IoT-SIM-regler: krav for tilkoblede enheter

Kort svar: Ja, IoT-SIM-kort er underlagt reguleringer, og reglene avhenger av hvor enheten brukes. De fem områdene man må sjekke er reglene for permanent roaming (Brasil og Tyrkia forbyr utenlandske SIM-kort å benytte seg av roaming over lengre tid), registrering av SIM-kort og abonnenter, regler for cybersikkerhet for enheter, for eksempel den delegerte forordningen til EUs radioutstyrsdirektiv (i kraft fra 1. august 2025) og loven om cyberresiliens (rapporteringsplikt fra 11. september 2026), personvern som GDPR, samt sektorregler for områder som helsetjenester og kritisk infrastruktur. Com4 hjelper enheter med å oppfylle kravene ved hjelp av SIM-kort for flere nettverk, eUICC og SGP.32 eSIM for lokale profiler, samt SIM-kontroll i Polaris-plattformen for tilkoblingsadministrasjon.

Reguleringer stopper sjelden et IoT-prosjekt helt i starten. De dukker opp senere: et parti sporingsenheter som blir blokkert i Brasil etter noen måneder, en kundes innkjøpsteam som ber om din plan for loven om cyberresiliens, eller en anbudskonkurranse i Norge der det spørres om hvor enhetsdataene behandles. Da er maskinvaren allerede produsert, og de billige alternativene er borte.

Denne veiledningen omhandler reglene som oftest påvirker tilkoblede enheter med SIM-kort, og hvordan man planlegger for dem. Det er en praktisk oversikt, ikke juridisk rådgivning. Sjekk detaljene for dine egne markeder med ditt juridiske team.

1. Regler for permanent roaming

De fleste IoT-SIM-kort fungerer ved hjelp av roaming: et SIM-kort fra ett land bruker nettverk i et annet. Det er greit for en telefon på ferie. Det blir et problem når en enhet oppholder seg i utlandet i flere år, fordi noen reguleringsmyndigheter og operatører ikke tillater at utenlandske SIM-kort forblir permanent i deres nettverk.

• Forbudt ved lov: Brasil og Tyrkia forbyr permanent roaming. Nigeria blir ofte nevnt i samme gruppe.
• I praksis forbudt: Kina og India krever lokale lisenser eller lokal registrering, og flere markeder i Midtøsten krever en lokalt registrert leverandør.
• Begrenset av operatører: USA, Canada og Australia har ikke noe lovfestet forbud, men lokale operatører kan begrense eller blokkere langvarig roaming.
• Generelt tillatt: Innenfor EU og EØS er permanent roaming tillatt i henhold til roamingreglene, selv om operatørene kan anvende retningslinjer for rimelig bruk.

Løsningen er å bruke en lokal operatørprofil i markeder med begrensninger. Det innebærer et multi-IMSI-SIM-kort med lokal identitet, eller et eUICC med SGP.32 som kan laste ned en lokal profil trådløst. Les mer i vår guide om utfordringer knyttet til permanent roaming.

2. SIM- og abonnentregistrering

Mange land krever at hvert SIM-kort skal være registrert på en kjent person eller et kjent selskap. Reglene varierer: Noen gjelder kun for forbrukertjenester, andre for alle SIM-kort, og noen, som for eksempel Tyrkia og Indonesia, krever også IMEI-registrering av enheten. Før nøyaktig oversikt over hvilket selskap som eier hvert SIM-kort, hvilken enhet det sitter i og hvor enheten brukes. En plattform for tilkoblingsadministrasjon gjør dette til en eksportfunksjon snarere enn et prosjekt.

