// CLUBIC — CYBERSECURITY
Comment l'ENISA est devenue un pivot du programme CVE en neuf mois
L'agence des communications de l'Alliance et une société spécialisée en IA deviennent autorités d'attribution CVE sous supervision européenne. Vingt organisations dépendent désormais de la racine ENISA, dont huit reprises à MITRE.
En avril 2025, le programme CVE a frôlé l'extinction quand le financement de MITRE est arrivé à échéance sans reconduction immédiate. Quinze mois plus tard, l'Europe dispose de sa propre porte d'entrée dans ce référentiel mondial des failles. L'ENISA a annoncé le 6 août l'arrivée de deux nouvelles organisations sous sa racine.
La première est la NATO Communications and Information Agency, bras technique de l'Alliance atlantique. La seconde, AISLE, est présentée comme un acteur du croisement entre intelligence artificielle et cybersécurité. Toutes deux deviennent CNA, ces autorités habilitées à attribuer des identifiants CVE et à publier les fiches correspondantes. Une sorte d'état civil des vulnérabilités, sans lequel deux équipes de sécurité parlant de la même faille ne sauraient jamais qu'elles parlent de la même chose.
L'agence européenne supervise maintenant vingt de ces autorités, dont douze qu'elle a formées elle-même et huit qui ont quitté la racine MITRE pour la sienne. Le mouvement peut encore s'amplifier, puisque plus de quatre-vingt-dix CNA européennes restent éligibles à un transfert volontaire, sur les 510 que compte le programme dans 42 pays. L'Europe pèse ainsi près d'un cinquième du dispositif mondial, aux côtés des racines historiques que sont MITRE, la CISA américaine, Google, Red Hat et le JPCERT/CC japonais. Trois racines opèrent déjà depuis l'Union : l'espagnole INCIBE-CERT, l'allemande CERT@VDE et le groupe français Thales.
CNA depuis janvier 2024, l'ENISA n'est devenue racine qu'en novembre 2025, avant d'intégrer quatre organisations en mai puis deux en août, soit une montée en puissance bouclée en moins de deux ans. Elle pilote par ailleurs la base européenne des vulnérabilités prévue par la directive NIS2, et hébergera la plateforme unique par laquelle les fabricants devront signaler leurs failles exploitées au titre du Cyber Resilience Act.
Pour une entreprise française qui suit ses vulnérabilités, l'adresse à consulter cesse peu à peu d'être uniquement américaine.