Europese SASE- en ZTNA-platforms

#1 NetBird

Berlijn, Duitsland Gratis €0 (tot 5 gebruikers, 100 machines); Team €6 en Business €12 per gebruikersplaats per maand; Enterprise op maat geprijsd Demo via sales

Het meest geschikt voor: Teams die een klassieke VPN uitfaseren en gratis willen beginnen met de optie om zelf te hosten

• Exploiterend bedrijf. NetBird GmbH
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Je eigen infrastructuur bij zelf hosten; cloudhostinglocatie niet vermeld op de prijspagina
• Broncode. Closed source
• Vervangt. Netskope Private Access, Zscaler Private Access, Tailscale

NetBird vervangt in een Netskope-omgeving alleen de VPN en verder niets: apparaten maken directe WireGuard-verbindingen en een centraal beleid bepaalt welke groepen welke machines en netwerken mogen bereiken. De functielijst omvat SSO en MFA, groepsregels, private DNS, SCIM-provisioning en SSH-toegang. Controles op apparaatstatus en registratie van verkeersgebeurtenissen zijn voorbehouden aan het Business-abonnement van €12 per gebruiker per maand.

Het bedrijf is NetBird GmbH in Berlijn, ingeschreven bij het Amtsgericht Charlottenburg (HRB 237529 B), en de voorwaarden volgen het Duitse recht. De meeste code is BSD-3-Clause, met de management-, signal- en relay-onderdelen onder AGPLv3, en er is een Docker Compose-quickstart om zelf te hosten. De ISO 27001- en DORA-banner op de prijspagina is een claim van de leverancier die deze beoordeling niet heeft gecontroleerd.

Opvallende functie. NetBird telt alleen de gebruikers en machines die in de factureringsperiode verbinding hebben gemaakt, en vermeldt extra machines voor €0.50 per maand op de betaalde abonnementen.

#2 Defguard

Szczecin, Polen Open Source gratis; Business gratis tot 10 gebruikers en één locatie, betaalde opties daarboven; Enterprise op maat geprijsd Demo via sales

Het meest geschikt voor: Technische teams die identiteit, VPN en MFA in één stack op eigen servers willen

• Exploiterend bedrijf. Defguard Sp. z o.o.
• Jurisdictie. EU (Polen)
• Waar de gegevens staan. Je eigen servers (zelf gehost)
• Broncode. Closed source
• Vervangt. Netskope Private Access, Zscaler Private Access, OpenVPN

Defguard combineert een WireGuard-VPN, een identity provider en multi-factor authentication in één platform dat je zelf beheert. De tweede factor (TOTP, WebAuthn of e-mail) wordt gevraagd wanneer de tunnel opent, zodat een sleutel op een gestolen laptop geen permanente toegang geeft. Firewallregels worden ingesteld per gebruiker of groep, en synchronisatie met LDAP en Active Directory vult de groepen.

Defguard Sp. z o.o. is gevestigd in Szczecin (KRS 0001168794) en sluit contracten af onder Pools recht. De meeste code is AGPL, met een enterprise-directory onder een aparte licentie, dus de open-sourceeditie bevat niet elke functie. De Business-editie kost niets tot 10 gebruikers en één locatie, terwijl prijzen daarboven en voor Enterprise niet worden getoond. Beheer en updates zijn jouw taak.

Opvallende functie. Defguard dwingt MFA af op de verbinding zelf en levert de identity provider die dat controleert.

#3 Systancia

Sausheim, Frankrijk Geen prijzen gepubliceerd; contact of demo Demo via sales

Het meest geschikt voor: Industriële en publieke organisaties die gecontroleerde toegang van derden tot IT- en OT-systemen nodig hebben

• Exploiterend bedrijf. SA SYSTANCIA
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Datacenters in Frankrijk (verklaring van de leverancier)
• Broncode. Closed source
• Vervangt. Netskope Private Access, Zscaler Private Access, CyberArk

Systancia benadert de toegangsvraag via drie producten: Gate voor zero trust remote access, Cleanroom voor sessies met verhoogde rechten en modules voor identiteit en authenticatie. De site presenteert het platform als Europese zero trust voor IT- en OT-systemen en heeft een pagina over veilige toegang tot industriële infrastructuur, wat past bij fabrieken waarvan contractors op afstand bij machines moeten kunnen.