3. Regler for cybersikkerhet for enheter i EU

To EU-regler gjelder nå direkte for tilkoblede enheter:

• Delegert rettsakt (EU) 2022/30 til direktivet om radioutstyr. Fra og med 1. august 2025 må internettilkoblet radioutstyr som markedsføres i EU oppfylle krav til cybersikkerhet når det gjelder nettverksbeskyttelse, personopplysninger og forebygging av svindel. De harmoniserte standardene er EN 18031-1, -2 og -3. Uten disse er CE-merkingen ikke gyldig for de berørte produktene.
• Cyber Resilience Act (EU) 2024/2847. Fra og med 11. september 2026 må produsenter rapportere aktivt utnyttede sårbarheter og alvorlige hendelser innen stramme frister, også for produkter som allerede er på markedet. Fra 11. desember 2027 gjelder alle kravene, inkludert sikker utforming, sikkerhetsoppdateringer og CE-merking.

Tilkobling er en del av løsningen på begge deler. Et privat APN, krypterte tunneler og muligheten til å distribuere oppdateringer trådløst gjør det mye enklere å oppfylle sikkerhetskravene. Se Com4s IoT-sikkerhetstjenester.

4. Databeskyttelse og datalokalisering

Hvis enhetene dine samler inn data om personer (posisjon, helse, energiforbruk i en bolig), gjelder GDPR i EU og EØS, og tilsvarende lover gjelder andre steder. Spør leverandøren din hvor trafikken dirigeres og behandles. Kunder i offentlig sektor, helsevesenet og kritisk infrastruktur vil ofte kreve at dataene forblir i EU eller EØS, og vil stille dette som krav i anbud.

5. Regler for sektorer og kritisk infrastruktur

Noen bransjer legger til egne krav. Energiselskaper, vannforsyningsselskaper, transport- og helseaktører faller inn under NIS2 i EU og videreformidler sikkerhetskrav til sine leverandører. Medisinsk utstyr har egne forskrifter. Strømmålere og ladestasjoner for elbiler har ofte nasjonale tekniske krav. Disse nevner sjelden SIM-kort direkte, men de bestemmer hva tilkoblingen din må levere når det gjelder oppetid, sikkerhet og rapportering.

6. Nedleggelse av nett

Ikke en lov, men det fungerer som en. Når operatører slår av 2G og 3G, slutter enheter som er avhengige av dem å fungere. Norge, Sverige og mange andre markeder har kunngjort eller gjennomført nedleggelser. Planlegg for LTE-M, NB-IoT eller 4G, og les vår guide om hvordan du forbereder deg på nedleggelser av 2G og 3G.

Slik opprettholder du samsvar på tvers av land

1. Lag en liste over alle land der enhetene skal brukes, inkludert fremtidige markeder i veikartet.
2. Sjekk hvert enkelt land for regler om permanent roaming og registrering før du låser maskinvaren.
3. Velg et SIM-kort som kan bruke lokale profiler: multi-IMSI, eUICC med SGP.32 eller begge deler.
4. Oppbevar oversikt over SIM-eierskap, enheter og lokasjoner på én plattform.
5. Bruk en privat APN og krypterte tilkoblinger, og planlegg for fjernoppdateringer.
6. Dokumenter hvordan du oppfyller kravene i RED og Cyber Resilience Act, inkludert rapportering av sårbarheter.
7. Spør leverandøren din hvor trafikken behandles, og få dette skriftlig.
8. Samarbeid med en leverandør som følger med på regelendringer i markedene dine for deg.

Den korte versjonen

Regulering av IoT-SIM-kort kommer fra flere hold samtidig: roaming, registrering, cybersikkerhet, databeskyttelse og bransjeregler. Ingenting av dette er vanskelig å håndtere hvis du planlegger det før maskinvaren bygges. Alt blir dyrt hvis du oppdager det i etterkant.

Det er billigst å sikre samsvar allerede på tegnebrettet.

Hvis du planlegger en utrulling i flere land, kan Com4 gå gjennom markedene dine sammen med deg og vise hvor du trenger lokale profiler, registrering eller ekstra sikkerhet. Ingen presentasjoner, bare reglene som gjelder for enhetene dine.