NATO und eine KI-Firma treten dem EU-CVE-Root bei

Zwanzig CNAs - und wie schnell diese Zahl wuchs

Am 6. August 2026 gab die EU-Agentur für Cybersicherheit (ENISA) bekannt, die NATO Communications and Information Agency (NCIA) und die KI-Sicherheitsfirma AISLE als neue CVE Numbering Authorities unter dem ENISA-Root aufgenommen zu haben - die Gesamtzahl steigt damit auf 20 CNAs: 12 direkt von ENISA aufgenommen, 8 vom US-verwalteten MITRE-Root übernommen. Hans de Vries, Chief Cybersecurity and Operations Officer von ENISA, verband den Ausbau mit der Art, wie Schwachstellen heute gefunden werden, und sagte, dass "jüngste Entwicklungen in der globalen Cybersicherheitslage, zusammen mit dem Aufkommen von Frontier-KI-Modellen und ihrer Wirkung auf das Auffinden und Ausnutzen von Schwachstellen, den Bedarf an einer starken Infrastruktur und starken Fähigkeiten für das Schwachstellenmanagement unterstrichen haben."

Das Wachstum ist frisch und schnell. Nach ENISAs eigener Zählung von Anfang Mai 2026 umfasste der Root 11 CNAs - 4 direkt aufgenommen, 7 von MITRE übernommen - gegenüber einem Pool von rund 90 europäischen CNAs, die den gleichen freiwilligen Wechsel noch vollziehen könnten. Drei Monate später hat sich die Zahl fast verdoppelt. ENISA selbst wurde erst im November 2025 zum CVE-Root und ist damit innerhalb von neun Monaten von null auf 20 Mitglieds-CNAs gewachsen, darunter eine Verteidigungsbündnis-Agentur und ein KI-natives Sicherheitsunternehmen.

Was ein Root leistet, das ein CNA nicht leistet

Der Unterschied, über den die meiste Berichterstattung hinweggeht, ist genau der, der für ein europäisches Unternehmen zählt, das prüfen will, ob das überhaupt die eigene Compliance-Arbeit berührt. Eine CNA vergibt CVE-Kennungen für Schwachstellen innerhalb ihres eigenen festgelegten Geltungsbereichs - meist die eigenen Produkte - und veröffentlicht die entstehenden CVE-Einträge. Ein Root steht über einer Gruppe von CNAs: Er wirbt sie an, prüft und schult sie, beaufsichtigt, wie sie IDs vergeben und Einträge veröffentlichen, und steht dafür ein, ob sie die Regeln des CVE-Programms einhalten. ENISAs Root-Status, im November 2025 bestätigt, machte die Agentur zur zentralen Anlaufstelle für genau diese Anwerbe- und Aufsichtsarbeit über die EU-Mitgliedstaaten, EU-Behörden, das EU-CSIRTs-Netzwerk und ENISAs Kooperationspartner hinweg.

ENISA ist nicht der einzige Root, und dieser Ausbau schafft kein konkurrierendes System zur Schwachstellennummerierung. MITRE, CISA, Google, Red Hat und Japans JPCERT/CC betreiben allesamt eigene Roots innerhalb desselben CVE-Programms, und eine Handvoll EU-Stellen - Spaniens INCIBE-CERT, Thales, CERT@VDE - hatten Root- oder höheren CNA-Status, bevor ENISA ihn erhielt. Neu ist, dass eine EU-Behörde jetzt einen dieser Verwaltungszweige in relevantem Umfang betreibt, statt dass europäische CNAs mangels EU-Alternative standardmäßig beim US-Root landen.

Der Schreckmoment, auf den dieser Ausbau antwortet

Der Zeitpunkt ist kein Zufall. Im April 2025 sollte der Vertrag der US-Cybersicherheitsbehörde CISA mit MITRE über 57,8 Millionen Dollar - die Finanzierung, die den Kernbetrieb des CVE-Programms am Laufen hält - am 16. April auslaufen. Die Sicherheitsgemeinschaft erfuhr erst am 15. April, dass Washington keine Verlängerung plante. CISA zog in der Nacht vor der Frist eine Vertragsoption, kaufte sich damit eine Verlängerung um 11 Monate mit Mitteln, die Beamte als "schrittweise" bezeichneten, und die unmittelbare Krise war abgewendet. Doch für rund 24 Stunden fehlte der Infrastruktur, von der praktisch jedes Schwachstellenmanagement-Programm der Welt still abhängt, nur eine Unterschrift zur Störung.