Het bedrijf is SA SYSTANCIA, gevestigd in Actipolis III in Sausheim bij Mulhouse (RCS Mulhouse 419 687 231). Gate is beschikbaar als software of als SaaS-dienst, en de leverancier stelt dat de datacenters in Frankrijk staan. De analistenvermeldingen op de pagina's zijn eigen verklaringen van de leverancier en niet geverifieerd, er worden geen prijzen getoond, en er is geen secure web gateway of CASB.

Opvallende functie. Systancia brengt operationele technologie en privileged access onder één leverancier, met levering als software en SaaS.

#4 Open Systems

Zürich, Zwitserland Geen prijzen gepubliceerd; offerte Demo via sales

Het meest geschikt voor: Middelgrote en grote bedrijven die liever hebben dat een leverancier de netwerk- en beveiligingsstack beheert

• Exploiterend bedrijf. Open Systems AG
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Zwitserland of waar mogelijk de EU, volgens de blog van de leverancier
• Broncode. Closed source
• Vervangt. Netskope, Zscaler, Palo Alto Prisma Access

Open Systems verkoopt SASE als dienst die het eigen personeel rond de klok beheert. De beschrijvingen noemen SD-WAN, een firewall, een secure web gateway, CASB en ZTNA, plus contractuele SLA's en een vaste contactpersoon voor customer success. Zo koopt een bedrijf zonder netwerkbeveiligingsteam een resultaat en geen losse producten die het zelf moet samenvoegen.

De juridische entiteit is Open Systems AG aan de Raeffelstrasse 29 in Zürich, die volgens het colofon binnen de Swiss Post Group valt. De algemene voorwaarden van de website volgen Zwitsers recht, en Zwitserland valt buiten de EU. Een blogpost van de leverancier stelt dat data waar mogelijk in Zwitserland of de EU wordt gehost, met alleen Zwitserse hosting op verzoek. De website van de leverancier weigerde geautomatiseerde toegang en het klantcontract was niet beschikbaar, dus deze beweringen komen uit fragmenten.

Opvallende functie. Open Systems is het enige item in deze categorie dat als volledig door de leverancier beheerde dienst wordt verkocht, met een web gateway inbegrepen.

#5 Cato Networks

Israël, Israël Geen prijzen gevonden; gelicentieerd per gebruikersgroep en ZTNA-gebruiker Demo via sales

Het meest geschikt voor: Organisaties met meerdere vestigingen die netwerk en beveiliging van één leverancier willen, met regionale contracten

• Exploiterend bedrijf. Cato Networks Ltd.
• Rechtsgebied. Israël (buiten de EU/EEA)
• Waar de gegevens staan. Regionale managementinstanties in de VS, de EU, India en Japan
• Broncode. Closed source
• Vervangt. Netskope, Zscaler, Palo Alto Prisma Access

Cato Networks beschrijft één platform met een enkel control plane, data plane en data lake dat SD-WAN, firewall as a service, secure web gateway, IPS, CASB, DLP, ZTNA, remote browser isolation en AI-beveiliging omvat. ZTNA-licenties worden per gebruiker gedefinieerd en dekken tot 3 apparaten, en in de pagina's die gelezen konden worden staat geen prijslijst.

Cato Networks Ltd. is Israëlisch, met juridische entiteiten in Duitsland, Nederland, Italië en Frankrijk die in hun regio als contractpartij optreden. Welke entiteit tekent, hangt af van waar je koopt. Managementinstanties draaien in de VS, de EU, India en Japan, met geo-fencing op regionale points of presence. De directe website blokkeerde geautomatiseerde toegang, dus de feiten komen uit de kennisbank en fragmenten van de juridische pagina's.

Opvallende functie. Cato Networks stelt dat dezelfde functieset beschikbaar is via publieke, door telecomproviders beheerde en bij de klant gehoste uitrollen.

#6 Check Point SASE

Israël, Israël Geen prijzen gepubliceerd; demo Demo via sales

Het meest geschikt voor: Organisaties die al Check Point-firewalls gebruiken of SASE willen kopen via een channelpartner voor beveiliging

• Exploiterend bedrijf. Check Point Software Technologies Ltd.
• Rechtsgebied. Israël (buiten de EU/EEA)
• Waar de gegevens staan. Niet vermeld op de productpagina
• Broncode. Closed source
• Vervangt. Netskope, Zscaler, Perimeter 81 (zelfde productfamilie)

Check Point SASE, voorheen Harmony SASE, verdeelt het aanbod in Private Access met agentloze en clientgebaseerde zero trust-toegang, Internet Access dat browsen op het apparaat en in de cloud inspecteert, en SaaS-beveiliging met DLP voor meer dan 800 vooraf gedefinieerde datatypen. Het SD-WAN-deel noemt failover tussen MPLS, 5G en breedband en het inrichten van vestigingen zonder het apparaat aan te raken.

