SIM management aziendale: piattaforme italiane e internazionali a confronto (parte 2)

Aggiornato a luglio 2026. Destinatari: responsabili IT e mobility, procurement telecom, security e compliance. Questa è la parte 2 di 2; la prima parte è dedicata al modello dati, agli standard GSMA, alle funzioni di piattaforma e agli obblighi NIS2 e privacy.

Le offerte pubblicamente documentate mostrano che la tecnologia per il SIM management aziendale esiste già, ma è distribuita in categorie e modelli di acquisto diversi. In Italia la maturità è visibile soprattutto nell'IoT, dove le Connectivity Management Platform gestiscono da anni flotte da centinaia di migliaia di SIM con inventory, policy automatiche, diagnostica e API. Sul voce+dati assegnato ai dipendenti i portali degli operatori nazionali restano strumenti di self-care: utili, ma non automatizzabili dall'esterno con quanto è pubblicamente documentato.

Da dove si riparte

Nella prima parte abbiamo stabilito tre criteri che qui diventano strumenti di selezione.

Il modello dati a cinque livelli — supporto, profilo, abbonamento, dispositivo, assegnazione gestionale — con le associazioni trattate come relazioni datate e non come campi di anagrafica. È il primo requisito da verificare in demo: se il fornitore non riesce a mostrare i livelli separati, le operazioni massive produrranno riconciliazioni manuali.

L'esistenza di quattro modelli GSMA distinti e l'assenza di un modello enterprise: per gli smartphone aziendali il provisioning "zero-touch" è sempre un'integrazione fra connettività, MDM e sistema operativo, mai una funzione dello standard.

La parità fra interfaccia grafica e API, con eventi in push: la linea che separa un portale di self-care da un vero control plane della connettività.

1. Quattro categorie di offerta da non confondere

Il mercato non è omogeneo, e confrontare offerte di categorie diverse produce tabelle che sembrano rigorose e non lo sono.

1. Portali self-care degli MNO per linee corporate voce+dati.
2. Connectivity Management Platform (CMP) per flotte IoT e M2M.
3. Operatori, MVNO o enabler con servizi enterprise API-first.
4. Piattaforme TEM o di mobility management indipendenti, che normalizzano dati e processi di più operatori ma non forniscono necessariamente la connettività.

Le quattro categorie rispondono a domande diverse. La prima serve a consultare e a compiere operazioni occasionali. La seconda a governare grandi numeri di oggetti con policy automatiche. La terza a integrare la connettività dentro i workflow aziendali. La quarta a mantenere una vista unica quando i fornitori sono più di uno: è il perimetro classico del Telecom Expense Management. Un'azienda medio-grande, in pratica, ne usa quasi sempre due.

Metodo di selezione. Sono incluse le offerte per le quali risultano pubblicamente verificabili un portale di gestione e informazioni sul lifecycle o sulle integrazioni. Non è un censimento completo: funzionalità riservate a gare, accordi quadro o grandi clienti multinazionali possono non essere documentate pubblicamente. Le valutazioni distinguono documentazione tecnica, dichiarazioni commerciali ed elementi da verificare contrattualmente.

2. Il mercato italiano: due velocità

2.1 SIM voce+dati: self-care sì, orchestrazione ancora limitata

Le pagine pubbliche di TIM Business, Vodafone Business e WINDTRE Business mostrano portali e app in grado di visualizzare linee, consumi, contratti, fatture e opzioni. Vodafone consente al referente di gestire numeri e attivare nuove SIM o linee; WINDTRE prevede profili, permessi e deleghe; TIM offre viste su linee, traffico, piani e contratti. Sono passi utili rispetto alla gestione interamente manuale, e per un parco di poche centinaia di linee stabili possono bastare: ne abbiamo parlato analizzando l'automazione del provisioning e le piattaforme di self-care.

Nei cataloghi, nelle aree di supporto e nei developer portal pubblicamente consultabili non è stata però individuata una superficie API end-to-end per il lifecycle delle linee corporate voce+dati comparabile a quelle dei player internazionali analizzati. Esistono network API — TIM partecipa alle iniziative CAMARA e Open Gateway, Vodafone pubblica un proprio catalogo — ma il perimetro è quello dei segnali di fiducia sulla rete, non della gestione del parco.

