CISA ist eine Regierungs-Organisation, gehört zum Department of Homeland Security.

Die CVE-Datenbank wird öffentlich im Auftrag der CISA geführt von MITRE, das ist eine Non-Profit-Organisation, die als Abspaltung vom Massachusetts Institute of Technology (daher "MIT" im Namen) entstanden ist. MITRE wird vom US-Staat finanziert und hat über 9000 Mitarbeiter, da ist die CVE-Datenbank nur ein winziger Teil.

Was die ENISA bisher nicht zuwege gebracht hat, ist eine Beschreibung des Prozesses wie bei cve.org, wie künftig die Vergabe neuer Nummern koordiniert werden soll. Vor dem Hintergrund ist es doppelt schön, dass das für Perl und CPAN inzwischen geklärt ist.