NATO e uma empresa de IA juntam-se ao Root CVE da UE

Vinte CNA, e a velocidade a que esse número cresceu

A 6 de agosto de 2026, a Agência da UE para a Cibersegurança (ENISA) anunciou que integrou a NATO Communications and Information Agency (NCIA) e a empresa de segurança em IA AISLE como novas Autoridades de Numeração CVE a operar sob o Root da ENISA, elevando o total para 20 CNA: 12 integradas diretamente pela ENISA e 8 transferidas do Root administrado pelos EUA, a MITRE. Hans de Vries, Chief Cybersecurity and Operations Officer da ENISA, associou a expansão ao modo como as vulnerabilidades são hoje descobertas, afirmando que "os desenvolvimentos recentes no panorama global da cibersegurança, associados ao surgimento de modelos de IA de fronteira e ao seu impacto na deteção e exploração de vulnerabilidades, vieram sublinhar a necessidade de construir uma infraestrutura e capacidades sólidas de gestão de vulnerabilidades."

O crescimento é recente e rápido. Segundo a própria contagem da ENISA, no início de maio de 2026 o Root tinha 11 CNA: 4 integradas diretamente e 7 transferidas da MITRE, face a um conjunto de cerca de 90 CNA europeias ainda elegíveis para fazer a mesma transição voluntaria. Três meses depois, o total quase duplicou. A própria ENISA só se tornou Root CVE em novembro de 2025, o que significa que passou de zero a 20 CNA associadas, incluindo uma agência de uma aliança de defesa e uma empresa de segurança nativa de IA, em apenas nove meses.

O que faz um Root que uma CNA não faz

A distinção que a maior parte da cobertura noticiosa ignora é precisamente a que importa a uma empresa europeia que queira perceber se algo disto toca de facto o seu próprio trabalho de conformidade. Uma CNA atribui identificadores CVE a vulnerabilidades dentro do seu âmbito definido, normalmente os seus próprios produtos, e publica os registos CVE resultantes. Um Root situa-se acima de um conjunto de CNA: recruta-as, avaliá-as e formá-as, supervisiona o modo como atribuem os ID e publicam os registos, e responde por elas cumprirem as regras do CVE Program. O estatuto de Root da ENISA, confirmado em novembro de 2025, tornou-a no ponto de contacto central para exatamente este trabalho de recrutamento e supervisão junto dos Estados-Membros da UE, das autoridades da UE, da Rede de CSIRT da UE e dos parceiros de cooperação da ENISA.

A ENISA não é o único Root, e esta expansão não cria um sistema rival de numeração de vulnerabilidades. A MITRE, a CISA, a Google, a Red Hat e a JPCERT/CC japonesa gerem cada uma o seu próprio Root dentro do mesmo CVE Program, e um punhado de organismos da UE, entre eles o INCIBE-CERT espanhol, a Thales e a CERT@VDE, já detinham estatuto de Root ou de CNA senior antes da ENISA. A novidade é que uma agência da UE gere agora um destes ramos administrativos a uma escala relevante, em vez de as CNA europeias recorrerem por defeito à norte-americana por falta de alternativa na UE.

O susto a que esta expansão responde

O momento escolhido não é casual. Em abril de 2025, o contrato de 57,8 milhões de dólares entre a agência norte-americana de cibersegurança CISA e a MITRE, o financiamento que mantém a operação central do CVE Program em funcionamento, devia expirar a 16 de abril. A comunidade de segurança só soube a 15 de abril que Washington não pretendia renová-lo. A CISA acionou uma opção contratual na noite anterior ao prazo, comprando assim uma prorrogação de 11 meses com fundos que responsáveis descreveram como "incrementais", e a crise imediata foi evitada. Mas, durante cerca de 24 horas, a infraestrutura de que quase todos os programas de gestão de vulnerabilidades do mundo dependem silenciosamente esteve a uma assinatura de distância de uma interrupção.

Até janeiro de 2026, a CISA comunicou ao conselho do CVE Program que não haveria um precipício de financiamento em março e que existia um acordo de financiamento mais duradouro, pelo que o perigo agudo, à data desta publicação, já passou. O que não mudou foi o facto estrutural que o susto expôs: a numeração CVE para o mundo inteiro dependia de um único contrato federal norte-americano, administrado por uma única agência, sujeito a política orçamental de um único país. O Root da ENISA, e as 20 CNA que agora dele dependem, são a resposta europeia concreta a essa exposição: não um substituto do lado norte-americano do programa, do qual a UE continua dependente e com o qual continua a cooperar, mas um segundo ramo administrativo capaz de continuar a recrutar, formar e supervisionar CNA no âmbito próprio da UE, independentemente do que acontecer a um determinado contrato em Washington.

O que muda para uma empresa europeia, na prática

Para a esmagadora maioria das organizações da UE e do Reino Unido, qualquer entidade que se limite a usar dados CVE para corrigir sistemas ou alimentar uma ferramenta de gestão de vulnerabilidades, nada muda. Um ID CVE emitido sob o Root da ENISA é o mesmo tipo de identificador, no mesmo registo global, que um ID emitido sob o Root da MITRE; não é um esquema de numeração paralelo ou incompatível, e deste anúncio não resulta qualquer trabalho de integração.

O que muda é mais específico: qualquer organização, equipa de investigação ou fornecedor da UE que queira o estatuto de CNA, ou seja, o direito de atribuir os seus próprios ID CVE às vulnerabilidades dos seus próprios produtos em vez de esperar que terceiros processem o pedido, pode agora ser recrutado, avaliado e formado pela ENISA em vez de ter de passar por um processo administrado a partir dos EUA. A própria razão invocada pela AISLE para pedir o estatuto de CNA torna o benefício prático concreto: a empresa pode agora numerar, no mesmo dia, uma vulnerabilidade que as suas ferramentas de IA encontrem no seu próprio produto, em vez de aguardar na fila atrás de uma CNA externa. A NCIA obtém o equivalente para tudo o que for encontrado dentro da NATO. Qualquer fornecedor da UE com investigação interna séria sobre vulnerabilidades tem agora, sob supervisão da UE, a mesma opção que não tinha há dezoito meses.

Porque é que a ENISA está a construir esta capacidade agora

Este não é o único prazo de infraestrutura de vulnerabilidades que a ENISA tem este ano. A partir de 11 de setembro de 2026, o Regulamento Ciber-Resiliencia da UE obriga os fabricantes a comunicar a ENISA, no prazo de 24 horas, vulnerabilidades ativamente exploradas, o que abrange também produtos já no mercado, e não apenas os novos. Uma agência que passou os últimos nove meses a recrutar, formar e supervisionar 20 CNA, e cujo próprio pessoal subiu este ano ao palco na Black Hat USA junto da liderança da resposta a vulnerabilidades da CISA, está a construir precisamente a capacidade operacional de que vai precisar para gerir esse canal de comunicação com credibilidade. A expansão das CNA e o prazo do Regulamento Ciber-Resiliencia são obrigações distintas, mas é a mesma agência a realizar o mesmo tipo de trabalho, no mesmo calendário, antes de um prazo legal que o tornará obrigatório em vez de voluntário.

Leia a seguir: 45.601 falhas e só 171 estão a ser usadas  |  Os seus Mac antigos exigiram sete tentativas