NIST åbner National Vulnerability Database Modernisering for Offentlig Kommentar

National Institute of Standards and Technology beder offentligheden om at sige, hvordan man kan genopbygge National Vulnerability Database til en æra med kunstig intelligens, og åbner en 62-dages kommentarperiode den 12. august 2026, der lukker den 13. oktober 2026 kl. 23:59 østlig tid. Anmodningen om oplysninger, der er offentliggjort i Federal Register, søger input om NVD’s skalerbarhed, automatisering, interoperabilitet, gennemsigtighed og nytte, og om hvor AI skal og ikke skal være tillidt inden for sårbarhedsstyringsprocessen.

NVD er den amerikanske regerings repository for standardbaseret sårbarhedsstyringsdata, etableret og drevet af NIST’s Information Technology Laboratory. Det indtager optegnelser fra Common Vulnerabilities and Exposures-programmet inden for omtrent en time efter offentliggørelse, og beriger dem med alvorlighedsscore og påvirket-produkt-detajler, som sikkerhedsværktøjer kan forbruge gennem dets webinterface og API’er. Meddelelsen beskriver det som en grundlæggende ressource for sårbarhedsstyring, software-sikkerhed, overholdelse-automatisering og cybersikkerhedsrisikoanalyse på tværs af offentlige og private sektorer.

Anmodningen er udtrykkelig om, hvorfor NIST handler. Meddelelsen beskriver et økosystem, der er formet af AI-aktiverede cybertværktøjer og accelererede leveringscykler, hvor skadelige aktører kan bruge AI-systemer til at opdage og udnytte sårbarheder i stor målestok. Traditionelle tilgange, der er bygget på periodisk scanning, statisk prioritering og manuel rettelse, viser sig, siger det, at være utilstrækkelige. NIST rammer målet som et fremtidssikret sårbarhedsstyringssystem, der er “kontinuerligt, kontekstuel og automatiseret”.

Syv områder for spørgsmål, fra triage til rettelse

Meddelelsen organiserer sine spørgsmål i syv områder. Om processen spørger det, hvor AI-aktiveret automatisering hører hjemme i sårbarheds-livscyklussen og hvilke opgaver, der skal forblive under menneskelig gennemgang. Om risikovurdering spørger det, hvordan kontekstuel prioritering skal fungere, og hvordan gennemsigtighed og revision i AI-drevne prioriteringsbeslutninger kan forbedres. Om rettelse spørger det, hvilken rolle AI-systemer skal spille i at generere rettelser, hvilke sikkerhedsforanstaltninger, der skal fange fejlbehæftede AI-genererede rettelser, og hvad der blokerer organisationer fra at rette, selv når de modtager hurtig og fuldstændig sårbarhedsinformation.

To sektioner rækker ud over dag-til-dag-drift. En spørger, om eksisterende identifikatorer, produkt-navneskemaer og alvorlighedsscoresystemer er tilstrækkelige til handlebar prioritering i AI-æraen, og hvad huller der endnu er i maskinlæsbare sårbarhedsdata. Den anden beder respondenten om at definere, hvad NVD skal blive: hvilke funktioner og tjenester, der skal øge dets impact over de næste fem år, hvilke opblomstrende tendenser det skal forudse, og hvilke målinger, der skal spore, om moderniseringen lykkes.

Svar vil informere strategisk planlægning, teknisk arkitektur-beslutninger, standard- og bedste-praksis-udvikling, datastyring og fællesskabs-samarbejder, siger meddelelsen. Kommentarer skal indsendes elektronisk gennem regulations.gov under docket NIST-2026-0100; NIST vil ikke acceptere indsendelser via post, fax eller e-mail, og alle kommentarer offentliggøres uden redigering. Meddelelsen advarer kommentatorer mod at inkludere personlige eller fortrolige forretningsoplysninger.

En database, der allerede er under pres

Anmodningen kommer fire måneder efter, at NIST indrømmede, at det ikke længere kan holde trit med databasens kerne-arbejdslast. I en meddelelse den 15. april 2026 afslørede agenturen, at CVE-indsendelser steg 263% mellem 2020 og 2025, og at indsendelser i de første tre måneder af 2026 løb næsten en tredjedel højere end samme periode året før. NIST berigede næsten 42.000 CVE’er i 2025, 45% mere end nogen tidligere år, og kunne alligevel ikke afvikle en tilbagestående liste over uberigede optegnelser, der havde været under opbygning siden begyndelsen af 2024.

Svaret var en triage-model. NIST prioriterer nu berigelse for CVE’er i CISA’s Known Exploited Vulnerabilities-katalog — med et mål om at berige dem inden for en forretningsdag — sammen med CVE’er, der påvirker software, der bruges i den føderale regering og kritisk software, som defineret af Executive Order 14028, Biden-administrationens direktiv om føderal cybersikkerhed fra 2021. Alt andet er listet, men markeret “Laveste prioritet – ikke planlagt til umiddelbar berigelse”, og alle tilbagestående CVE’er, der blev offentliggjort før den 1. marts 2026, blev flyttet til en “Ikke planlagt”-kategori. NIST stoppede også med at udgive sin egen alvorlighedsscore, når den indsendende CVE-nummer-myndighed allerede havde leveret en.

Moderniseringsarbejdet er fortsat sideløbende med triagen. Den 17. juni 2026 udvidede NVD sine datafodringer og API’er til at medføre Stakeholder-Specific Vulnerability Categorization-data fra CISA’s Authorized Data Publisher sammen med eksisterende alvorlighedsscore, plus strukturerede lister over påvirkede software, der stammer fra CVE-optegnelser. Udviklingen berørte omtrent 95% af alle sårbarheder i databasen, og NIST advarede API-brugere om at forvente større payload og forhøjet latency under opdateringen.

Hvad moderniseringsdokumentet kan forme

Meddelelsen positionerer kommentaroptagningen som råmateriale for NVD’s næste fase: arkitektur, standardudvikling og datastyring er alle nævnt som mål. For sikkerhedsteams, hvis værktøj allerede afhænger af NVD-berigelse, er spørgsmålene om prioriteringskriterier, maskinlæsbare data og scoresystemer de mest sandsynlige at dukke op i fremtidige NVD-arbejdsgange — de samme arbejdsgange, som Aprils triage-model omordnede. NIST har også inviteret kommentatorer til at vedlægge uoffentliggjorte studier og empiriske data, et signal om, at agenturen ønsker beviser, ikke blot stillingsbeskrivelser.

Kommentarperioden lukker den 13. oktober 2026. Indsendelser, der modtages efter denne dato, kan ikke blive behandlet.