Zeitplan für die CRA-Durchsetzung
Der Cyber Resilience Act ist 2024 in Kraft getreten, der Großteil der Pflichten gilt ab Dezember 2027. Hersteller, die vernetzte Produkte auf dem EU-Markt in Verkehr bringen, müssen Secure-by-Design-Praktiken nachweisen, ein Schwachstellenmanagement anbieten und die Fähigkeit zu Sicherheitsupdates über die voraussichtliche Produktlebensdauer aufrechterhalten.
Daraus folgt für die Fertigungsseite:
- Erzwungene Verwendung signierter Firmware
- Identität je Einheit für SBOM- und Sicherheitsupdate-Nachverfolgung
- Sichere Provisionierungsabläufe, die Root-Schlüssel nicht offenlegen
- Dokumentierte Prüfaufzeichnungen, die einer Behördenprüfung standhalten
Diese Entscheidungen werden in der Produktionslinie Jahre vor der ersten Auslieferung getroffen. Wer den Produktionsablauf erst angeht, wenn die CRA-Durchsetzung beginnt, gerät unter Zeitdruck.
Verbreitung des Matter-Protokolls
Matter (früher Project CHIP) konsolidiert die Protokolllandschaft für Smart Home und Gebäudeautomation. Produktionsteams, die smarte Beleuchtung, HLK-Steuerungen und IoT-Gateways ausliefern, müssen zunehmend die Matter-Inbetriebnahme ab Werk unterstützen.
Auf der Fertigungsseite sieht das so aus: Jedes Matter-Gerät braucht einen eindeutigen Credential und eine prüfbare Identität. Die Inbetriebnahmedaten müssen schon beim ersten Einschalten vorliegen. Das ist ein Provisionierungsschritt je Einheit, kein nachgelagerter Arbeitsgang.
Wachstum der eSIM
Mit der Einführung der eingebetteten SIM (eSIM) entfällt die physische SIM-Logistik in der Fertigung von Mobilfunk-IoT-Geräten. Profile lassen sich aus der Ferne herunterladen und installieren. Eine gute Nachricht für die Komplexität im Box-Build.
Für die Produktion heißt das: Die Provisionierung verlagert sich vom Einlegen einer physischen SIM zum elektronischen Profildownload. Die Linie muss weiterhin die Mobilfunkverbindung prüfen und die IMEI je Einheit protokollieren, die Lieferkette für die SIM selbst fällt jedoch weg.
Identität je Einheit: nicht mehr optional
In IoT, Gebäudeautomation, Energie und Zutrittskontrolle ist die Identität je Einheit vom Sonderwunsch zum Standard geworden. Käufer fragen, ob jede ausgelieferte Einheit eine eindeutige kryptografische Identität, eine der Produktionscharge zuordenbare Seriennummer und eine im Feld überprüfbare Firmware-Version besitzt.
Diese Verschiebung erzeugt Nachfrage nach Fertigungslinien, die eine sichere Provisionierung inline zur PCBA leisten, AOI im Haus haben und einen abgestimmten Weg in den Funktionstest bieten (entweder auf derselben Linie oder über ein Partner-Testhaus nach dem Prüfplan des Kunden). Linien ohne diese Integration rüsten sie später nach oder verlieren das Geschäft an Betriebe, die das von Anfang an sauber koordinieren.
Quellen
- Europäisches Parlament, Cyber Resilience Act (Verordnung EU 2024/2847)
- Connectivity Standards Alliance, Matter-Spezifikation
- GSMA, eSIM-Spezifikationen und Verbreitungsberichte
- ETSI EN 303 645 (Sicherheitsbaseline für Consumer-IoT)