BankID firar 20 år som den mest använda e-legitimationen i Sverige. Med miljontals dagliga transaktioner har appen blivit en kritisk infrastruktur. Men dess privata ägande och bristande transparens väcker frågor hos såväl Finansinspektionen som EU-kommissionen. Samtidigt ser Danmark och Norge på svenska erfarenheter när de bygger sina egna digitala identitetssystem.
Från bankprojekt till nationell ryggrad
BankID startade 2003 som ett samarbete mellan de svenska storbankerna för att skapa en gemensam e-legitimation. Tekniken bygger på en så kallad e-legitimation i ett SIS-kort eller senare en mobillösning, och har sedan dess vuxit till att användas av över 8,5 miljoner svenskar. Enligt Finansinspektionen är BankID i dag den mest spridda metoden för identifiering i den finansiella sektorn, med omkring 2 miljarder autentiseringar per år.
Det som började som en bankintern lösning har i praktiken blivit en samhällskritisk tjänst. BankID används för att logga in hos myndigheter som Försäkringskassan och Skatteverket, för att signera avtal digitalt, för att legitima sig i vården via 1177, och för att verifiera ålder vid spel. Användningen har accelererat under 2010-talet i takt med digitaliseringen av offentlig sektor och banktjänster.
Regulatorisk gråzon – en privat tjänst med offentligt ansvar
BankID ägs av en grupp privata banker genom bolaget Finansiell ID-Teknik BID AB, och omfattas inte av offentligrättsliga krav på öppenhet och ickediskriminering på samma sätt som statliga legitimationer. Trots detta har tjänsten en de facto-monopolställning. Post- och telestyrelsen har i flera rapporter pekat på att avsaknaden av konkurrens kan skapa sårbarheter – en driftstörning hos BankID slår brett och kan stoppa stora delar av samhällsekonomin.
EU:s eIDAS-förordning (EU 910/2014) ställer krav på kvalificerade e-legitimationer, men BankID är inte certifierat enligt de högsta nivåerna. Det har lett till diskussioner om huruvida Sverige borde överväga en statligt ägd lösning, liknande Danmarks MitID som drivs av det statliga bolaget Nets. Hittills har lagstiftaren valt en marknadsorienterad modell, men frågan om kontroll och ansvar är fortfarande olöst.
| Land | Tjänst | Ägande | Certifiering eIDAS |
|---|---|---|---|
| Sverige | BankID | Privat (bankkonsortium) | Nej (förenklad nivå) |
| Danmark | MitID | Statligt (Nets) | Ja (kvalificerad) |
| Norge | BankID | Privat (banker) | Nej |
| Finland | Mobiilivarmenne | Statligt | Ja |
Säkerhet och integritet – ett föränderligt hotlandskap
Under de senaste åren har antalet försök till nätfiske mot BankID ökat markant. Anmälningar till Post- och telestyrelsen om bank-ID-bedrägerier har tredubblats sedan 2020. Bedragare använder social manipulation för att få offren att bekräfta transaktioner via BankID-appen, vilket utnyttjar tjänstens höga användarnärvaro. Samtidigt har BankID infört högre säkerhetsnivåer, bland annat biometrisk inloggning och kortare giltighetstider för mobila certifikat.
Ur ett konsumentskyddsperspektiv har Finansinspektionen krävt att bankerna tar större ansvar för att hindra obehöriga transaktioner. EU:s andra betaltjänstdirektiv (PSD2) och den svenska lagen om betaltjänster (SFS 2010:751) ställer krav på stark autentisering med flerfaktor, vilket BankID i huvudsak lever upp till. Men kritik finns mot att tjänsten fortfarande saknar en oberoende haveriutredning och att incidentrapportering till myndigheter inte alltid sker i realtid.
Jämförelse med grannländerna – Danmark och Norge väljer olika vägar
Danmark ersatte 2021 sin gamla NemID med MitID, en statligt styrd e-legitimation som certifierats enligt högsta eIDAS-nivå. MitID är obligatorisk för offentliga tjänster och har en dedikerad supportfunktion via statliga bibliotek. En utredning från Riksbanken visade att MitID har lägre grad av kommersiella drivkrafter och potentiellt högre transparens än BankID. Norge har en liknande modell som Sverige med privat BankID, men också en statlig e-legitimation, MinID, för dem som saknar bankkort.
I Sverige har diskussionen om en ”digital minilåda” – en statlig identitetslösning – tagit fart. Regeringen tillsatte 2023 en utredning för att se över behovet av en kompletterande statlig e-legitimation, delvis som svar på att BankID utesluter vissa grupper, till exempel personer utan svenskt personnummer eller med skyddad identitet. Spelmiljön använder BankID för åldersverifiering och för att koppla till Spelpaus.se, det statliga självavstängningsregistret. För den som upplever spelproblem finns Stödlinjen på 020-81 91 00.
Framtiden – eIDAS 2.0 och en europeisk digital plånbok
EU-kommissionen driver fram eIDAS 2.0-förordningen, som ska införa en europeisk digital identitetsplånbok (eIDAS Wallet) senast 2026. För Sverige innebär det en möjlighet att skapa en interoperabel lösning som dels bygger på BankID, dels möjliggör andra leverantörer. BankID har redan integrerats som en av de föreslagna nationella e-legitimationerna i den europeiska plånboken, men måste certifieras om till högre nivå för att uppfylla de nya kvalificerade kraven.
Det finns också rättsliga frågor. EU-domstolen har i flera mål betonat att medlemsstater inte kan kräva att medborgare använder en specifik privat e-legitimation för att få tillgång till offentliga tjänster, om det finns alternativa lösningar. Detta kan påverka Sveriges modell, där BankID i praktiken är oundgänglig för att logga in på exempelvis Bolagsverket eller Försäkringskassan. En eventuell dom kan tvinga fram en statlig parallell lösning.
Källor
- Finansinspektionen – rapport om e-legitimationers betydelse för finansiell stabilitet
- Post- och telestyrelsen – analys av digital identitetsinfrastruktur 2023
- Riksbanken – e-krona och digital identitet i betalningar
- EU:s eIDAS-förordning (EU 910/2014)
- skattegenomgången — löpande sammanställning av reglering och tillsyn på den svenska marknaden.
