Tempistiche di applicazione del CRA
Il Cyber Resilience Act è entrato in vigore nel 2024, con la maggior parte degli obblighi che diventeranno applicabili da dicembre 2027. I costruttori che immettono prodotti connessi sul mercato UE devono dimostrare pratiche secure-by-design, garantire la gestione delle vulnerabilità e mantenere la capacità di rilasciare aggiornamenti di sicurezza per l'intera vita prevista del prodotto.
Implicazioni sul lato produzione:
- Obbligo di firmware firmato
- Identità per singola unità ai fini di SBOM e tracciamento degli aggiornamenti di sicurezza
- Flussi di provisioning sicuro che non espongono le chiavi radice
- Registri di collaudo documentati che reggano a un audit del regolatore
Sono scelte che si fanno sulla linea di produzione anni prima che il prodotto venga spedito. Chi rimanda l'allestimento del flusso produttivo a quando il CRA entrerà in vigore si troverà a rincorrere le scadenze.
Adozione del protocollo Matter
Matter (in passato Project CHIP) sta consolidando il panorama dei protocolli per la smart home e l'automazione degli edifici. I team che producono illuminazione smart, controlli HVAC e gateway IoT devono sempre più spesso supportare la messa in servizio Matter direttamente in fabbrica.
Sul lato produzione la situazione è chiara: ogni dispositivo Matter ha bisogno di una credenziale univoca e di un'identità verificabile. I dati di messa in servizio devono essere presenti al primo accensione. È un'attività di provisioning per singola unità, non un passaggio post-vendita.
Crescita della eSIM
L'adozione della SIM embedded (eSIM) elimina la logistica della SIM fisica dalla produzione di IoT cellulare. I profili si scaricano e installano da remoto. Una buona notizia per la complessità del box-build.
L'implicazione per la produzione: il provisioning passa dall'inserimento di una SIM fisica al download elettronico del profilo. La linea deve comunque verificare la connettività cellulare e registrare l'IMEI di ogni unità, ma la filiera della SIM in sé esce dall'equazione.
Identità per singola unità: non più opzionale
In IoT, automazione degli edifici, energia e controllo accessi, l'identità per singola unità è passata da opzione a requisito. I committenti chiedono se ogni unità spedita abbia un'identità crittografica univoca, un numero di serie collegato al lotto di produzione e una versione firmware verificabile anche dopo che l'unità è in campo.
Questo spostamento alimenta la domanda di linee di produzione in grado di gestire il provisioning sicuro in linea con il PCBA, con AOI in casa e un percorso coordinato verso il collaudo funzionale (sulla stessa linea oppure presso un test house partner, secondo il piano di collaudo del cliente). Le linee senza questa integrazione finiscono per aggiungerla in seconda battuta o perdono il lavoro a vantaggio di chi la coordina già in modo ordinato.
Fonti
- Parlamento europeo, Cyber Resilience Act (Regolamento UE 2024/2847)
- Connectivity Standards Alliance, specifica Matter
- GSMA, specifiche eSIM e rapporti sull'adozione
- ETSI EN 303 645 (baseline di sicurezza per IoT consumer)