NIST Eröffnet Die Moderne Nationalen Verwundbarkeitsdatenbank Für Öffentliche Kommentare

Das National Institute of Standards and Technology bittet die Öffentlichkeit um ihre Meinung, wie die Nationale Verwundbarkeitsdatenbank für eine Ära der künstlichen Intelligenz neu aufgebaut werden kann. Es wurde ein 62-tägiges Kommentierfenster am 12. August 2026 eröffnet, das am 13. Oktober 2026 um 23:59 Uhr Eastern Time endet. Die Anfrage um Informationen, die im Federal Register veröffentlicht wurde, sucht nach Input zu Skalierbarkeit, Automatisierung, Interoperabilität, Transparenz und Nutzen der NVD und dazu, wo künstliche Intelligenz innerhalb der Verwundbarkeitsmanagement-Pipeline vertrauenswürdig sein sollte und wo nicht.

Die NVD ist das Regierungsrepository der USA für standardsbasierte Verwundbarkeitsmanagement-Daten, das von NIST’s Information Technology Laboratory eingerichtet und betrieben wird. Es importiert Daten aus dem Common Vulnerabilities and Exposures-Programm innerhalb von etwa einer Stunde nach Veröffentlichung und bereichert sie mit Schweregraden und betroffenen-Produkt-Details, die Sicherheitstools über ihre Web-Schnittstelle und APIs konsumieren. Die Ankündigung beschreibt es als grundlegende Ressource für Verwundbarkeitsmanagement, Software-Sicherheit, Compliance-Automatisierung und Cyberrisikoanalyse in öffentlichen und privaten Sektoren.

Die Anfrage um Informationen ist explizit darüber, warum NIST handelt. Die Ankündigung beschreibt ein Ökosystem, das von künstlicher Intelligenz ermöglichten Cyber-Tools und beschleunigten Lieferzyklen geprägt ist, in dem bösartige Akteure künstliche Intelligenz-Systeme nutzen könnten, um Verwundbarkeiten im großen Maßstab zu entdecken und auszunutzen. Traditionelle Ansätze, die auf periodischer Scanning, statischer Priorisierung und manueller Behebung basieren, seien unzureichend, so die Ankündigung. NIST beschreibt das Ziel als ein zukunftsorientiertes Verwundbarkeitsmanagement-Ökosystem, das “kontinuierlich, kontextuell und automatisiert” ist.

Sieben Bereiche von Fragen, von Triage bis Behebung

Die Ankündigung organisiert ihre Fragen in sieben Bereiche. Zu Prozessen fragt sie, wo künstliche Intelligenz-automatisierung in den Verwundbarkeitslebenszyklus gehören sollte und welche Aufgaben unter menschlicher Überprüfung bleiben sollten. Zu Risikobewertung fragt sie, wie kontextuelle Priorisierung funktionieren sollte und wie Transparenz und Prüfbarkeit in künstlicher Intelligenz-getriebenen Priorisierungsentscheidungen verbessert werden könnten. Zu Behebung fragt sie, welche Rolle künstliche Intelligenz-Systeme bei der Generierung von Behebungen spielen sollten, welche Sicherheitsvorkehrungen fehlerhafte künstliche Intelligenz-generierte Behebungen auffangen würden und was Organisationen daran hindert, Patches anzuwenden, selbst wenn sie prompte und vollständige Verwundbarkeitsinformationen erhalten.

Zwei Abschnitte gehen über den täglichen Betrieb hinaus. Einer fragt, ob bestehende Identifikatoren, Produktnamensschemata und Schweregradsysteme für handhabbare Priorisierung in der künstlichen Intelligenz-Ära ausreichen und welche Lücken in maschinenlesbaren Verwundbarkeitsdaten bestehen. Der andere fragt die Befragten, was die NVD werden sollte: welche Fähigkeiten und Dienstleistungen ihren Einfluss in den nächsten fünf Jahren erhöhen würden, welche aufkommenden Trends sie antizipieren sollte und welche Metriken den Erfolg der Modernisierung verfolgen sollten.

