IoT-SIM-säännökset: säännöt verkkoon liitetyille laitteille

Lyhyt vastaus: Kyllä, IoT-SIM-kortteja säännellään, ja säännöt riippuvat laitteen käyttöpaikasta. Tarkistettavia viittä aluetta ovat pysyvän verkkovierailun säännöt (Brasiliassa ja Turkissa ulkomaiset SIM-kortit on kielletty pitkäaikaisessa verkkovierailussa), SIM-korttien ja tilaajien rekisteröinti, laitteiden kyberturvallisuussäännöt, kuten EU:n radiolaitedirektiivin valtuutettu säädös (voimassa 1.8.2025 alkaen) ja kyberresilienssilaki (ilmoitusvelvollisuudet 11.9.2026 alkaen), tietosuoja, kuten GDPR, sekä terveydenhuollon ja kriittisen infrastruktuurin kaltaisia aloja koskevat säännöt. Com4 auttaa laitteita pysymään vaatimusten mukaisina moniverkkosim-korttien, eUICC:n ja SGP.32 eSIM:n avulla paikallisia profiileja varten sekä SIM-korttien hallinnan avulla Polaris-yhteyksienhallinta-alustalla.

Sääntely harvoin pysäyttää IoT-projektia jo alkuvaiheessa. Se tulee esiin vasta myöhemmin: erä seurantalaitteita estetään Brasiliassa muutaman kuukauden kuluttua, asiakkaan hankintatiimi pyytää sinulta kyberresilienssilain mukaista suunnitelmaa tai Norjassa järjestettävässä tarjouskilpailussa kysytään, missä laitetietoja käsitellään. Siihen mennessä laitteisto on jo valmistettu, eikä edullisia vaihtoehtoja enää ole.

Tämä opas käsittelee sääntöjä, jotka vaikuttavat useimmiten SIM-kortilla varustettuihin verkkoon liitettyihin laitteisiin, sekä niiden huomioon ottamista suunnittelussa. Opas on käytännönläheinen katsaus, ei oikeudellista neuvontaa. Tarkista omien markkina-alueidesi yksityiskohdat lakitiimisi kanssa.

1. Pysyvän roamingin säännöt

Useimmat IoT-SIM-kortit toimivat roaming-periaatteella: yhden maan SIM-kortti käyttää toisen maan verkkoja. Tämä sopii hyvin lomalla olevalle puhelimelle. Siitä tulee ongelma, kun laite pysyy ulkomailla vuosia, koska jotkut sääntelyviranomaiset ja operaattorit eivät salli ulkomaisten SIM-korttien pysyvää käyttöä verkoissaan.

• Säädöksillä kielletty: Brasilia ja Turkki kieltävät pysyvän roaming-käytön. Nigeria mainitaan usein samassa ryhmässä.
• Käytännössä kielletty: Kiina ja Intia vaativat paikallisia toimilupia tai paikallista rekisteröintiä, ja useat Lähi-idän markkinat vaativat paikallisesti rekisteröityä toimittajaa.
• Operaattoreiden asettamat rajoitukset: Yhdysvalloissa, Kanadassa ja Australiassa ei ole lainsäädännöllistä kieltoa, mutta paikalliset operaattorit voivat rajoittaa tai estää pitkäaikaista roamingia.
• Yleisesti sallittu: EU:n ja ETA:n alueella pysyvä roaming on sallittua roaming-sääntöjen nojalla, vaikka operaattorit voivat soveltaa kohtuullisen käytön periaatteita.

Ratkaisu on käyttää paikallista operaattoriprofiilia rajoitetuilla markkinoilla. Tämä tarkoittaa moni-IMSI-SIM-korttia, jolla on paikallinen tunniste, tai eUICC-korttia, jossa on SGP.32 ja joka voi ladata paikallisen profiilin langattomasti. Lue lisää oppaastamme pysyvän roaming-palvelun haasteista.

2. SIM-kortin ja tilaajan rekisteröinti

Monissa maissa vaaditaan, että jokainen SIM-kortti rekisteröidään tunnetun henkilön tai yrityksen nimiin. Säännöt vaihtelevat: jotkut koskevat vain kuluttajapalveluita, toiset kaikkia SIM-kortteja, ja joissakin maissa, kuten Turkissa ja Indonesiassa, vaaditaan myös laitteen IMEI-rekisteröintiä. Pidä tarkkaa kirjaa siitä, mikä yritys omistaa kunkin SIM-kortin, missä laitteessa se on ja missä kyseistä laitetta käytetään. Yhteyksien hallinta-alustan avulla tämä on pikemminkin vienti kuin projekti.