Bis Januar 2026 teilte CISA dem CVE-Vorstand mit, dass es im März keinen Finanzierungsabsturz geben werde und eine dauerhaftere Finanzierungslösung stehe - die akute Gefahr ist damit, Stand jetzt, vorüber. Nicht verändert hat sich die strukturelle Tatsache, die der Schreckmoment offenlegte: Die CVE-Nummerierung für die gesamte Welt lief über einen einzigen US-Bundesvertrag, verwaltet von einer einzigen Behörde, abhängig von der Haushaltspolitik eines einzigen Landes. ENISAs Root und die 20 CNAs darunter sind die konkrete EU-Antwort auf diese Abhängigkeit - kein Ersatz für die US-Seite des Programms, auf die die EU weiterhin angewiesen ist und mit der sie kooperiert, sondern ein zweiter Verwaltungszweig, der weiter CNAs im eigenen Geltungsbereich der EU anwerben, schulen und beaufsichtigen kann, egal was mit einem einzelnen Vertrag in Washington geschieht.

Was sich für ein europäisches Unternehmen praktisch ändert

Für die große Mehrheit der EU- und UK-Organisationen - alle, die CVE-Daten nur nutzen, um Systeme zu patchen oder ein Schwachstellenmanagement-Werkzeug zu füttern - ändert sich nichts. Eine unter dem ENISA-Root vergebene CVE-ID ist dieselbe Art von Kennung, im selben globalen Register, wie eine unter dem MITRE-Root vergebene; es ist kein paralleles oder inkompatibles Nummerierungsschema, und aus dieser Ankündigung folgt keine Integrationsarbeit.

Was sich ändert, ist enger gefasst: Jede EU-Organisation, jedes Forschungsteam oder jeder Hersteller, der CNA-Status will - das Recht, eigene CVE-IDs für Schwachstellen in den eigenen Produkten zu vergeben, statt auf die Bearbeitung durch Dritte zu warten - kann jetzt von ENISA angeworben, geprüft und geschult werden, statt ein von den USA verwaltetes Verfahren durchlaufen zu müssen. AISLEs eigene Begründung für den CNA-Status macht den praktischen Nutzen konkret: Das Unternehmen kann eine Schwachstelle, die seine KI-Werkzeuge im eigenen Produkt finden, jetzt am selben Tag mit einer Nummer versehen, statt sich hinter einer Dritt-CNA einzureihen. Die NCIA erhält dasselbe für alles, was innerhalb der NATO gefunden wird. Jeder EU-Hersteller mit ernsthafter interner Schwachstellenforschung hat jetzt, unter EU-Aufsicht, dieselbe Option, die er vor achtzehn Monaten noch nicht hatte.

Warum ENISA diese Kompetenz jetzt aufbaut

Das ist nicht die einzige Frist bei der Schwachstellen-Infrastruktur, die ENISA dieses Jahr hat. Ab dem 11. September 2026 verlangt der Cyber Resilience Act der EU von Herstellern, aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA zu melden - und das gilt auch für Produkte, die bereits auf dem Markt sind, nicht nur für neue. Eine Behörde, die die vergangenen neun Monate damit verbracht hat, 20 CNAs anzuwerben, zu schulen und zu beaufsichtigen, und deren eigenes Personal dieses Jahr bei Black Hat USA gemeinsam mit der Führung von CISAs Schwachstellen-Reaktionsteam auf der Bühne stand, baut genau die operative Kompetenz auf, die sie braucht, um diesen Meldekanal glaubwürdig zu betreiben. Der CNA-Ausbau und die CRA-Frist sind getrennte Pflichten, aber es ist dieselbe Behörde, die dieselbe Art Arbeit im selben Zeitfenster leistet, vor einer gesetzlichen Frist, die diese Arbeit von freiwillig zu verpflichtend macht.

Weiterlesen: 45.601 Lücken, 171 werden wirklich genutzt  |  Ihre älteren Macs brauchten sieben Anläufe