Maksupalveludirektiivi (PSD2) ja vahva tunnistautuminen – näin pankkiin kirjaudutaan nyt

Pankkiin kirjautuminen ja verkko-ostosten maksaminen Suomessa nojaavat nykyään vahvaan tunnistautumiseen, jonka taustalla on EU:n maksupalveludirektiivi PSD2. Käytännössä tämä tarkoittaa, että pelkkä paperinen avainlukulista ei ole enää vuosiin riittänyt pankkitunnuksilla kirjautumiseen. OP:lla ja muilla pankeilla ensisijaiseksi tavaksi on noussut mobiilisovellukseen liitetty tunnistusmenetelmä, kuten OP:n Mobiiliavain. Tässä oppaassa käymme läpi, mitä PSD2 ja vahva asiakastunnistaminen tarkoittavat, miksi avainlukulista jää historiaan ja miten tunnistaudut OP:n palveluissa sekä viranomaispalveluissa vuonna 2026.

Mikä maksupalveludirektiivi (PSD2) on?

PSD2 on EU:n toinen maksupalveludirektiivi (engl. Payment Services Directive 2), joka uudistaa sääntöjä verkkomaksamiselle ja pankkiasioinnille koko Euroopan talousalueella. Direktiivi astui voimaan portaittain, ja sen keskeisin kuluttajalle näkyvä vaatimus – vahva asiakastunnistaminen verkkoasioinnissa – tuli sovellettavaksi 14.9.2019. Suomessa direktiivi on pantu täytäntöön maksupalvelulaissa, ja sen noudattamista valvoo Finanssivalvonta.

Direktiivillä on kolme päätavoitetta. Ensinnäkin se parantaa maksamisen turvallisuutta ja pienentää petosriskiä. Toiseksi se avaa kilpailua niin sanotulla open banking -periaatteella: asiakkaan luvalla myös muut kuin oma pankki voivat tarjota maksu- ja tilitietopalveluja rajapintojen kautta. Kolmanneksi se yhtenäistää kuluttajansuojaa ja vastuunjakoa maksutapahtumissa eri EU-maissa. Juuri turvallisuusvaatimus on se, joka muutti tavan, jolla suomalaiset kirjautuvat verkkopankkiin.

Mitä vahva asiakastunnistaminen tarkoittaa?

Vahva asiakastunnistaminen (engl. Strong Customer Authentication, SCA) tarkoittaa, että henkilöllisyys varmistetaan vähintään kahdella toisistaan riippumattomalla tekijällä. Riippumattomuus on olennaista: jos yksi tekijä paljastuu, toinen pitää silti asioinnin turvassa. Tämä on sama periaate, jota kutsutaan arkikielessä usein kaksivaiheiseksi tunnistautumiseksi.

Kolme tunnistustekijää

Tunnistustekijät jaetaan kolmeen ryhmään, ja vahvassa tunnistautumisessa tarvitaan vähintään kaksi eri ryhmästä:

• Tieto – jotain, minkä vain sinä tiedät, kuten PIN-koodi, salasana tai käyttäjätunnus.
• Hallinta – jotain, mikä on fyysisesti sinulla, kuten puhelin, pankkikortti tai tunnistussovellus tietyssä laitteessa.
• Ominaisuus – jotain, mitä sinä olet, kuten sormenjälki, kasvot tai muu biometrinen tunniste.

OP:n Mobiiliavain täyttää vaatimuksen tyylikkäästi: puhelin on hallintatekijä ja itse valittu PIN-koodi tai sormenjälki toinen tekijä. Avainlukulista taas on pelkästään hallintatekijä, minkä vuoksi se tarvitsee rinnalleen esimerkiksi tekstiviestivahvistuksen täyttääkseen lain vaatimukset.

Milloin vahvaa tunnistautumista vaaditaan?

Vahvaa tunnistautumista edellytetään pääsääntöisesti silloin, kun kirjaudut maksutilillesi verkossa, kun käynnistät sähköisen maksun tai kun teet etäkanavassa toimenpiteen, johon voi liittyä petosriski. Lähes aina, kun kirjaudut verkkopankkiin tai hyväksyt verkko-oston kortilla, kyse on vahvasta tunnistautumisesta.

