Forrige måned satt vi i et møte med en norsk AI-startup som skulle pitche for en Series A-runde. Produktet var imponerende. Teamet var sterkt. Traction var der. Men investor stilte ett spørsmål som stoppet samtalen: "Hva er deres sikkerhetsstrategi?"

Gründeren svarte ærlig: "Vi har ikke prioritert det ennå. Vi har fokusert på produkt."

Investor takket høflig for møtet. Ingen term sheet.

Dette var ikke en særegen situasjon. Vi ser det oftere og oftere: investorer, spesielt på Series A og senere, gjør sikkerhet til en dealbreaker.

Hvorfor? Fordi de har sett for mange porteføljeselskaper bli ødelagt av sikkerhetsbrudd. Fordi regulatoriske krav øker. Fordi entreprisekunder krever det. Og fordi et selskap uten sikkerhet rett og slett er mer risikabelt å investere i.

Hva investorer faktisk bryr seg om

La oss være ærlige om hva investorer tenker når de vurderer sikkerhet i en startup:

Risiko for total verditap

Et alvorlig sikkerhetsbrudd kan utslette verdien av et selskap over natten. Kundedata lekket. Produksjonssystemer nede i uker. Regulatoriske bøter. Søksmål. Omdømme ødelagt.

Investorer har sett det skje. De vil ikke at det skal skje i deres portefølje.

Blokkert vekst

Når dere skal skalere til entreprisekunder, møter dere disse spørsmålene:

• Er dere ISO 27001-sertifisert?

• Har dere SOC 2?

• Hvordan håndterer dere GDPR?

• Kan vi se deres sikkerhetsdokumentasjon?

Uten gode svar mister dere avtaler. Veksten stopper opp. Investorens avkastning blir lavere.

Neste investeringsrunde

Når dere skal hente Series A, vil de nye investorene gjøre grundig due diligence. De vil se:

• Sikkerhetspolicies

• Dokumentasjon av kontroller

• Incident response-planer

• Compliance-status

Hvis dette mangler, blir det enten en blocker, eller det senker valuasjonen fordi det må fikses før exit.

Regulatory compliance

NIS2, GDPR, Schrems II. Regulatoriske krav øker. Bøter kan være millioner. Investorer vil vite at dere har kontroll, ikke bare håper på det beste.

Hva forventes i hver fase

Forventningene til sikkerhet endrer seg etter hvert som dere vokser og henter mer kapital. La oss være konkrete om hva som faktisk forventes:

Pre-seed og seed:

På dette stadiet forventer investorer ikke ISO 27001 eller et helt sikkerhetsteam. Men de forventer:

• At dere tenker på sikkerhet

• At grunnleggende beskyttelse er på plass

• At dere bruker moderne verktøy for utvikling og drift

• At dere har en plan for hvordan sikkerhet skal bygges inn

Konkret forventning:

• Koden scannes for sårbarheter (Aikido eller tilsvarende)

• Skyinfrastruktur er ikke åpenlyst feilkonfigurert

• Dere bruker MFA på alle kritiske kontoer

• API-nøkler og hemmeligheter er ikke hardkodet i kode

Series A:

På dette stadiet blir forventningene betydelig høyere:

• Dokumentert sikkerhetsstrategi

• Beskyttelse av alle enheter og systemer

• Compliance-tracking

• Klare prosesser for hendelseshåndtering

• På vei mot (eller allerede har) ISO 27001 eller SOC 2

Konkret forventning:

• Alle PC-er og servere beskyttet (CrowdStrike eller tilsvarende)

• Compliance dokumenteres kontinuerlig (Vanta eller tilsvarende)

• Sikkerhet er en del av utviklingsprosessen

• Board får kvartalsvise sikkerhetrapporter

• Dere kan svare ja på enterprise-kunders sikkerhetsspørsmål

Series B og senere:

Her forventes full modenhet:

• Dedikert sikkerhetsperson eller team

• ISO 27001 og/eller SOC 2 sertifisering

• Penetrasjonstesting årlig

• Incident response-team

• Compliance med alle relevante reguleringer

Men dere kommer aldri dit hvis ikke grunnlaget er på plass tidligere.

Hvordan vi hjelper VC-backed startups beskytte investeringen

Når vi jobber med startups som har fått venture capital-funding, bruker vi en faseinndelt tilnærming som matcher forventningene til investorer:

Rett etter funding: Få grunnlaget på plass

Investoren har akkurat satt inn penger. Nå må dere bevise at dere bruker dem klokt.

Steg 1: Sikre koden (Aikido)

• Koble Aikido til GitHub/GitLab (tar 30 minutter)

• Scan all eksisterende kode

• Fikse kritiske sårbarheter umiddelbart

• Sett opp automatisk scanning for all ny kode

Steg 2: Sikre skyinfrastrukturen

• Gjennomgå Azure/AWS/Google Cloud-konfigurasjoner

• Fikse åpenbare feilkonfigurasjoner (åpne databaser, feil tilganger)

• Sett opp logging og overvåkning

• Dokumenter hva som er gjort

Steg 3: Grunnleggende policies

• Lag enkle sikkerhetspolicies (basert på templates)

• Dokumenter hvem som har tilgang til hva

• Lag incident response-plan (selv om det bare er ett Word-dokument)

Resultat: Dere kan nå svare investoren: "Ja, vi har sikkerhet på plass og tar det seriøst."

