W potocznym użyciu eSIM to profil operatora pobierany zdalnie na układ eUICC w urządzeniu; od wymiennej karty SIM różni się sposobem dostarczenia danych operatora, nie ich funkcją. W specyfikacji GSMA SGP.21 V3.1 z 1 grudnia 2023 roku eSIM jest ogólnym określeniem urządzeń i układów eUICC obsługujących zdalne dostarczanie profili. Z kolei eUICC to układ UICC, który umożliwia zdalne albo lokalne zarządzanie profilami w bezpieczny sposób i którego nazwa wywodzi się od określenia „embedded UICC”. Słownik tej specyfikacji definiuje profil jako zestaw danych i aplikacji dostarczany na eUICC w celu świadczenia usług.
Wymienna karta ma jeden z formatów opisanych w normie ETSI TS 102 221, a układ eUICC bywa wlutowany w urządzenie i dostaje profil zdalnie, na przykład po przedstawieniu kodu aktywacyjnego serwerowi SM-DP+.
Zasada działania i aktywacji stoi tu na specyfikacjach GSMA, formaty fizyczne układów na normie ETSI, a obowiązki związane z rejestracją abonenta i przeniesieniem numeru na ustawie Prawo komunikacji elektronicznej. Przy każdym wątku jest to zaznaczone osobno, wraz z datą.
Co zostaje z karty, gdy nie ma karty
W wariancie niewymiennym z karty zostaje układ scalony i jego zadanie, a znika wymienna obudowa. Norma ETSI TS 102 221 w wersji V18.4.0 z maja 2026 roku stanowi, że UICC jest albo wymiennym modułem sprzętowym, albo niewymiennym, osobnym modułem wbudowanym w terminal, na przykład wlutowanym. Wymienny UICC ma przy tym jeden z formatów wymienionych w tej normie.
Norma wymienia formaty ID-1, plug-in, mini-UICC i 4FF; dla ID-1 odsyła do norm ISO/IEC 7816-1 i 7816-2, a dla trzech mniejszych podaje wymiary. Plug-in UICC ma 25 mm szerokości i 15 mm wysokości, mini-UICC 15 mm na 12 mm, a 4FF 12,3 mm na 8,8 mm przy grubości 0,67 mm.
Specyfikacja GSMA opisuje eUICC od strony wymagań, nie wymiarów. Według SGP.21 V3.1 eUICC jest osobnym, w specyfikacji nazywanym dyskretnym, albo zintegrowanym komponentem odpornym na manipulację, złożonym ze sprzętu i oprogramowania, a dyskretny eUICC może być wymienny albo niewymienny. Wymienny eUICC ma standardowy format ETSI, przy czym dokument odsyła tu właśnie do ETSI TS 102 221.
Ten sam dokument wymaga, by zachowanie eUICC z włączonym profilem było równoważne zachowaniu UICC, a aplikacja USIM w profilu działała identycznie jak na wymiennej karcie. Zasada BAS3 tej specyfikacji stanowi, że bezpieczeństwo eUICC wraz z procesami zarządzania ma być w każdych okolicznościach co najmniej równoważne obecnemu wymiennemu UICC.
Jak działa profil zapisany na eUICC
Profil operacyjny jest w SGP.21 V3.1 zestawem danych i aplikacji dostarczanym na eUICC w celu świadczenia usług przez dostawcę usług mobilnych; służy subskrypcji u tego dostawcy i umożliwia łączność z siecią. Subskrypcja z kolei opisuje w tej specyfikacji relację handlową między subskrybentem a dostawcą usług mobilnych.
Słownik specyfikacji definiuje profil włączony i profil wyłączony. W stanie włączonym pliki i aplikacje profilu, na przykład aplikacja dostępu do sieci, są wybieralne, a w stanie wyłączonym nie są. Specyfikacja dopuszcza, by eUICC zawierał zero lub więcej profili. Strona GSMA o eSIM dodaje, że w wariancie konsumenckim urządzenie może przechowywać jednocześnie wiele profili operatorów i przełączać je zdalnie, ale tylko jeden jest używany w danej chwili. Sama specyfikacja przewiduje wyjątek od tej zasady, opisując urządzenia MEP, w których na tym samym eUICC może być używany więcej niż jeden włączony profil.
