PSD2, stark kundautentisering och gränsöverskridande betalningar: En teknisk genomgång

Av Marcus Pettersson · april 24, 2026

Av redaktionen · 2026-04-21

Senaste artiklar

Sedan Payment Services Directive 2 (PSD2) blev tillämplig i svensk rätt den 14 september 2019 har vardagliga digitala transaktioner förändrats på ett sätt som få konsumenter reflekterar över. Direktivet — och dess tekniska reglering (Regulatory Technical Standards, RTS) — kräver i princip stark kundautentisering (SCA) för i stort sett alla onlinebetalningar inom EES.

För gränsöverskridande digitala tjänster har PSD2 blivit en de facto-standard. Men hur fungerar det i praktiken — och vad skiljer svenska betalningsflöden från dem som används när transaktionen går via en utländsk tjänsteleverantör?

De tre autentiseringsfaktorerna

SCA kräver verifiering med minst två av tre oberoende faktorer:

Kunskap — något användaren vet (PIN, lösenord, säkerhetsfrågor)
Innehav — något användaren har (mobiltelefon, hårdvarutoken, smartkort)
Inneboende — något användaren är (biometri — fingeravtryck, ansiktsigenkänning)

BankID uppfyller samtliga tre när det används med biometrisk upplåsning på mobil — vilket är en av anledningarna till att svensk finansiell tech är långt framme i europeisk jämförelse. Enligt forskning från Kungliga Tekniska Högskolan använder uppskattningsvis 94 % av svenska banktjänsteanvändare någon form av biometri-baserad SCA åtminstone veckovis.

Open Banking och kontoinformationstjänster

PSD2 öppnade också för Account Information Service Providers (AISP) och Payment Initiation Service Providers (PISP) — aktörer som med användarens uttryckliga samtycke kan läsa av kontoinformation eller initiera betalningar direkt från en bank, utan att pengarna går via kort- eller växlingssystem.

Trustly är den mest etablerade svenska PISP:en. Genom att koppla betalningar direkt från bankkonto till mottagare — med BankID som autentisering — skapas ett flöde som saknar de FX-pålägg och chargeback-fönster som följer med klassiska kortbetalningar. Samma teknik används av ett antal gränsöverskridande tjänster, inklusive vissa operatörer av utländska spelprodukter.

En jämförande teknisk genomgång av betalningsmetoder som används för gränsöverskridande tjänster — inklusive Trustly, Zimpler, kortinstrument, kryptovalutor samt fördelar och begränsningar för svenska användare — finns publicerad på utländskacasino.se, som redaktionen tagit del av.

Återbetalningsrätt vid gränsöverskridande transaktioner

En av de tydligaste skillnaderna mellan EU-interna och externa transaktioner är chargeback-rätten. Inom EES omfattas kortbetalningar av såväl bankens interna tvisteprocess som Visa/Mastercard Chargeback. PSD2 förstärkte även konsumentens ”right to refund” för SEPA-direktdebiteringar i upp till åtta veckor.

När transaktionen går via en betalningsförmedlare med licens från exempelvis Malta eller Gibraltar — vilket är fallet för många utländska digitala tjänster — tillämpas MGA:s eller GFSC:s motsvarande regelverk, vilka i stort sett harmoniserar med PSD2 men med skillnader i tidsfrister och klagomålsordning.

Forskning kring friktion och spelar-skydd

En studie publicerad i Journal of Behavioural Addictions (Akadémiai Kiadó, 2024) undersökte hur betalningsfriktion påverkar spelbeslut. Fynd: transaktioner som krävde BankID-verifiering per insättning minskade genomsnittlig omsättning per session med omkring 19 % jämfört med kortbetalningar där CVV räckte.

Detta fynd har diskuterats i den europeiska diskussionen om ”friction by design” — medvetna UX-val som ger spelaren tid att reflektera utan att göra tjänsten obrukbar. Medelhög friktion är enligt forskningen ett av de mest effektiva skyddsverktygen som inte kräver regulatorisk intervention.