WASHINGTON / LONDON (IT BOLTWISE) – NIST beendet ab dem 2. Juni 2026 weitgehend die eigenständige Berechnung von CVSS fhrern und verlagert die Bewertung in gronigen Fnfn.
NIST verlagert einen zentralen Baustein der Verwundbarkeits-Landschaft: Ab dem 2. Juni 2026 will die US-Behörde die eigenständige CVSS-Bewertung weitgehend einstellen und stattdessen auf von Herstellern bereitgestellte Scoring-Daten setzen. In der Praxis bedeutet das, dass die NVD-Logik (National Vulnerability Database) weniger hauseigene Urteilsf tstnutungen vornimmt. Der Schritt adressiert Kosten- und Prozessprobleme, wirft aber zugleich die grundsnliche Frage auf, wie belastbar Herstellerbewertungen in heterogenen Produktwelten sind.
Aus technischer Sicht ist CVSS mehr als eine Zahl: Die Metrikstruktur soll die Exploitierbarkeit, die Auswirkungen und die erreichbare Angriffsoberfläche systematisch in ein Vergleichsschema f. NIST kontrollierte bislang einen Teil der Berechnung, whrend Hersteller in vielen Fnlen bereits eigene CVSS-Angaben lieferten. Branchenexperten argumentieren, dass die Qualität von Scoring-Daten stark davon abhnnängt: Wenn Kontext und Annahmen nicht konsistent dokumentiert werden, sinkt die Vergleichbarkeit. Der Wechsel zwingt Unternehmen deshalb, Scoring-Quellen im Asset- und Priorisierungsprozess sauber zu modellieren.
Der wirtschaftliche Kern der Entscheidung liegt in einem berichteten Rückstau: Nach einem kritischen Bericht des US-Handelsministeriums wuchs die Zahl unverarbeiteter Schwachstellen von rund 13.000 im Februar 2024 auf etwa 27.000 Ende 2025. Als Ursache gilt, dass NIST zu spzeitig keinen Nachfolgevertrag sicherte, obwohl die Vorbereitungsphase zwei Jahre betrug. Hinzu kam, dass interne Zielwerte von 6.200 bearbeiteten Schwachstellen pro Monat wiederholt verfehlt wurden. In Summe spricht das für Unternehmen für den Wechsel als Versuch, Skalierungsdruck in Qualit umzuwandeln, statt zus in teure Personal- oder Prozessmnahm e zu investieren.
Besonders relevant ist die Doppelarbeitsfrage: Laut Bericht befand sich in 80 Prozent der Fnn Fnfn der Hersteller bereits mit eigenen CVSS-Werten im Spiel, wnd NIST dennoch eigene Prnfungen durchfnhrte. Unabhnn Bewertungen stimmten demgegen lediglich in 12 Prozent der Fnfnn nfnn. Auch die Schnittstelle zu CISA wird zu einem Konfliktfeld: Deren Programm „Vulnrichment“ bearbeitete rund 21.000 Fnnn fnn parallel zu NIST, mit gescht 200.000 Dollar als geschn. CISA hatte bereits 2024 die Finanzierung fnNISTs Rolle in diesem Bereich eingestellt. Damit wird der Wechsel zugleich zu einer Markt- und Governance-Story: Wer priorisiert, muss auch erklärbar machen, warum.
Im breiteren Marktbild treffen zwei Trends aufeinander: Zum einen steigen die Meldezahlen fn Schwachstellen weiter rapide an; fn 2026 werden 60.000+ erwartet, und allein 2025 wurden mehr als 48.000 identifiziert. Zum anderen wnnnn Zahl digitaler Vorschriften und Datenbanken fn, sodass neben der US-amerikanischen CVE Foundation auch EUVD der EU und CNNVD in China parallel betrieben werden. Genau diese Fragmentierung erhn verschnert die Konsistenz von Priorisierung und Reporting.
Technik bleibt dabei der entscheidende Hebel: Im Enterprise-Umfeld entscheidet, ob Teams CVSS-Werte als „single source of truth“ nutzen oder ob sie sie mit eigenen Kontextsignalen anreichern. Wenn NIST die unabhnn Berechnungen reduziert, muss die Priorisierung stnker an Konfigurationsdaten und Exposition gekoppelt werden: Welche Systeme sind tats wirklich erreichbar? Welche Komponente ist im Patch-Plan enthalten? Und wie wirkt sich die Abweichung zwischen Hersteller-CVSS und interner Bewertung auf Risikoentscheidungen aus? Der Vergleich „Cloud vs. On-device“ spielt hier eine indirekte Rolle, weil sich daraus ableiten l lässt: Bei stark automatisierten Umgebungen kann Priorisierung schnell umgesetzt werden, wn aber auch schneller wirkungsarm werden, wenn Scoring-Unsicherheit steigt.
Die zukünftige Markt- und Bedrohungslage liefert die Kontra-Evidenz: In der Zwischenzeit werden Schwachstellen intensiver ausgenutzt, und KI-gestn. Seit April 2026 soll „Project Glasswing“ von Anthropics mit einem „Claude“-Mythos auf Open-Source-Projekte scannen und Zehntausende potenzielle Schwachstellen identifiziert haben. Gleichzeitig gibt es konkrete Ausnutzungen wie eine Umgehungslücke in Palo Altos GlobalProtect VPN (CVE-2026-0257) sowie kritische Fehler rund um Flowise und OTRS (u. a. CVE-2026-40933 und CVE-2026-48188). Branchenbeobachter sehen darin den Grund, warum Scoring nicht nur korrekt, sondern auch aktuell und praktisch verwertbar sein muss.
Regulatorisch und datenschutzseitig verbindlich bleibt die Konsequenz: Wenn Bewertungstiefe in Richtung Herstellerdaten wandert, mn mnssen Unternehmen dokumentieren, welche Risikoannahmen sie in Compliance-Prozesse über einflien lassen. Denn Sicherheitsentscheidungen über basieren auf Risiko- und Prozesslogik, die im Audit nachweisbar sein muss. NIST soll bis zum 25. Juli 2026 einen Aktionsplan vorlegen, darunter bessere Kommunikation und die Beseitigung von Doppelarbeit. Fnnn Unternehmen heinnt das: CVSS-Importe mssen mit nachvollziehbaren Governance-Regeln angereichert werden, inklusive Quellenprn, Differenzanalyse und dokumentierter Abweichungsbehandlung.
Der wichtigste Ausblick betrifft aber die praktische Wirksamkeit: NIST will rund 800.000 US-Dollar (etwa 740.000 Euro) in den nn nchsten zwei Jahren sparen und sich vor allem auf Fn konzentrieren, in denen Herstellerangaben widersprchlich sind oder eine Prnufe angefordert wird. Fnnftnlich wird, ob Herstellerdaten allein ausreichen – und ob die verbleibenden Lücken in der Bewertung am Ende nicht grnnn Probleme erzeugen. Fnldere Unternehmen sollten jetzt ihre CVSS-Einspeisung in Vulnerability-Management-Workflows mit Differenzlogik und Patch-SLAs nachschnn, damit die Umstellung nicht nur Kosten senkt, sondern echte Sicherheitsgewinne liefert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NIST stoppt ab Juni 2026 eigene CVSS-Bewertungen und setzt auf Herstellerdaten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NIST stoppt ab Juni 2026 eigene CVSS-Bewertungen und setzt auf Herstellerdaten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NIST stoppt ab Juni 2026 eigene CVSS-Bewertungen und setzt auf Herstellerdaten« bei Google Deutschland suchen, bei Bing oder Google News!