Avoimen pankkitoiminnan verkostot Pohjoismaissa ja Baltiassa

Tausta: PSD2 avasi pankkien rajapinnat

Euroopan unionin toinen maksupalveludirektiivi (PSD2, direktiivi (EU) 2015/2366) muutti pysyvästi tavan, jolla maksutilien tietoja ja maksutoimintoja voidaan käyttää. Direktiiviä alettiin soveltaa tammikuussa 2018, ja sen keskeinen tekninen täydennys, vahvaa asiakkaan tunnistamista ja turvallista viestintää koskeva delegoitu asetus (EU) 2018/389, tuli sovellettavaksi syyskuussa 2019.

Ennen PSD2:ta kolmannet osapuolet, jotka halusivat tarjota tilitietoihin tai tilisiirtoihin perustuvia palveluita, joutuivat usein käyttämään niin sanottua näytön kaavintaa (screen scraping): asiakas antoi verkkopankkitunnuksensa palvelulle, joka kirjautui hänen puolestaan pankkiin ja luki tiedot sivulta. Menetelmä oli hauras ja tietoturvan kannalta ongelmallinen, koska kolmas osapuoli sai haltuunsa täydet tunnukset.

PSD2 korvasi tämän mallin säännellyllä pääsyllä. Pankkien, joita direktiivi kutsuu tilinpitäjiksi (Account Servicing Payment Service Provider, ASPSP), on tarjottava valtuutetuille kolmansille osapuolille turvallinen rajapinta. Kolmas osapuoli ei enää näe asiakkaan tunnuksia, vaan asiakas tunnistautuu suoraan omaan pankkiinsa ja antaa suostumuksensa.

Ekosysteemin roolit ja toimiluvat

Avoimessa pankkitoiminnassa on kolme keskeistä roolia. Niiden erottaminen on tärkeää, koska kullekin roolille kuuluu erilaiset velvollisuudet ja toimilupavaatimukset.

Rooli	Lyhenne	Mitä rooli tekee
Tilinpitäjä (pankki)	ASPSP	Ylläpitää maksutiliä ja tarjoaa rajapinnan valtuutetuille kolmansille osapuolille.
Maksutoimeksiantopalvelun tarjoaja	PISP	Käynnistää maksun asiakkaan pyynnöstä hänen pankkitililtään. Ei käsittele varoja itse.
Tilitietopalvelun tarjoaja	AISP	Hakee asiakkaan suostumuksella tietoja yhdeltä tai useammalta maksutililtä.

Maksutoimeksiantopalvelu edellyttää maksulaitoksen toimilupaa, ja tilitietopalvelun tarjoajan on rekisteröidyttävä kotivaltionsa valvojalle. Suomessa valvojana toimii Finanssivalvonta. Toimilupa tai rekisteröinti on voimassa koko Euroopan talousalueella niin sanotun passporting-menettelyn kautta, minkä ansiosta esimerkiksi ruotsalainen maksulaitos voi tarjota palveluitaan Suomessa ilmoitettuaan siitä valvojille.

Huomio

Moni kauppiaan näkökulmasta "pankkimaksuksi" kutsuttu ratkaisu yhdistää useita rooleja. Sama palveluntarjoaja voi toimia sekä maksutoimeksiantopalveluna että tilitietopalveluna ja tarjota lisäksi maksatuksia omien pankkiyhteyksiensä kautta.

Rajapintastandardit ja niiden kirjo

PSD2 velvoitti pankit tarjoamaan rajapinnan, mutta ei määrännyt yhtä teknistä standardia. Tämän seurauksena Euroopassa syntyi useita rinnakkaisia kehyksiä. Mannermaisessa Euroopassa ja laajasti myös Pohjoismaissa käytetään Berlin Groupin NextGenPSD2-kehystä tai siitä johdettuja toteutuksia. Isossa-Britanniassa puolestaan kehittyi oma Open Banking Standard -kokonaisuutensa.

