Сеть CNA под управлением ENISA выросла до 20 организаций.

Агентство Европейского союза по кибербезопасности ENISA сообщило, что в иерархии ENISA Root теперь находятся 20 организаций со статусом CVE Numbering Authority (CNA). Двенадцать из них ENISA самостоятельно подключила к программе, а ещё восемь действующих CNA перешли из иерархии MITRE Top-Level Root в ENISA Root. Для существующих CNA такой переход является добровольным.

CNA (CVE Numbering Authority) является уполномоченным участником программы CVE, который присваивает идентификаторы CVE и публикует CVE-записи в пределах закреплённой за ним области полномочий. Обычно CNA является организацией, но такой статус может иметь и отдельный независимый ИБ-исследователь. Координация раскрытия может входить в работу CNA, но основными функциями остаются присвоение идентификатора и публикация записи.

Новые CNA под ENISA Root

Новыми CNA под ENISA Root стали Центр кибербезопасности НАТО (NCSC) и компания AISLE, работающая в области ИИ и кибербезопасности. NCSC входит в Агентство связи и информации НАТО (NCIA), которое через этот центр предоставляет технические услуги кибербезопасности в масштабах НАТО. Центр может присваивать идентификаторы CVE уязвимостям в готовом коммерческом ПО (COTS), отобранном для включения в перечень программного обеспечения, одобренного НАТО (NATO Approved Software List, A2SL). Область полномочий AISLE как CNA ограничена продуктами самой компании.

Опубликованная политика AISLE распространяется также на найденные компанией уязвимости в стороннем ПО, включая компоненты с открытым исходным кодом. Однако это не расширяет область полномочий AISLE как CNA. Для присвоения CVE ID находкам за её пределами компания работает с соответствующей CNA или CNA последней инстанции (CNA-LR). Если поставщик затронутого продукта сам является CNA, то AISLE уведомляет его и передаёт присвоение идентификатора этой CNA.

ENISA обладает статусом CNA с января 2024 года, а в ноябре 2025 года агентство стало CVE Root. В роли Root ENISA может подключать, обучать, поддерживать и администрировать CNA в пределах своего мандата, а также следить за соблюдением правил программы. ENISA не становится Root для всех европейских CNA автоматически, поскольку переход действующих организаций под его управление остаётся добровольным.

Расширение происходит незадолго до начала применения требований Cyber Resilience Act об обязательной отчётности. С 11 сентября 2026 года производители продуктов с цифровыми элементами, поставляемых на рынок ЕС, должны будут сообщать через Единую платформу отчётности (Single Reporting Platform, SRP) об активно эксплуатируемых уязвимостях в этих продуктах, а также о серьёзных инцидентах, влияющих на их безопасность.

Фактически ENISA формирует европейский административно-координационный узел внутри глобальной программы CVE. Согласно официальной структуре программы, ENISA Root остаётся частью иерархии MITRE Top-Level Root и единого глобального пространства идентификаторов CVE.