Sääntöön on myös poikkeuksia, jotka perustuvat komission delegoituun asetukseen (EU) 2018/389. Vahvaa tunnistautumista ei välttämättä vaadita esimerkiksi pienikokoisissa verkkomaksuissa (ohjearvona alle 30 euroa) tai lähimaksuissa (ohjearvona alle 50 euroa). Näissäkin tapauksissa on kumulatiivisia rajoja: kun pienten maksujen yhteissumma tai lukumäärä ylittyy, tunnistautuminen vaaditaan taas. Pankki voi lisäksi aina vaatia vahvaa tunnistautumista, vaikka laki sallisi poikkeuksen.

Miksi pelkkä avainlukulista ei enää riitä?

Avainlukulista ei enää yksinään täytä vahvan tunnistautumisen vaatimuksia, koska se edustaa vain yhtä tekijää eli hallintaa. Paperinen lista on lisäksi helposti kopioitavissa: sen voi valokuvata, ja huijarit ovat urkkineet listan lukuja kalastelusivustoilla ja puhelimitse. Siksi pelkällä avainlukulistalla kirjautuminen lakkasi toimimasta OP:lla syyskuussa 2019.

Sen jälkeen avainlukulistan rinnalle tuli OP:lla tekstiviestivahvistus: asiakas saa puhelimeensa viestin, joka kertoo, minkä listan luvun hänen tulee syöttää. Näin yhdistyy kaksi tekijää – lista (hallinta) ja puhelin (hallinta eri kanavassa) – mikä tekee tunnistautumisesta vahvemman. Tämän vuoksi on tärkeää, että tunnuksiin liitetty puhelinnumero on ajan tasalla.

OP on sittemmin alkanut poistaa avainlukulistoja kokonaan niiltä asiakkailta, jotka asioivat pelkästään Mobiiliavaimella. Pankin viestinnän mukaan tavoitteena oli poistaa nämä listat käytöstä vuoden 2025 loppuun mennessä, eikä muutos vaadi asiakkaalta toimenpiteitä. Vanhanmallisia avainlukulistoja on myös korvattu uudenmallisilla, ja yrityspalvelutunnusten käyttäjien on määrä siirtyä uuteen listaan viimeistään vuoden 2026 loppuun mennessä. Jos sinulla on vielä vanha lista tallessa, älä koskaan valokuvaa sitä etkä syötä sen lukuja sivustolle, jolle päädyit linkistä tai viestistä.

Näin tunnistaudut OP:lla nyt

OP:lla tunnistautumisen tapa riippuu siitä, mitä palvelua käytät. Pääsääntö vuonna 2026 on, että Mobiiliavain on ensisijainen ja suositeltu menetelmä kaikessa päivittäisessä asioinnissa.

OP-mobiili ja Mobiiliavain

Mobiiliavain on OP-mobiili- tai OP-yritysmobiili-sovellukseen liitetty tunnistusmenetelmä. Se on itse valittu, tavallisesti 4–8 numeroa pitkä PIN-koodi, ja vaihtoehtoisesti tunnistautua voi laitteen sormenjäljellä tai kasvotunnistuksella. Mobiiliavain on laitekohtainen: se toimii vain siinä puhelimessa tai tabletissa, johon se on aktivoitu, mikä tekee siitä vaikean kopioida. OP-mobiilissa ei voi enää kirjautua pelkällä käyttäjätunnuksella, salasanalla ja avainlukulistalla.

op.fi-verkkopalvelu

Op.fi-verkkopalvelussa kirjautuminen ja maksujen vahvistaminen hoituvat näppärästi Mobiiliavaimella: syötät verkkosivulla käyttäjätunnuksesi, hyväksyt tunnistautumispyynnön OP-mobiilissa Mobiiliavaimella, ja pääset sisään. Jos sinulla ei ole Mobiiliavainta käytössä, kirjautuminen on hoitunut käyttäjätunnuksella ja salasanalla, joiden lisäksi tarvitaan avainlukulista ja tarvittaessa tekstiviestivahvistus. Juuri tämän toissijaisen tavan OP on vaiheittain korvaamassa Mobiiliavaimella.