Questa è un'inferenza basata sulla documentazione pubblica, non la prova dell'assenza di funzionalità riservate o negoziabili in gara. Va però letta per quello che significa in fase di acquisto: ciò che non è documentato non è verificabile prima della firma, e un impegno preso a voce in fase commerciale non è un requisito contrattuale.

Un elemento nuovo del 2026 riguarda il perimetro societario. Con l'incorporazione di Vodafone Italia in Fastweb S.p.A., efficace dal 1° gennaio 2026, il referente contrattuale è cambiato anche per i clienti business, mentre i marchi commerciali Fastweb, Vodafone e ho. restano distinti. In fase di rinnovo vanno riverificate continuità di piattaforma, roadmap di integrazione fra i due parchi e clausole di uscita.

2.2 IoT e M2M: qui le piattaforme mature esistono

TIM / Olivetti M2MSMART e Cisco IoT Control Center. M2MSMART combina SIM M2M, connettività TIM e la console Control Center. La documentazione pubblica descrive inventory management, attivazioni massive, monitoraggio dei consumi e delle sessioni, trigger automatici, sospensione, cambio piano, prevenzione frodi, IMEI lock, billing e connettori API. Cisco pubblica inoltre le REST API di Control Center per ricerca e modifica dei device, stato SIM, piani, audit history, usage, sessioni e SMS. È una base funzionale solida, ma pensata per l'IoT; la brochure Olivetti più facilmente reperibile è datata 2021, quindi in gara è opportuno chiedere roadmap aggiornata, standard eSIM supportati e certificati, autenticazione, eventi, retention, SLA API e condizioni di uscita.

Vodafone GDSP / Managed IoT Connectivity. La piattaforma globale, storicamente nota come GDSP, offre visibilità e controllo sulle SIM IoT, attivazione e disattivazione remota, report personalizzati, ruoli, analytics e rilevazione delle anomalie, con MFA sul portale e certificazioni di sicurezza dichiarate. Il punto di forza è la scala. Il punto da verificare è la trasparenza del layer di integrazione disponibile al cliente italiano: catalogo API, copertura funzionale, webhook, ambienti di test, limiti, log e SLA non sono esposti nelle pagine commerciali con lo stesso dettaglio dei player API-first. A questo si aggiunge, dal 2026, la necessità di chiarire come la piattaforma globale si colloca rispetto al nuovo perimetro societario italiano.

WINDTRE IoT Digital Hub. La pagina pubblica corrente descrive una piattaforma per SIM IoT con diagnostica, monitoraggio, report, accessi gerarchici, sospensione e riattivazione, blocchi, alert, controllo costi e API per l'integrazione con piattaforme proprietarie. Nei materiali pubblici analizzati è l'offerta italiana che esplicita più chiaramente il collegamento fra gestione, sicurezza e API. L'offerta viene talvolta associata a tecnologie Nokia WING, ma la pagina commerciale corrente usa il nome IoT Digital Hub e non identifica pubblicamente il motore sottostante: in una comparazione va indicato il prodotto contrattuale e va chiesta evidenza dell'architettura effettiva.

Il quadro complessivo è netto: le competenze e le piattaforme esistono già dentro gli operatori italiani, ma sono confinate al dominio IoT e a un modello di acquisto diverso da quello con cui si comprano le linee dei dipendenti. È un argomento utile in gara: la richiesta di una superficie API per il voce+dati non chiede a un operatore di inventare qualcosa, chiede di estendere un approccio che pratica già altrove.

3. Il mercato internazionale: MVNO, enabler e piattaforme API-first

3.1 1GLOBAL

Combina rete e regolamentazione multinazionale, piani voce, SMS e dati, eSIM, un Enterprise Portal rinnovato e API dedicate. Il portale lanciato nel 2026 include dashboard, inventory, ordini, sospensione e ripresa delle linee, creazione o cambio eSIM, reporting, viste multi-account, gestione dei ruoli e SSO SAML. L'architettura dichiarata è API-first: il portale usa gli stessi servizi backend disponibili alle integrazioni del cliente. La documentazione Enterprise è pubblica e include sandbox e specifica OpenAPI; le API coprono account, ordini, attivazione, sospensione e ripresa, swap SIM/eSIM, abbonamenti, numeri, servizi, prodotti e usage quasi in tempo reale.

