Tijdlijn van de CRA-handhaving
De Cyber Resilience Act is in 2024 in werking getreden; de meeste verplichtingen gelden vanaf december 2027. Fabrikanten die connected producten op de EU-markt brengen, moeten secure-by-design-praktijken aantonen, kwetsbaarheidsbeheer aanbieden en gedurende een verwachte levensduur beveiligingsupdates voor het product kunnen leveren.
Gevolgen voor de productie:
- Handhaving van ondertekende firmware
- Identiteit per unit voor SBOM en het volgen van beveiligingsupdates
- Veilige provisioning-workflows die root-sleutels niet blootstellen
- Gedocumenteerde testrapporten die een audit van de toezichthouder doorstaan
Dit zijn beslissingen over de productielijn die jaren voor de verzending van een product worden genomen. Kopers die de productieworkflow uitstellen tot de CRA-handhaving begint, komen in tijdnood.
Adoptie van het Matter-protocol
Matter (voorheen Project CHIP) consolideert de protocolwereld voor smart home en gebouwautomatisering. Productieteams die smart lighting, HVAC-besturingen en IoT-gateways leveren, moeten Matter-commissioning steeds vaker direct vanaf de fabriek ondersteunen.
De realiteit aan de productiezijde: elk Matter-apparaat heeft een unieke credential en een verifieerbare identiteit nodig. De commissioning-data moet bij de eerste inschakeling aanwezig zijn. Dit is een provisioning-workflow per unit, geen handeling na verkoop.
Groei van eSIM
De opkomst van embedded SIM (eSIM) haalt de logistieke stap van de fysieke simkaart uit de productie van cellulaire IoT. Profielen kunnen op afstand worden gedownload en geïnstalleerd. Goed nieuws voor de complexiteit van box-build.
Het gevolg voor de productie: provisioning verschuift van fysieke simkaartinsteek naar het downloaden van elektronische profielen. De lijn moet nog steeds de cellulaire connectiviteit verifiëren en de IMEI per unit loggen, maar de toeleveringsketen voor de simkaart zelf valt weg.
Identiteit per unit: niet langer optioneel
Bij IoT, gebouwautomatisering, energie en toegangscontrole is identiteit per unit van optioneel naar verwacht verschoven. Kopers vragen of elke verzonden unit een unieke cryptografische identiteit heeft, een serienummer dat aan de productiebatch is gekoppeld en een firmwareversie die ook na uitlevering in het veld te verifiëren is.
Deze verschuiving zorgt voor vraag naar productielijnen die veilige provisioning in-line met PCBA kunnen uitvoeren, met AOI in-house en een gecoördineerde route naar functionele test (op dezelfde lijn of via een partner-testhuis tegen het testplan van de klant). Lijnen zonder die integratie schroeven het er later op, of verliezen werk aan partijen die het al netjes coördineren.
Bronnen
- Europees Parlement, Cyber Resilience Act (Verordening EU 2024/2847)
- Connectivity Standards Alliance, Matter-specificatie
- GSMA, eSIM-specificaties en adoptierapporten
- ETSI EN 303 645 (basislijn voor IoT-beveiliging voor consumenten)