Ermes Cyber Security: da spin-off Polimi a 30M€ in 8 anni

Marco Riboli aveva 29 anni quando ha fondato Ermes. Dottorato al Polimi in machine learning applicato alla cybersecurity, qualche paper pubblicato, zero esperienza di vendita enterprise. Il tipo di founder che sa tutto di algoritmi e niente di procurement aziendali. Nel 2016 chiude un pre-seed da 300K€ con Polihub e qualche angel. L'idea: una piattaforma di threat intelligence che usa ML per prevedere attacchi zero-day prima che colpiscano.

Otto anni dopo, Ermes ha 120 dipendenti, fattura 30M€, protegge 500+ clienti enterprise tra Italia, Francia, Germania e Spagna. Ha chiuso un Series B da 12M€ nel 2023 con fondi europei (P101, United Ventures, Boost Heroes). Non sono unicorno, non sono sulla bocca di tutti. Ma hanno costruito un business deeptech che funziona, fattura, cresce al 180% anno su anno.

La storia è istruttiva non per il successo — quello arriva sempre nei case study — ma per il percorso: quanto tempo ci è voluto, quanti no hanno preso, come hanno costruito credibilità quando nessuno li conosceva.

I primi 18 mesi: zero traction, solo certificazioni

Il primo anno di Ermes è stato un disastro commerciale. Prodotto in beta, nessun cliente pagante, burn rate di 25K€/mese. Marco e il co-founder Giovanni Napolitano (CTO, anche lui ex-Polimi) passano 14 mesi a costruire il prodotto e a ottenere certificazioni.

Certificazioni. Non feature, non growth, non marketing. ISO 27001, certificazione CREST, partnership con CERT nazionale. Roba noiosa che nessuno vuole fare. Ma nel cybersecurity enterprise, senza quelle carte non entri nemmeno in gara per un tender.

"Abbiamo bruciato 350K€ prima di firmare il primo contratto pagante", dice Marco in un'intervista del 2019. "Ogni azienda ci chiedeva: chi siete? Chi vi usa? Che certificazioni avete? Eravamo nobody. Dovevamo costruire credibilità prima di vendere."

La svolta arriva a metà 2017: primo cliente pagante, una media azienda manifatturiera lombarda. Contratto annuale da 18K€. Margini negativi perché il setup costa più del contratto. Ma è un case study, un logo da mettere sul sito, una referenza.

Lezione uno: nel deeptech enterprise, i primi 12-18 mesi non li passi a vendere. Li passi a costruire credibilità: certificazioni, partnership, primi case study anche in perdita. Sembra lento, ma è l'unico modo per accorciare i cicli di vendita dopo.

Il problema del ciclo di vendita: 12 mesi per chiudere

Nel 2018 Ermes ha 4 dipendenti, 3 clienti paganti, fatturato 60K€. Runway 8 mesi. Servono soldi, ma soprattutto serve traction. Marco assume il primo sales: profilo enterprise, ex-IBM, 15 anni di esperienza. Costa 80K€/anno + variabile. Un rischio enorme per una startup che fattura 5K€/mese.

Il sales apre 40 trattative in 6 mesi. Ne chiude 2. Perché? Ciclo di vendita medio: 11,5 mesi. Dal primo contatto alla firma. Security enterprise non compra in fretta. Serve demo, PoC (Proof of Concept) di 3 mesi, approval di 4 stakeholder (IT, security, legal, finance), tender, negoziazione contratto.

"Nel 2018 abbiamo capito che non potevamo permetterci un team sales tradizionale", racconta Giovanni in un podcast del 2022. "Ciclo di vendita troppo lungo, costo acquisizione cliente troppo alto. Dovevamo cambiare strategia."

La mossa: product-led growth per enterprise. Sembra un ossimoro, ma funziona. Ermes lancia una versione freemium del prodotto: threat intelligence report gratuiti, dashboard basic, alert su vulnerabilità note. Gratis per sempre, no credit card. L'obiettivo non è convertire freemium in paid (succede, ma è raro). L'obiettivo è entrare in azienda, farsi conoscere dal team security, creare fiducia.

In 12 mesi, 300 aziende si registrano al freemium. 28 diventano clienti paganti. Conversion rate del 9%, ma soprattutto ciclo di vendita che scende a 6-7 mesi. Perché quando il security manager ti chiama, ha già usato il prodotto. Sa che funziona. La vendita è più corta.

Lezione due: nel deeptech enterprise, il ciclo di vendita lungo è il killer. O lo accorci (freemium, PoC gratuiti) o alzi tanto capitale per sopravvivere ai 12 mesi di trattativa. Non ci sono scorciatoie.

Il pivot che non sembra un pivot: da threat intelligence a EDR

Nel 2019 Ermes fattura 400K€, ha 12 dipendenti, 35 clienti. Crescita sana ma lenta. Il prodotto funziona, i clienti rinnovano (retention 92%), ma il TAM (Total Addressable Market) è piccolo. Threat intelligence è un prodotto di nicchia: serve a grandi aziende che hanno già un SOC (Security Operations Center). In Italia sono 2000 aziende, in Europa 15.000. Mercato piccolo, competizione alta.

Marco e Giovanni fanno customer interview per 3 mesi. 40 call con clienti esistenti e prospect. La domanda: "Qual è il vostro problema numero uno in security?" La risposta ricorrente: protezione endpoint. Laptop, server, device aziendali. Ogni azienda ha centinaia di endpoint, ognuno è un punto di ingresso per attacchi.