Nel 2026 il fornitore ha inoltre sviluppato un proprio eIM conforme a SGP.32 per la gestione remota delle flotte IoT e ha portato sul mercato un'integrazione MDM per il deployment delle eSIM — caricamento anticipato degli EID e spinta del profilo tramite le principali soluzioni di device management. È un segnale del punto discusso nella prima parte: la convergenza fra gestione della connettività e gestione del dispositivo è dove si sta spostando la competizione.

Due cautele. L'accesso alle API richiede le licenze pertinenti e, per diversi domini, l'abilitazione tramite account manager. E lo stato del rollout va letto con attenzione: la release note di lancio indicava ancora indisponibili nel nuovo portale alcune funzioni, fra cui la gestione degli high-usage alert e la SIM assignment. La valutazione deve basarsi sulle funzioni abilitate nel tenant e in contratto, non sulla roadmap.

3.2 Transatel

Società del gruppo NTT e full MVNO/MVNO enabler, offre una piattaforma di SIM management utilizzabile via portale SaaS o API. Le funzioni pubbliche comprendono azioni massive, tagging, profili di connettività, abilitazione o disabilitazione di dati, SMS e voce, APN privati, usage dettagliato, alert con sospensione automatica, BI e diagnostica con informazioni su rete visitata, IMEI, APN, IP e attach.

Il developer portal mostra un'impostazione matura: REST/JSON, OAuth 2.0 client credentials, OpenAPI, rate limiting, console con log delle richieste, eventi consegnabili via webhook o Azure Event Hub e domini distinti per subscriber, SIM, OCS, rete e portabilità. Il fornitore dichiara che le funzioni dell'interfaccia sono disponibili anche via API — la condizione che, nel modello descritto nella prima parte, distingue un control plane da un portale.

Il limite, dal punto di vista di una grande azienda italiana, è il modello di acquisto: Transatel è soprattutto una piattaforma abilitante per MVNO, branded mobile e IoT. Va chiarito se il servizio viene proposto direttamente all'impresa, tramite un partner o come componente di una soluzione più ampia.

3.3 Gigs

Non è un MNO tradizionale e si presenta come un sistema operativo per servizi mobili. Gigs for Work propone piani per dipendenti in oltre 50 paesi, con voce, SMS e dati, dashboard unica, provisioning e cessazione automatizzati, SSO, flussi SCIM, integrazione con HR, IT e MDM e una sola fattura. Le API pubbliche coprono piani, utenti, device, SIM, abbonamenti, usage, portabilità e cambi di sottoscrizione, con webhook.

È un riferimento utile per capire dove si sta spostando il mercato: la connettività non come contratto da amministrare a valle, ma come servizio componibile dentro i workflow — il flusso SCIM che disattiva la linea quando l'identità viene disabilitata è concettualmente lo stesso con cui si revoca una licenza software. Per una RFP europea vanno comunque verificati copertura reale per paese, numerazioni locali, portabilità, supporto, priorità di rete, vincoli regolamentari e responsabilità contrattuali.

3.4 Il termine di paragone IoT

Vale la pena guardare, come benchmark di maturità e non come alternativa diretta, i grandi CMP e gli MVNO IoT: Cisco IoT Control Center per base installata, Ericsson IoT Accelerator su automotive e utility, e sul fronte aggregatori operatori come Wireless Logic, 1NCE, Eseye, Soracom, Onomondo ed emnify. Non servono a gestire gli smartphone dei dipendenti, ma hanno normalizzato da anni pratiche che nella mobility aziendale sono ancora eccezioni: eventi in push, pricing per unità prevedibile, diagnostica di rete self-service, policy automatiche di sospensione, portabilità del profilo negoziata in contratto. Sono lo standard implicito rispetto al quale un portale voce+dati appare arretrato.

4. Confronto delle offerte selezionate

La tabella non è un ranking. Categoria, livello dell'evidenza e modello di acquisto sono essenziali per evitare confronti impropri; le condizioni disponibili per un grande cliente possono essere più ampie e vanno validate in RFI o RFP.