Antworten werden die strategische Planung, technische Architektur-Entscheidungen, Standards- und Best-Practices-Entwicklung, Datenverwaltung und Gemeinschaftszusammenarbeit beeinflussen, so die Ankündigung. Kommentare müssen elektronisch über regulations.gov unter dem Docket NIST-2026-0100 eingereicht werden; NIST wird keine Einreichungen per Post, Fax oder E-Mail annehmen, und alle Kommentare werden ohne Redaktion öffentlich veröffentlicht. Die Ankündigung warnt Kommentatoren davor, persönliche oder vertrauliche Geschäftsinformationen nicht einzuschließen.

Eine Datenbank, die bereits unter Druck steht

Die Anfrage um Informationen erscheint vier Monate nachdem NIST zugab, dass es den Kernarbeitssatz der Datenbank nicht mehr bewältigen kann. In einer Ankündigung vom 15. April 2026 gab die Behörde bekannt, dass die CVE-Einreichungen zwischen 2020 und 2025 um 263 % gestiegen sind und dass die Einreichungen in den ersten drei Monaten 2026 fast ein Drittel höher waren als im gleichen Zeitraum des Vorjahres. NIST bereicherte fast 42.000 CVEs im Jahr 2025, 45 % mehr als in jedem vorherigen Jahr, und konnte dennoch nicht den Rückstand an unbereicherten Aufzeichnungen löschen, der seit Anfang 2024 aufgebaut worden war.

Die Reaktion war ein Triage-Modell. NIST priorisiert nun die Bereicherung für CVEs im Katalog der bekannten ausgenutzten Verwundbarkeiten von CISA — mit dem Ziel, diese innerhalb eines Geschäftstages zu bereichern — sowie für CVEs, die Software betreffen, die in der Bundesregierung und kritische Software im Sinne der Executive Order 14028 verwendet wird, der Biden-Regierungsanweisung von 2021 zur Bundes-Cybersicherheit. Alles andere wird aufgeführt, aber als “niedrigste Priorität – nicht für eine sofortige Bereicherung geplant” markiert, und jeder zurückgestaute CVE, der vor dem 1. März 2026 veröffentlicht wurde, wurde in eine “nicht geplante” Kategorie verschoben. NIST hat auch aufgehört, routinemäßig seinen eigenen Schweregrad zu veröffentlichen, wenn die einreichende CVE-Nummernbehörde bereits einen bereitgestellt hat.

Die Modernisierungsarbeiten sind neben der Triage fortgesetzt worden. Am 17. Juni 2026 erweiterte die NVD ihre Datenfeeds und APIs, um Stakeholder-spezifische Verwundbarkeitskategorisierungsdaten von CISA’s autorisiertem Datenveröffentlicher zusammen mit bestehenden Schweregraden und strukturierten Listen betroffener Software, die aus CVE-Aufzeichnungen stammen, zu übertragen. Die Bereitstellung betraf etwa 95 % aller Verwundbarkeiten in der Datenbank, und NIST warnte API-Nutzer, größere Datenmengen und erhöhte Latenz während der Aktualisierung zu erwarten.

Was der Modernisierungs-Docket formen könnte

Die Ankündigung positioniert die Kommentierungsakte als Rohmaterial für die nächste Phase der NVD: Architektur, Standardsentwicklung und Datenverwaltung werden alle als Ziele genannt. Für Sicherheitsteams, deren Tooling bereits von NVD-Bereicherungen abhängt, sind die Fragen zu Priorisierungskriterien, maschinenlesbaren Daten und Bewertungsstandards diejenigen, die am wahrscheinlichsten in zukünftigen NVD-Workflows auftauchen werden — den gleichen Workflows, die Aprils Triage-Modell neu geordnet hat. NIST hat auch Kommentatoren eingeladen, unveröffentlichte Studien und empirische Daten beizufügen, ein Signal, dass die Behörde Beweise und nicht nur Positionserklärungen will.

Die Kommentierungsfrist endet am 13. Oktober 2026. Einreichungen, die nach diesem Datum eingehen, werden möglicherweise nicht berücksichtigt.