NIST triagiert. Europa ist nicht bereit. Die Lücke in der Vulnerability Intelligence wird real.

Am 15. April 2026 hat NIST leise die Regeln des Vulnerability Managements geändert. Nicht durch etwas Neues, sondern durch das Eingeständnis, dass das alte Modell nicht mehr funktioniert. Die National Vulnerability Database wird nicht mehr jedes eingehende CVE anreichern. Nach einem Anstieg der Einreichungen um 263 % zwischen 2020 und 2025 und einem Beginn des Jahres 2026, der um ein Drittel über dem gleichen Zeitraum des Vorjahres liegt, wechselt NIST zu einer risikobasierten Triage.

Wer in Europa im Vulnerability Management, in der Threat Intelligence oder in der Compliance arbeitet, für den ist das relevant. Nicht als fernes Infrastrukturproblem, sondern als etwas, das direkt die Daten betrifft, die die eigenen Werkzeuge einlesen, die Scores, die die eigenen Scanner melden, und die Intelligence, auf die sich Analysten tagtäglich verlassen.

Was NIST tatsächlich geändert hat

Die Ankündigung legt es klar dar. Künftig wird NIST die Anreicherung für drei Kategorien von CVEs priorisieren:

Schwachstellen, die im Known Exploited Vulnerabilities (KEV) Catalog der CISA gelistet sind, mit dem Ziel der Anreicherung innerhalb eines Werktags.
CVEs, die Software betreffen, welche die US-Bundesregierung einsetzt.
Schwachstellen in „kritischer Software“ im Sinne der Executive Order 14028.

Alles andere erscheint weiterhin in der NVD, wird aber als „Not Scheduled“ markiert, statt die übliche Anreicherung zu erhalten: CVSS-Bewertung, CWE-Klassifizierung, CPE-Anwendbarkeitsangaben und Referenzlinks. NIST wird zudem aufhören, routinemäßig eigene Schweregrad-Scores zu erzeugen, wenn die CVE Numbering Authority (CNA) bereits einen eingereicht hat. Rund 18.000 zuvor zurückgestellte CVEs werden neu klassifiziert, und alle vor dem 1. März 2026 veröffentlichten CVEs aus dem Rückstau wandern in die Kategorie „Not Scheduled“.

Nutzer können die Anreicherung bestimmter CVEs per E-Mail an nvd@nist.gov anfordern. Wie schnell diese Anfragen bearbeitet werden, bleibt offen.

Die eigene Prozessdokumentation der NVD macht deutlich, was die Anreicherung hinzufügt: CVSS-Scores, CWE-Zuordnungen, CPE-Anwendbarkeitsdaten und kuratierte Referenzen. Das sind die Schichten, die aus einem CVE-Identifier etwas operativ Nutzbares machen. Ohne sie ist ein CVE-Eintrag ein Rumpf: ein Name, eine Beschreibung und das, was die CNA zum Zeitpunkt der Einreichung mitgeliefert hat.

Das ist nicht die erste Warnung

Wer aufmerksam war, hat das kommen sehen. Im April 2025 hätte das MITRE-CVE-Programm beinahe seine Finanzierung vollständig verloren, als der Vertrag der US-Regierung auszulaufen drohte. Die CISA verlängerte die Finanzierung in letzter Minute, und eine Gruppe von Mitgliedern des CVE Board gründete die CVE Foundation als Non-Profit-Organisation, um künftige Single-Point-of-Failure-Szenarien zu verhindern.

Die Lehre aus dieser Episode war klar: Eine globale Schwachstelleninfrastruktur, die von der Finanzierung und den Prioritäten einer einzelnen Regierung abhängt, ist strukturell fragil. Die Ankündigung von NIST im April 2026 ist dieselbe Lehre in anderer Ausprägung. Das CVE-Programm hat seinen Finanzierungsschreck überstanden. Die NVD hat ihren Bearbeitungsrückstau von 2024 überstanden. Aber jedes Mal bestand die Antwort darin, den Geltungsbereich einzuengen, statt die Kapazität auszuweiten. Die Entwicklungsrichtung ist unverkennbar.