5. Dove il valore è concreto: quattro situazioni tipiche

Onboarding e offboarding senza ticket. Il caso d'uso più banale e più redditizio. L'assunzione genera l'ordine della eSIM, l'installazione è tracciata, la linea è associata a utente e centro di costo dal primo giorno. L'uscita sospende la linea, apre il recupero del dispositivo e chiude l'imputazione dei costi. Il beneficio economico è nelle linee che nessuno disattiva; quello di sicurezza è nelle SIM attive intestate a persone che non lavorano più in azienda — la voce che compare regolarmente negli audit.

Popolazione internazionale. Con dipendenti in più paesi il problema non è la tariffa di roaming, è la frammentazione: contratti locali diversi, portali diversi, referenti diversi, nessuna vista unica. Qui il valore di un fornitore multinazionale o di un livello TEM sovrastante supera nettamente il risparmio unitario. Ed è qui che il permanent roaming smette di essere un tema da IoT.

Parco misto persone e cose. Un'azienda con smartphone, router di backup, terminali di pagamento e sensori ha oggi due o tre piattaforme diverse e nessun inventario comune. Il modello a cinque livelli è ciò che permette di riconciliarle: gli identificatori sono gli stessi, cambiano gli strumenti che li gestiscono.

Incident response e audit. Alle tre di notte, con un dispositivo compromesso, servono tre cose in pochi minuti: sapere a chi era assegnata la linea, sospenderla, esportare l'evidenza. Se una di queste richiede un'e-mail all'account manager, il processo di risposta non regge le tempistiche NIS2.

6. Checklist per la RFP

Da usare come griglia di requisiti verificabili, non come elenco di aspirazioni. Ogni riga dovrebbe avere una risposta dimostrabile in sandbox o vincolante in contratto. Vale anche qui l'avvertenza che abbiamo raccolto nei sette peccati capitali di una RFP: un requisito che non si può verificare non è un requisito, è un auspicio.

Modello dati e inventario

• I cinque livelli (supporto, profilo, abbonamento, dispositivo, assegnazione) sono entità distinte e collegate da relazioni datate?
• È possibile ricostruire lo stato di una linea a una data passata?
• Campi personalizzati, tagging, gerarchie multi-account e multi-società.
• Riconciliazione con HR, CMDB, MDM, procurement e fatture.

Lifecycle

• Copertura completa per pSIM ed eSIM voce+dati: ordine, attivazione, sospensione, riattivazione, cambio piano e opzioni, sostituzione, migrazione pSIM→eSIM, cessazione, portabilità.
• Operazioni massive con esito per singola linea, retry idempotente e gestione dei fallimenti parziali.
• Workflow di approvazione per le operazioni ad alto impatto.

eSIM e dispositivi

• Versione delle specifiche GSMA supportata e certificata (attenzione al disallineamento fra le specifiche di test in versione 1.2 e SGP.32 v1.3 pubblicata).
• Chi controlla l'eIM o l'SM-SR, e a quali condizioni può essere cambiato.
• Integrazione MDM dichiarata per sistema operativo, versione e modello di gestione del dispositivo; quale parte del flusso richiede ancora l'intervento dell'utente.
• Ciclo di vita dei codici di attivazione: scadenza, riutilizzo, revoca, tracciamento dell'installazione.

API ed eventi

• OpenAPI pubblica, sandbox, autenticazione machine-to-machine, versioning.
• Idempotenza, correlation ID, errori strutturati, rate limit dichiarati.
• Eventi in push (webhook o event stream) con garanzie di consegna, non solo polling.
• Parità funzionale dichiarata fra interfaccia grafica e API.

Copertura e rete

• Matrice paese × operatore host × tecnologia radio × restrizioni di permanent roaming × profilo eUICC.
• Piano di sunset delle reti legacy per paese.
• Multi-IMSI contro eUICC: trade-off dichiarati esplicitamente.

SLA

• Disponibilità mensile di portale e API, separate dalla disponibilità di rete.
• Tempo di provisioning e di cambio profilo.
• Latenza p95 delle chiamate API e degli eventi; latenza del dato di usage.
• Crediti di servizio e loro perimetro.

