NATO i firma AI dołączają do Rootu CVE Unii Europejskiej

Dwadzieścia CNA - i jak szybko urosła ta liczba

6 sierpnia 2026 roku Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) ogłosiła, że przyjęła NATO Communications and Information Agency (NCIA) oraz firmę bezpieczeństwa AI AISLE jako nowe CVE Numbering Authorities działające w ramach Rootu ENISA, co podnosi łączną liczbę do 20 CNA: 12 przyjętych bezpośrednio przez ENISA i 8 przeniesionych z Rootu administrowanego przez USA, czyli MITRE. Hans de Vries, Chief Cybersecurity and Operations Officer w ENISA, powiązał tę rozbudowę ze sposobem, w jaki dziś odkrywa się podatności, mówiąc, że "ostatnie wydarzenia w globalnym krajobrazie cyberbezpieczeństwa, w połączeniu z pojawieniem się modeli AI na najwyższym poziomie zaawansowania i ich wpływem na wykrywanie oraz wykorzystywanie podatności, uwypukliły potrzebę budowy silnej infrastruktury i silnych zdolności do zarządzania podatnościami."

Wzrost jest świeży i szybki. Według własnego liczenia ENISA z początku maja 2026 roku Root obejmował 11 CNA: 4 przyjęte bezpośrednio i 7 przeniesionych z MITRE, wobec puli około 90 europejskich CNA wciąż uprawnionych do tej samej dobrowolnej zmiany. Trzy miesiace później liczba niemal się podwoiła. Sama ENISA została Rootem CVE dopiero w listopadzie 2025 roku, co oznacza, że w ciągu zaledwie dziewięciu miesięcy przeszła od zera do 20 zrzeszonych CNA, w tym agencji sojuszu obronnego i firmy bezpieczeństwa natywnie zbudowanej wokół AI.

Co robi Root, czego nie robi CNA

Rozróżnienie, które pomija większość doniesień, jest właśnie tym, które liczy się dla europejskiej firmy chcącej wiedzieć, czy cokolwiek z tego w ogóle dotyka jej własnej pracy zgodności z przepisami. CNA nadaje identyfikatory CVE podatnościom w ramach własnego określonego zakresu, zazwyczaj własnych produktów, i publikuje powstałe w ten sposób wpisy CVE. Root stoi ponad grupą CNA: rekrutuje je, ocenia i szkoli, nadzoruje sposób, w jaki nadają identyfikatory i publikują wpisy, oraz odpowiada za to, czy przestrzegają zasad CVE Program. Status Rootu przyznany ENISA, potwierdzony w listopadzie 2025 roku, uczynił agencję centralnym punktem kontaktowym do właśnie tej pracy rekrutacyjnej i nadzorczej wobec państw członkowskich UE, unijnych organów, unijnej sieci CSIRT oraz partnerów współpracujących z ENISA.

ENISA nie jest jedynym Rootem, a ta rozbudowa nie tworzy konkurencyjnego systemu numeracji podatności. MITRE, CISA, Google, Red Hat oraz japońskie JPCERT/CC prowadzą każde swój własny Root w ramach tego samego CVE Program, a garstka podmiotów unijnych, w tym hiszpańskie INCIBE-CERT, Thales oraz CERT@VDE, miały status Rootu lub starszej CNA jeszcze przed ENISA. Nowością jest to, że agencja unijna prowadzi teraz jedna z tych administracyjnych gałęzi na znaczącą skalę, zamiast europejskich CNA trafiających domyślnie pod amerykański Root z braku alternatywy w UE.

Zagrożenie, na które odpowiada ta rozbudowa

Ten moment nie jest przypadkowy. W kwietniu 2025 roku kontrakt amerykańskiej agencji cyberbezpieczeństwa CISA z MITRE, warty 57,8 miliona dolarów - czyli finansowanie utrzymujące w ruchu podstawową działalność CVE Program - miał wygasnąć 16 kwietnia. Środowisko bezpieczeństwa dowiedziało się dopiero 15 kwietnia, że Waszyngton nie planuje go przedłużać. CISA skorzystała z opcji kontraktowej w noc przed terminem, kupując tym samym przedłużenie o 11 miesięcy za środki, które urzędnicy określili jako "przyrostowe", i bezpośredni kryzys został zażegnany. Ale przez około 24 godziny infrastruktura, od której po cichu zależy niemal każdy program zarządzania podatnościami na świecie, dzieliła od zakłócenia jeden brakujący podpis.

