Przepisy SIM IoT: zasady dla urządzeń podłączonych do sieci

Krótka odpowiedź: Tak, karty SIM przeznaczone do urządzeń IoT podlegają regulacjom, a przepisy zależą od miejsca użytkowania urządzenia. Pięć obszarów, które należy sprawdzić, to przepisy dotyczące stałego roamingu (Brazylia i Turcja zakazują długoterminowego roamingu z zagranicznymi kartami SIM), rejestracja kart SIM i abonentów, przepisy dotyczące cyberbezpieczeństwa urządzeń, takie jak akt delegowany do dyrektywy UE w sprawie urządzeń radiowych (obowiązujący od 1 sierpnia 2025 r.) oraz ustawa o cyberodporności (obowiązek zgłaszania od 11 września 2026 r.), ochrona danych, np. RODO, oraz przepisy branżowe dotyczące takich obszarów jak opieka zdrowotna i infrastruktura krytyczna. Com4 pomaga zapewnić zgodność urządzeń z kartami SIM obsługującymi wiele sieci, eUICC oraz eSIM SGP.32 dla profili lokalnych, a także kontrolę kart SIM w ramach platformy zarządzania łącznością Polaris.

Przepisy rzadko powstrzymują projekt IoT na samym początku. Problem ujawnia się później: partia urządzeń śledzących zablokowana w Brazylii po kilku miesiącach, zespół ds. zamówień klienta proszący o przedstawienie planu zgodności z ustawą o cyberodporności lub przetarg w Norwegii, w którym pytano, gdzie przetwarzane są dane z urządzeń. W tym momencie sprzęt jest już wyprodukowany, a tanie opcje nie wchodzą już w grę.

Niniejszy przewodnik omawia przepisy, które najczęściej mają wpływ na urządzenia podłączone do sieci za pomocą kart SIM, oraz sposoby przygotowania się na ich przestrzeganie. Jest to praktyczny przegląd, a nie porada prawna. Szczegóły dotyczące poszczególnych rynków należy sprawdzić z zespołem prawnym.

1. Zasady dotyczące stałego roamingu

Większość kart SIM dla urządzeń IoT działa w trybie roamingu: karta SIM z jednego kraju korzysta z sieci w innym. Nie stanowi to problemu w przypadku telefonu używanego podczas wakacji. Staje się to jednak problemem, gdy urządzenie pozostaje za granicą przez lata, ponieważ niektóre organy regulacyjne i operatorzy nie zezwalają na stałe korzystanie z zagranicznych kart SIM w swoich sieciach.

• Zakazane przez przepisy: Brazylia i Turcja zabraniają stałego roamingu. Nigeria jest często wymieniana w tej samej grupie.
• Faktyczny zakaz: Chiny i Indie wymagają lokalnych licencji lub lokalnej rejestracji, a kilka rynków na Bliskim Wschodzie wymaga dostawcy zarejestrowanego lokalnie.
• Ograniczenia ze strony operatorów: W Stanach Zjednoczonych, Kanadzie i Australii nie ma prawnego zakazu, ale lokalni operatorzy mogą ograniczać lub blokować długoterminowy roaming.
• Ogólnie dozwolone: W obrębie UE i EOG stały roaming jest dozwolony na mocy przepisów dotyczących roamingu, chociaż operatorzy mogą stosować zasady uczciwego użytkowania.

Rozwiązaniem jest korzystanie z profilu lokalnego operatora na rynkach objętych ograniczeniami. Oznacza to kartę SIM z wieloma numerami IMSI i lokalną tożsamością lub kartę eUICC z obsługą standardu SGP.32, która umożliwia bezprzewodowe pobranie lokalnego profilu. Więcej informacji znajdziesz w naszym przewodniku po wyzwaniach związanych z roamingiem stałym.

2. Rejestracja kart SIM i abonentów

Wiele krajów wymaga, aby każda karta SIM była zarejestrowana na znaną osobę lub firmę. Zasady są różne: niektóre dotyczą wyłącznie usług konsumenckich, inne wszystkich kart SIM, a jeszcze inne, np. w Turcji i Indonezji, wymagają również rejestracji numeru IMEI urządzenia. Należy prowadzić przejrzystą ewidencję tego, która firma jest właścicielem każdej karty SIM, w jakim urządzeniu się znajduje i gdzie to urządzenie jest używane. Platforma do zarządzania łącznością sprawia, że jest to raczej kwestia eksportu danych niż projekt.

