Sverige och resten av Norden är på väg in i sista fasen av ett skifte som pågått i flera år: bort från lösenord och SMS-koder, in i en värld där passkeys är standardmetoden för att logga in. Trycket kommer från flera håll samtidigt. EU:s reviderade eIDAS 2.0-förordning kräver att alla medlemsstater, Sverige inräknat, erbjuder medborgarna en digital identitetsplånbok senast slutet av 2026. Samtidigt har EU:s cybersäkerhetsmyndighet ENISA redan pekat ut passkeys som den starkaste tillgängliga skyddsmetoden mot nätfiske, och banksektorns tillsynsmyndigheter har under 2026 börjat behandla nätfiskesäker inloggning som förväntad snarare än frivillig. Sammantaget sätter det klockan i rörelse för svenska banker, myndigheter och de tjänster som i dag bygger sin inloggning på BankID, lösenord eller SMS-koder.
Vad är passkeys och varför fasas SMS-koder ut just nu
En passkey är en kryptografisk inloggningsnyckel byggd på standarderna FIDO2 och WebAuthn. Till skillnad från ett lösenord finns det ingen delad hemlighet att stjäla, och till skillnad från en SMS-kod finns det ingen sexsiffrig kod att fånga upp eller lura fram via ett falskt formulär. Istället skapas ett nyckelpar vid registreringen: den privata nyckeln stannar på användarens enhet eller säkerhetsnyckel, medan den publika nyckeln lagras hos tjänsten. Vid inloggning signerar enheten en utmaning med den privata nyckeln, efter att användaren bekräftat med biometri, PIN-kod eller en fysisk nyckel som en YubiKey.
Det som gör passkeys svåra att fiska är att varje nyckel är bunden till en specifik domän, den så kallade relying party-identiteten. En passkey registrerad för en banks riktiga inloggningssida går tekniskt sett inte att använda på en kopierad phishing-domän, hur övertygande sidan än ser ut. SMS-koder och lösenord saknar den spärren helt, vilket är precis vad som utnyttjas i dagens vanligaste kontokapningar. Det är också skälet till att europeiska tillsynsmyndigheter under 2026 har börjat skriva om phishing-resistent autentisering som en förväntning snarare än en rekommendation, enligt en genomgång från Ideem.
EU:s digitala identitetsplånbok sätter ett hårt slutdatum
Den revidering av eIDAS-förordningen som EU antog innebär att varje medlemsstat måste erbjuda minst en EU Digital Identity Wallet, förkortat EUDI Wallet, till sina medborgare senast slutet av 2026. Utfärdande, användning och återkallelse av plånboken ska vara kostnadsfri för privatpersoner, även om själva användningen inte blir obligatorisk, enligt kommissionens egen sammanställning på europeisk digital identitet. EU-kommissionen antog dessutom en ny omgång genomförandeförordningar för EUDI Wallet den 30 juli 2025, som löpande uppdaterats under 2026 och som slår fast gemensamma säkerhets- och interoperabilitetskrav, enligt kommissionens egen sida om de nya genomförandereglerna.
Det som gör detta relevant för passkeys specifikt är att FIDO2-baserad autentisering redan pekas ut som den mest konsumentnära komponenten i EUDI-plånboken, alltså det sätt de flesta medborgare faktiskt kommer att låsa upp sin digitala identitet på i telefonen. Det skapar en teknisk länk mellan ett EU-krav som drivs av lagstiftning och en autentiseringsmetod som redan finns inbyggd i iPhone, Android och Windows, enligt analys från Data Innovation.
BankID och vägen mot lösenordslös inloggning i Sverige
BankID är i praktiken redan Sveriges de facto-identitetslösning, med appen som standardsättet att logga in hos banker, Skatteverket, vården och en lång rad privata tjänster. Det ger Sverige ett försprång jämfört med länder som fortfarande lutar sig tungt mot lösenord och SMS-koder, men det skapar också en ny fråga: hur ska BankID förhålla sig till EU:s krav på en EUDI-plånbok och till den bredare passkey-vågen som redan rullar genom Apple-, Google- och Microsoft-ekosystemen?