Viranomaispalvelut ja Suomi.fi-tunnistus

Viranomaisten ja monien muiden tahojen palveluihin, kuten Kelaan tai OmaVeroon, tunnistaudutaan Suomi.fi-tunnistuksen kautta pankkitunnuksilla. Aiemmin näissä palveluissa tarvittiin OP:lla vielä paperista avainlukulistaa, mutta nykyisin myös Mobiiliavaimella voi tunnistautua näihin palveluihin. Sama vahva tunnistautuminen toimii siis sekä oman pankin palveluissa että julkishallinnon asioinnissa.

Yleisimmät virheet vahvassa tunnistautumisessa

Suurin osa tunnistautumisen ongelmista johtuu inhimillisistä virheistä, ei tekniikasta. Nämä ovat yleisimmät sudenkuopat, jotka kannattaa välttää:

• Avainlukulistan valokuvaaminen. Kuva puhelimen galleriassa voi päätyä vääriin käsiin esimerkiksi haittaohjelman kautta.
• Tunnuslukujen tai PIN-koodin kertominen muille. Pankki tai viranomainen ei koskaan kysy koko avainlukulistaa tai Mobiiliavaimen PIN-koodia puhelimessa tai viestissä.
• Vanhentunut puhelinnumero tunnuksissa. Jos numero ei ole ajan tasalla, tekstiviestivahvistus ei tavoita sinua etkä pääse kirjautumaan.
• Tuntemattoman tunnistuspyynnön hyväksyminen. Älä koskaan hyväksy Mobiiliavaimella pyyntöä, jota et itse käynnistänyt – se voi olla huijarin yritys kirjautua tilillesi.
• Mobiiliavaimen aktivoinnin lykääminen. Kun avainlukulistat poistuvat, Mobiiliavain kannattaa ottaa käyttöön hyvissä ajoin, jottei asiointi katkea.

Tietoturva ja huijausten tunnistaminen

Vahva tunnistautuminen suojaa tiliäsi tehokkaasti, mutta huijarit yrittävät kiertää sen saamalla sinut itse hyväksymään tapahtuman. Kun hyväksyt pyynnön Mobiiliavaimella, hyväksyt aina jonkin todellisen toimenpiteen – kirjautumisen tai maksun. Lue siksi aina, mitä olet hyväksymässä ja mille summalle.

Tyypillisissä huijauksissa soittaja esiintyy pankin, poliisin tai teknisen tuen edustajana ja luo kiireen tai pelon tunteen. Hän saattaa pyytää sinua kirjautumaan tai hyväksymään pyynnön "tarkistusta" varten. Oikea pankki ei koskaan pyydä tätä. Jos epäilet huijausta, katkaise yhteys ja ota itse yhteys pankkiisi virallisesta numerosta. Verkkopankin turvallisuudesta ja huijausten torjunnasta voit lukea lisää myös verkon turvallisesta käytöstä kertovasta artikkelistamme.

Kenelle muutokset vaikuttavat ja mitä kannattaa tehdä?

Muutokset koskevat kaikkia OP:n henkilö- ja yritysasiakkaita, jotka asioivat verkossa tai mobiilissa. Käytännössä sama kehitys näkyy kaikissa suomalaispankeissa, sillä vahva tunnistautuminen perustuu lakiin. Mobiilisovellusten rooli on kasvanut voimakkaasti samalla kun mobiilimaksaminen on yleistynyt ja yhä suurempi osa korttimaksuista tehdään lähimaksuna.

Varmista oma valmiutesi näin:

• Aktivoi Mobiiliavain OP-mobiiliin tai OP-yritysmobiiliin ja valitse itsellesi vain omaan tietoosi jäävä PIN-koodi.
• Tarkista op.fi-palvelussa, että tunnuksiisi liitetty puhelinnumero on oikea ja ajan tasalla.
• Säilytä voimassa oleva avainlukulista turvassa niin kauan kuin tarvitset sitä esimerkiksi uuden Mobiiliavaimen aktivointiin.
• Päivitä pankkisovelluksesi säännöllisesti, jotta tietoturva ja uusimmat ominaisuudet ovat käytössä.

Vastaava kehitys on näkynyt muidenkin pankkien sovelluksissa: esimerkiksi S-mobiili-sovellus ja Nordean uudistunut verkkopankki ovat siirtäneet tunnistautumisen painopistettä mobiiliin. Lisää vinkkejä turvalliseen pankkiasiointiin löydät myös pankkisäästämisen teemasivultamme.