Warum Europa genau hinschauen sollte

Die Triage-Kriterien von NIST sind durch US-Bundesinteressen definiert. Die Definition von „kritischer Software“ in der EO 14028 spiegelt die Beschaffung der US-Regierung wider. Der KEV-Katalog ist zwar global wertvoll, wird aber von der CISA auf Basis von Ausnutzung gepflegt, die in US-Bundesnetzen beobachtet wird oder für sie relevant ist. Software, die die US-Bundesregierung einsetzt, ist per Definition eine US-zentrierte Perspektive.

Das erzeugt eine strukturelle Verzerrung. Software europäischer Hersteller, Open-Source-Projekte, die in europäischen Unternehmen beliebt, in US-Behördenumgebungen aber seltener sind, und Schwachstellen in Systemen, die vorwiegend in EU-regulierten Branchen eingesetzt werden, landen mit höherer Wahrscheinlichkeit in „Not Scheduled“. Die Anreicherungslücke ist nicht zufällig. Sie wird durch die Prioritäten der Institution geformt, die die Anreicherung vornimmt.

Für europäische Organisationen, die unter NIS2, DORA oder den Cyber Resilience Act fallen, hat das operative Folgen. NIS2 verlangt die Meldung erheblicher Vorfälle innerhalb von 24 Stunden. DORA schreibt für kritische Finanzunternehmen eine Meldung innerhalb von vier Stunden vor. Und ab dem 11. September 2026 verlangt der CRA von Herstellern, aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden über die Single Reporting Platform der ENISA zu melden, mit vollständiger Benachrichtigung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb von 14 Tagen.

Diese Fristen einzuhalten erfordert Kontext. Man muss wissen, ob eine Schwachstelle aktiv ausgenutzt wird, welche Produkte betroffen sind und wie schwerwiegend die Auswirkung ist. Wenn die wichtigste öffentliche Quelle für diesen Kontext gerade angekündigt hat, ihn für einen großen Teil der CVEs nicht mehr bereitzustellen, verschiebt sich die Compliance-Rechnung. Organisationen müssen diese Intelligence entweder selbst erzeugen oder aus einer anderen Quelle als der NVD beziehen.

Die EUVD: richtige Idee, falscher Zeitpunkt

Europa hat dieses Abhängigkeitsrisiko kommen sehen. Artikel 12 der NIS2-Richtlinie schreibt eine European Vulnerability Database (EUVD) vor, betrieben von der ENISA. Die Datenbank ist live, die ENISA ist als CVE Numbering Authority in Betrieb, und die Behörde arbeitet darauf hin, eine Top-Level-Root-CNA für das CVE-Programm zu werden.

Die Absicht ist stimmig. Nuno Rodrigues Carvalho, Head of Incident and Vulnerability Services bei der ENISA, stellte ausdrücklich fest, dass „ein globaler Dienst des Gemeinwohls von solcher Bedeutung nicht übermäßig von einem potenziellen Single Point of Failure abhängen sollte“, unabhängig von der Ursache. Das ist genau richtig.

Aber die EUVD ist nicht bereit, die Lücke zu füllen, die NIST gerade geschaffen hat. Eine im Februar 2026 veröffentlichte empirische Studie hat den tatsächlichen Zustand der EUVD untersucht und reale Lücken festgestellt:

Geografische Konzentration. Das spanische INCIBE weist mehr Schwachstellen zu als alle anderen öffentlichen Stellen der EU zusammen. Polen liegt an zweiter Stelle. Die meisten Mitgliedstaaten haben sich nicht nennenswert beteiligt.

Minimale Koordinierung durch die ENISA. Die ENISA selbst hat nur etwa 2,1 % aller in der EUVD archivierten Schwachstellen koordiniert, obwohl sie die dafür beauftragte Behörde ist.

