NATO og et AI-firma tilslutter sig EU's CVE-Root

Tyve CNA'er, og hvor hurtigt det tal voksede

Den 6. august 2026 meddelte EU's Agentur for Cybersikkerhed (ENISA), at det har optaget NATO Communications and Information Agency (NCIA) og AI-sikkerhedsfirmaet AISLE som nye CVE Numbering Authorities under ENISA-Root'en, så det samlede tal når 20 CNA'er: 12 optaget direkte af ENISA og 8 overført fra den amerikansk-administrerede MITRE-Root. Hans de Vries, ENISA's Chief Cybersecurity and Operations Officer, koblede udvidelsen til måden, sårbarheder i dag bliver fundet på, og sagde, at "den seneste udvikling i det globale cybersikkerhedslandskab, sammen med fremkomsten af frontier-AI-modeller og deres indvirkning på opdagelse og udnyttelse af sårbarheder, har understreget behovet for at opbygge stærk infrastruktur og stærke kapaciteter til sårbarhedsstyring."

Væksten er ny og hurtig. Ifølge ENISA's egen optælling fra begyndelsen af maj 2026 talte Root'en 11 CNA'er: 4 optaget direkte og 7 overført fra MITRE, mod en pulje på omkring 90 europæiske CNA'er, der stadig er berettigede til at foretage det samme frivillige skifte. Tre måneder senere er tallet næsten fordoblet. ENISA blev selv først en CVE-Root i november 2025, hvilket betyder, at agenturet er gået fra nul til 20 medlems-CNA'er, heriblandt et forsvarsalliance-agentur og en AI-native sikkerhedsleverandør, på blot ni måneder.

Hvad en Root gør, som en CNA ikke gør

Den skelnen, som det meste af dækningen springer over, er netop den, der betyder noget for en europæisk virksomhed, der vil vide, om noget af dette overhovedet rører ved dens eget compliance-arbejde. En CNA tildeler CVE-identifikatorer til sårbarheder inden for sit eget afgrænsede område, som regel egne produkter, og offentliggør de resulterende CVE-poster. En Root står over en gruppe af CNA'er: den rekrutterer, godkender og træner dem, fører tilsyn med, hvordan de tildeler ID'er og offentliggør poster, og står til ansvar for, om de følger reglerne i CVE Program. ENISA's Root-status, bekræftet i november 2025, gjorde agenturet til det centrale kontaktpunkt for netop dette rekrutterings- og tilsynsarbejde på tværs af EU's medlemsstater, EU-myndigheder, EU's CSIRT-netværk og ENISA's samarbejdspartnere.

ENISA er ikke den eneste Root, og denne udvidelse skaber ikke et konkurrerende system til sårbarhedsnummerering. MITRE, CISA, Google, Red Hat og det japanske JPCERT/CC driver hver deres egen Root inden for det samme CVE Program, og en handfuld EU-organer, heriblandt det spanske INCIBE-CERT, Thales og CERT@VDE, havde allerede Root- eller senior CNA-status, før ENISA fik det. Det nye er, at et EU-agentur nu driver en af disse administrative grene i et betydeligt omfang, i stedet for at europæiske CNA'er som standard endte hos den amerikanske Root, fordi der ikke fandtes et EU-alternativ.

Forskrækkelsen, som denne udvidelse er et svar på

Timingen er ikke tilfældig. I april 2025 skulle den amerikanske cybersikkerhedsmyndighed CISA's kontrakt med MITRE på 57,8 millioner dollar, den finansiering, der holder CVE Program's kernedrift kørende, udløbe den 16. april. Sikkerhedsmiljøet fandt først ud af den 15. april, at Washington ikke havde planer om at forny den. CISA benyttede en kontraktoption natten før fristen og købte sig dermed en forlængelse på 11 måneder med midler, embedsmænd beskrev som "trinvise", og den umiddelbare krise blev afværget. Men i omkring 24 timer var den infrastruktur, som næsten ethvert sårbarhedsstyringsprogram i verden stiltiende afhænger af, kun en underskrift fra en afbrydelse.

Senest i januar 2026 meddelte CISA CVE-bestyrelsen, at der ikke ville komme et finansieringsstop i marts, og at der var en mere holdbar finansieringsordning på plads, så den akutte fare, i skrivende stund, er ovre. Det, der ikke har ændret sig, er det strukturelle forhold, som forskrækkelsen blotlagde: CVE-nummereringen for hele verden løb gennem en enkelt amerikansk føderal kontrakt, administreret af et enkelt agentur, underlagt et enkelt lands budgetpolitik. ENISA's Root, og de 20 CNA'er, der nu hører under den, er EU's konkrete svar på den eksponering: ikke en erstatning for den amerikanske side af programmet, som EU stadig er afhængig af og fortsat samarbejder med, men en anden administrativ gren, der kan blive ved med at rekruttere, træne og føre tilsyn med CNA'er inden for EU's eget område, uanset hvad der sker med en enkelt kontrakt i Washington.

Hvad der ændrer sig for en europæisk virksomhed i praksis

For langt de fleste EU- og UK-organisationer, alle der blot bruger CVE-data til at patche systemer eller føde et sårbarhedsstyringsværktøj, ændrer der sig intet. Et CVE-ID udstedt under ENISA-Root'en er samme slags identifikator, i det samme globale register, som et ID udstedt under MITRE-Root'en; det er ikke et parallelt eller inkompatibelt nummereringssystem, og der følger intet integrationsarbejde af denne meddelelse.

Det, der ændrer sig, er mere specifikt: enhver EU-organisation, ethvert forskerteam eller enhver leverandør, der ønsker CNA-status, altså retten til selv at tildele sine egne CVE-ID'er til sårbarheder i egne produkter i stedet for at vente på, at en tredjepart behandler ansøgningen, kan nu blive rekrutteret, godkendt og trænet af ENISA i stedet for at skulle igennem en amerikansk-administreret proces. AISLE's egen begrundelse for at søge CNA-status gør den praktiske gevinst konkret: virksomheden kan nu, samme dag, nummerere en sårbarhed, som dens AI-værktøjer finder i eget produkt, i stedet for at stille sig bagerst i køen bag en ekstern CNA. NCIA får det tilsvarende for alt, hvad der findes inde i NATO. Enhver EU-leverandør med seriøst internt sårbarhedsarbejde har nu, under EU-tilsyn, den samme mulighed, som virksomheden ikke havde for atten måneder siden.

Hvorfor ENISA opbygger denne kapacitet nu

Det er ikke den eneste frist for sårbarhedsinfrastruktur, ENISA har i år. Fra den 11. september 2026 kræver EU's Cyber Resilience Act, at producenter indberetter aktivt udnyttede sårbarheder til ENISA inden for 24 timer, og det gælder også produkter, der allerede er på markedet, ikke kun nye. Et agentur, der har brugt de sidste ni måneder på at rekruttere, træne og føre tilsyn med 20 CNA'er, og hvis eget personale i år stod på scenen ved Black Hat USA sammen med ledelsen af CISA's sårbarhedsresponsteam, opbygger netop den operationelle kapacitet, det får brug for til at drive den indberetningskanal troværdigt. CNA-udvidelsen og CRA-fristen er separate forpligtelser, men det er det samme agentur, der udfører den samme slags arbejde, på den samme tidslinje, forud for en lovmæssig frist, der gør det obligatorisk i stedet for frivilligt.

Læs videre: 45.601 huller, 171 bliver faktisk brugt  |  Dine ældre Mac'er krævede syv forsøg