Den nordiska EUDI-piloten NOBID, som testar teknisk interoperabilitet mellan de nordiska länderna, har under 2026 valt att som standard använda den elliptiska kurvan P-256, samma kryptografiska bas som används av FIDO2-passkeys, enligt en genomgång från Evertrust. Det är ett tydligt tecken på att den nordiska digitala identitetsinfrastrukturen medvetet byggs för att fungera ihop med samma standarder som redan driver passkeys globalt, snarare än att uppfinna en parallell lösning. För svenska banker och myndigheter betyder det sannolikt en gradvis övergång där BankID kompletteras med, snarare än direkt ersätts av, FIDO2-baserade passkeys under de kommande åren.
NIS2, PSD2 och EBA: regeltrycket som driver bankerna
Det regulatoriska trycket kommer inte bara från eIDAS. Flera europeiska tillsynsmyndigheter för finanssektorn, inklusive European Banking Authority, har under 2026 flyttat sin tolkning av phishing-resistent stark kundautentisering (SCA) enligt PSD2 från “uppmuntrad” till “förväntad” vid högriskscenarier, enligt sammanställningen Passkeys vs varje stor bankstandard från Ideem. Samma rörelse syns hos motsvarande myndigheter i flera regioner utanför EU, vilket pekar på en global normförskjutning snarare än en isolerad europeisk trend.
För svenska banker, som redan lever under NIS2-kraven sedan lagen började gälla i Sverige, innebär det en dubbel press: dels att uppfylla de tekniska säkerhetskraven i NIS2 för väsentliga och viktiga entiteter, dels att leva upp till PSD2:s krav på stark kundautentisering på ett sätt som tillsynsmyndigheterna nu bedömer som otillräckligt om det enbart bygger på SMS-koder. En branschgenomgång daterad 17 mars 2026 visar att banker globalt, med tydligt fokus på EU-regionen, planerar att ersätta SMS-engångskoder som primär tvåfaktorsmetod med passkeys under året, med motiveringen att det bättre möter både NIS2, PSD2 och uppdaterade FIDO- och NIST-krav.
ENISA pekar ut passkeys som starkaste skyddet mot nätfiske
Den 26 juni 2025 publicerade EU:s cybersäkerhetsmyndighet ENISA sin tekniska implementeringsguide för NIS2, där man för första gången officiellt slår fast att passkeys enligt FIDO2 och W3C:s WebAuthn-standard är den starkast tillgängliga metoden för nätfiskesäker flerfaktorsautentisering i Europa. ENISA beskriver dem som domänbundna autentiseringsuppgifter som är i grunden immuna mot både klassisk nätfiske och man-in-the-middle-attacker, enligt Corbados sammanfattning av guiden.
Det är en ovanligt tydlig teknisk rekommendation från en EU-myndighet, och den får direkt genomslag i hur nationella tillsynsmyndigheter och stora organisationer i Sverige tolkar sina egna NIS2-skyldigheter. När en myndighet på EU-nivå namnger en specifik teknik som “starkast tillgänglig” blir det svårare för svenska bolag under NIS2 att motivera att man enbart förlitar sig på SMS-koder eller app-baserade engångskoder utan phishing-resistens.
Så fungerar tekniken: domänbindning, privata nycklar och WebAuthn
Tre tekniska egenskaper återkommer i europeiska säkerhetsguider från 2025 och 2026 när man förklarar varför passkeys fungerar bättre än lösenord och SMS-koder:
- Domänbunden autentiseringsuppgift. Nyckeln är knuten till en specifik relying party-identitet och går inte att återanvända på en annan domän, vilket gör klassisk nätfiske tekniskt verkningslöst.
- Privat nyckel lämnar aldrig enheten. Det finns ingen delad hemlighet som kan läcka i ett dataintrång eller avlyssnas i en man-in-the-middle-attack.
- Krav på lokal användargest. Biometri eller PIN-kod krävs på själva enheten, vilket stoppar tyst impersonering från en angripares server.
Det är samma grundprincip som utvecklare redan implementerar i praktiken. I en tidigare teknisk genomgång på shattered.io byggde vi passkey-inloggning med WebAuthn i Node.js steg för steg, och kärnlogiken för att validera att en inloggningsbegäran verkligen kommer från rätt domän ser ut ungefär så här på serversidan:
const verification = await verifyAuthenticationResponse({
response: assertionResponse,
expectedChallenge: storedChallenge,
expectedOrigin: "https://exempel-bank.se",
expectedRPID: "exempel-bank.se",
authenticator: storedAuthenticator,
});
if (!verification.verified) {
throw new Error("Autentisering nekad: domän matchar inte");
}Just kontrollen av expectedOrigin och expectedRPID är det som gör att en kopierad phishing-sida aldrig kan slutföra inloggningen, oavsett hur bra den ser ut visuellt.