Yhteisestä kehyksestä huolimatta toteutukset poikkeavat usein yksityiskohdiltaan. Eroja on muun muassa seuraavissa:

SCA-malli: uudelleenohjaus (redirect), irrotettu (decoupled) tai upotettu (embedded) tunnistautuminen.
Suostumusten hallinta: suostumuksen voimassaoloaika, uusimiskäytännöt ja tilien valinta.
Maksutuotteet: tukeeko rajapinta pikamaksuja, ajastettuja maksuja, toistuvia maksuja tai massamaksuja.
Virhekoodit ja tilat: miten maksun tila palautetaan ja kuinka yksityiskohtaisia virheilmoitukset ovat.

Palveluntarjoajien tunnistamiseen käytetään eIDAS-asetuksen mukaisia hyväksyttyjä varmenteita: verkkosivujen todentamisvarmenteita (QWAC) yhteyden muodostamiseen ja sähköisiä leimoja (QSealC) viestien allekirjoittamiseen. Varmenteeseen sisältyy tieto toimiluvasta ja rooleista, joten pankki voi tarkistaa ne automaattisesti.

Pankkitunnisteet: alueen erityispiirre

Pohjoismaille ja Baltialle on tyypillistä, että vahva sähköinen tunnistautuminen on laajasti käytössä ja yhdistetty pankkipalveluihin. Tämä on merkittävä etu avoimelle pankkitoiminnalle: kun käyttäjä on tottunut tunnistautumaan samalla välineellä niin pankkiin kuin julkisiin palveluihin, maksun hyväksyminen pankissa on hänelle tuttu toimenpide.

Suomessa vahvasta sähköisestä tunnistamisesta säädetään lailla vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista (617/2009). Pankkien tunnistusvälineet ovat osa tunnistuspalveluiden luottamusverkostoa, jota valvoo Liikenne- ja viestintävirasto Traficom. Ruotsissa ja Norjassa vastaavassa roolissa on BankID, Tanskassa MitID ja Baltian maissa muun muassa Smart-ID ja Mobile-ID.

Teknisesti tämä tarkoittaa, että maksun hyväksyntävirta on usein hyvin lyhyt: käyttäjä valitsee pankkinsa, tunnistautuu mobiilisovelluksella ja vahvistaa maksun. Tunnistautumisen tulos voi myös palvella muita tarkoituksia, kuten henkilöllisyyden todentamista, mikä on johtanut ratkaisuihin, joissa tunnistaminen ja maksu yhdistetään samaan käyttäjäpolkuun. Tällöin tietosuojan ja tietojen minimoinnin periaatteet korostuvat entisestään.

Alueellinen katsaus

Suomi

Suomi kuuluu euroalueeseen, joten SEPA-pikasiirrot ja EU:n pikamaksuasetuksen euroalueen määräajat koskevat suomalaisia pankkeja. Pankkitunnisteiden laaja käyttö ja tilisiirtojen pitkä perinne ovat luoneet hyvän pohjan tilisiirtopohjaisille maksuille verkkokaupassa.

Ruotsi

Ruotsissa reaaliaikaiset maksut ovat olleet arkea pitkään, ja mobiilimaksupalvelu Swish on vakiintunut laajaan käyttöön. Monet alueen avoimen pankkitoiminnan palveluntarjoajat ovat ruotsalaistaustaisia, mikä näkyy myös niiden laajentumisessa muihin Pohjoismaihin ja Suomeen.

Norja ja Tanska

Norja ei ole EU:n jäsen, mutta ETA-maana se on soveltanut PSD2:ta. Tanska ei kuulu euroalueeseen, joten EU:n pikamaksuasetuksen euroalueen ulkopuolisia määräaikoja sovelletaan siellä myöhemmin. Tanskassa ja Suomessa käytössä oleva mobiilimaksupalvelu MobilePay yhdistyi norjalaisen Vippsin kanssa Vipps MobilePayksi.

Baltian maat

Viro, Latvia ja Liettua kuuluvat euroalueeseen. Alueella toimii sekä paikallisia pankkeja että pohjoismaisten pankkiryhmien tytäryhtiöitä, ja mobiilitunnistautuminen on laajasti käytössä. Pohjoismaiset palveluntarjoajat laajentavat usein toimintaansa Baltiaan, koska tekninen ympäristö on samankaltainen.

