Risposta breve: Sì, le schede SIM per l’IoT sono soggette a regolamentazione e le norme dipendono dal luogo in cui viene utilizzato il dispositivo. I cinque aspetti da verificare sono: le norme sul roaming permanente (il Brasile e la Turchia vietano il roaming a lungo termine con schede SIM straniere), la registrazione delle SIM e degli abbonati, le norme sulla sicurezza informatica dei dispositivi, quali l’atto delegato della Direttiva UE sulle apparecchiature radio (in vigore dal 1° agosto 2025) e il Cyber Resilience Act (obblighi di segnalazione a partire dall’11 settembre 2026), la protezione dei dati come il GDPR e le norme settoriali per settori quali la sanità e le infrastrutture critiche. Com4 aiuta i dispositivi a rimanere conformi grazie a SIM multi-rete, eUICC ed eSIM SGP.32 per i profili locali, nonché al controllo delle SIM nella piattaforma di gestione della connettività Polaris.
La normativa raramente blocca un progetto IoT sin dall’inizio. Si manifesta in un secondo momento: un lotto di localizzatori bloccato in Brasile dopo pochi mesi, il team di approvvigionamento di un cliente che richiede il vostro piano relativo al Cyber Resilience Act, oppure una gara d’appalto in Norvegia che chiede dove vengono trattati i dati dei dispositivi. A quel punto l’hardware è già stato realizzato e le opzioni più economiche non sono più disponibili.
Questa guida illustra le norme che più spesso riguardano i dispositivi connessi dotati di schede SIM e come pianificarne l’adeguamento. Si tratta di una panoramica pratica, non di una consulenza legale. Verificate i dettagli relativi ai vostri mercati con il vostro team legale.
1. Norme sul roaming permanente
La maggior parte delle SIM IoT funziona tramite roaming: una SIM di un paese utilizza le reti di un altro. Questo va bene per un telefono in vacanza. Diventa un problema quando un dispositivo rimane all’estero per anni, poiché alcune autorità di regolamentazione e alcuni operatori non consentono alle SIM straniere di rimanere sulle loro reti in modo permanente.
- Vietato dalla normativa: Brasile e Turchia vietano il roaming permanente. La Nigeria viene spesso inserita nello stesso gruppo.
- Di fatto vietato: la Cina e l’India richiedono licenze locali o la registrazione locale, mentre diversi mercati del Medio Oriente richiedono un fornitore registrato localmente.
- Limitato dagli operatori: negli Stati Uniti, in Canada e in Australia non esiste un divieto legale, ma gli operatori locali possono limitare o bloccare il roaming a lungo termine.
- Generalmente consentito: all’interno dell’UE e del SEE, il roaming permanente è consentito in base alle norme sul roaming, sebbene gli operatori possano applicare politiche di utilizzo corretto.
La soluzione consiste nell’utilizzare un profilo dell’operatore locale nei mercati soggetti a restrizioni. Ciò significa una SIM multi-IMSI con identità locale, oppure una eUICC con SGP.32 in grado di scaricare un profilo locale via etere. Per saperne di più, consulta la nostra guida alle sfide del roaming permanente.
2. Registrazione della SIM e dell’abbonato
Molti paesi richiedono che ogni SIM sia registrata a nome di una persona o di un’azienda identificata. Le norme variano: alcune si applicano solo ai servizi per i consumatori, altre a tutte le SIM, mentre altre ancora, come in Turchia e in Indonesia, richiedono anche la registrazione dell’IMEI del dispositivo. Tieni un registro preciso di quale azienda possiede ciascuna SIM, in quale dispositivo è inserita e dove viene utilizzato quel dispositivo. Una piattaforma di gestione della connettività trasforma questa attività da progetto a semplice esportazione di dati.
3. Norme sulla sicurezza informatica dei dispositivi nell’UE
Due norme UE si applicano ora direttamente ai dispositivi connessi:
- Atto delegato (UE) 2022/30 della direttiva sulle apparecchiature radio. A partire dal 1° agosto 2025, le apparecchiature radio connesse a Internet immesse sul mercato dell’UE dovranno soddisfare i requisiti di sicurezza informatica in materia di protezione della rete, dati personali e prevenzione delle frodi. Le norme armonizzate sono le EN 18031-1, -2 e -3. In loro assenza, la marcatura CE non è valida per i prodotti interessati.
