Surface con LTE e 5G in azienda: quando il cellulare integrato conviene

Il modulo cellulare integrato non si compra per «avere internet». Si compra per togliere un passaggio manuale prima che qualcuno riesca ad autenticarsi. È una distinzione che cambia il calcolo: se l’alternativa è l’hotspot del telefono, la domanda non è «funziona?» — funziona — ma «quante volte al giorno qualcuno deve sbloccare un telefono perché un PC possa lavorare?».

Attorno a questa decisione ci sono due fatti che sorprendono quasi tutti. Il primo è che il piano dati non si brucia da solo: in Windows la connessione dati cellulare è impostata come connessione a consumo per impostazione predefinita, mentre Wi-Fi ed Ethernet no (Microsoft Support). Il secondo è che, sul Surface Pro di 11ª edizione, scegliere il 5G non è scegliere un’opzione: è scegliere una piattaforma.

Il corollario d’acquisto: la connettività trascina la piattaforma

Sulla 11ª edizione il 5G esiste solo sui modelli Snapdragon. La scheda tecnica della variante Intel Core Ultra (Serie 2) alla voce rete riporta Wi-Fi 7 e Bluetooth 5.4, e nient’altro: nessun riferimento a SIM, eSIM, LTE o 5G. La scheda Snapdragon riporta invece nano SIM ed eSIM e il supporto 5G, ma aggiunge una riga che vale la pena leggere prima di firmare l’ordine: i tagli da 32 GB di memoria e 1 TB di archiviazione sono disponibili solo sui modelli Wi-Fi. Il ruolo che giustifica il cellulare integrato — commerciale, tecnico in campo, direzione — è spesso lo stesso che chiede più RAM. Sulla 11ª edizione le due esigenze si escludono.

Non è più vero, però, che «Surface Pro più 5G uguale ARM». Esiste un Surface Pro 5G for Business da 13 pollici (12ª edizione) con processore Intel, ed esiste il Surface Laptop 5G for Business da 13,8 pollici con Intel Core Ultra (Serie 2), NanoSIM ed eSIM, dove il modulo 5G è per giunta una parte sostituibile. Il formato da 15 pollici non è disponibile con 5G: se lo standard aziendale è il 15, il cellulare integrato non è un’opzione.

Se la scelta cade su ARM, la verifica da fare prima dell’ordine non riguarda il gestionale. Microsoft è esplicita: sui PC Windows 11 basati su Arm la maggior parte delle applicazioni funziona, anche in emulazione, ma driver di hardware e periferiche funzionano solo se progettati per Arm, e alcuni antivirus di terze parti non sono installabili. La lista da spuntare è quella: stampanti di etichette, lettori di smart card, token, chiavi hardware, VPN, antivirus — le stesse dipendenze che contano quando si pianificano driver e firmware su una flotta.

L’obiezione sulla batteria regge meno di quanto si creda: per il Surface Laptop 5G for Business Microsoft dichiara le stesse 20 ore di video e 12 ore di navigazione del modello Wi-Fi, e specifica che nei modelli Wi-Fi + 5G il test è stato eseguito con il dispositivo connesso alla rete cellulare. Sul Surface Pro 11 il delta dichiarato è di circa un’ora di navigazione.

Il valore vero sta nel primo avvio — con un asterisco

Durante l’OOBE, se il dispositivo ha una SIM attiva si connette da solo alla rete cellulare. E se sono disponibili sia Wi-Fi sia cellulare, Windows usa sempre il Wi-Fi e non fa passare traffico sul cellulare. È esattamente il comportamento che serve: il dispositivo spedito a casa di un nuovo assunto completa il primo avvio e l’iscrizione senza che nessuno debba dettare una password Wi-Fi al telefono, e in ufficio non consuma il piano.

L’asterisco è grosso. Se il dispositivo è predisposto per il cellulare ma non ha SIM, durante l’OOBE la rete cellulare compare come opzione, ma l’utente deve inserire una SIM prima di potersi connettere. E il profilo eSIM distribuito da Intune arriva dopo l’iscrizione MDM. Ne segue che un dispositivo solo-eSIM, uscito dalla scatola senza profilo, al primo avvio ha comunque bisogno di una rete Wi-Fi. Il vantaggio dello zero-touch in mobilità si ottiene solo con una SIM fisica preinserita oppure con un eSIM già caricato dall’operatore o dal rivenditore prima della consegna. Questa è una clausola d’ordine, non una configurazione.

Due strade in Intune, e una sola è quella giusta

Chi cerca «eSIM Intune» trova per primo l’articolo sbagliato. La gestione dell’eSIM su Windows ha due metodi alternativi: l’import dei codici di attivazione da file CSV, che è in anteprima pubblica e su Windows 11 è supportato ma sconsigliato, e la configurazione del server di download SM-DP+ dal catalogo impostazioni, che è il metodo consigliato e vale solo per Windows 11.

