Veinte CNA, y la velocidad a la que llegó esa cifra

El 6 de agosto de 2026 la Agencia de la UE para la Ciberseguridad (ENISA) anunció que ha incorporado a la NATO Communications and Information Agency (NCIA) y a la firma de seguridad de IA AISLE como nuevas Autoridades de Numeración CVE que operan bajo el Root de ENISA, elevando el total a 20 CNA: 12 incorporadas directamente por ENISA y 8 transferidas desde el Root administrado por Estados Unidos, MITRE. Hans de Vries, Chief Cybersecurity and Operations Officer de ENISA, vinculó la expansión con la forma en que hoy se descubren las vulnerabilidades, y afirmó que "los recientes acontecimientos en el panorama global de la ciberseguridad, junto con la aparición de modelos de IA de frontera y su impacto en el descubrimiento y la explotación de vulnerabilidades, han subrayado la necesidad de construir una infraestructura y unas capacidades sólidas de gestión de vulnerabilidades."

El crecimiento es reciente y rápido. Según el propio recuento de ENISA de principios de mayo de 2026, el Root contaba con 11 CNA: 4 incorporadas directamente y 7 transferidas desde MITRE, frente a un grupo de unas 90 CNA europeas todavía elegibles para hacer el mismo cambio voluntario. Tres meses después, la cifra casi se ha duplicado. La propia ENISA se convirtió en Root CVE solo en noviembre de 2025, lo que significa que ha pasado de cero a 20 CNA miembro, incluida una agencia de una alianza de defensa y una firma de seguridad nativa de IA, en apenas nueve meses.

Lo que hace un Root que una CNA no hace

La distinción que la mayoría de la cobertura pasa por alto es justo la que importa a una empresa europea que quiere saber si esto toca de verdad su propio trabajo de cumplimiento. Una CNA asigna identificadores CVE para vulnerabilidades dentro de su propio ámbito definido, normalmente sus propios productos, y publica los registros CVE resultantes. Un Root está por encima de un conjunto de CNA: las recluta, las evalúa y las forma, supervisa cómo asignan los ID y publican los registros, y responde de si cumplen las reglas del Programa CVE. El estatus de Root de ENISA, confirmado en noviembre de 2025, la convirtió en el punto central de contacto para ese trabajo de reclutamiento y supervisión en los Estados miembros de la UE, las autoridades de la UE, la Red de CSIRT de la UE y los socios cooperantes de ENISA.

ENISA no es el único Root, y esta expansión no crea un sistema rival de numeración de vulnerabilidades. MITRE, CISA, Google, Red Hat y el JPCERT/CC de Japón gestionan cada uno su propio Root dentro del mismo Programa CVE, y un puñado de organismos de la UE (el INCIBE-CERT español, Thales, CERT@VDE) ya tenían estatus de Root o de CNA sénior antes de que lo obtuviera ENISA. Lo nuevo es que ahora una agencia de la UE gestiona una de esas ramas administrativas a una escala relevante, en lugar de que las CNA europeas recurrieran por defecto a la estadounidense por falta de alternativa en la UE.

El susto al que responde esta expansión

El momento elegido no es casual. En abril de 2025, el contrato de 57,8 millones de dólares entre la agencia estadounidense de ciberseguridad CISA y MITRE, la financiación que mantiene en marcha el núcleo operativo del Programa CVE, debía expirar el 16 de abril. La comunidad de seguridad se enteró solo el 15 de abril de que Washington no pensaba renovarlo. CISA activó una opción contractual la noche antes del plazo, comprando una prórroga de 11 meses con una financiación que los funcionarios describieron como "incremental", y la crisis inmediata se evitó. Pero durante unas 24 horas, la infraestructura de la que depende en silencio casi todo programa de gestión de vulnerabilidades del mundo estuvo a una firma de distancia de la interrupción.

En enero de 2026 CISA comunicó a la junta del CVE que no habría un precipicio de financiación en marzo y que existía un acuerdo de financiación más duradero, de modo que el peligro agudo, a fecha de hoy, ha pasado. Lo que no ha cambiado es el hecho estructural que dejó al descubierto el susto: la numeración CVE para el mundo entero dependía de un único contrato federal estadounidense, administrado por una única agencia, sujeto a la política presupuestaria de un único país. El Root de ENISA, y las 20 CNA que hoy dependen de él, son la respuesta europea concreta a esa exposición: no un sustituto de la parte estadounidense del programa, de la que la UE sigue dependiendo y con la que sigue cooperando, sino una segunda rama administrativa capaz de seguir reclutando, formando y supervisando CNA en el ámbito propio de la UE al margen de lo que ocurra con un contrato concreto en Washington.

Qué cambia para una empresa europea, en la práctica

Para la inmensa mayoría de las organizaciones de la UE y del Reino Unido, cualquiera que consuma datos CVE para parchear sistemas o alimentar una herramienta de gestión de vulnerabilidades, no cambia nada. Un ID CVE emitido bajo el Root de ENISA es el mismo tipo de identificador, en el mismo registro global, que uno emitido bajo el Root de MITRE; no es un esquema de numeración paralelo ni incompatible, y de este anuncio no se deriva ningún trabajo de integración.

Lo que cambia es más concreto: cualquier organización, equipo de investigación o fabricante de la UE que quiera el estatus de CNA (el derecho a asignar sus propios ID CVE a las vulnerabilidades de sus propios productos en lugar de esperar a que un tercero tramite la solicitud) puede ahora ser reclutado, evaluado y formado por ENISA en lugar de tener que pasar por un proceso administrado desde Estados Unidos. La propia razón que AISLE dio para solicitar el estatus de CNA hace tangible el beneficio práctico: la empresa puede numerar ahora, el mismo día, una vulnerabilidad que sus herramientas de IA encuentran en su propio producto, en lugar de hacer cola detrás de una CNA externa. La NCIA obtiene el equivalente para todo lo que se encuentre dentro de la OTAN. Cualquier fabricante de la UE con investigación interna seria de vulnerabilidades tiene ahora, bajo supervisión de la UE, la misma opción que no tenía hace dieciocho meses.

Por qué ENISA construye ahora este músculo

No es el único plazo de infraestructura de vulnerabilidades que ENISA tiene este año. A partir del 11 de septiembre de 2026, la Ley de Ciberresiliencia de la UE obliga a los fabricantes a notificar a ENISA en un plazo de 24 horas las vulnerabilidades explotadas activamente, y eso cubre también los productos ya presentes en el mercado, no solo los nuevos. Una agencia que ha pasado los últimos nueve meses reclutando, formando y supervisando 20 CNA, y cuyo propio personal compartió escenario este año en Black Hat USA con la dirección del equipo de respuesta a vulnerabilidades de CISA, está construyendo justo el músculo operativo que necesitará para gestionar ese canal de notificación con credibilidad. La expansión de las CNA y el plazo de la Ley de Ciberresiliencia son obligaciones distintas, pero es la misma agencia haciendo el mismo tipo de trabajo, en el mismo calendario, antes de un plazo legal que lo convertirá en obligatorio en lugar de voluntario.

Leer a continuación: 45.601 fallos y solo 171 se están usando  |  Sus Mac antiguos necesitaron siete intentos