Etter hvert som teamet vokser: Bygg modenhet

Nå vokser teamet. Dere begynner å få kunder. Investoren vil se fremgang.

Legg til CrowdStrike:

• Beskytt alle PC-er, Mac-er, og servere

• Sett opp automatisk installasjon for nye ansatte

• Få døgnbemannet overvåkning (Managed Detection and Response)

Implementer Vanta:

• Koble sammen alle verktøy (Aikido, CrowdStrike, GitHub, Azure, Google Workspace)

• Få automatisk dokumentasjon av sikkerhetskontroller

• Begynn å bygge mot ISO 27001 eller SOC 2

• Lever kvartalsvise sikkerhetrapporter til board

Resultat: Dere kan nå svare enterprise-kunder og neste investor: "Vi har kontroll på sikkerhet og kan dokumentere det."

Forbered neste runde

Nå skal dere hente Series A eller Series B. Due diligence vil være grundig.

Få ISO 27001 eller SOC 2:

• Med Vanta allerede på plass blir sertifiseringsprosessen betydelig raskere

• Investering i tid og penger, men gevinsten er stor

• Gevinst: Åpner dører til store kunder, øker valuasjon, imponerer investorer

Bygg sikkerhet inn i alt:

• Sikkerhet er ikke lenger noe CTO gjør ved siden av

• Det er en del av hvordan hele selskapet opererer

• Board får strukturerte rapporter hver måned

Resultat: Når neste investor gjør due diligence, finner de solid sikkerhet. Det blir ikke en blocker, det blir et pluss.

Hva investorene faktisk sjekker i due diligence

La oss være helt konkrete om hva investorer vil se når de vurderer å investere i dere:

Dokumentasjon de vil ha:

• Sikkerhetspolicies og prosedyrer

• Liste over alle systemer og hvem som har tilgang

• Incident response-plan

• Backup og disaster recovery-planer

• Compliance-status (ISO 27001, SOC 2, GDPR)

Teknisk de vil verifisere:

• Bruker dere moderne verktøy for sikkerhet?

• Scannes koden for sårbarheter?

• Er alle enheter beskyttet?

• Er MFA påkrevd overalt?

• Er skyinfrastruktur riktig konfigurert?

Prosess de vil forstå:

• Hvem er ansvarlig for sikkerhet?

• Hvordan håndteres sikkerhetshendelser?

• Hvor ofte gjennomgås og oppdateres sikkerhet?

• Hvordan rapporteres sikkerhet til board?

Med Aikido, CrowdStrike, og Vanta på plass har dere gode svar på alt dette.

Case: Fra tidlig funding til enterprise-klar

La oss se på et konkret eksempel (anonymisert, men basert på virkelig kunde):

Starten: Startup kommer ut av accelerator-program med tidlig funding. Tre gründere, et produkt i beta.

Første måned: Vi setter opp Aikido gratis. Finner et betydelig antall sårbarheter, fikser de kritiske umiddelbart.

Etter noen måneder: Produktet lanseres. Første betalende kunder. Oppgraderer til Aikido betalt.

Etter seed-runde: Teamet vokser. Legger til CrowdStrike og Vanta.

Et år inn: Mange kunder. En stor entreprisekunde spør om ISO 27001. Starter sertifiseringsprosess.

Halvannet år inn: ISO 27001-sertifisert. Vinner flere store entrepriseavtaler som krever sertifisering. ARR vokser betydelig.

To år inn: Henter Series A. Due diligence går glatt fordi all sikkerhetsdokumentasjon er i Vanta. Investor kaller dem "best in class" på sikkerhet i deres portefølje.

Verdi skapt: Uten sertifisering hadde de ikke vunnet de store avtalene, og Series A-verdsettelsen ville vært lavere.

Hva dette betyr for deg som VC-backed gründer

Du har fått tilliten til investorer som har satset på deg. Nå må du bevise at investeringen er trygg.

Spørsmålene du bør stille deg selv:

• Kan jeg faktisk svare på investorens spørsmål om sikkerhet med troverdighet?

• Hva skjer hvis en stor kunde spør om ISO 27001 og vi ikke har det?

• Er vi forberedt på due diligence fra neste investor?

• Beskytter vi faktisk investeringen vi har fått, eller håper vi bare at ingenting går galt?

• Hvor mye hurtigere kunne vi vokst hvis sikkerhet ikke var en blocker i salgsprosessen?

Vi i FM CyberSecurity hjelper norske VC-backed startups med å bygge sikkerhet som matcher investorenes forventninger. Vi vet hva venture capital-investorer ser etter. Vi har hjulpet porteføljeselskaper med å gå fra ingen sikkerhet til ISO 27001-sertifisert.

For i 2025 er sikkerhet ikke bare IT-avdelingens ansvar. Det er en del av å beskytte investeringen, bygge tillit til neste investor, og faktisk kunne skalere til de kundene som betaler mest.

Dine investorer har satset på deg. La oss sikre at pengene er i trygge hender.