La riga sull’assegnazione casuale è quella che decide. Se la contabilità interna riaddebita il traffico per persona o centro di costo, il metodo CSV non regge: non si può assegnare una SIM nota a una persona nota. E il vincolo del singolo Server Name dice come si gestisce un cambio operatore: sostituendo il criterio, non affiancandone uno.

Restano tre trappole di governo che nessun cruscotto segnala. La prima: Intune non è in grado di distinguere un dispositivo con eSIM da uno senza, quindi un gruppo dinamico «tutti i Surface» produce errori permanenti sullo stato di assegnazione — Microsoft raccomanda un gruppo statico, di soli dispositivi. La seconda: lo stato «successful» non prova niente. La documentazione lo scrive per esteso — significa che le impostazioni sono state applicate, non necessariamente che il profilo eSIM sia stato scaricato e attivato. La terza: se nel criterio si disattiva la UI locale, l’attivazione automatica diventa obbligatoria; chi blocca l’interfaccia senza spuntare Auto Enable consegna un dispositivo con un profilo installato e mai acceso, e senza modo per l’utente di accenderlo.

Non esiste poi un «pulsante attiva» per il singolo Surface: l’azione remota «Update cellular data plan» copre iOS/iPadOS e Android Enterprise, non Windows.

Due pagine Microsoft che si contraddicono

La pagina di setup della connessione LTE o 5G sul Surface dice ancora di aprire l’app Mobile Plans al primo utilizzo di un eSIM. La pagina sull’eSIM dichiara che il supporto per l’app Mobile Plans è terminato a febbraio 2026 e indica di usare il sito dell’operatore, un QR o un codice di attivazione. Chi segue la prima cerca un’app che non c’è più: tutte le procedure interne che iniziano con «apri Mobile Plans» sono da riscrivere.

Per una PMI italiana c’è un secondo dettaglio nella stessa pagina. Nella tabella degli operatori che consentono di scaricare un profilo eSIM direttamente dal proprio sito, l’Italia non compare — l’unica voce è Vodafone Germania. L’autoservizio, insomma, non è documentato: restano il QR o il codice di attivazione forniti dall’operatore e il server SM-DP+ via Intune. Entrambi presuppongono una conversazione con l’operatore, da mettere a calendario prima dell’ordine dell’hardware.

Le sette decisioni da prendere prima della consegna

1. Metodo di caricamento del profilo: QR o codice di attivazione dell’operatore, oppure server SM-DP+ via Intune. Nel secondo caso servono gli EID dei PC, da chiedere al distributore all’ordine.
2. SIM fisica o eSIM: solo la SIM fisica preinserita (o un eSIM caricato prima della consegna) rende possibile il primo avvio in mobilità.
3. Roaming dati: la policy Connectivity/AllowCellularDataRoaming ha valore predefinito 1, cioè consentito. Portarla a 0 è la leva numero uno contro il conto a sorpresa; la verifica sul dispositivo è l’interruttore roaming disattivato e in grigio.
4. VPN su cellulare: AllowVPNOverCellular e AllowVPNRoamingOverCellular vanno decise insieme al punto precedente, non dopo il primo viaggio.
5. Aggiornamenti su rete a consumo: la policy che li consente è disattivata per impostazione predefinita. Su dispositivi che vivono mesi fuori ufficio o si accetta il consumo, o si pianifica un rientro periodico su Wi-Fi: la conformità non si aggiusta da sola.
6. OneDrive su rete a consumo: la pausa automatica c’è, ma la notifica offre all’utente di sincronizzare comunque. O si governa con la policy, o si spiega alle persone che cosa fa quel pulsante.
7. Chi può toccare la pagina «Rete cellulare»: il blocco si ottiene disattivando la UI locale nel criterio, con l’obbligo di Auto Enable già visto. Da mettere in conto: un profilo cancellato «per provare» non si rimette con un clic, perché può servire ricontattare l’operatore.

Il limite dati di Windows, spesso citato come contromisura, non è un controllo di flotta: si imposta per singola rete sul dispositivo e si limita ad avvisare quando ci si avvicina alla soglia e quando la si supera. Il tetto vero resta contrattuale, lato operatore.

Un’ultima nota che fa risparmiare una chiamata: sull’eUICC possono coesistere più profili, ma uno solo alla volta è abilitato, e l’ordine conta. Se l’eUICC contiene già un profilo qualsiasi, il download di un profilo con regola PPR1 non è consentito: il dispositivo su cui l’utente ha «provato» un eSIM di viaggio può rifiutare in silenzio quello aziendale. Prima l’aziendale, poi gli altri.

Il collaudo dura trenta secondi e va fatto prima della consegna: in Impostazioni > Rete e Internet si cerca la pagina «Rete cellulare» — la sua presenza indica il supporto — e si guarda l’elenco dei profili eSIM. Sul fronte licenze non serve nulla di nuovo: Microsoft 365 Business Premium include Intune Plan 1, quindi il costo incrementale è l’hardware e il piano dati, non il software di gestione.

