L'OTAN et une société d'IA rejoignent le Root CVE de l'UE

Vingt CNA, et la vitesse à laquelle ce chiffre a été atteint

Le 6 août 2026, l'Agence de l'UE pour la cybersécurité (ENISA) a annoncé avoir intégré la NATO Communications and Information Agency (NCIA) et la société de sécurité en IA AISLE comme nouvelles CVE Numbering Authorities opérant sous le Root ENISA, portant le total à 20 CNA : 12 intégrées directement par l'ENISA et 8 transférées depuis le Root américain, MITRE. Hans de Vries, Chief Cybersecurity and Operations Officer de l'ENISA, a relié cette expansion à la manière dont les vulnérabilités sont aujourd'hui découvertes, déclarant que "les évolutions récentes du paysage mondial de la cybersécurité, combinées à l'émergence des modèles d'IA de pointe et à leur impact sur la découverte et l'exploitation des vulnérabilités, ont souligné la nécessité de bâtir une infrastructure et des capacités solides de gestion des vulnérabilités."

La croissance est récente et rapide. Selon le propre décompte de l'ENISA début mai 2026, le Root comptait 11 CNA : 4 intégrées directement et 7 transférées depuis MITRE, sur un vivier d'environ 90 CNA européennes encore éligibles au même basculement volontaire. Trois mois plus tard, le total a presque doublé. L'ENISA elle-même n'est devenue Root CVE qu'en novembre 2025, ce qui signifie qu'elle est passée de zéro à 20 CNA membres, dont une agence d'une alliance de défense et un éditeur de sécurité natif de l'IA, en à peine neuf mois.

Ce que fait un Root et que ne fait pas une CNA

La distinction que la plupart des articles survolent est justement celle qui compte pour une entreprise européenne cherchant à savoir si tout cela touche vraiment sa propre conformité. Une CNA attribue des identifiants CVE pour les vulnérabilités de son propre périmètre défini, généralement ses propres produits, et publie les fiches CVE qui en résultent. Un Root se situe au-dessus d'un ensemble de CNA : il les recrute, les évalue et les forme, supervise la manière dont elles attribuent les ID et publient les fiches, et répond de leur respect des règles du CVE Program. Le statut de Root de l'ENISA, confirmé en novembre 2025, en a fait le point de contact central pour ce travail de recrutement et de supervision auprès des États membres de l'UE, des autorités de l'UE, du réseau des CSIRT de l'UE et des partenaires coopérants de l'ENISA.

L'ENISA n'est pas le seul Root, et cette expansion ne crée pas de système concurrent de numérotation des vulnérabilités. MITRE, CISA, Google, Red Hat et le JPCERT/CC japonais gèrent chacun leur propre Root au sein du même CVE Program, et une poignée d'organismes de l'UE, dont l'INCIBE-CERT espagnol, Thales et CERT@VDE, détenaient déjà un statut de Root ou de CNA senior avant l'ENISA. Ce qui est nouveau, c'est qu'une agence de l'UE gère désormais l'une de ces branches administratives à une échelle significative, au lieu que les CNA européennes se retrouvent par défaut sous le Root américain faute d'alternative dans l'UE.

La frayeur à laquelle répond cette montée en puissance

Le calendrier n'est pas un hasard. En avril 2025, le contrat de 57,8 millions de dollars entre l'agence américaine de cybersécurité CISA et MITRE, le financement qui fait tourner le coeur opérationnel du CVE Program, devait expirer le 16 avril. La communauté de la sécurité n'a appris que le 15 avril que Washington ne comptait pas le renouveler. La CISA a activé une option contractuelle la veille de l'échéance, achetant une prolongation de 11 mois avec des fonds que des responsables ont qualifiés d'"incrémentaux", et la crise immédiate a été évitée. Mais pendant environ 24 heures, l'infrastructure dont dépend silencieusement quasiment tout programme de gestion des vulnérabilités au monde n'a tenu qu'à une signature.

En janvier 2026, la CISA a indiqué au conseil du CVE Program qu'il n'y aurait pas de rupture de financement en mars et qu'un dispositif de financement plus durable était en place, si bien que le danger aigu, à l'heure où ces lignes sont écrites, est passé. Ce qui n'a pas changé, c'est le fait structurel que cette frayeur a mis au jour : la numérotation CVE pour le monde entier reposait sur un unique contrat fédéral américain, géré par une seule agence, soumis à la politique budgétaire d'un seul pays. Le Root de l'ENISA, et les 20 CNA qui en dépendent aujourd'hui, sont la réponse concrète de l'UE à cette exposition : non pas un remplacement du volet américain du programme, dont l'UE reste dépendante et avec lequel elle continue de coopérer, mais une seconde branche administrative capable de continuer à recruter, former et superviser des CNA dans le périmètre propre de l'UE, quoi qu'il arrive à tel ou tel contrat à Washington.

Ce qui change pour une entreprise européenne, concrètement

Pour l'immense majorité des organisations de l'UE et du Royaume-Uni, quiconque se contente d'exploiter les données CVE pour corriger des systèmes ou alimenter un outil de gestion des vulnérabilités, rien ne change. Un ID CVE délivré sous le Root de l'ENISA est le même type d'identifiant, dans le même registre mondial, qu'un ID délivré sous le Root MITRE ; ce n'est pas un schéma de numérotation parallèle ou incompatible, et cette annonce n'entraîne aucun travail d'intégration.

Ce qui change est plus précis : toute organisation, équipe de recherche ou éditeur de l'UE souhaitant le statut de CNA, c'est-à-dire le droit d'attribuer elle-même ses ID CVE aux vulnérabilités de ses propres produits plutôt que d'attendre qu'un tiers traite la demande, peut désormais être recrutée, évaluée et formée par l'ENISA au lieu de devoir passer par une procédure gérée depuis les États-Unis. La raison invoquée par AISLE elle-même pour demander le statut de CNA rend l'intérêt concret : l'entreprise peut désormais numéroter, le jour même, une vulnérabilité que ses outils d'IA trouvent dans son propre produit, plutôt que de faire la queue derrière une CNA tierce. La NCIA obtient l'équivalent pour tout ce qui est découvert au sein de l'OTAN. Tout éditeur de l'UE menant une recherche interne sérieuse sur les vulnérabilités dispose désormais, sous supervision de l'UE, de l'option qu'il n'avait pas il y a dix-huit mois.

Pourquoi l'ENISA construit cette capacité maintenant

Ce n'est pas la seule échéance d'infrastructure sur les vulnérabilités que l'ENISA doit tenir cette année. À partir du 11 septembre 2026, le Cyber Resilience Act de l'UE obligera les fabricants à signaler à l'ENISA, sous 24 heures, toute vulnérabilité activement exploitée, y compris pour des produits déjà sur le marché, pas seulement les nouveaux. Une agence qui a passé les neuf derniers mois à recruter, former et superviser 20 CNA, et dont le personnel est monté cette année sur scène à Black Hat USA aux côtés des responsables de la réponse aux vulnérabilités de la CISA, construit exactement la capacité opérationnelle dont elle aura besoin pour gérer ce canal de signalement de manière crédible. L'expansion des CNA et l'échéance du Cyber Resilience Act sont des obligations distinctes, mais c'est la même agence qui accomplit le même type de travail, sur le même calendrier, avant une échéance légale qui le rendra obligatoire et non plus volontaire.

À lire ensuite: 45 601 failles, 171 sont vraiment exploitées  |  Vos Mac anciens ont demandé sept tentatives