EUVD vs NVD vs CVE: Was EU-Hersteller wissen müssen

Wenn Sie vernetzte Produkte für den EU-Markt entwickeln, importieren oder vertreiben, ist die Frage EUVD vs NVD vs CVE nicht akademisch – sie bestimmt, wie Sie Schwachstellen im Rahmen der Cyber Resilience Act (CRA) katalogisieren, verfolgen und melden. Ab dem 11. September 2026 verpflichtet die Verordnung (EU) 2024/2847 Hersteller dazu, aktiv ausgenutzte Schwachstellen gegenüber ENISA zu melden. Die verwendeten Identifikatoren sind entscheidend für Klarheit, Rückverfolgbarkeit und koordinierte Offenlegung. Dieser Leitfaden entwirrt die drei Datenbanken, erläutert deren Bedeutung für die CRA-Meldung und zeigt auf, welche Referenzen wann zu verwenden sind.

Die drei Datenbanken im Überblick

• CVE — Common Vulnerabilities and Exposures. Die von MITRE betriebene CVE-Datenbank ist das globale Identifikationssystem für Schwachstellen. Ein CVE-Eintrag vergibt einer Schwachstelle eine stabile, eindeutige ID (z. B. CVE-2026-12345) sowie eine kurze Beschreibung. CVE ist die gemeinsame Referenzsprache im Schwachstellenmanagement – es handelt sich um ein Identifier-Register, nicht um ein Bewertungssystem.
• NVD — die U.S. National Vulnerability Database. Betrieben vom NIST, ergänzt die NVD die CVE-Einträge um Metadaten, insbesondere CVSS-Schweregrade, Zuordnungen zu betroffenen Produkten sowie Referenzen. Die NVD fungiert als de-facto-Anreicherungsschicht des CVE-Ökosystems, ist jedoch eine von den USA verwaltete Ressource.
• EUVD — die EU-Schwachstellendatenbank / der EU-Katalog. Unter der Aufsicht von ENISA geführt, ist die EUVD die regional ausgerichtete Entsprechung: ein Schwachstellenkatalog, der für EU-Hersteller im Kontext der CRA-Berichterstattung zunehmend an Bedeutung gewinnt. Sie dient dazu, EU-interne Stakeholder mit einer Schwachstellenreferenz zu versorgen, die sich an die regulative und sprachliche Landschaft der EU anpasst.

Kurz gesagt: CVE benennt es, NVD bewertet es, EUVD lokalisiert es für die EU.

Warum die Unterscheidung unter der CRA von Bedeutung ist

Die Meldung gemäß Artikel 14 zwingt Sie nicht dazu, eine bestimmte Datenbank auszuwählen, belohnt jedoch Präzision. Wenn Sie ENISA innerhalb von 24 Stunden über eine aktiv ausgenutzte Schwachstelle informieren, helfen präzise Identifikatoren den Behörden dabei, Ihren Bericht mit bereits bekannten Informationen anderer Hersteller, CSIRTs und Forscher abzugleichen. Eine praxisnahe Meldung enthält folgende Referenzen:

• Die CVE-ID zur globalen Querverknüpfung.
• Die NVD CVSS-Bewertung, soweit verfügbar, zur einheitlichen Kommunikation der Schwere.
• Den EUVD-Eintrag, sofern vorhanden, um den Bericht im EU-Ökosystem zu verankern.

Falls noch kein Identifier vorliegt – häufig bei neu entdeckten, aktiv ausgenutzten Schwachstellen – beschreiben Sie die Schwachstelle, deren Auswirkungen sowie mögliche Gegenmaßnahmen und ergänzen die Identifikatoren nachträglich, sobald diese vorliegen.

Wie die Datenbanken in Ihren Meldungsprozess eingebunden werden

Die Datenbanken sind Eingangsdaten für einen Meldungsworkflow, nicht der Workflow selbst. Ein ausgereifter Herstellerprozess:

1. Integriert CVE-, NVD- und EUVD-Einträge in eine einheitliche Schwachstellenübersicht.
2. Korrelatiert jeden Identifier mit eigenen Produkten und der Software Bill of Materials (SBOM).
3. Priorisiert aktiv ausgenutzte Schwachstellen für die 24-Stunden-Meldung an ENISA.
4. Verweist in der Artikel-14-Meldung auf die relevanten Identifikatoren.

Hier hapert es oft: Die Datenbanken unterscheiden sich in zeitlicher Aktualität, Anreicherung und Granularität der betroffenen Produkte, weshalb menschliche Entscheidungen weiterhin entscheidend sind, um zu bestimmen, was als „aktiv ausgenutzt“ gilt und gemeldet werden muss.

Was Sie jetzt vorbereiten sollten

Die Vorbereitung ist einfach, wird aber gerne verschoben:

• Abonnieren Sie alle drei Feeds. CVE-, NVD- und EUVD-Updates sollten in derselben Triage-Warteschlange landen.
• Verknüpfen Sie Identifikatoren mit Ihrer SBOM. Ohne SBOM können Sie nicht beurteilen, ob eine neue CVE Ihre Produkte betrifft – und damit auch nicht präzise melden.
• Definieren Sie das Signal „aktiv ausgenutzt“. Legen Sie im Voraus fest, welche Hinweise eine Schwachstelle von „beobachtet“ auf „meldepflichtig“ heben.
• Erstellen Sie eine Vorlage für die ENISA-Meldung. Halten Sie ein Feld vor, das CVE-, NVD- und EUVD-Referenzen akzeptiert.

Die Konsequenzen bei Nichteinhaltung sind erheblich: Verstöße können mit bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) geahndet werden.

Schwachstellenintelligenz mit Produkt-Risiken verknüpfen

Identifikatoren sind nur nützlich, wenn Sie darauf handeln können. Ein gepflegtes Risikoregister ermöglicht es Ihnen, jeden CVE-, NVD- und EUVD-Eintrag konkret mit den betroffenen Produkten, Lieferanten und Assets zu verknüpfen – die Grundlage dafür, dass eine 24-Stunden-Meldung präzise ist und nicht auf Vermutungen beruht. Die Preisgestaltung der Tools, die dieses Register unterstützen, sollte im Vorfeld geprüft werden, um die entsprechende Kapazität dauerhaft zu sichern und nicht erst im Schadensfall improvisieren zu müssen.

Fazit

EUVD vs NVD vs CVE lässt sich am besten als Schichtenmodell verstehen: CVE liefert den globalen Identifier, NVD fügt Bewertung und Anreicherung hinzu, und EUVD bietet EU-Herstellern eine regional ausgerichtete Referenz, die mit der CRA kompatibel ist. Verweisen Sie – wo immer möglich – auf alle drei Datenbanken, integrieren Sie sie in einen einheitlichen Prozess basierend auf Triage und SBOM, und Ihre Artikel-14-Meldungen werden präzise und vertretbar sein – vor dem Stichtag am 11. September 2026.

Zum Meldungsrahmen, in den diese Identifikatoren einfließen, lesen Sie unseren Leitfaden zu den CRA-Artikel-14-Berichtspflichten für Hersteller.