Da sitzt nicht irgendwo ein Dritter, der in seiner Freizeit Linux-Kernel signiert, auf den man irgendwie warten müsste.
Die Distributionen signieren ihre ausgelieferten Kernel schlicht selber. Sobald Distribution XY einen neuen Kernel ins Repo stellt, ist der aus signiert (sofern die Distribution Secure Boot unterstützt). Die Maintainer, die bei der Distribution für die Kernelpakete zuständig sind, bauen den Kernel, signieren ihn und schieben den dann signiert und paketiert ins Repo. Üblicherweise ist das Signieren auch als automatisierter Schritt in den Buildprozess des Kernelpakets integriert. Da sitzt also Niemand, der händisch Signaturen erstellt.
Bei den großen Distributionen wie Debian, Fedora usw. wird üblicherweise auch ein, von Microsoft ausgestelltes Zertifikat zum Signieren der Kernel verwendet, dessen Root-Zertifikat in der Regel ab Werk im UEFI hinterlegt ist. Kleinere Distributionen verwenden eventuell ein eigenes Zertifikat, aber das pflegt man halt einmal in den Zertifikatsspeicher vom UEFI ein und danach akzeptiert Secure Boot auch die signierten Kernel dieser Distribution (so lange das Zertifikat nicht gelöscht wird oder auf der Sperrliste steht).