Numer ICCID, zdefiniowany według SGP.21 V3.1 w zaleceniu ITU-T E.118, identyfikuje profil, a identyfikatorem samego układu eUICC jest EID. Identyfikator subskrybenta IMSI pozostaje w gestii operatorów; w jego sprawie SGP.21 odsyła do specyfikacji 3GPP TS 23.003.
Operacje lokalnego zarządzania profilem wylicza słownik specyfikacji: włączenie, wyłączenie i usunięcie profilu, odczyt jego metadanych, reset pamięci eUICC i reset pamięci testowej, nadanie nazwy własnej, dodanie profilu oraz zmiana domyślnego adresu serwera SM-DP+. Reset pamięci eUICC usuwa według wymagania MEM2 wszystkie profile operacyjne, niezależnie od ich reguł i stanu.
Jak przebiega aktywacja przez kod aktywacyjny
Aktywacja polega na pobraniu profilu na eUICC z serwera SM-DP+, który przygotowuje profile na zlecenie operatora, a w tej procedurze uruchamia ją kod aktywacyjny. W SGP.21 V3.1 kod aktywacyjny to informacja wydana przez dostawcę usług subskrybentowi lub użytkownikowi, używana do zażądania pobrania i instalacji profilu.
Specyfikacja przewiduje też pobranie profilu bez kodu, przez domyślny adres SM-DP+ zapisany na eUICC albo w urządzeniu oraz przez usługę wykrywania SM-DS, która informuje urządzenie o oczekującym zdarzeniu.
Po stronie urządzenia działa LPA, czyli element funkcjonalny w urządzeniu albo na eUICC, który realizuje lokalne pobieranie profilu, lokalną usługę wykrywania i lokalny interfejs użytkownika. Po drugiej stronie stoi serwer SM-DP+, który według zasady BAS10 działa na rzecz właściciela profilu; przygotowuje on pakiety profili, wiąże je z konkretnym EID i przesyła do LPA właściwego eUICC. Kod aktywacyjny jest według wymagania AC4 weryfikowany przez SM-DP+ przed dostarczeniem pakietu. Token kodu może według AC3 wskazywać, że wymagany jest dodatkowo kod potwierdzający, który serwer sprawdza przed wydaniem profilu.
Sam kod ma ustaloną budowę. SGP.22 v3.1 opisuje go jako ciąg złożony z formatu „1”, ogranicznika „$”, adresu serwera SM-DP+, kolejnego „$” i tokena, po którym mogą wystąpić pola opcjonalne; przykład podany w dokumencie brzmi 1$SMDP.EXAMPLE.COM$04386-AGYFT-A74Y8-3F815. Maksymalna długość kodu bez powiadomienia o usunięciu profilu przy zmianie urządzenia wynosi 255 znaków, a adres serwera ogranicza się do zestawu znaków trybu alfanumerycznego z tabeli 5 normy ISO/IEC 18004, czyli normy kodu QR. Wymaganie AC5 w SGP.21 stanowi, że wprowadzenie kodu obsługuje co najmniej wpisanie ręczne, a jeśli urządzenie ma aparat, także skan kodu QR.
Identyfikator EID, do którego serwer wiąże pakiet, ma według SGP.22 v3.1 32 cyfry, na które składają się numer identyfikacyjny producenta eUICC, numer specyficzny dla tego producenta i dwie cyfry kontrolne. Zmianę urządzenia specyfikacja SGP.21 opisuje w sekcji 4.18 jako mechanizm oparty na tym samym pobraniu profili z SM-DP+. Obsługa zmiany urządzenia jest według DC-SMDP-X1 dla serwera SM-DP+ opcjonalna, a serwer, który ją obsługuje, ma być w stanie zapewnić, że przy tych samych poświadczeniach sieciowych profil w starym urządzeniu zostanie usunięty, zanim nowe urządzenie pobierze pakiet.