- Legge sulla resilienza informatica (UE) 2024/2847. A partire dall’11 settembre 2026, i fabbricanti dovranno segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi entro scadenze rigorose, anche per i prodotti già presenti sul mercato. A partire dall’11 dicembre 2027 si applicheranno tutti i requisiti, tra cui la progettazione sicura, gli aggiornamenti di sicurezza e il marchio CE.
La connettività è parte della vostra risposta a entrambe le esigenze. Un APN privato, tunnel crittografati e la possibilità di distribuire aggiornamenti over-the-air rendono molto più semplice soddisfare i requisiti di sicurezza. Scoprite i servizi di sicurezza IoT di Com4.
4. Protezione dei dati e ubicazione dei dati
Se i vostri dispositivi raccolgono dati sulle persone (posizione, salute, consumo energetico domestico), nell’UE e nel SEE si applica il GDPR, mentre altrove si applicano leggi simili. Chiedete al vostro fornitore dove viene instradato ed elaborato il traffico. I clienti del settore pubblico, sanitario e delle infrastrutture critiche spesso richiedono che i dati rimangano nell’UE o nel SEE e lo specificano nei bandi di gara.
5. Norme settoriali e relative alle infrastrutture critiche
Alcuni settori aggiungono un proprio livello di regolamentazione. Le aziende energetiche, i servizi idrici, i fornitori di trasporti e di assistenza sanitaria rientrano nella normativa NIS2 nell’UE e trasmettono i requisiti di sicurezza ai propri fornitori. I dispositivi medici hanno una normativa specifica. I contatori elettrici e i caricabatterie per veicoli elettrici sono spesso soggetti a requisiti tecnici nazionali. Questi raramente menzionano direttamente le schede SIM, ma definiscono ciò che la vostra connettività deve garantire in termini di disponibilità, sicurezza e reportistica.
6. Spegnimento delle reti
Non è una legge, ma funziona come se lo fosse. Quando gli operatori disattivano le reti 2G e 3G, i dispositivi che dipendono da esse smettono di funzionare. La Norvegia, la Svezia e molti altri mercati hanno annunciato o già completato tali disattivazioni. Pianificate il passaggio a LTE-M, NB-IoT o 4G e leggete la nostra guida su come prepararsi alle disattivazioni delle reti 2G e 3G.
Come garantire la conformità in tutti i paesi
- Elencate tutti i paesi in cui verranno utilizzati i dispositivi, compresi i mercati futuri previsti nella roadmap.
- Verificate per ciascuno di essi le regole relative al roaming permanente e alla registrazione prima di bloccare l’hardware.
- Scegliete una SIM in grado di utilizzare profili locali: multi-IMSI, eUICC con SGP.32 o entrambi.
- Conserva i registri relativi alla proprietà delle SIM, ai dispositivi e alla posizione in un'unica piattaforma.
- Utilizzate un APN privato e connessioni crittografate, e pianificate gli aggiornamenti da remoto.
- Documenta in che modo soddisfi i requisiti della direttiva RED e del Cyber Resilience Act, compresa la segnalazione delle vulnerabilità.
- Chiedete al vostro provider dove viene elaborato il traffico e ottenete una conferma scritta.
- Collaborate con un provider che si occupi per voi di seguire le modifiche normative nei vostri mercati.
In breve
La regolamentazione delle SIM IoT proviene da diverse direzioni contemporaneamente: roaming, registrazione, sicurezza informatica, protezione dei dati e norme settoriali. Nulla di tutto ciò è difficile da gestire se lo pianifichi prima che l’hardware venga realizzato. Tutto diventa costoso se lo scopri in seguito.
La conformità costa meno se pianificata fin dalla fase di progettazione.
Se state pianificando un'implementazione in diversi paesi, Com4 può analizzare insieme a voi i vostri mercati e indicarvi dove sono necessari profili locali, registrazione o misure di sicurezza aggiuntive. Niente presentazioni, solo le norme applicabili ai vostri dispositivi.
-1.webp)
