EUVD vs CVE, vers une fragmentation silencieuse de la gouvernance des vulnérabilités

Accueil///EUVD vs CVE, vers une fragmentation silencieuse de la gouvernance des vulnérabilités EUVD vs CVE, vers une fragmentation silencieuse de la gouvernance des vulnérabilités 🛡️ Partenaire du jour: 👉 14/05/2025 Depuis quelques jours, l’Union européenne dispose de Cette initiative s’inscrit dans une volonté européenne de renforcer ses capacités propres, alors que les États-Unis connaissent un affaiblissement notable de leur gouvernance technique en cybersécurité. Le programme Common Vulnerabilities and Exposures (CVE), géré historiquement par le MITRE avec le soutien de la CISA, a vu son financement menacé à plusieurs reprises. Fin avril, son maintien n’a été garanti qu’in extremis, dans un climat d’incertitude.

Une bascule dans les équilibres normatifs

Pendant plus de vingt ans, le CVE s’est imposé comme la référence mondiale pour la gestion des vulnérabilités. Chaque faille critique y recevait un identifiant standardisé, intégré à la base NVD (National Vulnerability Database), accessible au public. Ce système permettait une coordination fluide entre éditeurs, chercheurs, gouvernements et entreprises.

Mais depuis plusieurs mois, le modèle montre des signes de saturation avec des retards de publication, des difficultés de financement, un ralentissement des mises à jour, et plus récemment, la suppression des alertes publiques sur le site de la CISA. Désormais, celles-ci sont relayées par flux RSS ou via le réseau social X, un changement qui interroge sur l’engagement de l’administration américaine à maintenir une transparence continue.

Dans ce vide partiel, l’Union européenne a déployé une approche différente, plus intégrée à ses institutions et à ses impératifs de souveraineté. L’EUVD intègre également les identifiants CVE, mais leur associe un référentiel propre, renforçant ainsi la cohabitation de plusieurs standards.

Vers une fragmentation de la normalisation mondiale ?

L’enjeu dépasse la seule efficacité opérationnelle. L’émergence de plusieurs bases de vulnérabilités concurrentes pourrait à terme poser des problèmes d’interopérabilité, en particulier pour les entreprises opérant à l’échelle internationale. Si l’ENISA reste pour l’instant une CVE Numbering Authority (CNA), capable de générer des identifiants dans le cadre du système CVE, elle reconnaît ne pas avoir de visibilité sur l’évolution du programme américain au-delà de mars 2025, date de fin du contrat actuel entre la CISA et le MITRE.

À terme, l’existence parallèle de bases NVD, EUVD, mais aussi de référentiels chinois comme le CNNVD (China National Vulnerability Database), pourrait redessiner les lignes de fracture de la gouvernance cyber, au risque d’une fragmentation durable des pratiques et des outils.

Un enjeu de souveraineté, mais aussi de lisibilité

Derrière l’enjeu technique se cache une dimension stratégique. La capacité à i dentifier, classifier et traiter les vulnérabilités constitue désormais une compétence régalienne, au même titre que la protection des infrastructures critiques ou la cybersurveillance. L’Union européenne semble vouloir assumer cette responsabilité en créant ses propres référentiels, plutôt que de dépendre d’infrastructures étrangères.

À propos Articles récents Suivez nous:LA REDACTION DE FRENCHWEB.FRPour nous contacter, nous vous avons préparé un petit formulaire pour bien gérer votre demande et pouvoir l'adresser en toute confidentialité. Suivez nous:Les derniers articles par LA REDACTION DE FRENCHWEB.FR ( 14/05/2025

D’après FrenchWeb.