A agência de comunicações e informação da NATO e uma empresa de segurança assente em inteligência artificial passaram a poder atribuir identificadores CVE às falhas de software que descobrem, sob a alçada da Agência da União Europeia para a Cibersegurança. O anúncio, feito no início de agosto de 2026 pela ENISA, é mais um passo na europeização de uma infraestrutura que durante duas décadas dependeu quase exclusivamente do financiamento e da governação dos Estados Unidos — e que sustenta, na prática, todo o trabalho de gestão de vulnerabilidades das equipas de segurança, incluindo as portuguesas.
Resposta rápida: A ENISA anunciou que a NATO Communications and Information Agency (NCIA) e a empresa AISLE passaram a ser CVE Numbering Authorities (CNA) sob a ENISA Root, que conta agora com 20 CNA — oito delas transferidas da MITRE Root. A mudança não altera o formato dos identificadores CVE nem obriga a qualquer ação imediata, mas reforça a capacidade europeia de identificar e coordenar vulnerabilidades. Para organizações em Portugal, o passo prático é passar a consultar também a base de dados europeia EUVD, a par da CVE/NVD, na priorização de correções.
O que a ENISA anunciou
A NATO Communications and Information Agency (NCIA), juntamente com a AISLE, empresa de IA e cibersegurança, juntaram-se às CVE Numbering Authorities (CNA) sob a ENISA Root. Com esta adesão, a ENISA passa a ter 20 CNA sob a sua Root, incluindo oito que transitaram da MITRE Root para a ENISA Root. Segundo o relato da imprensa especializada, o novo membro do lado da Aliança Atlântica é o NATO Cyber Security Centre, parte da NCIA, enquanto a AISLE é uma empresa com escritórios em São Francisco e Praga.
O responsável máximo de cibersegurança e operações da ENISA, Hans de Vries, associou o crescimento da rede à forma como as falhas passaram a ser encontradas, referindo-se a “Recent developments in the global cybersecurity landscape, coupled with the emergence of Frontier AI models” — ou seja, ao impacto dos modelos de IA de fronteira na descoberta e na exploração de vulnerabilidades. A agência descreve o alargamento como demonstração do seu papel de facilitador da gestão de vulnerabilidades a nível europeu e internacional, através de práticas consistentes, identificação atempada e coordenação de confiança entre parceiros.
Âmbitos diferentes: o que cada nova CNA pode fazer
Ser CNA não é um selo genérico: cada organização recebe um âmbito (scope) delimitado. Uma CVE Numbering Authority é uma organização autorizada pelo programa CVE a atribuir identificadores CVE a vulnerabilidades dentro de um âmbito definido e a publicar os respetivos registos. No caso do NATO Cyber Security Centre, passa a poder atribuir identificadores CVE a falhas elegíveis em toda a infraestrutura da Aliança, o que — de acordo com a agência — tornará o acompanhamento mais consistente e permitirá partilhar informação com parceiros de confiança mais cedo. Já a AISLE tem um âmbito mais restrito: no seu próprio comunicado, de 22 de julho de 2026, a empresa indicou estar autorizada a atribuir identificadores CVE a vulnerabilidades descobertas nos seus próprios produtos, sem depender de uma CNA terceira para processar o pedido.
| Entidade | Natureza | Âmbito indicado |
|---|---|---|
| NCIA / NATO Cyber Security Centre | Aliança internacional | Falhas elegíveis no universo NATO |
| AISLE | Empresa privada (IA e cibersegurança) | Vulnerabilidades nos seus próprios produtos |
| ENISA | Agência da UE (Root e CNA) | Falhas descobertas por, ou reportadas a, CSIRT da UE |
A AISLE afirma que, desde que saiu do modo stealth, os seus investigadores divulgaram centenas de vulnerabilidades em software crítico — incluindo OpenSSL, Linux, Apache e OpenEMR — sempre coordenadas através das CNA responsáveis por cada projeto. É uma distinção importante para leitores técnicos: continuar a reportar a terceiros não é o mesmo que poder numerar falhas alheias.
Como funciona a hierarquia do programa CVE
O programa CVE assenta na descentralização. Várias centenas de CNA participam no programa, desde grandes fabricantes de sistemas operativos e fornecedores de nuvem até responsáveis de projetos de código aberto, plataformas de bug bounty e equipas CSIRT nacionais, precisamente porque uma autoridade central única não conseguiria acompanhar o volume anual de falhas descobertas. Acima das CNA estão as Roots, que fazem a identificação, o acolhimento e a supervisão das autoridades no seu perímetro. Ser Root significa assumir responsabilidades adicionais de identificação, integração e apoio a outras CNA, garantindo o cumprimento das regras do programa e o desenvolvimento dos procedimentos de atribuição e gestão de CVE.
A nível internacional, as Roots do programa incluem a MITRE, a CISA, a Google e a Red Hat, nos Estados Unidos, e o JPCERT/CC, no Japão; dentro da UE existiam já a INCIBE-CERT, o Thales Group e o CERT@VDE. A ENISA atua como Root para entidades europeias no seu âmbito, incluindo vulnerabilidades descobertas por, ou reportadas a, CSIRT da UE, apoiando também a transição gradual de CNA europeias já existentes para a sua Root.
