Controlhaven — автоматизация соответствия Cyber Essentials и ISO 27001 для малых и средних предприятий Великобритании

Реальные аналоги: Vanta, Drata и Secureframe (созданы в США, цены в долларах для SOC 2), CyberSmart и ISMS.online (Великобритания). Целевой разрыв — британские стандарты: Cyber Essentials обязателен для многих государственных контрактов в Великобритании, а цена ниже, чем у американских платформ.

Кто платит

Британские SaaS-компании, агентства, финтех-компании, клиенты MSP и поставщики в госсекторе с 20–500 сотрудниками, которым нужен сертификат для получения или сохранения контрактов. Покупатель — CTO, COO или руководитель IT-отдела; триггер — запрос на безопасность от крупного клиента или тендер, требующий Cyber Essentials Plus или ISO 27001. Сделки закрываются менеджеры по работе с клиентами после демо, обычно в течение 30–60 дней, по годовым контрактам.

Как зарабатывает

Годовые контракты с ежемесячной или разовой оплатой. Три тарифа указаны без НДС (курс $1,30 за фунт; НДС в Великобритании добавляется в счёт и возмещается бизнес-покупателям): Essentials £249/мес ($324) — Cyber Essentials и Plus, агент для устройств, политики; ISO 27001 £1 050/мес ($1 365) — полный ISMS, реестр рисков, внутренний аудит; Multi-framework в среднем £2 100/мес ($2 730) — ISO 27001 плюс SOC 2 и GDPR с центром доверия. Соотношение тарифов 40% / 45% / 15% даёт около $1 150 на клиента в месяц. При подписании каждый клиент также платит разовую комиссию за сертификационный аудит и онбординг — около $520; внешний аудит стоит около $300 и передаётся по себестоимости. Расширение — реальный рычаг в комплаенсе: клиенты добавляют фреймворки (SOC 2, NIS2, GDPR), больше рабочих мест и центр доверия — около $48 в месяц на клиента во 2-м, 3-м и 4-м годах (примерно 4% в год сверх базовой стоимости).

Основные допущения

• Ценовые ориентиры: медианный покупатель Vanta платит $20 000 в год (диапазон $7 500–57 163, данные Vendr по 377 сделкам); Drata Foundation начинается примерно от $7 500–15 000; CyberSmart продаёт Cyber Essentials от £999 в год. Тариф ISO от Controlhaven за ~$16 400 в год ниже медианного значения Vanta.
• Удержание привязано к годовым контрактам: мало клиентов уходят в середине срока (0,5% в месяц — закрытия компаний и поглощения), затем 13% не продлевают контракт на 12-м месяце, а далее 1,5% в месяц (около 17% в год). Это 82% удержания логотипов при первом продлении — в соответствии с бенчмарком оттока в среднем сегменте 1,5–3% в месяц.
• Цикл продаж: каждый входящий и исходящий канал начинает приносить подписанные контракты через 3–4 месяца после первых затрат (демо → проверка безопасности → закупки), и модель учитывает это время ожидания.
• CPC в Google Search $17 по запросам 'cyber essentials certification' и 'ISO 27001 software'; 3,5% кликов запрашивают демо, 7% из них подписывают контракт — стоимость платящего клиента из поиска составляет около $6 900 при полной эффективности и ближе к $9 000 при усталости от ключевых слов. Бюджет около $17 000 в месяц в первый год, $30 600 с 13-го месяца. Реклама в LinkedIn по $14 за клик (около £11) на CTO/COO/руководителей IT работает только в первый год: 3% запрашивают демо, 5% из них подписывают контракт, около $9 300 за клиента даже без учёта времени цикла продаж — слишком дорого для продолжения.
• Партнёры из MSP и IT-консалтинга перепродают платформу за реферальную комиссию около $3 500 за подписанного клиента (примерно 25–30% от стоимости контракта за первый год); канал запускается через шесть месяцев после старта и требует девять месяцев для разгона.
• Исходящие продажи: SDR обрабатывают 6 000 контактов в месяц с использованием инструментов данных и последовательностей (около $250 за тысячу контактов, включая данные о намерениях); 3% отвечают, четверть из ответов записываются на встречу, 7% встреч заканчиваются подписью. Мероприятия (Infosecurity Europe и региональные IT-выставки) стоят около $7 500 в месяц с 10-го месяца.
• Пропускная способность продаж — реальное ограничение: два аккаунт-менеджера на старте, три с 19-го месяца, четыре с 31-го и пять с 43-го месяца. При $8 000 в месяц (около $96 000 OTE) каждый AE закрывает 2–3 контракта в месяц — примерно $350 000 нового ARR в год, в пределах нормы квоты 3–5x OTE. Полная стоимость привлечения (каналы плюс команда продаж и маркетинга) составляет около $8 000–9 000 за клиента.
• Переменные затраты на клиента: облачное сканирование и агенты устройств $35, API сторонних интеграций $10, платежи около $10. Национальная страховка работодателя в Великобритании (15% с апреля 2025 года) плюс пенсия добавляют 18% к зарплатам.
• Зарплаты на лондонском рынке: старший инженер $9 500/мес (около £88 000 в год), аккаунт-менеджер $8 000 в среднем (база + комиссия), SDR $4 500; основатели получают $7 000 в первый год после запуска. Стартовое финансирование $3 млн покрывает пятимесячную разработку фреймворков и длительный период отрицательного денежного потока.
• Горизонт — пять лет, потому что столько времени требуется этому архетипу, чтобы выйти на ежемесячную прибыль и окупиться. Ежегодная предоплата сократила бы период отрицательного денежного потока — модель использует ежемесячное выставление счетов, поэтому она консервативна в части денежных потоков.
• Чистое удержание выручки: при удержании логотипов 82% при продлении и расширении на ~4% в год на клиента NRR составляет около 100–105% — между медианой SaaS Capital 2025 (102% для ACV $25–50K) и её верхним квартилем (111%); Vanta и Drata сообщают о более высоких показателях, но они продают больше фреймворков на клиента. Около половины клиентов оплачивают годовой контракт заранее, поэтому отток в середине срока составляет лишь 0,5% в месяц. В модели каждый шаг — это надстройка на активного клиента с этого месяца — упрощение: оно немного завышает расширение для совсем новых клиентов и занижает для самых старых когорт.

