Titre : L’avenir incertain du programme CVE soulève des inquiétudes en Europe

Dans la nuit du 17 avril, un soulagement temporaire a été ressenti au sein de la communauté internationale de cybersécurité : l’agence CISA (Cybersecurity and Infrastructure Security Agency) a prolongé, au dernier moment, son contrat avec MITRE pour garantir la continuité du programme Common Vulnerabilities and Exposures (CVE), un élément clé dans la gestion des vulnérabilités à l’échelle mondiale.

Cependant, cette situation a fait retentir toutes les alarmes. Le risque d’une interruption du CVE en raison d’un manque de financement a révélé une faiblesse structurelle : le monde entier dépend d’un standard géré sous contrat exclusif avec une entité américaine. Ce système, utilisé par des gouvernements, des entreprises technologiques, des CERTs et des systèmes de sécurité à travers le globe, était menacé par une simple décision politique interne.

MITRE annonce des changements majeurs et l’émergence d’une alternative

Un avis a été émis par MITRE, indiquant que sans renouvellement du contrat avec le gouvernement américain, le catalogue CVE cesserait de fonctionner le 17 avril. Les réactions ont été immédiates, tant sur les réseaux sociaux qu’au sein du CVE Board, qui a annoncé la création d’une alternative indépendante : la CVE Foundation, visant à pérenniser le standard à partir d’une entité neutre.

Un porte-parole de CISA a déclaré que "le contrat a été prolongé hier soir" et que l’agence "reconnaît l’impact du programme CVE sur la communauté mondiale de cybersécurité". Cette extension garantit 11 mois supplémentaires d’opération. Pourtant, la tension et le précédent demeurent.

L’Europe face à la question de la souveraineté numérique

Cet incident a ravivé un vieux débat : l’Europe peut-elle continuer à dépendre des États-Unis pour des questions aussi cruciales que la sécurité numérique ?

Bien que les États-Unis soient un allié stratégique au sein de l’OTAN et un leader technologique mondial, la cybersécurité est devenue un domaine de souveraineté critique pour l’Union Européenne, au même titre que l’énergie ou la défense.

Des professionnels du secteur soulignent qu’une interruption de l’accès au CVE aurait des répercussions directes sur les solutions de gestion des vulnérabilités, les scanners, les SIEM, les SOC et les processus de cyberintelligence, tant pour le secteur public que privé.

Un analyste en cybersécurité a affirmé : "Nous avons besoin d’une infrastructure européenne pour le classement des vulnérabilités. Ce n’est pas parce que les États-Unis sont un adversaire, mais parce que même leurs alliés changent de gouvernement et de priorités."

Un contexte de restructuration chez CISA et des coupes budgétaires

Cette controverse se déroule sur fond de restructuration interne chez CISA, initiée par la nouvelle administration de la secrétaire à la Sécurité intérieure, Kristi Noem. Des contrats ont été annulés, et des réductions de personnel et de budget sont envisagées dans des domaines clés.

Le climat politique n’est pas propice non plus : ces dernières années, certains secteurs conservateurs ont accusé CISA de "censure" dans ses efforts pour lutter contre la désinformation durant les élections. Ces tensions ont engendré un manque de confiance institutionnelle qui pourrait encore restreindre le champ d’action de l’agence.

Quelle suite à cette crise ?

La communauté technique mondiale exprime ses craintes. Bien que MITRE affirme son engagement envers le CVE et le CWE (Common Weakness Enumeration), cet épisode a démontré qu’une ressource aussi critique ne peut être confiée à une unique juridiction nationale.

L’Europe, qui a mis en avant sa propre législation comme le Règlement de Cybersécurité (CRA) et des structures comme ENISA ou le réseau CSIRTs, pourrait prendre l’initiative de promouvoir un système fédéré de gestion des vulnérabilités, interopérable mais souverain.

Il ne s’agit pas de dupliquer les efforts, mais de garantir que, si une décision politique à Washington peut paralyser le CVE, l’Europe dispose d’un plan B – et puisse le contrôler.

Conclusion

La cybersécurité est désormais une question géopolitique. L’incident MITRE-CVE rappelle que même les standards les plus établis peuvent être fragiles lorsqu’ils dépendent de la volonté d’un seul acteur.

La souveraineté numérique européenne doit passer d’une aspiration à une stratégie concrète. Car la prochaine fois qu’un contrat ne sera pas renouvelé à temps, les conséquences pourraient être immédiates et mondiales.