CISA hat ein strukturiertes Meldeformular geschaffen, das Sicherheitsforschern ermöglicht, Informationen über ausgenutzte Schwachstellen einzureichen und dabei Nachweise für deren Ausnutzung zu erbringen. Das System soll die bisherige, weniger transparente E-Mail-basierte Meldung ersetzen und damit die Qualität und Geschwindigkeit der KEV-Einträge erhöhen.
Der KEV-Katalog ist seit seiner Einführung 2021 zu einem zentralen Werkzeug der Cybersicherheitsgemeinschaft geworden. Besonders in den USA gilt die Liste als verbindlich: Bundesbehörden und Verteidiger müssen Vulnerabilities aus dem Katalog typischerweise innerhalb von drei Wochen patchen. In jüngster Zeit wurden jedoch immer mehr Bugs mit drastisch verkürzten Fristen hinzugefügt — manche mit nur 24 Stunden Deadline.
Experten wie Mayuresh Dani von Qualys betonen, dass die neue Struktur mehr Transparenz in den Validierungsprozess bringt. Fraglich bleibt jedoch, welche Kontrollmechanismen CISA gegen falsche oder unbegründete Meldungen einsetzt. Dani warnte auch, dass kommerzielle Alternativen zum KEV-Katalog entstanden sind und die CISA-Liste zunehmend als “Verzögerungsindikator” wahrgenommen wird.
Die Beschleunigung ist notwendig: CISA-Direktor Nick Anderson und der US-Cyber-Direktor Sean Cairncross erwägen, künftig alle neuen Bugs mit einer Drei-Tages-Frist zu versehen — ein Zeichen dafür, wie schnell Hacker und Nation-State-Akteure mittlerweile durch KI-Systeme Exploits entwickeln können.
Für deutsche Organisationen und das BSI hat dieser Schritt indirekte Bedeutung. Während die DSGVO Datenschutzverletzungen mit strengen Meldepflichten ahndet (bis zu 4% des Jahresumsatzes), gibt es für technische Schwachstellen weniger verbindliche Standards. Ein schnellerer, transparenterer internationaler Schwachstellen-Austausch könnte jedoch dazu beitragen, dass auch deutsche Unternehmen schneller auf kritische Bedrohungen reagieren — besonders in Sektoren kritischer Infrastruktur, wo CISA-Standards längst als Best Practice gelten.
Chris Doyle von JupiterOne fasst es zusammen: Verbesserungen wie diese erhöhen die Signalqualität des KEV und helfen Verteidigern, echte Risiken von theoretischen zu unterscheiden. Das neue Modell könnte zeigen, wie öffentlich-private Kooperation in der Cybersicherheit funktioniert — ein Ansatz, den auch deutsche Behörden und Unternehmen adaptieren könnten.