Keine Bewertung der Ausnutzung. Zwischen Einträgen zu aktiv ausgenutzten Schwachstellen (AEV) und von ENISA/CSIRT koordinierten Einträgen besteht keinerlei Überschneidung. Die Autoren der Studie folgerten, dass „das europäische CSIRT-Netzwerk und die ENISA nicht aktiv bewertet haben, ob Schwachstellen aktiv ausgenutzt werden“.

Inkonsistente Datenqualität. Vier verschiedene CVSS-Versionen existieren nebeneinander in der Datenbank. Die Methoden zur Bewertung der Ausnutzung sind nicht dokumentiert. Die Abdeckung von Open-Source-Software ist dünn: Nur 325 Schwachstellen tragen GitHub-Security-Advisory-Identifier.

Der Titel der Studie selbst bringt die Lage auf den Punkt: „The Baby Steps of the European Union Vulnerability Database.“

Das ist keine Kritik an der Ambition der ENISA. Eine kontinentale Schwachstellendatenbank von Grund auf aufzubauen ist schwierig. Aber das Problem ist der zeitliche Versatz. NIST triagiert jetzt. Die CRA-Durchsetzung beginnt in fünf Monaten. Die EUVD ist noch in der Beta-Phase, mit unvollständiger Beteiligung der Mitgliedstaaten und ungeklärten methodischen Standards. Die Abhängigkeit, vor der Carvalho gewarnt hat, materialisiert sich bereits, und die europäische Alternative ist noch nicht reif genug, um den Einschlag aufzufangen.

Der nachgelagerte Effekt

Die Herausforderung der EUVD wird durch ihr Verhältnis zur NVD verschärft. Ein großer Teil der Anreicherungs-Metadaten der EUVD wird aus bestehenden Quellen aggregiert, darunter die NVD. Wenn die NVD ein CVE nicht mehr anreichert, hat die EUVD weniger zu aggregieren. Die Verschlechterung kaskadiert.

Das bedeutet, dass europäische Organisationen vor einer doppelten Lücke stehen: Die NVD liefert weniger, und die EUVD kann das noch nicht eigenständig ausgleichen. Für die Teilmenge der CVEs, die außerhalb der Prioritätskategorien von NIST liegen und zugleich keine ENISA/CSIRT-Koordinierung aufweisen (was laut den empirischen Daten eine große Teilmenge ist), gibt es derzeit keine verlässliche öffentliche Quelle für standardisierte Anreicherung.

Das ist eine neue Situation. Über zwei Jahrzehnte lang lautete die Annahme im Vulnerability Management, dass die NVD am Ende alles normalisieren und anreichern würde, was wichtig genug ist. Security-Werkzeuge, Scanner, SIEMs, GRC-Plattformen und Compliance-Frameworks wurden auf dieser Annahme aufgebaut. NIST hat sie gerade offiziell verabschiedet.

Was das Schließen dieser Lücke tatsächlich erfordert

Die Versuchung besteht darin, die Triage der NVD als einfache Chance zu deuten: Wenn NIST nicht mehr anreichert, tut es eben jemand anderes. Das stimmt teilweise, unterschätzt aber, was „Anreicherung“ tatsächlich umfasst.

Die Anreicherung durch die NVD besteht nicht nur darin, einem CVE-Eintrag einen CVSS-Score aufzudrücken. Sie umfasst CPE-Anwendbarkeitsangaben (welche Produkte und Versionen betroffen sind), CWE-Klassifizierung (um welche Art von Schwäche es sich handelt), kuratierte Referenzen und in vielen Fällen eine Neuanalyse, wenn sich vorgelagerte Daten ändern. Das im großen Maßstab zu replizieren erfordert tiefes technisches Verständnis, eine konsistente Methodik und die Fähigkeit, Zehntausende von Einträgen pro Jahr zu verarbeiten.

Mehrere Signale können fehlende NVD-Anreicherung teilweise kompensieren. EPSS, das von FIRST gepflegte Exploit Prediction Scoring System, liefert eine wahrscheinlichkeitsbasierte Schätzung der Ausnutzung innerhalb von 30 Tagen, kontinuierlich per maschinellem Lernen aktualisiert. Der KEV-Katalog der CISA liefert ein hochzuverlässiges Signal für bekannte Ausnutzung, deckt aber nur einen kleinen Teil der ausgenutzten Schwachstellen ab. Hersteller-Advisories, von CNAs bereitgestellte Metadaten und Exploit-Datenbanken wie Exploit-DB steuern jeweils Teile bei.

