Vahva sähköinen tunnistautuminen Suomessa

Vahva sähköinen tunnistautuminen on käytännössä se lukko, jonka takana suomalainen asiointi on. Suomi.fi-tunnistus on julkishallinnon yhteinen tunnistuskerros, ja sen kautta kirjaudutaan muun muassa OmaVeroon, OmaKelaan, Suomi.fi-viesteihin ja Suomi.fi-valtuuksiin, Omakantaan, hyvinvointialueiden ja kuntien palveluihin, Migrin Enter Finlandiin, työeläkeyhtiöiden palveluihin ja työttömyyskassoihin. Samoja tunnistusvälineitä käytetään yksityisellä puolella: verkkokaupan maksamisessa, vakuutusyhtiöissä, sähkö- ja liittymäsopimuksissa sekä sähköisissä allekirjoituspalveluissa. Ilman vahvaa tunnistautumista nämä asiat on hoidettava paperilla, puhelimessa tai käymällä paikan päällä, ja moni määräaikaan sidottu asia — veroilmoituksen korjaus, etuushakemus, lupahakemuksen liite — hidastuu juuri siitä syystä.

Suomalainen henkilötunnus ei ole tunnistusväline. Henkilötunnus on väestötietojärjestelmän yksilöivä tunniste, ja sen voi saada oleskelulupa-asian yhteydessä Migristä, Verohallinnolta tai Digi- ja väestötietovirastosta ilman että kenelläkään on samalla velvollisuutta antaa sinulle pankkitunnuksia. Vahvan tunnistautumisen välineet — verkkopankkitunnukset, mobiilivarmenne ja henkilökortin kansalaisvarmenne — myönnetään erikseen, omalla hakemuksellaan ja omalla tunnistamismenettelyllään. Siksi Suomeen muuttaneella voi olla henkilötunnus, kotikunta ja toimiva pankkitili, mutta ei vielä yhtään välinettä, jolla hän pääsee OmaVeroon. Selvitä siis erikseen, mikä rekisteröinti on valmis ja mikä tunnistusväline on tosiasiassa myönnetty, äläkä päättele toista toisesta.

Vahvan sähköisen tunnistamisen kehikko tulee laista vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista (617/2009), ja kyseisen lain 42 §:n mukaan lain ja EU:n eIDAS-asetuksen noudattamisen valvonta kuuluu Liikenne- ja viestintävirastolle Traficomille. Vahvan tunnistusvälineen voi tarjota vain Traficomin rekisteriin merkitty palveluntarjoaja. Jos jokin palvelu pyytää sinua todistamaan henkilöllisyytesi välineellä, jota rekisterissä ei ole, kyse ei ole vahvasta tunnistamisesta riippumatta siitä, mitä sivulla lukee: pankin oma sovellustunnusluku tai palveluun itse luotu käyttäjätunnus ei ole sama asia kuin vahva tunnistusväline.

Rekisterissä olevat palveluntarjoajat ovat muodostaneet 1.5.2017 alkaen sähköisen tunnistamisen luottamusverkoston, ja palveluntarjoaja voi toimia siinä kahdessa eri roolissa: tunnistusvälineen tarjoajana, joka myöntää välineen sinulle, tai tunnistuksen välityspalveluna, joka välittää tunnistustapahtuman sille palvelulle, johon kirjaudut. Tästä syystä julkisen palvelun kirjautumisnäkymässä näkyy useita pankkeja ja mobiilivarmenne rinnakkain: palvelulla on sopimus välittäjän kanssa, ei jokaisen pankin kanssa. Käytännön seuraus on, että jos välittäjä ei tue jotakin menetelmää, se ei yksinkertaisesti näy kyseisessä palvelussa eikä vika ole sinun tunnistusvälineessäsi.

Suomi.fi-tunnistus ei myönnä tunnistusvälineitä vaan välittää tunnistuksen: asiointipalvelu pyytää Suomi.fi:tä tunnistamaan sinut, ja sinä valitset, millä välineellä se tehdään. Suomi.fi:n ohjeen mukaan käytettävissä ovat suomalaiset verkkopankkitunnukset, mobiilivarmenne, hightrust.id-mobiilisovellus ja varmennekortti, lisäksi ne muiden Euroopan maiden tunnistusvälineet, jotka on hyväksytty rajat ylittävään tunnistamiseen, sekä Finnish Authenticator -sovellus ulkomaalaiselle, joka on ottanut sen käyttöön. Kotimaisia reittejä on siis kolme: pankki myöntää verkkopankkitunnukset, teleoperaattori mobiilivarmenteen ja poliisi henkilökortin, jonka sirulla oleva kansalaisvarmenne toimii varmennekorttina.

Jokainen asiointipalvelu päättää itse, mitkä tunnistustavat se hyväksyy, eikä valikko ole kaikkialla sama. Ulkomaisella tunnistusvälineellä tai Finnish Authenticatorilla kirjautuminen onnistuu Suomi.fi:n mukaan vain, jos ulkomaalaisten asiointi on kyseisessä asiointipalvelussa sallittu, joten tarkista tuki etukäteen ennen kuin luotat siihen määräaikaan sidotussa asiassa. Vahvaa tunnistautumista säätelee laki vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista (533/2016), ja sen vuoksi tunnistusvälineen myöntäjä on aina velvollinen todentamaan henkilöllisyytesi luotettavasti asiakirjasta. Tämä ensitunnistaminen on se kohta, joka useimmiten viivästyttää välineen saamista — ei itse hakemus eikä tekniikka.

