Europa tar mer kontroll over sårbarhetsregisteret, og NATOs IT-byrå blir med

ENISA meldte 6. august 2026 at NATOs kommunikasjons- og informasjonsbyrå, NCIA, og selskapet AISLE er blitt tildelende organ for CVE-numre under ENISA Root. Et slikt organ har rett til å tildele CVE-numre for sårbarheter innenfor sitt eget ansvarsområde. ENISA ble selv en rot i CVE-programmet i november 2025, og er dermed kontaktpunktet i programmet for EUs medlemsland, for EU-organer og for medlemmene i CSIRT-nettverket. Ifølge ENISA er det nå tjue tildelende organer under ENISA Root, hvorav åtte er flyttet over fra MITRE Root. Hans de Vries, ENISAs operative sjef for cybersikkerhet, uttaler at utviklingen den siste tiden har understreket behovet for å bygge solid infrastruktur for sårbarhetshåndtering.

Hva som skjer teknisk

CVE-programmet er navnesystemet for sårbarheter. Når en svakhet blir kjent, får den et CVE-nummer, og det nummeret er den felles nøkkelen alt annet henges på. Skannere, leverandørvarsler, nasjonale databaser og risikoverktøy viser til det samme nummeret. Uten et slikt felles navn ville den samme sårbarheten hatt ulik betegnelse i hvert verktøy, og det ville vært umulig å vite om to varsler handlet om samme sak. Programmet er bygget i lag. Et tildelende organ, på engelsk CVE Numbering Authority, gir ut numre innenfor et avgrenset område, typisk sine egne produkter. En rot rekrutterer, lærer opp og fører tilsyn med slike organer, og passer på at reglene i programmet følges. Det er denne rollen ENISA nå fyller for Europa.

Ved siden av dette fører ENISA den europeiske sårbarhetsdatabasen EUVD, som ble åpnet 13. mai 2025. Databasen samler informasjon fra CSIRT-er, leverandører og eksisterende databaser, og viser den i tre oversikter: kritiske sårbarheter, sårbarheter som utnyttes, og sårbarheter som er håndtert gjennom europeisk koordinering. EUVD har egne løpenumre, men de er koblet til CVE-numrene fra MITRE. Det er et bevisst valg, og omtalen av lanseringen beskriver poenget som kompatibilitet framfor konkurranse. Grunnlaget er NIS2, som pålegger ENISA å føre et europeisk register over sårbarheter. Ifølge Industrial Cyber er hjemmelen artikkel 12 i direktivet.

Bakgrunnen for at dette hastet, ligger i april 2025. MITRE varslet da offentlig at kontrakten for å drive CVE-programmet var i ferd med å løpe ut. Programmet var nær ved å stanse 16. april, og amerikanske CISA forlenget finansieringen i siste liten. Episoden varte i under to døgn, men den viste noe som ikke gikk over igjen. Navnesystemet all verdens sårbarhetshåndtering hviler på, var avhengig av én kontrakt i ett land. ENISA framskyndet lanseringen av EUVD etter dette, og databasen kom raskere på lufta enn opprinnelig planlagt.

At NCIA nå blir tildelende organ under ENISA Root, er derfor ikke bare en administrativ detalj. NATOs kommunikasjonsbyrå leverer og drifter systemer for alliansen. Når et slikt miljø tildeler CVE-numre gjennom den europeiske roten, går varslingen om egne sårbarheter gjennom europeisk infrastruktur. Det andre organet, AISLE, beskrives av ENISA som et selskap innen kunstig intelligens og cybersikkerhet. Tallene ENISA oppgir, forteller likevel retningen tydeligere enn enkeltnavnene gjør. Åtte av de tjue organene under den europeiske roten er flyttet fra MITRE Root. Dette er altså ikke bare oppbygging av noe nytt ved siden av det bestående, det er også forflytning av ansvar som allerede fantes.

Hva det betyr for deg som følger sårbarheter profesjonelt

Dette handler om digital suverenitet, og det er verdt å si hva ordet betyr for deg. Det betyr ikke at Europa skal bygge sitt eget alternativ til alt. Det betyr at kritiske fellesfunksjoner ikke skal kunne stanse fordi en beslutning tas et annet sted. Sårbarhetsvarslingen du bygger arbeidet ditt på, er en slik funksjon. Den er billig å drive og ubetalelig den dagen den mangler. Sårbarhetsdata er dessuten etterretning, i den forstand at de forteller hvor noe er svakt, og hvem som vet det først. En union som ikke selv kan tildele navn på svakheter i egne systemer, er avhengig av at noen andre gjør det i tide. Hendelsen i april 2025 viste at avstanden mellom et fungerende og et stanset system var én kontraktsfornyelse. Europa svarte ikke med å forlate samarbeidet, men med å bygge en parallell vei som peker til de samme numrene.

Avveiningen er reell, og den går begge veier. Ett felles navnesystem er en styrke, fordi alle da snakker om nøyaktig samme sårbarhet. To registre kan bli en svakhet, dersom de begynner å avvike i innhold, tidspunkt eller vurdering. Så lenge EUVD peker til CVE-numrene, er dette redundans av det nyttige slaget. Svekkes koblingen, blir det fragmentering, og da er det du på forsvarssiden som betaler regningen i form av dobbeltarbeid. At NATOs kommunikasjonsbyrå velger den europeiske roten, trekker i retning av at infrastrukturen skal være reell og ikke symbolsk. Samtidig oppgir ENISA selv å beholde kompetanse under MITRE Root, så dette er ikke et brudd med det amerikanskdrevne programmet, men en fordeling av risiko innenfor det. For deg i Norge er den praktiske følgen mindre dramatisk enn overskriftene. CVE-nummeret er fortsatt nøkkelen, og verktøyene dine fungerer som før. Det som endrer seg, er hvor informasjonen kommer fra, og hvor tidlig europeisk koordinerte saker blir synlige for deg. Berigos vurdering er at du bør lese begge kildene og bruke CVE-nummeret som felles nøkkel mellom dem.

Berigo anbefaler

• Følg både den amerikanske og den europeiske sårbarhetsdatabasen, og bruk CVE-nummeret som felles nøkkel mellom dem.
• Kontroller at verktøyene dere bruker, henter fra mer enn én kilde, slik at ett utfall ikke gjør dere blinde.
• Merk hvilke av leverandørene deres som selv er tildelende organ, siden varselet da kommer fra kilden og ofte tidligere.
• Ta med avhengigheten av eksterne sårbarhetsregistre i beredskapsplanen, som en leveranse dere ikke styrer selv.
• Følg med på om de to registrene begynner å avvike i innhold eller tidspunkt, fordi det er der en eventuell fragmentering vil vise seg først.