一、监管重点
AGCOM 于2026年10月20日发布通信网络与基础设施委员会议程，提出修改 86/21/CIR，依据技术委员会对 SIM/eSIM 普及和通信安全演变的研究成果，重新评估换卡与携号转网的安全机制。现行框架要求换卡、遗失补卡、故障换卡及 eSIM 虚拟变更原则上由 SIM 持有人提出，并通过身份核验和通知机制降低 SIM swap 风险；本次议程本身尚不等于新规则生效。
二、对企业的影响
如果企业把意大利手机号码作为唯一的 OTP 或账号恢复因子，换卡期间可能出现验证码中断、号码状态变化无法及时识别、客户被锁定等问题。对旅行通信、数字银行、金融科技、游戏平台和跨境客服而言，eSIM 激活、号码迁移与短信到达并非彼此独立，任一环节的身份核验失败都可能放大账户接管和客服申诉成本。供应商若无法提供换卡事件、操作者、时间戳和通知记录，也会增加后续审计难度。
三、操作建议
企业应先向意大利运营商、MVNO、eSIM 分销商和短信聚合商索取现行 SIM swap 控制矩阵，明确线上换卡、门店换卡、eSIM 重新下载和携号转网的身份核验差异。OTP 系统应接入号码变更、SIM swap 或近期携号转网信号，在高风险窗口内暂停高价值操作，并提供认证器、设备绑定或人工复核等替代路径。同时保存用户通知、审批结果、失败原因和供应商回执，避免只记录短信是否送达。
常见问题
AGCOM 的这次议程是否意味着意大利已经发布新的 eSIM 换卡要求？
不意味着立即生效。2026年10月20日公布的是委员会审议议程，内容是根据技术委员会成果研究是否修改 86/21/CIR。企业目前应按现行规则运行，同时向本地运营商确认后续征询、技术实施和过渡安排，不能把议程日期当成新的合规截止日。
使用意大利号码发送 OTP，为什么要关注 SIM swap 而不只是短信到达率？
短信送达只能说明消息进入网络或终端，不能证明号码仍由原用户控制。SIM swap 发生后，攻击者可能接收 OTP、重置账号或绕过短信二次验证。企业应把近期换卡、携号转网和号码归属变化纳入风控信号，并在高风险期间改用设备绑定或认证器验证。
跨境短信供应商应要求提供哪些记录？
至少应包括换卡或 eSIM 重新下载事件、号码迁移时间、身份核验方式、操作主体、失败原因、用户通知状态和供应商工单号。对于 OTP 场景，还应确认是否能通过 API 或安全报告输出风险事件，并规定异常事件的通知时限和证据保存期限。
参考来源
本文仅供信息参考，不构成法律意见。