Риски

• Vanta и Drata выходят на нижний сегмент рынка и в Великобританию с большими маркетинговыми бюджетами; цена — не устойчивое преимущество, им должны стать британские стандарты и партнёрская дистрибуция.
• Длинные циклы продаж: если демо-версии закрываются за 6 месяцев вместо 3–4, точка безубыточности сдвигается ещё на два-три квартала.
• Зависимость от аудиторов: сертификаты выдают аккредитованные органы; нехватка мощностей у партнёрской аудиторской фирмы задерживает запуск и первые продления для клиентов.
• Спрос со стороны регуляторов может измениться: изменение правил государственных закупок в части Cyber Essentials уберёт важный триггер.

Как адаптировать эту модель

• Версия для США: замените Cyber Essentials на SOC 2, повысьте цены на 40–60% (медианный контракт Vanta составляет около $20 000 в год) и зарплаты примерно на 30%.
• Версия для ЕС: сделайте упор на NIS2 и ISO 27001, добавьте пакеты политик на местных языках.
• Только микробизнес (Cyber Essentials): модель становится self-serve — уберите аккаунт-менеджеров, снизьте ARPU до $100–150 и перейдите на ежемесячный отток в стиле SMB вместо оттока, привязанного к продлению.
• Ежегодная оплата вперёд значительно улучшает денежный поток по сравнению с ежемесячной моделью; если вы собираете оплату вперёд, потребность в финансировании будет меньше пиковой, показанной в модели.

Источники

• Vendr — медиана Vanta 20 000 $/год, диапазон 7 500–57 163 $ (377 покупок): https://www.vendr.com/marketplace/vanta
• Базовые цены Drata и Vanta, руководство по стоимости ISO 27001: https://cipherssecurity.com/best-iso-27001-compliance-tools-2026/
• Тарифы CyberSmart (Cyber Essentials 999 £/год + НДС): https://cybersmart.co.uk/plans
• Стоимость сертификации Cyber Essentials в Великобритании: https://isms.online/cyber-essentials/cost/
• Отток в сегменте среднего бизнеса 1,5–3% в месяц: https://www.venasolutions.com/blog/saas-churn-rate
• Медиана зарплаты старшего разработчика в Лондоне 95 000 £ (ITJobsWatch, 2026): https://itjobswatch.co.uk/jobs/london/senior%20software%20engineer.do
• Бенчмарки удержания SaaS Capital 2025 (медиана NRR 101%, GRR 91%; при ACV 25–50 тыс. $ медиана NRR 102%, верхний квартиль 111%): https://www.saas-capital.com/research/saas-retention-benchmarks-for-private-b2b-companies/