3. Zasady dotyczące cyberbezpieczeństwa urządzeń w UE

Obecnie do urządzeń podłączonych do sieci mają bezpośrednie zastosowanie dwa przepisy UE:

• Akt delegowany (UE) 2022/30 do dyrektywy w sprawie urządzeń radiowych. Od 1 sierpnia 2025 r. urządzenia radiowe podłączone do Internetu wprowadzane na rynek UE muszą spełniać wymogi dotyczące cyberbezpieczeństwa w zakresie ochrony sieci, danych osobowych i zapobiegania oszustwom. Zharmonizowane normy to EN 18031-1, -2 i -3. Bez nich oznakowanie CE nie jest ważne dla produktów, których to dotyczy.
• Akt w sprawie cyberodporności (UE) 2024/2847. Od 11 września 2026 r. producenci muszą zgłaszać aktywnie wykorzystywane luki w zabezpieczeniach oraz poważne incydenty w ściśle określonych terminach, również w odniesieniu do produktów już znajdujących się na rynku. Od 11 grudnia 2027 r. będą obowiązywały pełne wymagania, w tym bezpieczne projektowanie, aktualizacje zabezpieczeń oraz oznakowanie CE.

Łączność stanowi część rozwiązania obu tych problemów. Prywatna sieć APN, szyfrowane tunele oraz możliwość bezprzewodowego przesyłania aktualizacji znacznie ułatwiają spełnienie wymagań bezpieczeństwa. Zapoznaj się z usługami Com4 w zakresie bezpieczeństwa IoT.

4. Ochrona danych i lokalizacja danych

Jeśli Państwa urządzenia gromadzą dane dotyczące osób (lokalizacja, stan zdrowia, zużycie energii w gospodarstwie domowym), w UE i EOG obowiązuje RODO, a w innych regionach obowiązują podobne przepisy. Zapytaj swojego dostawcę, gdzie ruch jest kierowany i przetwarzany. Klienci z sektora publicznego, opieki zdrowotnej i infrastruktury krytycznej często wymagają, aby dane pozostawały w UE lub EOG, i zaznaczają to w przetargach.

5. Przepisy sektorowe i dotyczące infrastruktury krytycznej

Niektóre branże nakładają dodatkowe wymagania. Przedsiębiorstwa energetyczne, wodociągowe, transportowe oraz dostawcy usług medycznych podlegają w UE dyrektywie NIS2 i przekazują wymagania bezpieczeństwa swoim dostawcom. Urządzenia medyczne podlegają odrębnym przepisom. Liczniki energii elektrycznej i ładowarki pojazdów elektrycznych często podlegają krajowym wymogom technicznym. Rzadko wspominają one bezpośrednio o kartach SIM, ale określają one, jakie wymagania musi spełniać łączność pod względem dostępności, bezpieczeństwa i raportowania.

6. Wyłączenia sieci

Nie jest to przepis prawny, ale działa jak taki. Kiedy operatorzy wyłączają sieci 2G i 3G, urządzenia zależne od nich przestają działać. Norwegia, Szwecja i wiele innych rynków ogłosiło lub już przeprowadziło wyłączenia. Należy zaplanować przejście na LTE-M, NB-IoT lub 4G oraz zapoznać się z naszym przewodnikiem dotyczącym przygotowań do wyłączenia sieci 2G i 3G.

Jak zachować zgodność z przepisami w różnych krajach

1. Wymień wszystkie kraje, w których urządzenia będą używane, w tym przyszłe rynki uwzględnione w planie rozwoju.
2. Przed zablokowaniem sprzętu sprawdź w każdym z nich zasady dotyczące stałego roamingu i rejestracji.
3. Wybierz kartę SIM, która obsługuje profile lokalne: multi-IMSI, eUICC z SGP.32 lub obie te opcje.
4. Przechowuj dane dotyczące własności kart SIM, urządzeń i lokalizacji na jednej platformie.
5. Korzystaj z prywatnego APN i szyfrowanych połączeń oraz zaplanuj zdalne aktualizacje.
6. Udokumentuj, w jaki sposób spełniasz wymagania dyrektywy RED i ustawy o cyberodporności, w tym dotyczące zgłaszania luk w zabezpieczeniach.
7. Zapytaj dostawcę, gdzie przetwarzany jest ruch, i poproś o pisemną informację.
8. Współpracuj z dostawcą, który na bieżąco śledzi za Ciebie zmiany przepisów na Twoich rynkach.

W skrócie

Regulacje dotyczące kart SIM dla IoT obejmują jednocześnie kilka obszarów: roaming, rejestrację, cyberbezpieczeństwo, ochronę danych oraz przepisy branżowe. Żadna z tych kwestii nie stanowi trudności, jeśli zaplanujesz je przed skonstruowaniem sprzętu. Wszystko to staje się kosztowne, jeśli odkryjesz te kwestie dopiero później.

Zgodność z przepisami jest najtańsza na etapie projektowania.

Jeśli planujesz wdrożenie w kilku krajach, Com4 może wspólnie z Tobą przeanalizować Twoje rynki i wskazać, gdzie potrzebne są lokalne profile, rejestracja lub dodatkowe zabezpieczenia. Żadnych slajdów, tylko przepisy mające zastosowanie do Twoich urządzeń.