Article rédigé en collaboration avec Bisatel Telecom
Norme eSIM SGP.32 : trois ans après, pourquoi la transition massive en IoT patine encore
Un compteur d’eau intelligent au fond d’une cave, un boîtier de géolocalisation vissé sous le châssis d’un camion, une balise sur un conteneur qui traverse trois continents : tous ces objets devraient, en théorie, pouvoir changer d’opérateur mobile tout seuls, sans qu’un technicien ne se déplace ni qu’un humain n’appuie sur un bouton, grâce à une eSIM, cette puce soudée à l’appareil et reprogrammable à distance. C’est la promesse portée par SGP.32, la norme que la GSMA, l’association mondiale des opérateurs mobiles, a publiée en mai 2023 pour l’Internet des objets. Trois ans plus tard, le constat est plus nuancé que le discours qui l’accompagne : les puces certifiées existent, les premières cartes eSIM IoT compatibles sont commercialisées, et pourtant la bascule massive annoncée depuis des mois par tout un secteur se fait toujours attendre.
Pour un professionnel qui installe des traceurs GPS ou pilote une flotte de capteurs industriels, comprendre pourquoi cette promesse tarde à se concrétiser n’est pas un exercice théorique, mais une question d’investissement et de calendrier. Derrière la communication enthousiaste des équipementiers se cache une réalité faite de versions qui bougent encore, de certifications qui se chevauchent et d’un calcul économique que peu d’entreprises ont réellement mené jusqu’au bout.
Une promesse de 2023 qui court toujours après son calendrier
Avant SGP.32, l’industrie jonglait avec deux standards mal ajustés à la réalité de l’IoT. Le SGP.02, pensé pour les communications machine à machine (M2M) de l’industrie, imposait une architecture rigide et largement pilotée par l’opérateur. Le SGP.22, conçu pour les smartphones, supposait qu’un utilisateur humain valide chaque changement de profil, une contrainte absurde pour un capteur enterré sous un champ ou embarqué dans un colis pendant six mois. SGP.32 devait réconcilier les deux mondes en introduisant deux briques nouvelles : l’eIM, le gestionnaire eSIM à distance, une plateforme qui pilote depuis un tableau de bord unique les profils de milliers d’appareils, et l’IPA, l’assistant de profil intégré à la puce ou à l’appareil, chargé d’exécuter ces instructions sur le terrain.
Sur le papier, l’architecture est élégante. Dans les faits, elle n’a jamais cessé de bouger. La version 1.0 publiée en 2023 n’était qu’une base de travail. Il a fallu attendre fin 2024 pour que la version 1.2 se stabilise vraiment. C’est elle qui sert aujourd’hui de socle à l’essentiel des certifications : celles des puces eUICC, le composant physique qui porte l’eSIM, celles des plateformes eIM, et celles des serveurs SM-DP+, qui hébergent et livrent les profils. Fin mai 2026, quelques semaines à peine avant la rédaction de ces lignes, la GSMA a publié une version 1.3, alors que la quasi-totalité des documentations commerciales continuent aujourd’hui de renvoyer à la 1.2. Un standard qui reste une cible mouvante ne facilite pas la vie des fabricants : les premières certifications sérieuses n’ont commencé à tomber qu’au printemps 2025, près de deux ans après la publication initiale. Pour une puce que l’on grave et que l’on soude dans un appareil censé fonctionner une décennie sur le terrain, ce délai n’a rien d’anodin. Contrairement à un logiciel que l’on corrige à distance en quelques minutes, une génération de silicium calée sur la mauvaise version du standard reste figée pour toute la durée de vie du produit, bien après que la norme elle-même aura évolué deux ou trois fois.
L’œuf, la poule et la puce : le casse-tête de la première connexion
Il existe un problème que peu d’articles techniques mentionnent, et qui illustre bien la distance entre la théorie et le terrain. Pour recevoir son premier profil opérateur, un appareil doté d’une eSIM IoT doit déjà pouvoir communiquer avec la plateforme eIM qui le pilote. Sauf que sans profil actif, l’appareil n’a justement aucune connexion réseau. C’est un cercle qui se mord la queue, que le secteur appelle « l’amorçage », ou bootstrap en anglais. La solution retenue par la plupart des fabricants consiste à préinstaller en usine un profil de démarrage minimal, fourni par un partenaire de connectivité multi-réseaux, juste assez pour que l’appareil puisse joindre son eIM une première fois avant de basculer vers son profil définitif.
Ce détail, presque anecdotique en apparence, explique pourquoi un fabricant ne peut pas se contenter d’acheter une puce eUICC certifiée en pensant le problème réglé. Il doit, dès la conception, choisir qui fournira ce premier souffle de connectivité, souvent des mois avant que l’appareil ne quitte l’usine.
Un jeu de compatibilité où personne n’a encore toutes les pièces
Interrogé récemment par le laboratoire de test Comprion, un responsable de Thales décrivait un écosystème où plusieurs fournisseurs d’eIM affichent des niveaux de conformité différents, où les implémentations de l’IPA varient d’un fabricant à l’autre, et où la validation entre l’eIM, l’IPA, la puce eUICC et l’infrastructure de l’opérateur reste, dans bien des cas, à inventer projet par projet. Pour les constructeurs automobiles, qui comptent parmi les tout premiers grands adoptants, cela se traduit concrètement par davantage de références matérielles à gérer, des cycles d’intégration plus longs, des coûts de validation plus élevés, et un risque bien réel de se retrouver enfermé chez un fournisseur malgré l’étiquette de conformité au standard.