Il mercato EDR (Endpoint Detection and Response) vale 3Gd€ in Europa. È dominato da player americani (CrowdStrike, SentinelOne) ma c'è spazio per alternative europee, soprattutto dopo GDPR e preoccupazioni su data sovereignty.

Ermes decide di pivotare. Non abbandona threat intelligence (diventa un modulo), ma costruisce un prodotto EDR completo. Decisione coraggiosa: serve riscrivere il 60% del codice, assumere 8 nuovi ingegneri, bruciare 700K€ in R&D. Rischiano tutto.

A giugno 2020, in piena pandemia, lanciano Ermes EDR. Primo cliente: una banca italiana, contratto da 120K€/anno. In 12 mesi chiudono 45 nuovi clienti EDR. Fatturato 2020: 2,1M€. Crescita 425% anno su anno.

Lezione tre: il pivot nel deeptech non è cambiare idea. È ascoltare il mercato e spostare il focus verso dove c'è più domanda. Ma serve coraggio per riscrivere codice, perdere mesi, rischiare.

Il round di crescita: quando i numeri parlano da soli

Nel 2021 Ermes chiude un Series A da 6M€ (P101, United Ventures). Nel 2023 un Series B da 12M€ (stessi investitori + Boost Heroes). Perché hanno chiuso? I numeri:

• Fatturato 2023: 30M€ (da 2,1M€ nel 2020)
• ARR: 28M€ (Annual Recurring Revenue, metrica chiave per SaaS)
• Net retention: 118% (i clienti esistenti spendono +18% anno su anno grazie a upsell)
• CAC payback: 14 mesi (recuperi il costo di acquisizione cliente in 14 mesi)
• Margine lordo: 78% (tipico di SaaS enterprise)
• Burn multiple: 0,9 (bruci meno di 1€ per ogni euro di ARR nuovo)

Questi sono numeri da manuale. Non sono perfetti (CAC payback sopra 12 mesi è alto, ideale sotto 10), ma sono solidi. Dimostrano product-market fit, unit economics sane, crescita sostenibile.

Ma il punto chiave: questi numeri arrivano dopo 5 anni. Ermes ha fondato nel 2016, ha chiuso il Series A nel 2021. Cinque anni di lenta costruzione: prodotto, certificazioni, clienti, processi. Solo dopo, i numeri decollano.

Nel deeptech enterprise non ci sono overnight success. Ci sono anni di lavoro invisibile, poi improvvisamente i numeri esplodono. Ma solo se hai costruito fondamenta solide.

Cosa significa per te che esci dal dottorato

Se stai uscendo dal Polimi, dal Sant'Anna, da un dottorato in AI/robotica/biotech, e vuoi fare una startup deeptech enterprise, la storia di Ermes ti dice tre cose:

Primo: preparati a 18-24 mesi di costruzione invisibile. Non fatturato, non traction, solo certificazioni, test, partnership. Sembra lento, sembra noioso. Ma nel deeptech enterprise è l'unico modo. Serve capitale (almeno 500K-1M€) per coprire questo periodo. Seed round, acceleratori, competizioni UE.

Secondo: il ciclo di vendita enterprise è lungo. Devi accorciarlo o sopravvivergli. Freemium funziona anche in enterprise. PoC gratuiti funzionano. Demo che risolvono un problema immediato funzionano. Ma vendita diretta con sales tradizionale su prodotto nuovo = 12 mesi per chiudere. Se non hai 2M€ di runway, non ce la fai.

Terzo: i numeri arrivano tardi, ma quando arrivano, esplodono. Ermes ha fatto 60K€ nel 2018, 2,1M€ nel 2020, 30M€ nel 2023. La crescita nel deeptech enterprise non è lineare. È lenta per anni, poi verticale. Ma solo se hai costruito bene: prodotto solido, clienti felici, processi ripetibili.

Marco oggi ha 37 anni, 120 dipendenti, uffici in 4 paesi europei. Ma nel 2017 aveva 2 dipendenti, 60K€ di fatturato, 6 mesi di runway. Ha resistito. Ha costruito. Ha ascoltato.

Cosa fare ora

Se stai costruendo deeptech enterprise, inizia da qui:

1. Definisci quali certificazioni ti servono per essere credibile nel tuo mercato. ISO, GDPR compliance, partnership con enti di settore. Falle subito, non dopo.

2. Accorcia il ciclo di vendita con freemium o PoC gratuiti. Non puoi aspettare 12 mesi per ogni cliente. Trova un modo per entrare in azienda gratis, creare valore, poi vendere.

3. Fai customer interview ogni settimana. 40 call in 3 mesi sono il motivo per cui Ermes ha pivotato su EDR. Il mercato ti dice dove andare, se ascolti.

4. Costruisci unit economics sane prima di scalare. CAC, LTV, payback period, retention. Se non funzionano con 30 clienti, non funzioneranno con 300.

Se stai costruendo un prodotto tech per aziende — deeptech, AI, SaaS enterprise — e vuoi confrontarti con altri founder italiani che lo stanno facendo, entra in FounderLab Match. Matching 1:1 ogni settimana con founder nel tuo stesso stage, stesso settore, stessi problemi. Niente networking generico, solo call operative che ti aiutano a decidere oggi.

Se invece vuoi vedere cosa fanno altri founder deeptech italiani, quali numeri fanno, come hanno chiuso round, esplora FounderLab Market: database di startup italiane con numeri reali, pubblici, comparabili. Vedi chi fattura, chi assume, chi ha chiuso.

Ermes ha impiegato 8 anni per arrivare a 30M€. Non è tanto. È il tempo giusto, se lo usi bene.