Apple, Google och Microsoft: plattformarna är redan redo
Under 2025 och 2026 har de tre stora plattformsbolagen fullt ut byggt in stöd för passkeys. Apple stödjer synkade passkeys via iCloud-nyckelring på iOS och macOS, Google gör motsvarande via Password Manager på Android och i Chrome, och Microsoft har byggt in stöd i Windows, Edge och Entra ID. Både synkade passkeys, som följer med mellan enheter via molnet, och enhetsbundna passkeys, som är låsta till en specifik hårdvarunyckel eller ett TPM-chip, stöds i dag brett, enligt Data Innovations genomgång.
Microsoft tog ett konkret steg i mars 2026 när Entra ID gjorde passkey-autentisering allmänt tillgänglig, med stöd för både synkade och enhetsbundna passkeys samt nya “Passkey Profiles” där företag kan styra exakt vilka typer av passkeys som tillåts i organisationen. Från mars 2026 började Microsoft dessutom automatiskt aktivera Passkey Profiles i Entra-kunders autentiseringspolicyer, med migrering till standardprofiler senast maj 2026 om kunden inte själv konfigurerat något, enligt Oretas migrationsguide. Det tvingar i praktiken fram adoption även hos nordiska organisationer som inte aktivt bett om förändringen.
Marknadseffekter: vad skiftet betyder för banker och tjänsteleverantörer
För svenska och nordiska organisationer som hanterar inloggning, från banker till e-handel och offentlig sektor, betyder skiftet konkreta investeringar under 2026 och 2027: uppdaterad autentiseringsinfrastruktur, nya flöden för kontoåterställning och utbildning av kundtjänst som ska hantera en övergångsperiod där både gamla och nya inloggningsmetoder finns parallellt. Nedan är de viktigaste milstolparna som styr tidslinjen.
| Datum / period | Händelse | Källa |
|---|---|---|
| 26 juni 2025 | ENISA:s NIS2-implementeringsguide pekar ut passkeys som starkaste phishing-resistenta MFA i Europa | Corbado / ENISA |
| 30 juli 2025 | EU-kommissionen antar ny omgång genomförandeförordningar för EUDI Wallet | Europeiska kommissionen |
| Mars 2026 | Microsoft Entra ID gör passkey-autentisering allmänt tillgänglig med Passkey Profiles | Oreta |
| Mars–maj 2026 | Automatisk migrering till standardiserade Passkey Profiles i Entra-tenanter | Oreta |
| 17 mars 2026 | Branschgenomgång visar att banker globalt planerar ersätta SMS-OTP med passkeys under året | Ideem |
| 2026 (löpande) | NIST SP 800-63B-4 integrerar FIDO-passkeys i assuransnivåerna AAL2 och AAL3 | Ideem / NIST |
| 2026 (löpande) | Nordiska NOBID-piloten standardiserar på elliptiska kurvan P-256 för EUDI-plånboken | Evertrust |
| Slutet av 2026 | Deadline för alla EU-medlemsstater att erbjuda en EUDI Wallet till medborgarna | EU-kommissionen |
Passkeys jämfört med lösenord, SMS-koder och BankID
De fyra vanligaste inloggningsmetoderna i Sverige i dag skiljer sig kraftigt åt i hur väl de motstår nätfiske, hur snabbt de går att använda och hur de bedöms av tillsynsmyndigheter. Tabellen nedan sammanfattar skillnaderna utifrån de kriterier som ENISA, EBA och NIST använder i sina 2026-bedömningar.
| Metod | Nätfiskeresistens | Domänbunden | Regulatorisk status 2026 |
|---|---|---|---|
| Lösenord | Låg | Nej | Otillräcklig ensam för SCA enligt PSD2 |
| SMS-engångskod (OTP) | Låg till medel | Nej | Flyttas från “uppmuntrad” till otillräcklig av EBA för högrisk |
| Passkey (FIDO2/WebAuthn) | Hög | Ja | Uppfyller AAL2/AAL3 enligt NIST 800-63B-4, pekas ut av ENISA |
| BankID (mobilt) | Medel till hög | Delvis | Nationellt etablerad, väntas kompletteras med EUDI/FIDO-stöd |
Skillnaden mellan “låg” och “hög” nätfiskeresistens handlar i praktiken om en enda sak: om autentiseringsuppgiften kan flyttas från den äkta domänen till en falsk. Lösenord och SMS-koder kan det, av en användare som blir lurad. En passkey kan det inte, oavsett hur bra användaren luras, eftersom kontrollen sker på protokollnivå snarare än att förlita sig på att människan märker skillnaden.