Sicurezza, privacy, uscita

• SSO federato, MFA, RBAC granulare, segregazione dei compiti, account nominativi.
• Log amministrativi esportabili verso SIEM, protetti da alterazione, con retention dichiarata.
• Ruoli GDPR, lista aggiornata dei subresponsabili, data location dei metadati.
• Profili di accesso differenziati fra amministrazione del parco, analisi dei costi e diagnostica individuale; motivazione registrata per le consultazioni puntuali.
• Export completo dei dati, portabilità dei profili e piano di uscita con costi definiti.

Commerciale

• Prezzo per linea e per traffico, bundle condivisi e regole di overage.
• Fee di piattaforma e costo per cambio profilo eUICC.
• Penali collegate agli SLA e loro esigibilità reale.
• Condizioni economiche dell'uscita a fine contratto.

7. Una possibile architettura target

Per le grandi aziende il modello più robusto è a tre livelli. L'operatore o l'enabler mantiene il sistema autorevole di rete. Una piattaforma TEM o di mobility governance normalizza dati e processi anche in presenza di più operatori e paesi. HR, ITSM, MDM, IAM, ERP e SOC generano o ricevono eventi tramite API. Il portale resta utile per le eccezioni e per le attività umane, ma il flusso ordinario è automatizzato.

Questo approccio evita di sostituire un lock-in con un altro. Se un'impresa utilizza più MNO o opera in più paesi, nessun portale di singolo operatore offre da solo la vista completa: la piattaforma aziendale deve mantenere un inventario indipendente, riconciliare lo stato dichiarato dagli operatori e applicare policy comuni. È anche la ragione per cui il modello dati va posseduto dall'azienda: se l'unica rappresentazione del parco vive nel sistema del fornitore, il costo di uscita non è contrattuale, è cognitivo.

8. Prospettiva 2026–2028

Alcune cose sono roadmap dichiarata, altre sono previsioni: vale la pena distinguerle.

Dichiarato. SGP.32 v1.3 è pubblicata e la certificazione si allineerà nei mesi successivi; diversi fornitori stanno portando in produzione i propri eIM. La gestione eSIM via MDM è supportata ufficialmente su Android 15 e successivi ed è disponibile in forme diverse su iOS e Windows.

Previsione. La convergenza fra piattaforme di connettività e MDM sarà il terreno di competizione dei prossimi due anni nella mobility aziendale: le integrazioni annunciate nel 2026 sono l'inizio, non l'eccezione. È lì che può nascere il "modello enterprise" che la GSMA non ha standardizzato — probabilmente non come specifica, ma come integrazione di fatto fra pochi grandi attori.

Previsione, con maggiore incertezza. Le API dei CMP diventeranno più simili fra loro, spostando la differenziazione su copertura reale, qualità del supporto e capacità di gestire flotte ibride. Per gli operatori italiani sul voce+dati, l'apertura di una superficie API di lifecycle è più una decisione di prodotto e di modello commerciale che un problema tecnico: la tecnologia è già nelle loro divisioni IoT.

Per un'azienda italiana la strategia ragionevole non cambia con queste previsioni: partire da un perimetro ristretto, misurare il costo unitario all-in comprensivo di piattaforma e supporto, e introdurre l'eUICC progressivamente sui dispositivi nuovi, evitando migrazioni massive su parchi legacy.

9. Conclusioni

Il quadro pubblico suggerisce che in Italia il divario sia soprattutto di prodotto, di trasparenza e di modello operativo, non di possibilità tecnica. Le piattaforme IoT nazionali gestiscono da anni attivazioni, consumi, policy e diagnostica su grandi flotte; i player internazionali analizzati dimostrano che lo stesso approccio funziona sulle linee dei dipendenti.

Per le imprese la conseguenza è concreta: modello dati, lifecycle, privacy, policy, auditabilità, API e capacità di risposta devono diventare requisiti di gara verificabili, con SLA e responsabilità contrattuali. Un portale per consultare consumi e fatture, da solo, non è più sufficiente — non perché sia obsoleto, ma perché risponde a una domanda diversa da quella che oggi si pongono sicurezza e compliance.