Do stycznia 2026 roku CISA poinformowała zarząd CVE, że w marcu nie będzie przepaści finansowej i że wdrożono trwalsze rozwiązanie finansowe, więc ostry stan zagrożenia, jak dotąd, minął. Nie zmienił się natomiast fakt strukturalny, który to zagrożenie obnażyło: numeracja CVE dla całego świata opierała się na jednym amerykańskim kontrakcie federalnym, administrowanym przez jedną agencję, podlegającym polityce budżetowej jednego państwa. Root ENISA i 20 CNA, które teraz do niego należą, to konkretną unijną odpowiedź na tę ekspozycję - nie zastępstwo dla amerykańskiej strony programu, od której UE nadal jest zależna i z którą nadal współpracuje, lecz druga gałąź administracyjna zdolna nadal rekrutować, szkolić i nadzorować CNA we własnym zakresie UE, niezależnie od tego, co stanie się z jednym konkretnym kontraktem w Waszyngtonie.

Co zmienia się dla europejskiej firmy w praktyce

Dla zdecydowanej większości organizacji z UE i Wielkiej Brytanii - każdej, która po prostu korzysta z danych CVE, aby łatać systemy albo zasilać narzędzie do zarządzania podatnościami - nic się nie zmienia. Identyfikator CVE wydany w ramach Rootu ENISA to ten sam rodzaj identyfikatora, w tym samym globalnym rejestrze, co identyfikator wydany w ramach Rootu MITRE; to nie jest równoległy ani niekompatybilny system numeracji, i z tego ogłoszenia nie wynika żadna praca integracyjna.

To, co się zmienia, jest węższe: każda unijna organizacja, zespół badawczy czy dostawca, który chce statusu CNA - czyli prawa do samodzielnego nadawania własnych identyfikatorów CVE podatnościom we własnych produktach zamiast czekania, aż zrobi to za niego strona trzecia - może teraz zostać zrekrutowany, oceniony i przeszkolony przez ENISA zamiast musieć przechodzić przez procedurę administrowaną z USA. Własne uzasadnienie AISLE dla ubiegania się o status CNA czyni praktyczną korzyść namacalną: firma może teraz, tego samego dnia, ponumerować podatność, którą jej narzędzia AI znajdą we własnym produkcie, zamiast czekać w kolejce za zewnętrzną CNA. NCIA otrzymuje odpowiednik dla wszystkiego, co zostanie znalezione wewnątrz NATO. Każdy unijny dostawca prowadzący poważne wewnętrzne badania nad podatnościami ma teraz, pod nadzorem UE, tę samą możliwość, której nie miał osiemnaście miesięcy temu.

Dlaczego ENISA buduje tę zdolność właśnie teraz

To nie jedyny w tym roku termin dotyczący infrastruktury podatności, przed którym stoi ENISA. Od 11 września 2026 roku unijny Cyber Resilience Act zobowiązuje producentów do zgłaszania ENISA aktywnie wykorzystywanych podatności w ciągu 24 godzin - i dotyczy to także produktów już obecnych na rynku, nie tylko nowych. Agencja, którą ostatnie dziewięć miesięcy spędziła na rekrutowaniu, szkoleniu i nadzorowaniu 20 CNA, i której własni pracownicy stanęli w tym roku na scenie podczas Black Hat USA obok kierownictwa zespołu reagowania na podatności CISA, buduje dokładnie tę operacyjną zdolność, której będzie potrzebować, by wiarygodnie prowadzić ten kanal zgłaszania. Rozbudowa CNA i termin CRA to odrębne obowiązki, ale to ta sama agencja wykonuje ten sam rodzaj pracy, według tego samego harmonogramu, przed ustawowym terminem, który uczyni to obowiązkowym zamiast dobrowolnym.

Czytaj dalej: 45 601 luk, a naprawdę używanych jest 171  |  Twoje starsze Maki wymagały siedmiu podejść