Domande frequenti

Conviene il 5G integrato o basta l’hotspot del telefono?

Dipende da che cosa si vuole togliere. L’hotspot funziona, ma richiede un gesto manuale prima che il PC possa autenticarsi: qualcuno deve sbloccare il telefono e accendere la condivisione. Il modulo cellulare integrato serve a rimuovere quel passaggio, e Microsoft documenta che durante l’OOBE un dispositivo con una SIM attiva si connette da solo alla rete cellulare. Per chi lavora sempre in sede, sul Wi-Fi aziendale, il sovrapprezzo non compra nulla che non ci sia già.

Il cellulare integrato brucia il piano dati?

Non da solo: in Windows la connessione dati cellulare è impostata come connessione a consumo per impostazione predefinita, mentre Wi-Fi ed Ethernet no. La protezione però è parziale, perché su rete a consumo Windows Update continua a scaricare gli aggiornamenti prioritari: il consumo di base non è zero e il piano va dimensionato su quello. OneDrive mette in pausa la sincronizzazione, ma mostra all’utente una notifica con l’opzione per sincronizzare comunque, che annulla la protezione con un clic. Il conto a sorpresa vero arriva dal roaming dati, che a livello di policy è consentito per impostazione predefinita.

Posso attivare un eSIM su un singolo Surface dal portale Intune?

No. L’azione remota «Update cellular data plan» esiste per iOS/iPadOS e per Android Enterprise, non per Windows. Su Windows il profilo arriva da un criterio assegnato a un gruppo di dispositivi, quindi l’attivazione per un nuovo assunto si pianifica come modifica del gruppo e non come clic sulla scheda del dispositivo. E poiché Intune non è in grado di distinguere un dispositivo con eSIM da uno senza, quel gruppo va tenuto statico e aggiornato a mano.

In Intune il profilo eSIM risulta «successful»: posso considerare chiusa la distribuzione?

No, ed è il punto che più spesso viene dato per buono. Microsoft scrive esplicitamente che lo stato di distribuzione «successful» significa solo che le impostazioni sono state applicate, non necessariamente che il profilo eSIM sia stato scaricato e attivato. La verifica vera si fa sul dispositivo, in Impostazioni > Rete e Internet > Rete cellulare, guardando l’elenco dei profili eSIM. Un collaudo che si ferma al cruscotto non ha verificato niente.

Che cosa va chiesto all’operatore e al distributore prima dell’ordine?

Con il metodo del server di download l’operatore crea i profili sul proprio SM-DP+ associandoli a EID specifici, e Microsoft indica che l’organizzazione deve fornire all’operatore gli EID dei PC come parte del contratto. Gli EID stanno sulla confezione o in un file di manifest del rivenditore: vanno richiesti al distributore al momento dell’ordine, altrimenti si finisce a leggere le scatole una per una. Va poi chiarito se l’operatore fornisce un QR o un codice di attivazione, perché nella tabella Microsoft degli operatori che consentono di scaricare il profilo dal proprio sito l’Italia non compare. Tenere aperto il piano B della SIM fisica costa poco, visto che sui modelli 5G il supporto nano SIM c’è.

Togliere il dispositivo dal gruppo chiude anche il costo della SIM?

No. Microsoft avverte che rimuovere il profilo potrebbe non fermare la fatturazione e invita a verificare lo stato con l’operatore. La dismissione ha quindi due gambe, quella IT e quella contrattuale, e vanno eseguite entrambe o si continua a pagare traffico su macchine ferme. Si aggiunge che con il metodo del server di download non esiste alcun modo di rimuovere un profilo eSIM tramite Intune: va tolto a mano dal dispositivo, quindi la procedura di riassegnazione va scritta e non improvvisata.

Un Surface Pro con 5G obbliga a Windows on ARM?

Sulla 11ª edizione sì: il 5G esiste solo sui modelli Snapdragon, mentre la scheda tecnica della variante Intel Core Ultra (Serie 2) non riporta alcun supporto SIM, eSIM, LTE o 5G. Chi aveva bloccato l’acquisto per questo vincolo può riaprire la valutazione, perché esiste un Surface Pro 5G for Business da 13 pollici (12ª edizione) con processore Intel, e un Surface Laptop 5G for Business da 13,8 pollici con Intel Core Ultra (Serie 2). Su ARM il rischio non sono gli applicativi, che in buona parte girano anche in emulazione, ma i driver: Microsoft precisa che driver di hardware e periferiche funzionano solo se progettati per un PC Windows 11 basato su Arm, e che alcuni antivirus di terze parti non sono installabili.

Serve una mano con la flotta Surface

La scelta fra Pro, Laptop e Hub resta il primo bivio, e l’abbiamo trattata nella guida Surface for Business; il cellulare integrato è il secondo, e si paga due volte se lo si configura dopo la consegna. Facciamo scelta dei modelli, criteri Intune e collaudo prima della distribuzione: parliamone.