IoT-SIM-regler: krav för uppkopplade enheter

Kort svar: Ja, SIM-kort för IoT omfattas av regler, och bestämmelserna beror på var enheten används. De fem områdena som bör kontrolleras är reglerna för permanent roaming (i Brasilien och Turkiet är det förbjudet att använda utländska SIM-kort för långvarig roaming), registrering av SIM-kort och abonnenter, regler för enheters cybersäkerhet, såsom den delegerade akten till EU:s direktiv om radioutrustning (i kraft från och med den 1 augusti 2025) och lagen om cyberresiliens (rapporteringsskyldigheter från och med den 11 september 2026), dataskydd såsom GDPR samt branschregler för områden som hälso- och sjukvård och kritisk infrastruktur. Com4 hjälper enheter att uppfylla kraven med hjälp av SIM-kort för flera nätverk, eUICC och SGP.32 eSIM för lokala profiler samt SIM-kontroll i anslutningshanteringsplattformen Polaris.

Regleringar stoppar sällan ett IoT-projekt redan från början. De dyker upp senare: en sats spårningsenheter som blockeras i Brasilien efter några månader, en kunds inköpsteam som ber om din plan för lagen om cyberresiliens, eller en upphandling i Norge där man frågar var enhetsdata behandlas. Vid det laget är hårdvaran redan tillverkad och de billiga alternativen är borta.

Den här guiden behandlar de regler som oftast påverkar uppkopplade enheter med SIM-kort, och hur man planerar för dem. Det är en praktisk översikt, inte juridisk rådgivning. Kontrollera detaljerna för dina egna marknader med ditt juridiska team.

1. Regler för permanent roaming

De flesta IoT-SIM-kort fungerar genom roaming: ett SIM-kort från ett land använder nätverk i ett annat. Det är inget problem för en telefon på semester. Det blir ett problem när en enhet stannar utomlands i flera år, eftersom vissa tillsynsmyndigheter och operatörer inte tillåter att utländska SIM-kort finns kvar i deras nätverk permanent.

• Förbjudet enligt lagstiftning: Brasilien och Turkiet förbjuder permanent roaming. Nigeria räknas ofta till samma grupp.
• I praktiken förbjudet: Kina och Indien kräver lokala licenser eller lokal registrering, och flera marknader i Mellanöstern kräver en lokalt registrerad leverantör.
• Begränsat av operatörer: USA, Kanada och Australien har inget lagligt förbud, men lokala operatörer kan begränsa eller blockera långvarig roaming.
• Generellt tillåtet: Inom EU och EES är permanent roaming tillåtet enligt roamingreglerna, även om operatörerna kan tillämpa riktlinjer för rimlig användning.

Lösningen är att använda en lokal operatörsprofil på marknader med begränsningar. Det innebär ett SIM-kort med flera IMSI-nummer och en lokal identitet, eller ett eUICC med SGP.32 som kan ladda ner en lokal profil trådlöst. Läs mer i vår guide om utmaningar med permanent roaming.

2. SIM- och abonnentregistrering

Många länder kräver att varje SIM-kort registreras på en känd person eller ett företag. Reglerna varierar: vissa gäller endast konsumenttjänster, andra alla SIM-kort, och i vissa länder, såsom Turkiet och Indonesien, krävs även registrering av enhetens IMEI-nummer. Håll ordning på vilket företag som äger varje SIM-kort, i vilken enhet det sitter och var den enheten används. En plattform för anslutningshantering gör detta till en enkel export snarare än ett projekt.

3. Regler för enheters cybersäkerhet i EU

Två EU-regler gäller nu direkt för uppkopplade enheter:

• Den delegerade akten (EU) 2022/30 till direktivet om radioutrustning. Från och med den 1 augusti 2025 måste internetansluten radioutrustning som släpps ut på EU-marknaden uppfylla cybersäkerhetskrav avseende nätverksskydd, personuppgifter och bedrägeribekämpning. De harmoniserade standarderna är EN 18031-1, -2 och -3. Utan dem är CE-märkningen inte giltig för berörda produkter.
• Lagen om cyberresiliens (EU) 2024/2847. Från och med den 11 september 2026 måste tillverkare rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter inom strikta tidsfrister, även för produkter som redan finns på marknaden. Från och med den 11 december 2027 gäller alla krav, inklusive säker design, säkerhetsuppdateringar och CE-märkning.

Anslutning är en del av lösningen på båda dessa utmaningar. Ett privat APN, krypterade tunnlar och möjligheten att skicka uppdateringar trådlöst gör det mycket enklare att uppfylla säkerhetskraven. Se Com4:s IoT-säkerhetstjänster.

4. Dataskydd och datalagring

Om dina enheter samlar in data om människor (plats, hälsa, energianvändning i ett hem) gäller GDPR inom EU och EES, och liknande lagar gäller på andra håll. Fråga din leverantör vart trafiken dirigeras och bearbetas. Kunder inom den offentliga sektorn, hälso- och sjukvården och kritisk infrastruktur kräver ofta att data ska stanna inom EU eller EES, och detta anges ofta i anbud.

5. Bransch- och regler för kritisk infrastruktur

Vissa branscher lägger till egna krav. Energibolag, vattenverk, transport- och hälso- och sjukvårdsleverantörer omfattas av NIS2 i EU och ställer säkerhetskrav på sina leverantörer. Medicintekniska produkter har sina egna regler. Elmätare och laddare för elfordon omfattas ofta av nationella tekniska krav. Dessa nämner sällan SIM-kort direkt, men de styr vad din uppkoppling måste uppfylla när det gäller drifttid, säkerhet och rapportering.

6. Nätverksavstängningar

Det är ingen lag, men det fungerar som en. När operatörerna stänger av 2G och 3G slutar enheter som är beroende av dessa nätverk att fungera. Norge, Sverige och många andra marknader har meddelat eller genomfört avstängningar. Planera för LTE-M, NB-IoT eller 4G, och läs vår guide om hur du förbereder dig för avstängningar av 2G och 3G.

Så här uppfyller du kraven i olika länder

1. Gör en lista över alla länder där enheterna kommer att användas, inklusive framtida marknader i er utvecklingsplan.
2. Kontrollera reglerna för permanent roaming och registrering i varje land innan du låser hårdvaran.
3. Välj ett SIM-kort som kan använda lokala profiler: multi-IMSI, eUICC med SGP.32 eller båda.
4. Förvara uppgifter om SIM-kortets ägare, enheter och platser på en och samma plattform.
5. Använd en privat APN och krypterade anslutningar, och planera för fjärruppdateringar.
6. Dokumentera hur ni uppfyller kraven i RED och Cyber Resilience Act, inklusive rapportering av sårbarheter.
7. Fråga din leverantör var trafiken bearbetas och be om ett skriftligt svar.
8. Samarbeta med en leverantör som håller koll på regeländringar på dina marknader åt dig.

Kortfattat

Regleringen av IoT-SIM-kort kommer från flera håll samtidigt: roaming, registrering, cybersäkerhet, dataskydd och branschregler. Inget av detta är svårt att hantera om du planerar för det innan hårdvaran byggs. Allt blir dyrt om du upptäcker det i efterhand.

Det är billigast att säkerställa efterlevnad redan på ritbordet.

Om du planerar en utrullning i flera länder kan Com4 gå igenom dina marknader med dig och visa var du behöver lokala profiler, registrering eller extra säkerhet. Inga presentationer, bara de regler som gäller för dina enheter.