Aber keines davon ersetzt, einzeln oder zusammen, das, was die NVD-Anreicherung als einheitliche, standardisierte Schicht geliefert hat. Die Lücke liegt nicht nur in der Datenverfügbarkeit. Sie liegt in der Konsistenz, der Abdeckung und der Art strukturierter Metadaten, die es automatisierten Werkzeugen erlauben, Schwachstellen bestimmten Produkten und Umgebungen zuzuordnen.

Wer in diese Lücke tritt, ob kommerzieller Anbieter, Open-Source-Projekt oder Behörde, wird an dem Anspruchsniveau gemessen, das die NVD gesetzt hat. Kunden und Regulierer werden wissen wollen: Woher stammt eine Produktzuordnung? Warum wird dieses CVE ohne NVD-Anreicherung als hoch priorisiert eingestuft? Welche Belege stützen eine aktive Ausnutzung? Wie sicher ist das System? Der Schritt von NIST schafft Raum, aber er erhöht auch die Erwartungen.

Fünf Dinge, die sich für Security-Teams ändern

Die NVD wird eine Quelle unter mehreren, nicht das Rückgrat. Architektonisch müssen sich Security-Werkzeuge anpassen, die die NVD als kanonische Wahrheitsquelle behandeln. Das Ausgangsobjekt sollte das rohe CVE plus CNA-Metadaten sein, an das Anreicherungsschichten aus NVD, KEV, EPSS, Hersteller-Advisories, CISA-Warnungen, Exploit-Meldungen und unabhängiger Analyse angehängt werden, sobald sie eintreffen. „NVD fehlt oder ist verzögert“ ist jetzt ein Normalzustand, kein Fehlerfall.

„Not Scheduled“ ist selbst ein Signal. Dass ein CVE in der NVD vorhanden, aber nicht angereichert ist, ist jetzt ein aussagekräftiger Datenpunkt. Security-Teams sollten diesen Zustand ausdrücklich sichtbar machen, statt ihn als Fehlen zu behandeln. „In CVE/NVD vorhanden, keine NVD-Anreicherung, unabhängige Risikoeinschätzung verfügbar“ ist nützlicher als Schweigen, weil Unsicherheit sichtbar wird, statt verborgen zu bleiben.

Die Heterogenität der Bewertung nimmt zu. Da NIST nicht mehr routinemäßig eigene Schweregrad-Scores erzeugt, wenn CNAs das Problem bereits bewertet haben, wird die Datenkonsistenz über Quellen hinweg stärker schwanken. Unterschiedliche CVSS-Versionen, unterschiedliche Bewertungsmethoden, unterschiedliche Grade der Vollständigkeit. Das Normalisieren und Abgleichen dieser Scores wird Teil des operativen Arbeitsablaufs, statt etwas, das die NVD vorgelagert erledigt hat.

Exploitation Intelligence wird zum primären Signal. Die Triage-Kriterien von NIST konzentrieren sich auf KEV und national bedeutsame Software und verstärken die Verlagerung hin zur zentralen Priorisierungsfrage „Wird das ausgenutzt, und ist es in realen Umgebungen relevant?“. Aber KEV ist nur eine Teilmenge des ausgenutzten Risikos. Entscheidend ist, Ausnutzungssignale zu erkennen, bevor sie KEV erreichen, und Ausnutzung zu identifizieren, die für den eigenen Stack relevant ist, nicht für den der US-Bundesregierung.