3. Laitteiden kyberturvallisuussäännöt EU:ssa

Kaksi EU-sääntöä koskee nyt suoraan verkkoon liitettyjä laitteita:

• Radiolaitedirektiivin delegoitu säädös (EU) 2022/30. 1. elokuuta 2025 alkaen EU:n markkinoille saatettavien internetiin kytkettyjen radiolaitteiden on täytettävä kyberturvallisuusvaatimukset, jotka koskevat verkon suojausta, henkilötietoja ja petosten ehkäisyä. Yhdenmukaistetut standardit ovat EN 18031-1, -2 ja -3. Ilman niitä CE-merkintä ei ole voimassa kyseisissä tuotteissa.
• Kyberresilienssilaki (EU) 2024/2847. 11. syyskuuta 2026 alkaen valmistajien on ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista tapahtumista tiukkojen määräaikojen puitteissa, myös jo markkinoilla olevien tuotteiden osalta. 11. joulukuuta 2027 alkaen sovelletaan kaikkia vaatimuksia, mukaan lukien turvallinen suunnittelu, tietoturvapäivitykset ja CE-merkintä.

Yhteydet ovat osa ratkaisua molempiin haasteisiin. Yksityinen APN, salatut tunnelit ja mahdollisuus lähettää päivityksiä langattomasti helpottavat huomattavasti turvallisuusvaatimusten täyttämistä. Tutustu Com4:n IoT-tietoturvapalveluihin.

4. Tietosuoja ja tietojen sijainti

Jos laitteesi keräävät ihmisiä koskevia tietoja (sijainti, terveys, kodin energiankulutus), EU:ssa ja ETA-alueella sovelletaan GDPR-asetusta, ja muualla sovelletaan vastaavia lakeja. Kysy palveluntarjoajaltasi, mihin liikenne reititetään ja missä se käsitellään. Julkisen sektorin, terveydenhuollon ja kriittisen infrastruktuurin asiakkaat vaativat usein, että tiedot pysyvät EU:ssa tai ETA-alueella, ja he mainitsevat tämän vaatimuksen tarjouspyynnöissä.

5. Toimialakohtaiset ja kriittisen infrastruktuurin säännöt

Joillakin toimialoilla on omat lisävaatimuksensa. Energia-alan yritykset, vesilaitokset, liikenne- ja terveydenhuollon palveluntarjoajat kuuluvat EU:ssa NIS2-asetuksen piiriin ja siirtävät turvallisuusvaatimukset eteenpäin toimittajilleen. Lääkinnällisillä laitteilla on oma sääntelynsä. Sähkömittareille ja sähköautojen latureille on usein asetettu kansallisia teknisiä vaatimuksia. Niissä mainitaan harvoin suoraan SIM-kortteja, mutta ne määrittävät, mitä yhteyksiltäsi vaaditaan käytettävyyden, tietoturvan ja raportoinnin osalta.

6. Verkon sulkemiset

Ei laki, mutta toimii kuin laki. Kun operaattorit sammuttavat 2G- ja 3G-verkot, niistä riippuvaiset laitteet lakkaavat toimimasta. Norja, Ruotsi ja monet muut markkinat ovat ilmoittaneet tai jo toteuttaneet verkkojen sulkemisen. Suunnittele siirtyminen LTE-M-, NB-IoT- tai 4G-verkkoihin ja lue oppaamme 2G- ja 3G-verkkojen sulkemiseen valmistautumisesta.

Kuinka varmistaa vaatimustenmukaisuus eri maissa

1. Luettele kaikki maat, joissa laitteita tullaan käyttämään, mukaan lukien tulevat markkinat, jotka kuuluvat kehityssuunnitelmaan.
2. Tarkista jokaisesta maasta pysyvän verkkovierailun ja rekisteröinnin säännöt ennen laitteiston lukitsemista.
3. Valitse SIM-kortti, joka tukee paikallisia profiileja: multi-IMSI, eUICC ja SGP.32 tai molemmat.
4. Säilytä SIM-korttien omistajuus-, laite- ja sijaintitiedot yhdellä alustalla.
5. Käytä yksityistä APN:ää ja salattuja yhteyksiä sekä suunnittele etäpäivitykset.
6. Dokumentoi, miten täytät RED- ja Cyber Resilience Act -vaatimukset, mukaan lukien haavoittuvuuksien raportointi.
7. Kysy palveluntarjoajaltasi, missä liikenne käsitellään, ja pyydä siitä kirjallinen vahvistus.
8. Käytä palveluntarjoajaa, joka seuraa puolestasi markkinoillasi tapahtuvia sääntömuutoksia.

Lyhyesti

IoT-SIM-kortteja koskeva sääntely tulee useasta suunnasta kerralla: verkkovierailu, rekisteröinti, kyberturvallisuus, tietosuoja ja alakohtaiset säännöt. Mikään näistä ei ole vaikeaa hoitaa, jos suunnittelet asiat ennen laitteiston rakentamista. Kaikki tulee kalliiksi, jos huomaat ne vasta jälkikäteen.

Vaatimustenmukaisuus on edullisinta jo suunnitteluvaiheessa.

Jos suunnittelet käyttöönottoa useissa maissa, Com4 voi käydä kanssasi läpi markkinasi ja osoittaa, missä tarvitset paikallisia profiileja, rekisteröintiä tai lisäsuojauksia. Ei esityksiä, vain laitteisiisi sovellettavat säännöt.