Sinnvoll wäre es in diesem Fall vermutlich auch auf dem RP die Root-Zertifikate von Let’s Encrypt zu trusten und noch sinnvoller das Wildcard-Zertifikat oder ein diesem übergeordnetes Zertifikat auf den PBXen zu vertrauen. Das geht ja recht einfach und zentral über die Gerätekonfigurarion. Man kann die Zertifikate sogar auf der FilesApp in einem mit Filekey freigegeben Irdner hosten. Beim nächsten Zertifikatstausch muss man dann nur eine Datei anpassen.
Die Einrichtung von Let‘s Encrypt ist eigentlich total easy, aber es kommt echt auf die Reihenfolge an. Es macht durchaus Sinn zuerst die Vertrauensstellungen zu schaffen. Im 2. Schritt ist dann der RP anzubinden oder das Forwarding der Prüfungskommission-URL einzurichten. Erst dann kann man entspannt die Geräte dahinter an den Dienst anbinden.

sortierte Grüße
Niels