Historisk kontext: från lösenord via SMS-kod till passkey
Utvecklingen har gått i tydliga steg. Lösenordet var i praktiken den enda inloggningsmetoden fram till mitten av 2010-talet, då SMS-baserad tvåfaktorsautentisering blev standard hos banker och stora onlinetjänster som ett svar på den växande vågen av läckta lösenordsdatabaser. SMS-koden löste ett problem men skapade ett nytt: SIM-swap-bedrägerier och realtidsnätfiske av engångskoder blev en egen brottskategori, något som bland annat behandlats i tidigare genomgångar av bedrägeriutvecklingen i Sverige.
FIDO-alliansen, som grundades redan 2013, lade grunden för dagens passkey-standard långt innan begreppet blev ett vardagsord. Det som förändrats de senaste två åren är inte tekniken i sig utan att den blivit standard i operativsystem och webbläsare, samtidigt som regulatorer i Europa gått från att rekommendera phishing-resistent autentisering till att i praktiken kräva den. Den kombinationen, mogen teknik plus regulatoriskt tryck, är anledningen till att 2026 blir det år då skiftet går från pilotprojekt till bred utrullning i Norden.
Kvarstående risker och praktiska utmaningar
Passkeys löser inte alla problem på en gång. Kontoåterställning är fortfarande den svagaste länken: om en användare tappar bort samtliga enheter med sina synkade passkeys måste tjänsten erbjuda en alternativ återställningsväg, och den vägen blir ofta lika svag som den gamla lösenordsåterställningen den ska ersätta. Synkronisering mellan enheter via molntjänster som iCloud-nyckelring och Google Password Manager innebär också att säkerheten delvis flyttas till hur väl användarens Apple- eller Google-konto i sig är skyddat.
Ett annat praktiskt hinder är enhetstäckning. En migrationsguide för 2026 uppskattar att omkring 75 procent eller mer av enheterna i en typisk organisationsmiljö redan är tekniskt passkey-kompatibla, det vill säga moderna smarttelefoner eller datorer med TPM-chip och stöd för biometrisk inloggning, enligt Oreta. Det gör en bred utrullning realistisk utan stora hårdvaruinköp, men det lämnar fortfarande en minoritet av äldre enheter som kräver särskild hantering, något som är extra relevant för myndigheter och vårdgivare med långa livscykler på sin utrustning.
Prognoser: vart är passkeys på väg i Sverige och Norden
Baserat på de regulatoriska deadlines och den tekniska utrullning som redan är i gång går det att peka ut ett antal sannolika utvecklingslinjer för resten av 2026 och in i 2027 och 2028.
- BankID kompletteras snarare än ersätts. Givet NOBID-pilotens val av samma kryptografiska kurva som FIDO2 är det mer sannolikt att BankID integrerar passkey-liknande flöden än att en helt ny lösning tar över den svenska marknaden på kort sikt.
- Bankernas SMS-koder fasas ut stegvis mot 2027. Med EBA:s skärpta tolkning av PSD2 kommer fler svenska och nordiska banker sannolikt att göra SMS-OTP till en reservmetod snarare än förstahandsval under de kommande 12–18 månaderna.
- Fler svenska NIS2-entiteter kravställer passkeys hos leverantörer. Eftersom ENISA namngivit passkeys som starkast tillgängliga skydd väntas fler upphandlingar inom offentlig sektor och kritisk infrastruktur börja ställa uttryckliga krav på FIDO2-stöd.
- EUDI Wallet-lanseringen i Sverige blir gradvis, inte en engångshändelse. Med deadline i slutet av 2026 är det troligare med en stegvis utrullning genom 2026 och in i 2027 än en enda lanseringsdag, i linje med hur andra stora digitala identitetsprojekt historiskt rullats ut.
- Kontoåterställning blir nästa stora säkerhetsfråga. När den primära inloggningen blir svår att fiska flyttar angripare sitt fokus till återställningsflöden, vilket sannolikt driver fram nya branschstandarder för säker återställning under 2027.
