KEV kataloğuna bir zafiyetin eklenebilmesi için üç koşul aranır: bir CVE kimliğinin bulunması, aktif istismar edildiğine dair güvenilir kanıt olması ve açık bir giderme yönteminin (ör. üretici yaması) mevcut olması.
ABD federal kurumları, CISA'nın BOD 22-01 bağlayıcı direktifi kapsamında katalogdaki açıkları belirlenen sürelerde gidermekle yükümlüdür. Ancak katalog herkese açıktır ve dünya genelinde kurumlar için pratik bir önceliklendirme listesi işlevi görür.
Nasıl kullanılır? Zafiyet tarama sonuçlarınızı KEV listesiyle karşılaştırın; özellikle internete açık sistemlerde KEV'de yer alan açıkları ilk sıraya alın. Katalog makine tarafından okunabilir biçimlerde de yayımlandığı için zafiyet yönetimi araçlarına otomatik olarak entegre edilebilir.