De contractpartij is Check Point Software Technologies Ltd. uit Israël, en zoekfragmenten van de cloudvoorwaarden wijzen op Israëlisch recht en de rechtbanken van Tel Aviv-Yafo. De Perimeter 81-website heeft nu de titel Check Point SASE - Perimeter 81, dus die dienst valt onder dit product. Check Point zegt alleen via channelpartners te verkopen, er worden geen prijzen of hostinglocaties gepubliceerd, en de voorwaardenpagina blokkeerde geautomatiseerde toegang.

Opvallende functie. Check Point SASE neemt Perimeter 81 over, dus bestaande klanten van die dienst blijven in dezelfde productfamilie.

#7 genua

Kirchheim (München), Duitsland Prijzen op aanvraag Demo via sales

Het meest geschikt voor: Overheids-, defensie- en kritieke infrastructuurnetwerken met classificatieregels

• Exploiterend bedrijf. genua GmbH
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. On-premises appliances; geen cloudservice nodig
• Broncode. Closed source
• Vervangt. Fortinet FortiGate, Palo Alto-firewalls

genua is een Duitse leverancier met een gamma dat loopt van de genugate-firewall, die een application-level gateway en een pakketfilter op twee aparte computers zet, tot genusphere. Dat laatste product geeft gebruikers browsertoegang tot goedgekeurde applicaties zonder VPN-client. Aanmelden verloopt via Microsoft Entra ID of Keycloak, en genusphere kan on-premises, op Kubernetes of in de cloud draaien.

genua GmbH heeft zijn zetel in Kirchheim bij München (HRB 98238, Amtsgericht München) en zegt op zijn homepage deel uit te maken van de Bundesdruckerei Group. De productpagina van genugate vermeldt Common Criteria EAL 4+ en goedkeuringen voor VS-NfD, NATO RESTRICTED en EU RESTRICTED, en een licentie kan offline worden geactiveerd. Prijzen zijn op aanvraag, en de verkoopaanpak richt zich op overheden en de industrie.

Opvallende functie. genua combineert een firewall met goedkeuringen voor geclassificeerde Duitse en NAVO-netwerken en een browsergebaseerd toegangsproduct.

#8 Stormshield

Issy-les-Moulineaux, Frankrijk Enterprise-prijzen op aanvraag Demo via sales

Het meest geschikt voor: Organisaties die firewallapparaten draaien of plannen en ZTNA-functies en soevereiniteitskwalificaties willen van één Franse leverancier

• Exploiterend bedrijf. Stormshield
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Vooral in de EER, met internationale doorgiften onder de standaardcontractbepalingen van de EU
• Broncode. Closed source
• Vervangt. CrowdStrike, SentinelOne, Palo Alto Cortex

Stormshield maakt netwerkfirewalls met ZTNA-functies erin: hostcontroles op de werkplek, beleid per gebruiker of groep, multi-factor authentication en micro-segmentatie, die volgens de leverancier zonder extra kosten komen. Een ZTNA-agent opent een VPN-verbinding naar de toegestane bronnen. Het model is dus apparaten die je zelf beheert en geen cloudbroker, en er is geen cloud-webgateway.

Het bedrijf is gevestigd in Issy-les-Moulineaux en is een volledige dochteronderneming van Airbus Defence and Space Cyber Programmes. De endpoint-agent, Stormshield Endpoint Security Evolution, heeft een ANSSI CSPN-kwalificatie en de CCN-LINCE-goedkeuring van Spanje. De privacyverklaring zegt dat gegevens vooral binnen de EER worden verwerkt, met standaardcontractbepalingen voor de rest. Prijzen zijn op offerte, er wordt geen proefperiode vermeld, en het partnernetwerk wordt dun buiten Frankrijk.

Opvallende functie. Stormshield neemt ZTNA op in de firewall in plaats van het als apart abonnement te verkopen.

