NIST åpner Nasjonal sårbarhetsdatabase for offentlig kommentar

Nasjonalt institutt for standarder og teknologi ber offentligheten om å si hvordan de skal bygge om Nasjonal sårbarhetsdatabase for en tid med kunstig intelligens, og åpner en 62-dagers kommentarperiode den 12. august 2026 som lukker den 13. oktober 2026 kl. 23:59 østlig tid. Forespørselen om informasjon som er publisert i Federal Register søker input på NVDs skalerbarhet, automatisering, interoperabilitet, transparens og nytte, og på hvor AI skal og ikke skal være tillitsfullt innenfor sårbarhetsledningspipelinen.

NVD er den amerikanske regjeringens repository for standardbasert sårbarhetsledningsdata, etablert og drevet av NISTs informasjonsteknologilaboratorium. Det tar imot poster fra Common Vulnerabilities and Exposures-programmet innen omtrent en time etter publisering, og beriker dem med alvorlighetspoeng og detaljer om berørt produkt som sikkerhetstøy konsumerer gjennom sin webgrensesnitt og APIer. Merknaden beskriver det som en grunnleggende ressurs for sårbarhetsledning, programvaresikkerhet, automatisert overholdelse og cybersikkerhetsrisikovurdering over offentlig og privat sektor.

Forespørselen er eksplisitt om hvorfor NIST handler. Merknaden beskriver et økosystem formet av AI-aktiverede cybertøy og akselererte leveringscykler, hvor skadelige aktører kan bruke AI-systemer til å oppdage og utnytte sårbarheter i stor skala. Tradisjonelle tilnærminger bygget på periodisk scanning, statisk prioritering og manuell retting, sier den, viser sin utilstrekkelighet. NIST rammer målet som et fremtidssikkert sårbarhetsledningssystem som er “kontinuerlig, kontekstuell og automatisert”.

Syv områder med spørsmål, fra triage til retting

Merknaden organiserer sine spørsmål i syv områder. Om prosess, spør den hvor AI-aktiverede automatisering hører hjemme i sårbarhetslivssyklusen og hvilke oppgaver som skal forbli under menneskelig gjennomgang. Om risikovurdering, spør den hvordan kontekstuell prioritering skal fungere og hvordan transparens og granskningsbarhet i AI-drevne prioriteringsbeslutninger kan økes. Om retting, spør den hva rolle AI-systemer skal spille i å generere rettinger, hva som skal hindre feilaktige AI-genererte rettinger, og hva som blokkerer organisasjoner fra å reparere selv om de mottar rask og fullstendig sårbarhetsinformasjon.

To seksjoner når utenfor dag-til-dag-operasjoner. En spør om eksisterende identifikatorer, produktnavningsordninger og alvorlighetspoengsystemer er tilstrekkelige for handlebar prioritering i AI-æraen, og hva huller som fortsatt eksisterer i maskinlesbar sårbarhetsdata. Den andre spør respondentene om å definere hva NVD skal bli: hvilke evner og tjenester som vil øke dens innvirkning over de neste fem årene, hvilke fremvoksende trender den skal forutse, og hva metrikker som skal spore om moderniseringen lykkes.

Responsene vil informere strategisk planlegging, teknisk arkitekturbeslutninger, standardutvikling og datagovernance, sier merknaden. Kommentarer må være filsendt elektronisk gjennom regulations.gov under docket NIST-2026-0100; NIST vil ikke akseptere innsendelser via post, faks eller e-post, og alle kommentarer er publisert offentlig uten redigering. Merknaden advarer kommentatorer mot å inkludere personlig eller konfidensiell forretningsinformasjon.

En database som allerede er under belastning

Forespørselen kommer fire måneder etter at NIST innrømmet at de ikke lenger kunne holde pace med databaseens kjernearbeidsbelastning. I en 15. april 2026-annons avslørte byrået at CVE-innsendelser økte 263% mellom 2020 og 2025, og at innsendelser i de første tre månedene av 2026 var nesten en tredjedel høyere enn samme periode året før. NIST beriket nesten 42 000 CVEer i 2025, 45% mer enn noen tidligere år, og kunne likevel ikke fjerne en baklog av uberikede poster som hadde bygget seg opp siden tidlig 2024.

Responsen var en triagemodell. NIST prioriterer nå beriking for CVEer i CISA’s Known Exploited Vulnerabilities-katalog — med mål om å berike disse innen én forretningsdag — samt CVEer som påvirker programvare brukt i den føderale regjeringen og kritisk programvare som definert av Executive Order 14028, Biden-administrasjonens direktiv om føderal cybersikkerhet fra 2021. Alt annet er listet, men merket som “Lavest prioritet – ikke planlagt for umiddelbar beriking”, og alle bakloggede CVEer som ble publisert før 1. mars 2026 ble flyttet til en “Ikke planlagt”-kategori. NIST stoppet også å rutinemessig utstede sine egne alvorlighetspoeng når CVE-nummermyndigheten allerede hadde levert ett.

Moderniseringsarbeidet har fortsatt parallelt med triagen. Den 17. juni 2026 utvidet NVD sine datastrømmer og APIer til å bære Stakeholder-Specific Vulnerability Categorization-data fra CISA’s Authorized Data Publisher sammen med eksisterende alvorlighetspoeng, samt strukturerte lister over berørt programvare trukket fra CVE-poster. Utrollingen berørte omtrent 95% av alle sårbarheter i databaseen, og NIST advarte API-brukere om å forvente større nyttelaster og økt latency under oppdateringen.

Hva moderniseringsdokumentet kan forme

Merknaden stiller kommentarrekorden som råmateriale for NVDs neste fase: arkitektur, standardutvikling og datagovernance er alle nevnt som mål. For sikkerhetsteam som allerede er avhengige av NVD-beriking, er spørsmålene om prioriteringskriterier, maskinlesbar data og poengsystemer de som sannsynligvis vil dukke opp i fremtidige NVD-arbeidsflyter — de samme arbeidsflytene som Aprils triagemodell omorganiserte. NIST har også invitert kommentatorer til å vedlegge upubliserte studier og empiriske data, et signal om at byrået ønsker bevis, ikke bare stillingsuttalelser.

Kommentarperioden lukker den 13. oktober 2026. Innsendelser mottatt etter denne datoen kan ikke bli vurdert.