ENISA assume papel de Root no programa CVE

A ENISA tornou-se CVE Program-Root, assumindo funções centrais no ecossistema internacional de gestão de vulnerabilidades. No comunicado, pode ler-se que esta mudança transforma a ENISA num ponto único de contacto para autoridades nacionais e europeias, membros da rede de CSIRT da União Europeia e parceiros enquadrados pelo seu mandato.

A atribuição do estatuto de Root representa um reforço do trabalho que a ENISA já desempenhava enquanto CNA, função que lhe permite atribuir ID CVE e publicar registos sobre vulnerabilidades detetadas ou reportadas aos CSIRT da UE. A agência sublinha no comunicado que, ao expandir responsabilidades, passa também a identificar, integrar e apoiar outras CNA no seu âmbito, assegurando que práticas, normas e procedimentos do programa CVE são seguidos e continuamente evoluídos.

A agência destaca que esta mudança está alinhada com o investimento europeu no fortalecimento da coordenação de vulnerabilidades. Entre os instrumentos em curso estão a Base de Dados Europeia de Vulnerabilidades e as novas atribuições decorrentes do Cyber Resilience Act, que incluem a criação da Plataforma Única de Reporte e a orientação a fabricantes sobre conformidade. Segundo o comunicado, estas iniciativas convergem para “reforçar a capacidade da União para gerir e coordenar vulnerabilidades de ciberataque, e melhorar a segurança digital no espaço europeu”.

O processo de transição para organizações que pretendam integrar o seu âmbito enquanto Root, segundo afirma a ENISA, será faseado, voluntário e acompanhado caso a caso, garantindo alinhamento com necessidades operacionais específicas.

A ENISA aponta ainda que este trabalho se articula com iniciativas como a EUVD, operação que já se encontra ativa ao abrigo da NIS2; a Plataforma Única de Reporte, que será obrigatória para fabricantes em 2026; e o apoio contínuo aos CSIRT europeus no âmbito de Coordinated Vulnerability Disclosure. A agência reforça que estas responsabilidades espelham o compromisso com um ecossistema digital europeu “seguro, resiliente e inovador”.

O novo estatuto coloca a ENISA no CVE Program Council of Roots, onde se encontram organizações como a MITRE, a CISA, a Google, a Red Hat ou o JPCERT/CC. No contexto da UE, a agência junta-se ao INCIBE-CERT, ao Grupo Thales e ao CERT@VDE.