PreVeil 押注 CMMC 強制要求將使加密電子郵件成為國防採購的必需品

PreVeil 是一個端對端加密的電子郵件與檔案分享平台，供處理敏感資料的組織使用，以覆蓋層形式安裝於 Microsoft 365 或 Google Workspace 之上，主要行銷對象是必須符合 CMMC、NIST 800-171 與 ITAR 規定的國防承包商。

押注 CMMC 將迫使數以萬計的承包商保護 CUI，而便宜、零知識的覆蓋層——而非 GCC High——將是小公司通過稽核的方式。

總計募資約 2,700 萬美元，包括 2022 年 10 月由 PSG 領投的 2,000 萬美元 C 輪募資。

PreVeil 於 2015 年在波士頓由前 Apple 與 Airvana 高階主管 Randy Battat 與 Sanjeev Verma 創立，建立在技術長 Raluca Ada Popa 的 MIT 加密研究之上。最初的賣點是讓一般使用者也能操作的端對端加密：資料在裝置上加密，伺服器、管理員甚至 PreVeil 本身都無法讀取，且不存在單一攻擊點。

轉向國防領域的時機出現在 NIST 800-171 與 ITAR 將 CUI 保護列為合約條件之時：PreVeil 成為無力負擔 Microsoft GCC High 政府雲的小型承包商的合規途徑。PSG 於 2022 年 10 月領投 2,000 萬美元 C 輪募資，以拓展國防以外的業務。國防部的 CMMC 2.0 最終規則（2024 年 10 月）與第一階段執法（2025 年 11 月）使合規成為採購觸發點，截至 2026 年 2 月，PreVeil 已擁有 2,500 多家國防承包商客戶，其中 60 多家取得 110 分滿分的 CMMC 認證。

仍在營運。2026 年 7 月 13 日，五角大廈暫停 CMMC 第二階段——原定於 2026 年 11 月 10 日實施的第三方第二級認證——理由是合規成本過高、評估人員嚴重短缺，以及對小型供應商造成傷害，並啟動為期 60 天的 CMMC 改革工作小組審查，使該公司所押注的監管順風陷入改革之中。

這項押注是配合監管時程，而非流行趨勢：CMMC 將一項可選的安全產品變成贏得政府合約的條件。

其架構針對成本方面的反對意見：報價約 20 萬美元的 GCC High 移轉費用，對比 PreVeil 約 2 萬美元，使這套說法對小型承包商顯而易見。

具體的稽核結果——60 多家客戶取得 110/110 滿分——為公司提供了其合規套裝方案有效的證明。

2026 年 7 月的暫停顯示了建立在強制規定之上的風險：一份備忘錄就暫停了該公司所針對行銷的那個確切期限。

新創公司可以藉助監管強制規定建立客戶群，但同一個監管機構也能將其暫停：應針對底層義務銷售，而非針對特定的認證期限。

截至 2026 年 9 月 2 日，PreVeil 仍在營運，擁有約 2,500 多家國防承包商客戶。CMMC 改革工作小組的 60 天審查預計於 2026 年 9 月中旬左右提出報告；國防部在暫停期間保留了 NIST SP 800-171 自我評估義務，但從招標文件中移除了 C3PAO 第二級與第三級認證要求。PreVeil 對客戶的指引是，在認證計畫重新評估期間，DFARS 252.204-7012 的義務仍然有效，而該公司除了國防領域外，也持續向專業服務、金融服務與醫療保健領域行銷。