Mitä seuraavaksi? PSD3 ja maksupalveluasetus

PSD2 on edelleen voimassa oleva sääntely vuonna 2026, mutta sen seuraaja on jo valmistelussa. EU valmistelee kolmatta maksupalveludirektiiviä (PSD3) ja sen rinnalle suoraan sovellettavaa maksupalveluasetusta (PSR). Euroopan parlamentti ja neuvosto pääsivät alustavaan sopuun paketista marraskuussa 2025, ja sovitut tekstit julkaistiin keväällä 2026. Sääntöjen lopullinen hyväksyminen ja soveltaminen tapahtuvat kuitenkin siirtymäajan jälkeen, ja keskeisten velvoitteiden – kuten vahvan tunnistautumisen – arvioidaan tulevan sovellettaviksi aikaisintaan vuonna 2027.

Uudistuksen tavoitteena on tehostaa petosten torjuntaa, parantaa open banking -rajapintoja ja selkeyttää vastuunjakoa esimerkiksi maksuhuijauksissa. Käytännössä suunta on sama kuin tähänkin asti: entistä turvallisempi ja sujuvampi tunnistautuminen, jossa mobiilisovellusten rooli korostuu.

Vastuuvapauslauseke

Tämä artikkeli on yleistaustaa maksupalveludirektiivistä ja vahvasta tunnistautumisesta, eikä se ole talous-, laki- tai tietoturvaneuvontaa. Tunnistusmenetelmät, aikataulut ja pankkien käytännöt voivat muuttua, joten tarkista aina ajantasaiset ohjeet oman pankkisi virallisilta sivuilta. Ole valppaana huijausten varalta: viranomaisten ohjeita verkkoasioinnin turvallisuuteen antaa Kyberturvallisuuskeskus, ja maksupalveluita Suomessa valvoo Finanssivalvonta.

Usein kysytyt kysymykset (FAQ)

Voiko avainlukulistalla enää kirjautua pankkiin?

Pelkällä avainlukulistalla ei voi enää kirjautua, sillä se ei yksinään täytä vahvan tunnistautumisen vaatimuksia. OP-mobiilissa käytetään Mobiiliavainta, ja op.fi-palvelussa listan rinnalle tarvitaan tarvittaessa tekstiviestivahvistus. OP on lisäksi poistamassa avainlukulistoja asiakkailta, jotka asioivat pelkästään Mobiiliavaimella.

Mikä on Mobiiliavain?

Mobiiliavain on OP-mobiili- tai OP-yritysmobiili-sovellukseen liitetty tunnistusmenetelmä, jota käytetään itse valitulla PIN-koodilla, sormenjäljellä tai kasvotunnistuksella. Se on laitekohtainen ja toimii vain siinä laitteessa, johon se on aktivoitu.

Mitä vahva asiakastunnistaminen tarkoittaa?

Vahva asiakastunnistaminen tarkoittaa henkilöllisyyden varmistamista vähintään kahdella toisistaan riippumattomalla tekijällä, jotka ovat tieto (esimerkiksi PIN), hallinta (esimerkiksi puhelin) ja ominaisuus (esimerkiksi sormenjälki). Vaatimus perustuu EU:n maksupalveludirektiiviin PSD2.

Tarvitsenko vielä avainlukulistaa viranomaispalveluissa?

Viranomaispalveluihin, kuten Kelaan ja OmaVeroon, tunnistaudutaan Suomi.fi-tunnistuksen kautta pankkitunnuksilla. Nykyään myös Mobiiliavaimella voi tunnistautua näihin palveluihin, joten erillistä paperista avainlukulistaa ei välttämättä enää tarvita.

Milloin PSD3 tulee voimaan?

PSD3-direktiivi ja maksupalveluasetus (PSR) ovat vielä valmisteluvaiheessa. Alustava sopu saavutettiin loppuvuonna 2025, mutta keskeiset velvoitteet, kuten vahva tunnistautuminen, tulevat sovellettaviksi arvioiden mukaan aikaisintaan vuonna 2027. Siihen asti sovelletaan PSD2:ta.