Venti CNA, e la velocità con cui si è arrivati a questo numero
Il 6 agosto 2026 l'Agenzia dell'UE per la cibersicurezza (ENISA) ha annunciato di aver inserito la NATO Communications and Information Agency (NCIA) e la società di sicurezza IA AISLE come nuove CVE Numbering Authority operative sotto il Root ENISA, portando il totale a 20 CNA: 12 inserite direttamente dall'ENISA e 8 trasferite dal Root statunitense, MITRE. Hans de Vries, Chief Cybersecurity and Operations Officer dell'ENISA, ha collegato l'espansione al modo in cui oggi si scoprono le vulnerabilità, dichiarando che "i recenti sviluppi nel panorama globale della cibersicurezza, insieme all'emergere dei modelli di IA di frontiera e al loro impatto sulla scoperta e sullo sfruttamento delle vulnerabilità, hanno sottolineato la necessità di costruire un'infrastruttura e capacità solide per la gestione delle vulnerabilità."
La crescita è recente e rapida. Secondo il conteggio della stessa ENISA di inizio maggio 2026, il Root contava 11 CNA: 4 inserite direttamente e 7 trasferite da MITRE, a fronte di un bacino di circa 90 CNA europee ancora idonee a compiere lo stesso passaggio volontario. Tre mesi dopo, il totale è quasi raddoppiato. La stessa ENISA è diventata Root CVE solo nel novembre 2025, il che significa che è passata da zero a 20 CNA associate, tra cui un'agenzia di un'alleanza militare e una società di sicurezza nativa dell'IA, in appena nove mesi.
Cosa fa un Root che una CNA non fa
La distinzione che gran parte della copertura mediatica ignora è proprio quella che conta per un'azienda europea che vuole capire se tutto ciò tocca davvero il proprio lavoro di conformità. Una CNA assegna identificativi CVE per le vulnerabilità nel proprio ambito definito, di norma i propri prodotti, e pubblica i record CVE risultanti. Un Root sta sopra un insieme di CNA: le recluta, le valuta e le forma, sorveglia come assegnano gli ID e pubblicano i record, e risponde del fatto che rispettino le regole del CVE Program. Lo status di Root dell'ENISA, confermato nel novembre 2025, l'ha resa il punto di contatto centrale per questo lavoro di reclutamento e sorveglianza tra gli Stati membri dell'UE, le autorità dell'UE, la rete dei CSIRT dell'UE e i partner cooperanti dell'ENISA.
L'ENISA non è l'unico Root, e questa espansione non crea un sistema rivale di numerazione delle vulnerabilità. MITRE, CISA, Google, Red Hat e il JPCERT/CC giapponese gestiscono ciascuno un proprio Root all'interno dello stesso CVE Program, e alcuni organismi dell'UE, tra cui l'INCIBE-CERT spagnolo, Thales e CERT@VDE, avevano già status di Root o di CNA senior prima dell'ENISA. La novità è che ora un'agenzia dell'UE gestisce uno di questi rami amministrativi su una scala rilevante, invece che le CNA europee finiscano per default su quello statunitense per assenza di un'alternativa nell'UE.
Lo spavento a cui risponde questa espansione
Il momento scelto non è casuale. Nell'aprile 2025 il contratto da 57,8 milioni di dollari tra l'agenzia statunitense per la cibersicurezza CISA e MITRE, il finanziamento che tiene in funzione il nucleo operativo del CVE Program, doveva scadere il 16 aprile. La comunità della sicurezza ha scoperto solo il 15 aprile che Washington non intendeva rinnovarlo. La CISA ha esercitato un'opzione contrattuale la notte prima della scadenza, ottenendo una proroga di 11 mesi con fondi che i funzionari hanno definito "incrementali", e la crisi immediata è stata scongiurata. Ma per circa 24 ore, l'infrastruttura da cui dipende silenziosamente quasi ogni programma di gestione delle vulnerabilità al mondo è stata a una firma dall'interruzione.
Entro gennaio 2026 la CISA ha comunicato al consiglio del CVE Program che a marzo non ci sarebbe stato un precipizio di finanziamento e che era in vigore un accordo più duraturo, quindi il pericolo acuto, a oggi, è passato. Ciò che non è cambiato è il dato strutturale che lo spavento ha messo a nudo: la numerazione CVE per il mondo intero passava attraverso un unico contratto federale statunitense, amministrato da un'unica agenzia, soggetto alla politica di bilancio di un solo paese. Il Root dell'ENISA, e le 20 CNA che oggi vi fanno capo, sono la risposta europea concreta a questa esposizione: non un sostituto della parte statunitense del programma, da cui l'UE continua a dipendere e con cui continua a collaborare, ma un secondo ramo amministrativo capace di continuare a reclutare, formare e sorvegliare CNA nel proprio ambito UE indipendentemente da ciò che accade a un singolo contratto a Washington.
Cosa cambia per un'azienda europea, in pratica
Per la grande maggioranza delle organizzazioni UE e britanniche, chiunque usi i dati CVE per applicare patch ai sistemi o alimentare uno strumento di gestione delle vulnerabilità, non cambia nulla. Un ID CVE rilasciato sotto il Root dell'ENISA è lo stesso tipo di identificativo, nello stesso registro globale, di uno rilasciato sotto il Root MITRE; non è uno schema di numerazione parallelo o incompatibile, e da questo annuncio non deriva alcun lavoro di integrazione.
Ciò che cambia è più circoscritto: qualsiasi organizzazione, team di ricerca o fornitore dell'UE che voglia lo status di CNA, cioè il diritto di assegnare da solo gli ID CVE alle vulnerabilità dei propri prodotti invece di aspettare che un terzo evada la richiesta, può ora essere reclutato, valutato e formato dall'ENISA invece di dover passare per un processo amministrato dagli Stati Uniti. La stessa motivazione data da AISLE per richiedere lo status di CNA rende concreto il beneficio pratico: l'azienda può ora numerare, lo stesso giorno, una vulnerabilità che i suoi strumenti di IA trovano nel proprio prodotto, invece di mettersi in coda dietro una CNA esterna. L'NCIA ottiene l'equivalente per tutto ciò che viene trovato all'interno della NATO. Qualsiasi fornitore UE con una seria ricerca interna sulle vulnerabilità ha ora, sotto la sorveglianza dell'UE, la stessa opzione che non aveva diciotto mesi fa.
Perché l'ENISA sta costruendo ora questa capacità
Non è l'unica scadenza sull'infrastruttura delle vulnerabilità che l'ENISA ha quest'anno. Dall'11 settembre 2026 il Cyber Resilience Act dell'UE obbliga i produttori a segnalare all'ENISA entro 24 ore le vulnerabilità sfruttate attivamente, e questo copre anche i prodotti già sul mercato, non solo quelli nuovi. Un'agenzia che ha passato gli ultimi nove mesi a reclutare, formare e sorvegliare 20 CNA, e il cui personale è salito sul palco quest'anno a Black Hat USA insieme ai vertici della risposta alle vulnerabilità della CISA, sta costruendo esattamente la capacità operativa di cui avrà bisogno per gestire con credibilità quel canale di segnalazione. L'espansione delle CNA e la scadenza del Cyber Resilience Act sono obblighi distinti, ma è la stessa agenzia a svolgere lo stesso tipo di lavoro, nello stesso arco temporale, prima di una scadenza legale che lo renderà obbligatorio anziché volontario.
Da leggere ora: 45.601 falle, solo 171 vengono davvero usate | I Mac più vecchi hanno richiesto sette tentativi