La raccomandazione pratica è di partire dal punto meno costoso e più rivelatore: mappare il proprio parco sui cinque livelli descritti nella prima parte e verificare quante delle associazioni sono ricostruibili a una data passata. La risposta a quella domanda dice, meglio di qualunque demo, quanto lavoro serve — e quale categoria di fornitore serve davvero.

Domande frequenti

Il portale del mio operatore può bastare?

Se il parco è domestico, stabile e di dimensioni contenute, spesso sì. Smette di bastare quando servono operazioni massive frequenti, integrazione con HR o ITSM, più paesi o più operatori, oppure evidenze storiche per audit e incident response.

Come si confrontano offerte che appartengono a categorie diverse?

Non si confrontano direttamente. Si definiscono prima i requisiti — modello dati, lifecycle, API, SLA, uscita — e si valuta ciascuna offerta rispetto a quelli, indicando esplicitamente la categoria e il livello di evidenza disponibile. Una tabella che mette sulla stessa riga un portale self-care e una piattaforma API-first senza questa qualificazione è fuorviante.

Che cosa devo chiedere per essere sicuro di poter cambiare fornitore?

Tre cose: export completo dei dati di inventario e di consumo in formato strutturato; chi controlla l'eIM o l'SM-SR e a quali condizioni i profili possono essere sostituiti da remoto; costo per profilo e tempistica dell'operazione. Senza risposte contrattuali su questi tre punti, la portabilità dichiarata resta teorica.

Ha senso una piattaforma indipendente se ho un solo operatore?

Dipende da dimensione e orizzonte. Con un solo operatore e un parco domestico stabile, il portale può bastare. Ha senso un livello indipendente quando si opera in più paesi, si prevede una gara che potrebbe cambiare fornitore, o si vuole mantenere il proprio modello dati come asset aziendale.

L'assenza di API pubbliche significa che l'operatore non le ha?

No. Significa che non sono verificabili prima della gara. Alcune funzionalità esistono ma sono riservate a grandi clienti o negoziabili in accordo quadro. La differenza pratica è che nel primo caso si testa in sandbox, nel secondo si accetta una dichiarazione: vanno trattati diversamente nel punteggio.

Da dove conviene partire concretamente?

Da un inventario proprio, indipendente da quello del fornitore, costruito sui cinque livelli. È l'attività che costa meno, che si può fare subito e che rende immediatamente visibile la dimensione del problema — comprese le linee attive che nessuno ricordava.

Avvertenze metodologiche

• L'analisi fotografa informazioni pubbliche al 29 luglio 2026; funzionalità, disponibilità e condizioni variano per contratto e per tenant.
• L'assenza di documentazione API pubblica non prova l'assenza di integrazioni riservate ai grandi clienti: indica minore trasparenza e verificabilità pre-gara.
• Le offerte appartengono a categorie e modelli di acquisto diversi; il confronto non è un ranking né un censimento completo.
• La piattaforma supporta la governance NIS2 e privacy ma non determina da sola la conformità dell'organizzazione.
• Nokia WING non è indicata come motore dell'attuale pagina WINDTRE IoT Digital Hub; l'eventuale relazione tecnologica va verificata contrattualmente.

Fonti e riferimenti

• Pagine pubbliche e aree clienti di TIM Business, Vodafone Business e WINDTRE Business.
• Comunicazioni ufficiali sulla fusione per incorporazione di Vodafone Italia in Fastweb S.p.A., efficace dal 1° gennaio 2026.
• Olivetti M2MSMART (brochure commerciale, 2021) e Cisco IoT Control Center REST API documentation.
• Vodafone Managed IoT Connectivity / GDSP.
• WINDTRE IoT Digital Hub.
• 1GLOBAL: Enterprise Portal, documentazione API e release note; materiali 2026 su eIM SGP.32 e integrazioni MDM.
• Transatel: SIM Management Platform e developer portal.
• Gigs: Gigs for Work e documentazione API.
• CAMARA Project: SIM Swap, Device Swap, Tenure, Number Recycling.
• D.Lgs. 138/2024, articoli 24 e 25.

Contenuto redatto sulla base di informazioni pubbliche disponibili al 29 luglio 2026. Il settore evolve rapidamente: funzionalità, disponibilità geografica e condizioni contrattuali possono cambiare anche nel giro di pochi mesi.