Belangrijkste punten
- De National Vulnerability Database is de centrale verzameling van de Amerikaanse overheid waarin openbaar gemaakte software- en hardwarekwetsbaarheden worden gecatalogiseerd met gestandaardiseerde CVE-identificatiecodes en CVSS-ernstscores.
- NIST richtte de NVD in 2005 op als opvolger van de Internet Category of Attack Toolkit, die sinds 1999 softwarekwetsbaarheden bijhield.
- Een kwetsbaarheid komt in de NVD terecht nadat een beveiligingsonderzoeker, leverancier of ontwikkelaar die heeft gemeld, MITRE een CVE-identificatiecode heeft toegekend en NIST de vermelding heeft beoordeeld en van een ernstscore heeft voorzien.
- NIST stapte in april 2026 over op een risicogebaseerd verrijkingsmodel voor de NVD, waarbij niet langer alle inzendingen maar vooral kwetsbaarheden uit de Known Exploited Vulnerabilities-catalogus van CISA, federale software en kritieke software voorrang krijgen.
- IT-teams moeten niet uitsluitend op de NVD vertrouwen, want er kunnen vertragingen in de gegevens en hiaten in de dekking optreden. Vul de database daarom aan met andere bronnen van threat intelligence.
De National Vulnerability Database (NVD) is een informatiebron van de Amerikaanse overheid die beveiligingsproblemen in een gestandaardiseerd, doorzoekbaar formaat catalogiseert. De database bevat gegevens over software- en hardwareproducten, hun bekende beveiligingsproblemen (waaronder verkeerde configuraties) en de ernst en impact ervan. De NVD is een belangrijke bron voor IT-professionals om op de hoogte te blijven van mogelijke beveiligingsrisico’s in hun IT-infrastructuur.
Deze uitgebreide gids legt uit wat de National Vulnerability Database is en waarom die belangrijk is voor cybersecurity. U krijgt een overzicht van de werking en leest hoe u de database inzet binnen uw IT-beveiliging om de kwetsbaarheden in uw software en systemen te beoordelen, te classificeren en te beperken.
Detecteer, beheer en verhelp kwetsbaarheden met gemak.
📝 Meld u aan voor een gratis trial van NinjaOne Vulnerability Management.
Wat is de National Vulnerability Database? De structuur en onderdelen uitgelegd
De National Vulnerability Database werd in 2005 opgericht als door de VS gefinancierde opvolger van de Internet Category of Attack Toolkit (ICAT), die sinds 1999 softwarekwetsbaarheden catalogiseerde. In augustus 2026 had de NVD meer dan 374.000 kwetsbaarheden gedocumenteerd en het tempo waarin nieuwe worden ontdekt neemt nog steeds snel toe.
De NVD is opgebouwd rond een database van kwetsbaarheden en getroffen producten. Dit zijn de belangrijkste onderdelen en functies:
- Kwetsbaarheden: hieronder valt ook informatie over specifieke producten en softwareversies en de Common Vulnerabilities and Exposures (CVE) van elke kwetsbaarheid. Producten worden uniek geïdentificeerd via hun Common Platform Enumeration (CPE).
- Ernstclassificaties en impactgegevens: scores uit het Common Vulnerability Scoring System (CVSS) en impactgegevens geven inzicht in de ernst en de mogelijke gevolgen van de kwetsbaarheid, waaronder het effect op de vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen product.
- Aanbevelingen om risico’s te beperken: bij elke kwetsbaarheid geeft de NVD aan welke maatregelen u kunt nemen om die weg te nemen (bijvoorbeeld met een softwarepatch of een configuratiewijziging die het probleem oplost) of om het risico te beperken met aanvullende configuratie of bescherming.
De NVD biedt zoek- en filterfuncties waarmee u uw devices en software kunt controleren op kwetsbaarheden die beperkt of gepatcht moeten worden. Daarnaast biedt de NVD een doorzoekbare verzameling checklists: richtlijnen en beste praktijken voor specifieke producten die u kunt volgen om uw IT-infrastructuur beter te beschermen tegen bekende aanvalsvectoren.
Zo pakt de NVD cybersecurityrisico’s aan
Het proces om een kwetsbaarheid aan de NVD toe te voegen begint bij een beveiligingsonderzoeker, een leverancier of een ontwikkelaar die een probleem in een eigen product ontdekt. Soms meldt zelfs een gewone eindgebruiker een fout in een device of een stuk software dat hij gebruikt.
Mogelijke kwetsbaarheden worden vervolgens gemeld en voorzien van een unieke ID in de CVE-database om het probleem te volgen. Zo’n melding moet details van de kwetsbaarheid bevatten: welke producten worden getroffen, wat de impact van misbruik is en welke stappen zijn vastgesteld om het risico te beperken. Zodra er een CVE is aangemaakt, beoordeelt de National Vulnerability Database de vermelding, bepaalt de ernst, kent een CVSS toe en publiceert de gegevens in de online database.
De NVD gebruiken voor vulnerability management
Om IT-beveiligingsproblemen te beheren en te beperken, kunt u in de NVD naar relevante dreigingen zoeken, handmatig of met behulp van automatisering en beveiligingsproducten die gegevens uit de CVE en de NVD halen.