Cronologia da europeização
| Data | Marco |
|---|---|
| Janeiro de 2024 | ENISA torna-se CNA e passa a manter um serviço de registo de vulnerabilidades |
| Abril de 2025 | Lançamento público da European Union Vulnerability Database (EUVD) |
| Abril de 2025 | A CISA executa uma opção de extensão do contrato com a MITRE para evitar a interrupção do programa CVE |
| Novembro de 2025 | ENISA torna-se CVE Root para entidades europeias |
| Julho de 2026 | AISLE anuncia a designação como CNA |
| Agosto de 2026 | ENISA confirma NCIA e AISLE como CNA sob a ENISA Root, totalizando 20 |
O pano de fundo: um programa global com dependência americana
O movimento europeu não nasceu no vazio. Em 2025, o programa que sustenta ferramentas de gestão de vulnerabilidades e plataformas de threat intelligence em todo o mundo esteve, durante cerca de um dia, à beira de encerrar, quando a MITRE revelou que o contrato com o Departamento de Segurança Interna dos EUA ia expirar sem renovação; a CISA acabou por emitir uma extensão de emergência de 11 meses. Segundo documentos contratuais federais, o acordo em causa ascendia a 57,8 milhões de dólares. Quase um ano depois, esse remendo terá sido substituído por um arranjo mais duradouro: em reunião de janeiro de 2026, o CVE Board foi informado de que não haveria “funding cliff” em março.
Esse episódio ajuda a explicar a aceleração europeia. A EUVD já operava em fase alfa antes de abril de 2025, mas a ENISA antecipou o anúncio público em resposta à instabilidade em torno da NVD norte-americana e do próprio programa CVE. A base europeia não pretende substituir o programa CVE, mas complementá-lo como repositório a jusante — o equivalente europeu da NVD —, enriquecendo os registos com metadados adicionais como pontuações CVSS e classificações CWE.
Porque é que isto importa em Portugal
Para uma PME ou uma equipa de segurança em Portugal, nada muda no imediato: um CVE continua a ser um CVE. O que muda é a robustez e a governação da cadeia que produz essa informação — e a existência de uma alternativa europeia consolidada. A EUVD foi desenvolvida pela ENISA conforme previsto na Diretiva NIS2, está operacional e disponibiliza informação agregada e acionável, incluindo medidas de mitigação e estado de exploração das vulnerabilidades que afetam produtos e serviços TIC.
No plano nacional, o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), que transpõe a NIS2, obriga as entidades abrangidas a gerir riscos e a reportar incidentes significativos. O CNCS acumula os papéis de autoridade nacional competente, ponto de contacto único para a cooperação europeia e internacional, autoridade nacional de certificação de cibersegurança e entidade que acolhe o CERT.PT, sendo o CERT.PT que recebe reportes de incidentes, presta apoio técnico e articula com a ENISA e com os restantes CSIRT da UE. É por esta via que a coordenação europeia de vulnerabilidades chega às organizações portuguesas.
Há ainda um prazo a vigiar por quem fabrica software ou hardware: a ENISA sublinhou que a notificação de vulnerabilidades ativamente exploradas se tornará obrigatória para os fabricantes até setembro de 2026, abrangendo produtos com elementos digitais e usando a Single Reporting Platform prevista no Cyber Resilience Act — plataforma distinta da EUVD, criada pela NIS2. Quando uma falha explorada leva à exposição de dados pessoais, entram também em cena os deveres do RGPD perante a CNPD.
Quatro passos práticos para equipas de segurança
- Acrescentar a EUVD (
euvd.enisa.europa.eu) às fontes de consulta, a par da CVE/NVD, sobretudo para produtos e avisos com origem europeia. - Priorizar por estado de exploração e não apenas por CVSS, tirando partido dos indicadores de exploração ativa agregados pela base europeia.
- Automatizar a ingestão de avisos em formatos normalizados, como o CSAF, para reduzir o tempo entre publicação e decisão de correção.
- Se fabricar produtos com elementos digitais, mapear já o processo interno de divulgação coordenada e o canal de notificação previsto no Cyber Resilience Act.
Perguntas frequentes
O que é uma CVE Numbering Authority?
É uma organização autorizada pelo programa CVE a atribuir identificadores CVE a vulnerabilidades dentro de um âmbito definido e a publicar os respetivos registos. O âmbito varia: pode limitar-se aos produtos da própria entidade ou abranger um perímetro mais vasto.
A EUVD substitui o programa CVE ou a NVD?
Não. A EUVD foi concebida para complementar o programa CVE como repositório a jusante, funcionando como contraparte europeia da NVD e enriquecendo os registos com metadados como CVSS e CWE.
O que muda com a entrada da NCIA e da AISLE?
Aumenta a capacidade operacional e a diversidade de origens dos registos. As novas CNA abrangem vários setores, incluindo equipas de resposta a incidentes, fabricantes, fornecedores, alianças internacionais e organizações de investigação, com o objetivo de alargar a participação, melhorar a qualidade dos registos e aumentar a capacidade operacional.
A quem se reporta um incidente em Portugal?
Os reportes técnicos são dirigidos ao CERT.PT, que presta apoio durante o incidente e articula com a ENISA e outros CSIRT europeus, integrando-se depois na estrutura de supervisão do CNCS. Se houver dados pessoais comprometidos, aplicam-se ainda as obrigações de notificação à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela ENISA, pela AISLE e por documentação pública do programa CVE.