Европейската агенция за киберсигурност разширява ролята си в управлението на уязвимости, подкрепяйки CSIRT мрежата и партньорите на ЕС.

Основни акценти

• ENISA вече е Root CNA в CVE програмата, което я прави централен контакт за национални власти, EU CSIRTs и кооперативни партньори.

• Може да присвоява CVE идентификатори и да публикува CVE записи за уязвимости, открити или докладвани на EU CSIRTs.

• Подкрепя координацията по управлението на уязвимости в целия ЕС и стандартизира процесите по отчитане и отстраняване на рискове.

• Свързана е с Европейската  база данни за уязвимости (EUVD) и Единната платформа за докладване (SRP) по Закона за киберустойчивост (CRA).

Какво представлява CVE програмата

CVE (Common Vulnerabilities and Exposures) е глобален стандарт за идентифициране, категоризиране и публикуване на уязвимости.

• Създадена през 1999 г., програмата позволява на организации, разработчици и специалисти по киберсигурност бързо да откриват, обсъждат и адресират уязвимости.

• CVE идентификаторите (CVE ID) и CVE записи осигуряват стандартизирана информация за уязвимостите, улеснявайки обмена на данни и координираната реакция.

Ролята на ENISA като Root CNA

С новия си статут ENISA разширява функциите си:

• Подпомага идентифицирането и onboarding на други CNA в рамките на своя мандат.

• Осигурява съответствие с насоките на CVE програмата и развива стандарти за управление на CVE идентификатори.

• Поддържа регистъра на уязвимости и подпомага CSIRT мрежата в координираната обработка на докладвани уязвимости.

• Действа като централен контакт за кооперативни партньори в рамките на ЕС.

ENISA в международен контекст

Като Root CNA, ENISA се присъединява към CVE Council of Roots, заедно с международни организации като MITRE, CISA, Google и Red Hat (САЩ) и JPCERT/CC (Япония).
В ЕС Roots вече са INCIBE Cert, Thales Group и CERT@VDE.

Следващи стъпки за организациите

• Съществуващите CNA, които желаят да преминат под ENISA Root, ще имат доброволен и поетапен процес на преход.

• Целта е безпроблемна координация и продължаваща поддръжка, съобразена с оперативните нужди на всяка организация.

Подобряване на управлението на уязвимости в ЕС

Разширената роля на ENISA позволява:

• Хармонизиране на практиките за CVE и ускоряване на отговорите на уязвимости.

• Повишаване на качеството и своевременното публикуване на CVE записи.

• Укрепване на координацията и доверието между CSIRT, индустрията и публичните власти.

ENISA продължава да работи по:

• Европейската база данни за уязвимости(EUVD) – база данни за уязвимости, поддържана съгласно директивата NIS2.

• Единната платформа за докладване (SRP) – съгласно Закона за киберустойчивост, уведомленията за експлоатирани уязвимости ще станат задължителни за производителите от септември 2026 г.

• Коордирано разкриване на уязвимости (CVD) – ENISA подпомага CSIRT да работят заедно при уязвимости с потенциален значим ефект в повече от една държава членка.

Статутът на Root CNA укрепва капацитета на ЕС да идентифицира, координира и отстранява уязвимости на европейско ниво, като повишава сигурността на софтуер, системи и цифрови услуги.
ENISA се утвърждава като централен орган за стандартизирана и прозрачна обработка на уязвимости, което е ключов елемент за цифровата сигурност и устойчивост на ЕС.