NIST väljer fokus, men glömmer vem som verkligen är i riskzonen

NIST:s nya NVD-strategi är ett logiskt steg för att hantera flodvågen av CVE:er. Men genom att prioritera myndighetsprogramvara riskerar den privata sektorn att lämnas utan den information den behöver.

263%

TILLVÄXT I CVE-INLÄMNINGAR 2020 till 2025

42 000

CVE:er BERIKADE 2025, FORTFARANDE INTE TILLRÄCKLIGT

AV ALLA CVE:er SOM FAKTISKT UTNYTTJAS I VERKLIGHETEN

Det borde ha hänt för länge sedan. Efter år av en svällande flod av sårbarhetsavslöjanden, en ökning på 263 procent av CVE-inlämningar mellan 2020 och 2025, har National Institute of Standards and Technology äntligen tagit ett avgörande steg. Från och med den 15 april 2026 kommer NIST endast att berika CVE:er som uppfyller specifika prioriteringskriterier: sårbarheter som listas i CISA:s katalog Known Exploited Vulnerabilities (KEV), programvara som används inom den amerikanska federala regeringen, och system som betecknas som kritiska enligt Executive Order 14028. Alla andra inlämningar kommer fortfarande att synas i National Vulnerability Database (NVD), men kommer att märkas ”Not Scheduled”. Det är byråkratiskt språk för: håll inte andan.

Som säkerhetsproffs förstår jag resonemanget. Vår bransch har länge lidit av vad jag kallar ”signal-brus-överbelastning”: en lavin av data att analysera, varav den stora majoriteten inte har någon direkt relevans för de system vi faktiskt skyddar. Forskning från VulnCheck visade att av de mer än 40 000 nyligen publicerade sårbarheterna som katalogiserades förra året, utnyttjades endast 1 procent, bara 422 CVE:er, aktivt i verkligheten. Att fokusera på det som verkligen betyder något är därför helt försvarbart.

”Sårbarheter publiceras, men prioriteras inte. Det gör inte livet lättare för försvarare.”

Och ändå är något fel. Ganska grundläggande.

Paradoxen med transparens utan kontext

NIST har valt att fortsätta publicera alla CVE:er, men kommer inte längre rutinmässigt att berika dem med CVSS-poäng, konfigurationer av berörd programvara eller ytterligare kontext. Resultatet är en obekväm mellanposition: sårbarheter avslöjas, men utan den vägledning säkerhetsteam behöver för att veta vad de ska göra med dem. Det är transparens i sin mest ihåliga form.

Föreställ dig en läkare som säger till en patient att något är fel, men vägrar berätta hur allvarligt det är, vilket organ som är påverkat, eller hur behandlingsplanen ser ut. ”Maila oss gärna om du vill veta mer.” Det är precis så här det känns för de tusentals organisationer som förlitade sig på NVD som sin primära, auktoritativa källa för patchprioritering.

Små och medelstora företag, utan ett dedikerat security operations centre eller dyra prenumerationer på hotunderrättelser, drabbas hårdast. De var beroende av NVD som ett gratis ankare. Det ankaret har nu lossnat.

Myndigheter först, vad händer med alla andra?

Det andra problemet träffar en grundläggande skillnad mellan myndigheters digitala verklighet och den hos företag och privatpersoner. NIST:s prioriteringar är logiska ur ett nationellt säkerhetsperspektiv: man skyddar kritisk statlig infrastruktur först. Men programvarumiljöerna hos en vårdgivare, ett tillverkningsföretag eller ett litet företag liknar föga IT-landskapet hos den amerikanska federala regeringen.

Microsoft 365, Google Workspace, allmänt använda CRM-plattformar, industriella styrsystem inom tillverkning, många av dessa faller inte under definitionen av ”kritisk programvara” som den definieras i Executive Order 14028. En sårbarhet i en brett använd molnapplikation som används av små och medelstora företag skulle kunna ligga orörd i kategorin ”Not Scheduled” i månader, medan angripare redan aktivt utnyttjar den.

Michelangelo Sidagni, CTO på NopSec, uttryckte det träffande: NIST delegerar i praktiken prioriteringen till CISA, men CISA:s KEV-katalog är medvetet konservativ. Jämförande analys visar att KEV för närvarande listar 1 559 sårbarheter, medan VulnDB spårar över 7 000 med känt utnyttjande. Tusentals farliga brister faller därför utanför både KEV och den nya NVD-berikningsprocessen. För en angripare är den skillnaden irrelevant.

Slutet på en enda sanningskälla

Det bredare sammanhanget fördjupar oron. CVE-programmet som drivs av MITRE, själva grunden som NVD är byggd på, undgick nätt och jämnt kollaps förra året när dess federala finansieringskontrakt var på väg att löpa ut. CISA klev in i sista stund, men bräckligheten hos denna infrastruktur har blottlagts. Samtidigt utvecklar EU sin egen European Vulnerability Database (EUVD), även om den fortfarande är i ett tidigt skede. Och den explosiva tillväxten av AI-driven sårbarhetsupptäckt, FIRST förutspår rekordhöga 50 000 nya CVE:er 2026, lovar att göra saker och ting betydligt värre.

Eran med en enda pålitlig, offentlig sanningskälla för sårbarhetsinformation är definitivt över. Organisationer som ännu inte hade förstått detta konfronteras nu med den verkligheten rakt på.

Vad behöver hända?

Kritiken mot NIST är berättigad, men realistiskt sett hade myndigheten få val. Med inlämningar som slår nya rekord varje kvartal och analytisk kapacitet som fundamentalt inte kan hålla jämna steg, var en kursändring oundviklig. Riktningen, att prioritera utifrån verklig risk, är i princip den rätta.

Men genomförandet behöver förfinas. För det första: prioriteringskriterierna är för snävt inriktade på myndighetskontexten. En bredare definition av ”hög påverkan”, en som också tar hänsyn till förekomst i kommersiell programvara, skulle bättre spegla den privata sektorns verklighet. För det andra: modellen ”maila oss om du vill ha berikning” är oskalbar och skapar ojämlikhet. Större organisationer vet hur och var de ska framföra sina argument; mindre gör det inte.

För det tredje, och kanske mest akut: branschen måste sluta förlita sig på en enda offentlig databas som sin primära försvarslinje. Att diversifiera källor, kommersiella hotunderrättelser, sektorsspecifika ISAC:er, öppen källkod-alternativ, är ingen lyx utan en nödvändighet. Säkerhetsproffs som redan visste detta kommer att navigera denna övergång. Resten har just fått en väckarklocka.

Floden av irrelevant data var alltid problemet. NIST har nu officiellt erkänt det. Frågan är om lösningen de har valt skyddar rätt personer, eller bara de med rätt myndighetskontrakt.

KÄLLOR

NIST, NVD Updates NVD Operations to Address Record CVE Growth (15 april 2026)
Help Net Security, NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward (16 april 2026)
CyberScoop, NIST narrows scope of CVE analysis to keep up with rising tide of vulnerabilities (17 april 2026)
Socket.dev, NIST Officially Stops Enriching Most CVEs as Vulnerability Volume Surges (april 2026)
Infosecurity Magazine, NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities (april 2026)
SecureWorld, The NVD Course Correction: Navigating NIST’s Strategic Pivot for 2026 (april 2026)
Dark Reading, NIST Revamps CVE Framework to Focus on High-Impact Vulnerabilities (april 2026)
The Hacker News, NIST Limits CVE Enrichment After 263% Surge in Vulnerability Submissions (april 2026)