Skąd wziął się standard i kto go utrzymuje
Standard eSIM dla urządzeń konsumenckich utrzymuje GSMA, a dwa dokumenty, z których pochodzą cytowane tu definicje, mają własną historię wersji. Historia dokumentu w SGP.21 V3.1 podaje wydanie V1.0 z datą 3 grudnia 2015 roku, V2.0 z 15 lipca 2016 roku, V3.0 z 28 marca 2022 roku i V3.1 z 1 grudnia 2023 roku. Specyfikacja techniczna SGP.22 datuje swoje wydanie V1.0 na 13 stycznia 2016 roku, a wersję v3.1 również na 1 grudnia 2023 roku.
Obie specyfikacje są dostępne publicznie na stronach zasobów GSMA, bez rejestracji, w postaci plików PDF. Strony zasobów odczytane 18 września 2026 roku wykazują jako najnowsze w linii trzeciej właśnie V3.1, a osobno linię drugą, w której SGP.21 v2.7 i SGP.22 v2.7 opublikowano 27 kwietnia 2026 roku.
Specyfikacja GSMA jest dokumentem organizacji branżowej, sklasyfikowanym przez GSMA jako Industry Specification, a nie aktem prawa. W zasadzie BAS8 zastrzega, że kwestie regulacyjne pozostają poza jej zakresem, a dane mogące identyfikować osobę, jak EID, ICCID, IMEI czy IMSI, mają być traktowane jako dane osobowe podlegające lokalnym przepisom. Obowiązki dostawcy usług wobec abonenta wynikają więc z ustawy, a nie ze specyfikacji.
Gdzie eSIM bywa stosowana
GSMA utrzymuje trzy architektury eSIM, dla trzech klas urządzeń. Strona organizacji o eSIM wymienia wariant konsumencki, wariant M2M dla połączeń między maszynami oraz wariant IoT dla urządzeń z ograniczoną łącznością albo ograniczonym interfejsem użytkownika, oparty na specyfikacji konsumenckiej z kilkoma różnicami. Strony zasobów GSMA datują SGP.02 v4.3 dla M2M na 21 lutego 2023 roku, a SGP.32 v1.3 dla IoT na 28 maja 2026 roku.
W urządzeniach konsumenckich wdrożenie opisuje producent sprzętu we własnej dokumentacji. Strona wsparcia Apple „Konfiguracja karty eSIM na iPhonie”, odczytana 18 września 2026 roku, z datą publikacji 24 marca 2026 roku w wersji polskiej, wymaga modelu iPhone XS, XS Max, XR lub nowszego oraz operatora obsługującego eSIM. Ta sama strona mówi o zarządzaniu „ośmioma lub większą liczbą kart eSIM” na jednym urządzeniu i wymienia metody aktywacji nazwane przez producenta eSIM Quick Transfer, eSIM Carrier Activation oraz konfigurację kodem QR.
Są to informacje producenta o jego własnych urządzeniach; implementacji poszczególnych operatorów ten tekst nie opisuje.
Co o karcie, rejestracji i numerze mówi ustawa
Ustawa z 12 lipca 2024 roku Prawo komunikacji elektronicznej nie posługuje się wyrazami „eSIM”, „eUICC” ani „karta SIM”. Pomiar na tekście ujednoliconym Kancelarii Sejmu z 7 lipca 2026 roku dał zero trafień dla każdego z tych wyrazów, przy kontroli dodatniej na tym samym pliku, w której wyraz „numer” wystąpił 87 razy, a ciąg „SMS” 6 razy. Nośnik identyfikacji abonenta ustawa opisuje rodzajowo w art. 289 ust. 1 pkt 1, dotyczącym umowy o usługi przedpłacone zawieranej z konsumentem, mówiąc o wydaniu abonentowi na nośniku fizycznym karty lub innego urządzenia służącego do identyfikacji abonenta w publicznej sieci telekomunikacyjnej.
Obowiązek rejestracji nie zależy od nośnika. Według art. 296 ust. 1 i 2 abonent będący osobą fizyczną podaje dostawcy imię i nazwisko oraz numer PESEL, jeżeli go posiada, a w przeciwnym razie nazwę, serię i numer dokumentu tożsamości, a dotyczy to także umowy o usługi przedpłacone. Dostawca rozpoczyna świadczenie usług według art. 296 ust. 3 nie wcześniej niż po potwierdzeniu zgodności tych danych z dokumentem tożsamości albo po ich potwierdzeniu drogą elektroniczną, na przykład przez uwierzytelnienie w systemie banku, podpis zaufany albo certyfikat aplikacji mObywatel.
