2022 para expandir além da defesa. A regra final do CMMC 2.0 do DoD (outubro de 2024) e a aplicação da Fase 1 (novembro de 2025) transformaram a conformidade em um gatilho de compra e, até fevereiro de 2026, a PreVeil contava com mais de 2.500 clientes contratados da defesa, com mais de 60 certificações CMMC perfeitas de 110 pontos.

Ainda em operação. Em 13 de julho de 2026, o Pentágono suspendeu a Fase 2 do CMMC — a certificação de Nível 2 por terceiros prevista para 10 de novembro de 2026 — citando custos de conformidade proibitivos, uma grave escassez de avaliadores e prejuízos a pequenos fornecedores, e abriu uma revisão de 60 dias da Força-Tarefa de Reforma do CMMC, deixando o vento regulatório em que a empresa apostou sob reforma.

A aposta foi cronometrada para a regulação, não para a moda: o CMMC transformou um produto de segurança opcional em uma condição para ganhar contratos governamentais.

A arquitetura atacou a objeção de custo: uma migração citada de cerca de US$ 200.000 para o GCC High contra cerca de US$ 20.000 para a PreVeil tornava a proposta óbvia para pequenos contratados.

Resultados concretos de auditoria — mais de 60 clientes com pontuações perfeitas de 110/110 — deram à empresa a prova de que seu pacote de conformidade funcionava.

A suspensão de julho de 2026 mostra o risco de construir sobre um mandato: um memorando pausou exatamente o prazo contra o qual a empresa fazia marketing.

Uma startup pode aproveitar um mandato regulatório para construir uma base de clientes, mas o mesmo regulador pode pausá-lo: venda para a obrigação subjacente, não para o prazo específico de certificação.

Em 2 de setembro de 2026, a PreVeil continua em operação com aproximadamente mais de 2.500 clientes contratados da defesa. A revisão de 60 dias da Força-Tarefa de Reforma do CMMC deveria apresentar seu relatório por volta de meados de setembro de 2026; o DoD manteve as obrigações de autoavaliação do NIST SP 800-171, mas removeu das solicitações os requisitos de certificação de Nível 2 e Nível 3 da C3PAO durante a pausa. A orientação da PreVeil aos clientes é que as obrigações do DFARS 252.204-7012 permanecem enquanto o programa de certificação é reavaliado, e a empresa continua a fazer marketing para serviços profissionais, serviços financeiros e saúde, além da defesa.