Vad svenska organisationer bör göra just nu
För säkerhetsansvariga och utvecklare i svenska organisationer finns det konkreta steg som går att ta redan innan EUDI Wallet är fullt utrullad. Det första är att inventera vilka interna och kundvända system som fortfarande enbart stödjer lösenord eller SMS-koder, och prioritera de system som klassas som väsentliga eller viktiga entiteter under NIS2-lagstiftningen. Det andra är att testa FIDO2-stöd i befintliga identitetsplattformar, eftersom de flesta stora leverantörer redan har funktionen tillgänglig utan extra kostnad.
Det tredje steget är att inte glömma bort hårdvarunycklar som komplement, särskilt för administratörskonton och andra högriskroller där en fysisk säkerhetsnyckel som en YubiKey ger ett extra skyddslager utöver telefonbaserade passkeys. Vi har tidigare gått igenom skillnaderna i YubiKey jämfört med Google Authenticator, och samma resonemang om domänbindning gäller rakt av för passkeys. Slutligen bör organisationer redan nu bygga en plan för hur kontoåterställning ska fungera säkert när lösenordet försvinner som fallback, snarare än att lösa det problemet först när passkeys redan är i produktion.
Relaterad läsning
- Passkeys (WebAuthn) i Node.js: 14 Steg, 60 Min [2026]
- Tvåfaktorsautentisering i Node.js: 12 Steg [2026]
- YubiKey vs Google Authenticator: 0 nätfiskeattacker med hårdvara [2026]
- Cybersäkerhetslagen: 6 000 företag under NIS2 [2026]
- WEF 2026: 19% Klarar Cyberresiliens, Sverige Toppar Norden
- Fler nyheter om cybersäkerhet
Vanliga frågor om passkeys, BankID och EU:s digitala plånbok
Måste jag byta från BankID till passkeys?
Nej, inget tyder på att BankID försvinner. Den nordiska EUDI-piloten NOBID bygger på samma kryptografiska grund som FIDO2-passkeys, vilket pekar mot att BankID gradvis kompletteras med passkey-stöd snarare än ersätts.
Vad är skillnaden mellan en passkey och en SMS-kod?
En SMS-kod är en delad hemlighet som skickas i klartext och kan fångas upp av en falsk inloggningssida. En passkey är domänbunden och kan tekniskt sett inte användas på fel webbplats, vilket gör den motståndskraftig mot nätfiske på ett sätt som SMS-koder inte är.
När måste EUDI Wallet finnas tillgänglig i Sverige?
Enligt eIDAS 2.0 ska alla EU-medlemsstater erbjuda medborgarna minst en digital identitetsplånbok senast slutet av 2026. Användningen blir dock inte obligatorisk för medborgarna.
Fungerar passkeys på alla mina enheter?
De flesta moderna smarttelefoner och datorer med TPM-chip stödjer redan passkeys via Apple, Google eller Microsofts inbyggda lösningar. Uppskattningsvis är omkring 75 procent av enheterna i en typisk organisation redan tekniskt kompatibla, medan äldre hårdvara kan behöva en fysisk säkerhetsnyckel som komplement.
Är passkeys säkrare än ett starkt lösenord med tvåfaktorsautentisering via app?
Ja, i de flesta scenarier. Skillnaden ligger inte i hur starkt lösenordet är utan i att varken lösenordet eller en app-genererad engångskod är domänbunden. En angripare kan fortfarande lura en användare att mata in båda på en falsk sida, vilket inte är möjligt med en passkey.
Vad händer om jag tappar bort enheten med mina passkeys?
Synkade passkeys, som de i iCloud-nyckelring eller Google Password Manager, återställs vanligtvis via molnkontot på en ny enhet. Enhetsbundna passkeys på en fysisk säkerhetsnyckel kräver att en reservnyckel eller alternativ återställningsmetod redan finns registrerad hos tjänsten.
Kommer svenska myndigheter kräva passkeys enligt NIS2?
NIS2 kräver inte uttryckligen passkeys, men ENISA:s implementeringsguide pekar ut dem som den starkast tillgängliga phishing-resistenta metoden. Det gör det svårare för entiteter under NIS2 att motivera att enbart förlita sig på SMS-koder utan kompletterande skydd.
Kostar det något för företag att införa passkeys?
Själva FIDO2-stödet finns oftast redan inbyggt kostnadsfritt i identitetsplattformar som Microsoft Entra ID, Google Workspace och de flesta större autentiseringstjänster. Kostnaden ligger snarare i implementation, användarutbildning och eventuella fysiska säkerhetsnycklar för högriskkonton.