#9 SSH.com PrivX

Helsinki, Finland Geen prijzen gepubliceerd; gratis proefperiode aangeboden Demo via sales

Het meest geschikt voor: DevOps- en infrastructuurteams die gecontroleerde beheerderstoegang tot servers en cloudworkloads nodig hebben

• Exploiterend bedrijf. SSH Communications Security Oyj
• Jurisdictie. EU (Finland)
• Waar de gegevens staan. Niet vermeld op de productpagina
• Broncode. Closed source
• Vervangt. Het privileged access-deel van Netskope- en Zscaler-omgevingen, CyberArk

SSH.com PrivX haalt het permanente wachtwoord uit de beheerderstoegang. Een gebruiker of machine krijgt een certificaat voor één sessie, dat daarna verloopt, zodat er geen sleutel is die gestolen kan worden. De productpagina noemt zero standing privileges, secrets management, browsersessies met single sign-on en een architectuur die is afgestemd op cloud-native, automatisch schalende infrastructuur.

SSH Communications Security Oyj is een Finse naamloze vennootschap met hoofdkantoor aan de Karvaamokuja 2D in Helsinki. De productpagina biedt een gratis proefperiode, maar geeft geen prijzen, geen hostingopties en geen verklaring over zelf hosten. De voorwaarden en het toepasselijke recht zijn voor deze beoordeling niet geopend. PrivX dekt toegang tot servers en infrastructuur en filtert geen webverkeer, dus het vult een webgateway aan.

Opvallende functie. SSH.com PrivX maakt elke sessiecredential kortlevend, voor mensen en voor machines.

#10 Sophos

Abingdon, Verenigd Koninkrijk Zie website Demo via sales

Het meest geschikt voor: Teams die al endpoints en e-mail beheren in Sophos Central

• Exploiterend bedrijf. Sophos Limited
• Jurisdictie. Verenigd Koninkrijk (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Sophos Central, zie de leverancier
• Broncode. Closed source
• Vervangt. Forcepoint DLP, Symantec DLP

Sophos komt in deze categorie voor via zijn ZTNA. Dat wordt verkocht binnen de bundel Sophos Workspace Protection en deelt de gezondheid van apparaten met zijn firewall- en endpointproducten, zodat een gecompromitteerd apparaat automatisch geïsoleerd kan worden. Aan de datakant gebruikt het DLP-beleid in Sophos Central inhoud- en bestandsregels en regionale sjablonen, maar de documentatie stelt dat het alleen op Windows-apparaten beschikbaar is.

De voorwaarden voor eindgebruikers noemen Sophos Limited, ingeschreven in Abingdon in het Verenigd Koninkrijk, als contractpartij voor klanten buiten de VS, Canada en Latijns-Amerika. Die contracteren in plaats daarvan met Sophos Technology Limited. Het Verenigd Koninkrijk valt buiten de EER en heeft een adequaatheidsbesluit. Er wordt geen prijs gepubliceerd voor ZTNA of DLP, en de bewaakte DLP-bestemmingen zijn niet gedocumenteerd.

Opvallende functie. Sophos laat de apparaatstatus die door de eigen endpoint- en firewallproducten wordt gerapporteerd bepalen wie toegang krijgt.

#11 Cyolo

Israël, Israël Geen prijzen gepubliceerd; demo Demo via sales

Het meest geschikt voor: Fabrikanten, nutsbedrijven en datacenteroperators die toegang van derden tot OT-netwerken beheersen

• Exploiterend bedrijf. Cyolo Security Ltd.
• Rechtsgebied. Israël (buiten de EU/EEA)
• Waar de gegevens staan. Agentloze uitrol zonder afhankelijkheid van de cloud (verklaring van de leverancier)
• Broncode. Closed source
• Vervangt. Netskope Private Access voor industrieel gebruik, Zscaler Private Access

Cyolo heeft zijn homepage verschoven van algemene enterprise-ZTNA naar veilige connectiviteit voor OT en kritieke infrastructuur. Het product Privileged Remote Operations geeft medewerkers en leveranciers toegang met de minste rechten die gecontroleerd en vastgelegd kan worden, met MFA voor oude systemen die geen agent kunnen draaien. Een apart segmentatieproduct voegt policy-simulatie toe vóór handhaving.

Cyolo Security Ltd. is de verantwoordelijke entiteit die in het privacybeleid wordt genoemd en is Israëlisch. De leverancier beschrijft agentloze uitrol zonder afhankelijkheid van de cloud, wat niet is geverifieerd. De voorwaardenpagina gaf een 'niet gevonden'-melding, dus het toepasselijke recht van een klantcontract is niet bevestigd, en er worden geen prijzen gepubliceerd. Een koper die webfiltering, CASB of toegang voor het hele kantoor wil, vindt het product te beperkt.

Opvallende functie. Cyolo registreert en bewaakt sessies van derden op industriële systemen zonder er een agent op te installeren.