Aggregaattorit ja verkostovaikutus

Yksittäisen kauppiaan ei ole käytännöllistä integroitua erikseen kymmenien pankkien rajapintoihin. Tästä syystä markkinoille on syntynyt aggregaattoreita: palveluntarjoajia, jotka ylläpitävät yhteyksiä suureen määrään pankkeja ja tarjoavat kauppiaalle yhden yhtenäisen rajapinnan.

Aggregaattorin arvo syntyy verkostovaikutuksesta. Mitä useamman pankin asiakkaat voivat maksaa saman integraation kautta, sitä houkuttelevampi ratkaisu on kauppiaalle. Samalla aggregaattori kantaa pankkirajapintojen eroavaisuuksien hallinnan, varmenteiden ylläpidon ja häiriötilanteiden seurannan.

Viime vuosina markkinalla on tapahtunut konsolidaatiota. Esimerkiksi brittiläinen TrueLayer ilmoitti maaliskuussa 2026 saaneensa päätökseen ruotsalaisen Zimplerin oston Ruotsin finanssivalvonnan hyväksynnän jälkeen. Yritysjärjestelyt vaikuttavat pankkikattavuuteen ja rajapintojen kehitykseen, joten integraatiota suunniteltaessa kannattaa seurata myös palveluntarjoajien omistusrakenteita.

Tekniset haasteet käytännössä

Vaikka sääntely on yhtenäistänyt perusteita, käytännön integraatiossa kohdataan toistuvasti samoja haasteita:

Rajapintojen saatavuus ja suorituskyky. Pankkirajapintojen vasteajat ja käytettävyys vaihtelevat. Tulevan maksupalveluasetuksen (PSR) on tarkoitus asettaa rajapinnoille aiempaa tarkempia suorituskykyvaatimuksia.
Tilan epävarmuus. Jos käyttäjä sulkee selaimen kesken pankin hyväksyntävaiheen, maksun lopullinen tila on selvitettävä tilakyselyillä tai pankin ilmoituksilla.
Suostumusten elinkaari. Tilitietosuostumukset vanhenevat, ja niiden uusiminen on suunniteltava käyttäjäystävällisesti.
Mobiilipolut. Siirtyminen verkkokaupasta pankin sovellukseen ja takaisin (app-to-app) edellyttää huolellista toteutusta, jotta käyttäjä palaa oikeaan kohtaan.
Virheiden tulkinta. Pankkikohtaiset virhekoodit on kartoitettava yhtenäiseksi, käyttäjälle ymmärrettäväksi viestinnäksi.

Mihin kehitys on menossa

Avoimen pankkitoiminnan seuraava vaihe on jo näkyvissä. Euroopan parlamentti ja neuvosto pääsivät marraskuussa 2025 alustavaan yhteisymmärrykseen PSD3-direktiivistä ja maksupalveluasetuksesta (PSR), ja lopulliset kompromissitekstit julkaistiin huhtikuussa 2026. Uudistus siirtää valtaosan käytännön säännöistä suoraan sovellettavaan asetukseen, mikä vähentää jäsenvaltioiden välisiä eroja. Tarkat soveltamisajankohdat riippuvat lopullisesta hyväksynnästä ja julkaisusta.

Samaan aikaan EU:n pikamaksuasetus tekee pikasiirroista euroalueella perustason palvelun. Tämä yhdistettynä avoimen pankkitoiminnan rajapintoihin luo edellytykset tilisiirtopohjaisille maksuille, jotka ovat käyttäjälle yhtä vaivattomia kuin korttimaksut mutta toimivat eri infrastruktuurilla. Pohjoismaat ja Baltia, joissa vahva sähköinen tunnistautuminen on jo arkea, ovat tässä kehityksessä hyvässä asemassa.

Avoimen pankkitoiminnan menestys ei ratkea yksittäisessä rajapinnassa, vaan siinä, kuinka luotettavasti koko ketju pankista kauppiaaseen toimii.

Lähteet ja lisälukemista

Vastuuvapaus

Opas on laadittu huolellisesti julkisten lähteiden pohjalta, mutta sääntely ja palveluiden ominaisuudet muuttuvat. Tarkista ajantasaiset tiedot aina virallisista lähteistä ja palveluntarjoajien omasta dokumentaatiosta. Korjausehdotukset: support@brevixoo.com.