Les fabricants doivent aussi trancher entre deux architectures pour héberger l’assistant de profil : l’IPAe, intégré directement dans la puce et déjà certifié en usine, ou l’IPAd, installé dans le système d’exploitation de l’appareil, qui exige une certification séparée à la charge du fabricant. Kigen, l’un des fournisseurs de puces eUICC les plus avancés sur le sujet, reconnaît volontiers que ses clients industriels se retrouvent souvent perdus dans la gestion de la connectivité réseau, de la conformité régionale et de la multiplication des références produit que ce choix impose. Sur le terrain, cela se traduit par un délai qui se compte en général en mois entre l’annonce d’un partenariat certifié SGP.32 et sa disponibilité commerciale réelle, le temps que les tests d’interopérabilité rattrapent l’annonce. L’accord conclu en mars 2026 entre l’opérateur virtuel KORE et le fournisseur de puces Kigen illustre ce décalage : leur offre conjointe venait tout juste d’être officialisée que sa disponibilité commerciale complète n’était déjà annoncée que pour la fin de l’année.
Le mirage de devenir son propre opérateur mobile
SGP.32 est souvent présenté comme la promesse d’une indépendance totale vis-à-vis des opérateurs : changer de profil quand bon vous semble, négocier avec qui vous voulez, tout piloter depuis votre propre tableau de bord. Pour Eseye, spécialiste britannique de la connectivité IoT, ce discours flirte avec l’illusion. Piloter soi-même ses profils SIM revient, dans les faits, à devenir son propre opérateur virtuel : il faut négocier des contrats avec des dizaines d’opérateurs locaux, réconcilier des factures dans plusieurs devises et assurer un support technique sur plusieurs fuseaux horaires. Ses dirigeants anticipent qu’un nombre croissant d’entreprises fera marche arrière une fois ce calcul économique posé noir sur blanc devant leur direction financière, au profit d’intégrateurs qui choisissent plutôt de devenir opérateur mobile par le biais d’une plateforme spécialisée, sans avoir à négocier eux-mêmes ces dizaines de contrats locaux.
La pression touche aussi les opérateurs eux-mêmes. Certains gèrent encore leurs parcs d’objets connectés sur des plateformes vieillissantes, héritées de l’ère du M2M, dont le coût de gestion dévore la rentabilité de chaque carte à faible revenu. Plusieurs voix du secteur estiment que ces opérateurs devront choisir entre se retirer d’un marché IoT à faible marge ou nouer des partenariats avec des acteurs spécialisés capables d’absorber cette complexité technique à leur place. Vodafone a choisi, dès 2024, de filialiser entièrement son activité IoT pour en faire une structure autonome, et investit depuis dans l’automatisation afin, selon ses propres termes, de réduire la complexité à l’approche de SGP.32. Le mouvement est cohérent avec ce que ces mêmes plateformes spécialisées proposent déjà aux intégrateurs plus modestes : une infrastructure clé en main, sans les lourdeurs d’une négociation multi-opérateurs menée en solitaire.
Une échéance réglementaire qui ne fera de cadeau à personne
Au moment où ces lignes sont écrites, un autre compte à rebours arrive à échéance, sans lien direct avec la GSMA mais aux conséquences tout aussi concrètes pour les mêmes fabricants. Le règlement européen sur la cyber-résilience impose, à partir du 11 septembre 2026, que tout fabricant commercialisant un produit connecté dans l’Union européenne signale une vulnérabilité activement exploitée dans les 24 heures suivant sa découverte, avec une notification complète sous 72 heures. La mise en conformité totale devra, elle, être bouclée avant le 11 décembre 2027.
Pour un fabricant de cartes eSIM pour alarme ou de tout autre équipement de sécurité connecté, la coïncidence des calendriers n’a rien d’anodin. Au moment même où il doit faire certifier son matériel SGP.32, il doit aussi documenter la composition de ses logiciels et prouver sa capacité à réagir en temps réel à une faille de sécurité. Les accréditations déjà prévues par la GSMA elle-même, comme le schéma SAS pour les sites de production, cessent d’être un simple argument commercial différenciant pour devenir un prérequis de fait sur tout déploiement destiné à durer une décennie sur le terrain.
2027, la vraie date de bascule ?
Ce tableau n’efface pas les progrès réels. Telenor IoT, la branche IoT de l’opérateur norvégien, a lancé en avril 2026 la livraison commerciale de ses cartes SGP.32, avec des clients comme Volvo et Scania sur un parc de 30 millions d’appareils déjà gérés. Chez Giesecke+Devrient, l’un des grands fabricants de puces eSIM, un partenariat associant SGP.32 et connectivité 5G avec Rivian, le constructeur américain de véhicules électriques, et l’opérateur AT&T illustre l’un des premiers déploiements industriels de grande ampleur du standard. Pablo Iacopino, responsable de la recherche chez GSMA Intelligence, résume la période comme celle du passage à l’échelle : la technologie est prête, reste à l’industrie tout entière de suivre le rythme.
Les cabinets d’analystes se montrent toutefois plus prudents que les communiqués de presse. ABI Research, qui tablait dès 2025 sur une trajectoire menant de 2,9 millions de téléchargements de profils cette année-là à 194 millions en 2029, a dû revoir ses échéances après avoir constaté des retards d’implémentation, et situe désormais le vrai décollage entre le second semestre 2026 et 2027. Le cabinet Kaleido Intelligence arrive à une conclusion voisine, avec un rythme de croissance annuel composé qui pourrait dépasser 200 % d’ici 2028, sans que la bascule massive se produise avant 2027. Avec près de 39 milliards d’objets connectés attendus dans le monde à l’horizon 2030 selon les cabinets IoT Analytics et Giesecke+Devrient, l’enjeu de réussir cette transition dépasse largement le cercle des ingénieurs télécoms. SGP.32 tient sa promesse technique. Il lui reste à tenir sa promesse de calendrier.