Europäische Organisationen brauchen eigene Intelligence-Kapazität. Das ist nicht optional. Mit einer triagierenden NVD, einer unreifen EUVD und der näher rückenden CRA-Durchsetzung können sich europäische Security-Teams für zeitnahe, kontextbezogene Vulnerability Intelligence nicht allein auf öffentliche Infrastruktur verlassen. Die Organisationen, die ihre Compliance-Pflichten erfüllen und Risiken tatsächlich wirksam steuern, sind die, die jetzt eigene Anreicherungs- und Priorisierungsfähigkeiten aufbauen oder einkaufen.

Das größere Bild

Aus der Distanz betrachtet ist das Muster klar. Das CVE-Programm hätte im April 2025 beinahe seine Finanzierung verloren. Die CVE Foundation wurde gegründet, um einen Single Point of Failure zu verhindern. NIST engt den Geltungsbereich der NVD ein, weil das Volumen die Ressourcen überholt hat. Die ENISA baut europäische Alternativen auf, aber sie stehen am Anfang.

Der rote Faden ist, dass eine Schwachstelleninfrastruktur, die für eine Welt mit Tausenden CVEs pro Jahr gebaut wurde, eine Welt mit Zehntausenden bewältigen soll, und die Institutionen dahinter passen sich an, indem sie selektiver statt umfassender werden. Das ist eine rationale Reaktion auf Ressourcenbeschränkungen. Es ist zugleich ein struktureller Wandel, den der Rest des Ökosystems verinnerlichen muss.

Die öffentliche Infrastruktur verschwindet nicht. Das CVE-Programm, die NVD, der KEV-Katalog und die EUVD bleiben allesamt unverzichtbar. Aber sie werden selektiv, nicht mehr erschöpfend. Die Lücke zwischen dem rohen Offenlegungsvolumen und nutzbarer Intelligence weitet sich, und die Institutionen, die diese Brücke zwei Jahrzehnte lang gehalten haben, sagen offen, dass sie sie auf dem alten Niveau nicht halten können.

Öffentliche Grundlagen sind notwendig, aber nicht mehr ausreichend. Vulnerability Intelligence, die mehrere Quellen zusammenführt, auf die tatsächliche eigene Umgebung abbildet und im Tempo agiert, das die Compliance verlangt, ist kein Premium-Extra. Sie wird zur Untergrenze.

Das ist der Wandel. Er baut sich seit Jahren auf. Diese Woche wurde er offiziell.

Quellen

NIST. “NIST Updates NVD Operations to Address Record CVE Growth.” April 15, 2026.
NIST. “CVEs and the NVD Process.” National Vulnerability Database.
Krebs, B. “Funding Expires for Key Cyber Vulnerability Database.” Krebs on Security. April 2025.
CVE Foundation. “CVE Foundation Launched to Secure the Future of the CVE Program.” April 16, 2025.
Help Net Security. “NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward.” April 16, 2026.
Help Net Security. “Coordinated vulnerability disclosure is now an EU obligation, but cultural change takes time.” Interview mit Nuno Rodrigues Carvalho, ENISA. April 15, 2026.
ENISA. “Consult the European Vulnerability Database to enhance your digital security!”
Meneely, A. et al. “The Baby Steps of the European Union Vulnerability Database: An Empirical Inquiry.” arXiv. February 2026.
European Commission. “Cyber Resilience Act: Reporting obligations.”
Hogan Lovells. “EU Cyber Resilience Act: Key 2026 milestones toward CRA compliance.”
European Commission. “NIS2 Directive: securing network and information systems.”
FIRST. “Exploit Prediction Scoring System (EPSS).”
CISA. “Known Exploited Vulnerabilities Catalog.”
Infosecurity Magazine. “NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities.”
The Hacker News. “NIST Limits CVE Enrichment After 263% Surge in Vulnerability Submissions.”
CyberScoop. “NIST narrows scope of CVE analysis to keep up with rising tide of vulnerabilities.”
MSSP Alert. “CISA Extends Funding for MITRE CVE Program Just as It was to Expire.” April 2025.
European Commission. “Digital Operational Resilience Act (DORA).”
NIS2 Directive, Article 12. “Coordinated vulnerability disclosure and a European vulnerability database.”
NIST. “Executive Order 14028: Improving the Nation’s Cybersecurity.”