Skip to content
Neem contact op met Sales Gratis proefperiode Koop nu
Ontwikkelaarsblog

Zelf de regie nemen over onze beveiliging: Nitro wordt een CVE-nummeringsinstantie (CNA)

Alan Gordon

Director, IT & Security

We zijn verheugd te kunnen melden dat Nitro zich heeft aangesloten bij het Common Vulnerabilities and Exposures (CVE™)-programma als CVE Numbering Authority (CNA) onder de ENISA Root, het Agentschap voor cyberbeveiliging van de Europese Unie. Het is een verandering achter de schermen, maar wel een belangrijke voor de manier waarop we omgaan met en communiceren over cyberbeveiligingskwesties in onze producten. Hieronder leggen we uit wat het inhoudt, waarom we deze stap hebben gezet en wat dit betekent voor onze klanten.

Ten eerste: wat is een CVE?

Wanneer er een cyberbeveiligingskwetsbaarheid in software wordt gevonden, is er een naam nodig waar iedereen het over eens is. Dat is wat een CVE-identificatie (CVE-ID) is: een unieke ID, zoals CVE-2026-12345, die leveranciers, onderzoekers, beveiligingstools en IT-teams allemaal gebruiken om naar hetzelfde probleem te verwijzen.

Als je ooit een kwetsbaarheidsscanner hebt geraadpleegd, een beveiligingsadvies hebt gelezen of een systeem hebt gepatcht naar aanleiding van een nieuwsbericht, ben je er waarschijnlijk wel eens een tegengekomen. Met CVE-ID’s houdt de beveiligingswereld bij wat er is ontdekt en wat er is verholpen.

Wat doet een CNA?

Een CVE Numbering Authority is een organisatie die bevoegd is om CVE-ID’s toe te wijzen en bijbehorende CVE-records te publiceren voor kwetsbaarheden binnen een bepaald toepassingsgebied. Wereldwijd zijn er meer dan 550 CNA’s, waaronder grote softwareleveranciers, beveiligingsbedrijven en nationale CSIRT’s.

CNA’s vallen onder Roots, die hen werven, opleiden, inwerken en ondersteunen. ENISA werd in november 2025 een Root om de Europese bijdrage aan en afstemming op het wereldwijde kwetsbaarheden-ecosysteem te versterken, en momenteel vallen er meer dan 20 organisaties en nationale CSIRT’s onder. Nitro is nu een van hen.

Ons werkterrein betreft de eigen producten van Nitro. Dat betekent dat we CVE’s toekennen en publiceren voor kwetsbaarheden die in Nitro-software worden aangetroffen – niet voor producten van derden.

Waarom we dit hebben gedaan

Tot nu toe moesten we, wanneer we een CVE nodig hadden voor een probleem in een Nitro-product, deze aanvragen via MITRE CNA-LR. Maar nu Nitro een CNA is, hebben we dat proces van begin tot eind in eigen beheer. Zodra een kwetsbaarheid is bevestigd, kan ons beveiligingsteam direct een CVE-ID reserveren, de publicatie ervan afstemmen op de oplossing en het CVE-record zelf opstellen.

Beveiligingsproblemen zijn een realiteit voor elk softwarebedrijf. Wat bedrijven onderscheidt, is hoe open en verantwoordelijk ze hiermee omgaan. Als CNA ligt die verantwoordelijkheid volledig bij ons: wij sporen het op, wij lossen het op en wij vertellen onze klanten duidelijk wat er is gebeurd en wat ze moeten doen. Het betekent ook dat we deel uitmaken van een netwerk van Europese CNA’s dat steeds belangrijker wordt, samen met andere organisaties die openbaarmaking net zo serieus nemen als wij.

Wat verandert er voor klanten?

  • Snellere informatie: CVE’s kunnen samen met onze oplossingen worden gepubliceerd, zodat u niet hoeft te wachten op een apart proces om te weten wat er is veranderd.

  • Nuttigere gegevens: de getroffen versies, de ernst en de aanbevelingen voor het verhelpen van de kwetsbaarheid komen rechtstreeks van het team dat het product kent.

  • Eenvoudiger bijhouden: kwetsbaarheidsscanners en beveiligingstools pikken CVE-records automatisch op, zodat uw team Nitro-problemen op dezelfde manier kan bijhouden als al het andere in uw omgeving.

Wat verandert er voor beveiligingsonderzoekers

Als u een kwetsbaarheid in een Nitro-product ontdekt, werkt u nu vanaf de eerste melding tot aan de publicatie van de CVE met één team samen. Ons programma voor verantwoorde openbaarmaking blijft ongewijzigd: meld het aan ons, wij bevestigen en verhelpen het, en wij vermelden uw bijdrage in het gepubliceerde record op de door u gewenste manier.

Meer informatie over ons programma voor verantwoorde openbaarmaking vind je via de onderstaande links.

Meer informatie