Przeniesienie numeru również jest procedurą między dostawcami, a nie między nośnikami. Art. 325 ust. 1 daje abonentowi prawo żądać przy zmianie dostawcy przeniesienia przydzielonego numeru. Ustęp 6 wyznacza na to termin nie dłuższy niż 1 dzień roboczy od uzgodnionego dnia rozpoczęcia świadczenia usługi przez nowego dostawcę, a ust. 9 stanowi, że od abonenta nie pobiera się za to opłat. Osobną sprawą jest wypowiedzenie umowy bez zachowania okresu wypowiedzenia, za które ust. 4 przewiduje opłatę nieprzekraczającą opłaty abonamentowej za okres wypowiedzenia, nie wyższą jednak niż opłata za jeden okres rozliczeniowy, powiększoną o odszkodowanie, o którym mowa w art. 304 ust. 1. Procesem kieruje nowy dostawca, który doręcza abonentowi potwierdzenie na trwałym nośniku, a wymiana informacji między dostawcami odbywa się przez system, o którym mowa w art. 337 ust. 3.
Skalę tych procedur pokazuje regulator. Według komunikatu UKE z 8 lipca 2026 roku w drugim kwartale 2026 roku w sieciach mobilnych przeniesiono 361 107 numerów wobec 379 400 w kwartale pierwszym. Statystyki pochodzą z systemu Platformy Lokalizacyjno-Informacyjnej z Centralną Bazą Danych zarządzanego przez Prezesa UKE. Sama ustawa obowiązuje od 10 listopada 2024 roku, a wykaz jej aktów zmieniających w Europejskim Identyfikatorze Prawodawstwa liczy według stanu na 18 września 2026 roku cztery pozycje.
Źródła: GSMA, „RSP Architecture”, SGP.21 V3.1, 1 grudnia 2023, https://www.gsma.com/solutions-and-impact/technologies/esim/gsma_resources/sgp-21-v3-1/ – sekcje 1.4, 2.1, 4.3, 4.6.2, 4.10.1, 4.11, 4.12, 4.18, 5.2.1 i Annex L; GSMA, „RSP Technical Specification”, SGP.22 v3.1, 1 grudnia 2023, https://www.gsma.com/solutions-and-impact/technologies/esim/gsma_resources/sgp-22-v3-1/ – sekcje 4.1, 4.3.1 i Annex Q; GSMA, strona „eSIM”, https://www.gsma.com/solutions-and-impact/technologies/esim/ (bez daty widocznej w treści; metadane strony podają datę modyfikacji 4 września 2026) oraz strony zasobów SGP.21 v2.7, SGP.22 v2.7, SGP.02 v4.3 i SGP.32 v1.3 (z datami publikacji zasobów). ETSI TS 102 221 V18.4.0 (2026-05), „Smart Cards; UICC-Terminal interface; Physical and logical characteristics”, https://www.etsi.org/deliver/etsi_ts/102200_102299/102221/18.04.00_60/ts_102221v180400p.pdf – klauzule 4.0.0–4.0.4. Ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. z 2024 r. poz. 1221, z 2025 r. poz. 637 i 820 oraz z 2026 r. poz. 252 i 815) – art. 289 ust. 1 pkt 1, art. 296 ust. 1–3, art. 325 ust. 1, 4 i 6–9, art. 337 ust. 3; tekst ujednolicony Kancelarii Sejmu z 7 lipca 2026 r. i wykaz aktów zmieniających za API Europejskiego Identyfikatora Prawodawstwa, https://eli.gov.pl/api/acts/DU/2024/1221. Urząd Komunikacji Elektronicznej, „Statystyki przenoszenia numerów w II kwartale 2026 roku”, 8 lipca 2026, https://www.uke.gov.pl/akt/statystyki-przenoszenia-numerow-w-ii-kwartale-2026-roku,673.html. Apple, „Konfiguracja karty eSIM na iPhonie”, https://support.apple.com/pl-pl/118669 (wersja polska, data publikacji 24 marca 2026). Wszystkie źródła odczytane 18 września 2026 roku.