U kunt de National Vulnerability Database raadplegen via de website nvd.nist.gov en daar zoeken op CVE of CPE. Ook kunt u er checklists opzoeken waarmee u de beveiligingsinstellingen van de specifieke software die u gebruikt verder aanscherpt.
Het is een goede gewoonte om regelmatig uw netwerk in kaart te brengen en kwetsbaarheden te beoordelen. Neem de controle van de NVD op in die routinetaken. Zo weet u zeker dat alle devices in uw netwerk volledig gepatcht zijn tegen bekende dreigingen of dat niet-gepatchte dreigingen effectief worden beperkt (bijvoorbeeld met extra firewallregels voor specifieke endpoints).
U heeft misschien oudere hardware, zoals dure of moeilijk te vervangen industriële of medische apparatuur, die een specifieke softwareversie nodig heeft die de NVD als onveilig aanmerkt. Zodra de dreiging is vastgesteld, kunt u die machine isoleren, alleen beveiligde remote access toestaan wanneer dat nodig is en de toegang tot het bredere netwerk en het internet beperken. Zo blijft het systeem bruikbaar zonder dat u risico loopt via een bekende aanvalsmethode.
Uitdagingen en beperkingen van de NVD
U kunt niet uitsluitend op de NVD vertrouwen voor informatie over uw IT-beveiligingslandschap. Uw infrastructuur is een unieke mix van hardware en software, elk met eigen configuratie-uitdagingen en beveiligingsproblemen, waarvan sommige andere problemen mogelijk maken.
De National Vulnerability Database is ook niet volledig. De database bevat niet (en kan niet) elke bestaande kwetsbaarheid bevatten, zeker niet na de wijzigingen in de processen van NIST in 2026. Veel kwetsbaarheden blijven onontdekt (en worden in de praktijk niet misbruikt), terwijl kwaadwillenden kwetsbaarheden kunnen vinden die ze niet bekendmaken, waardoor die actief misbruikt kunnen worden.
Daarom is het belangrijk dat u beschikt over robuuste detectie van en respons op dreigingen en dat u kwetsbaarheden routinematig beoordeelt en beperkt. Gebruik daarbij bij voorkeur tools die uiteenlopende informatiebronnen combineren en heuristieken toepassen om mogelijk kwaadaardige code of gedrag te herkennen.
Hoe actueel zijn de NVD-gegevens in 2026?
In april 2026 veranderde NIST de manier waarop nieuwe kwetsbaarheden worden verwerkt. Door het recordaantal CVE’s verrijkt de NVD niet langer elke inzending met een CVSS-score en een lijst van getroffen producten. In plaats daarvan krijgen kwetsbaarheden voorrang die in de Known Exploited Vulnerabilities (KEV)-catalogus van CISA staan, die software betreffen die de federale overheid gebruikt of die vallen onder de definitie van kritieke software uit Executive Order 14028. Al het overige wordt wel gepubliceerd, maar met het label “Lowest Priority – not scheduled for immediate enrichment” en krijgt mogelijk helemaal geen CVSS-score.
Dat betekent dat de NVD-vermelding van een CVE alleen basisgegevens kan tonen zonder ernstscore, vooral bij alles wat vóór 1 maart 2026 is gepubliceerd en toen nog niet in een prioriteitscategorie viel.
Is de NVD nog betrouwbaar? En zijn er alternatieven?
Het CVE-programma dat de NVD voedt kreeg in april 2025 zelf te maken met onzekerheid over de financiering, toen het contract van MITRE met het Department of Homeland Security bijna afliep. CISA verlengde de financiering op het laatste moment en een groep bestuursleden van CVE richtte als noodplan de non-profit CVE Foundation op. In 2026 heeft CISA bevestigd dat het programma gefinancierd blijft.
Organisaties buiten de VS hebben bovendien een alternatief: de EU Vulnerability Database (EUVD), die door ENISA wordt beheerd en sinds mei 2025 live is onder de Europese NIS2-richtlijn. De EUVD verwijst naar dezelfde CVE-identificatiecodes en geeft Europese organisaties naast de NVD een regionaal bestuurde optie.
Ontdek kwetsbaarheden met NinjaOne voordat ze een IT-hoofdpijndossier worden.
De toekomst van de National Vulnerability Database
De rol van de National Vulnerability Database is geëvolueerd en uitgekristalliseerd, zeker door de recente proceswijzigingen bij NIST en de opkomst van AI-gestuurde detectie- en responsmethoden die threat intelligence kunnen verwerken en automatisch strategieën formuleren en inzetten om risico’s te beperken die het beste passen bij hun omgeving. Dat is waardevol gebleken tegenover complexe, AI-gestuurde dreigingen die dezelfde technologieën gebruiken.
Onthoud bij dit alles dat de NVD weliswaar een goede basis vormt, maar niet langer volledig dekkend is en dus slechts één van meerdere gegevensbronnen voor vulnerability management zou moeten zijn. Zorg er bij de inzet van software voor endpoint management en -bescherming voor dat die voldoende inzicht biedt om nieuwe aanvalsvectoren snel en duidelijk te herkennen.
Wilt u beter begrijpen “Wat is de National Vulnerability Database?” Bekijk dan deze korte videogids.