Pankkitili ja vahvaan tunnistautumiseen kelpaavat verkkopankkitunnukset ovat kaksi eri palvelua, ja pankki voi myöntää toisen myöntämättä toista. Suomi.fi:n mukaan tunnistautumiseen käytettävien pankkitunnusten on oltava henkilökohtaisesti sinulle myönnettyjä ja sellaisia, jotka soveltuvat käytettäviksi myös pankin omien sähköisten palvelujen ulkopuolella. Pankissa on siis kyse kahdesta erillisestä päätöksestä: maksutilin avaamisesta ja vahvan tunnistusvälineen myöntämisestä. Jälkimmäinen edellyttää tunnistuslain mukaista ensitunnistamista, eikä se seuraa tilin avaamisesta automaattisesti. Kysy hakemusta jättäessäsi nimenomaisesti, myönnetäänkö sinulle myös tunnistautuminen muihin palveluihin, ja pyydä vastaus kirjallisena.

Ensitunnistamisessa henkilöllisyys todennetaan asiakirjasta. Digi- ja väestötietoviraston mukaan vahvaa sähköistä tunnistusvälinettä haettaessa hyväksytään vain Suomen tai muun ETA-valtion viranomaisen myöntämä passi tai henkilökortti; ajokortti ei ole kelvannut vuoden 2018 jälkeen. Tämä on se säännös, joka pysäyttää monen ETA:n ulkopuolelta muuttaneen: oman maan passi ei kelpaa ensitunnistamisen asiakirjaksi, vaikka se riittää henkilöllisyyden osoittamiseen monessa muussa asiassa. Reitti kulkee silloin poliisin kautta. Poliisi tekee ensitunnistamisen palveluntarjoajan, esimerkiksi pankin, hakemusta varten: Suomi.fi:n palvelukuvauksen mukaan hakemus täytetään ennakkoon palveluntarjoajan kanssa, poliisiasemalle otetaan mukaan voimassa oleva passi tai henkilökortti ja kaksi samanlaista passikuvaa, palvelu on maksullinen ja todistus lähetetään palveluntarjoajalle. Yhteisen tilin käyttöoikeus tai yrityksen verkkopankkitunnukset eivät koskaan luo henkilökohtaista vahvaa tunnistautumista.

Jos pankkitunnuksia ei saa — tiliä ei vielä ole, pankki kielsi ne tai pankki myöntää ne vain pitkäaikaisille asiakkailleen — poliisi myöntää henkilökortin, jonka sirulla on kansalaisvarmenne, ja se on se vahvaan tunnistamiseen johtava reitti, joka ei riipu yhdenkään pankin päätöksestä. Suomessa vakinaisesti asuva ulkomaalainen voi saada ulkomaalaisen henkilökortin, jos hänen henkilötietonsa on merkitty väestötietojärjestelmään ja hänellä on voimassa oleva oleskelulupa tai oleskelukortti tai hänen oleskeluoikeutensa on rekisteröity. Kortti maksaa palvelupisteessä 59 euroa ja sähköisellä hakemuksella 53 euroa; nopea toimitus on 77 euroa ja sähköisesti 71 euroa, pikatoimitus 96 euroa ja sähköisesti 90 euroa. Maksut perustuvat sisäministeriön maksuasetukseen.

Tunne kortin rajat heti alussa. Ulkomaalaisen henkilökortti myönnetään enintään viideksi vuodeksi, ja jos oleskelulupasi tai oleskelukorttisi päättyy sitä aiemmin, kortin voimassaolo päättyy sen mukana. Sitä ei voi käyttää matkustusasiakirjana, sen myöntää vain poliisi, sitä ei voi hakea Suomen edustustosta ulkomailla ja kansalaisuuskohtaan merkitään XXX. Sirulla olevan varmenteen käyttö sähköisissä palveluissa edellyttää, että aktivoit sen luomalla kaksi henkilökohtaista PIN-koodia; aktivointinumeron uusiminen maksaa 25 euroa. Noutopisteen on oltava Suomessa. Uusintahakemuksessa poliisiasemalle ei tarvitse mennä, jos käsittelijä on tunnistanut sinut ulkomaalaisen henkilökorttia varten viimeisten 6 vuoden aikana eikä nimesi ole muuttunut.

Mobiilivarmenne on matkapuhelinliittymän SIM- tai eSIM-korttiin sidottu tunnistusväline: tunnistautuminen tapahtuu puhelimeen tulevalla vahvistuspyynnöllä ja omalla PIN-koodilla, eikä siihen tarvita erillistä sovellusta tai avainlukulistaa. Suomi.fi:n huhtikuun 2026 ohjeen mukaan käyttöönotto edellyttää DNA:n, Elisan tai Telian liittymää, ja ensimmäisessä aktivoinnissa henkilöllisyys varmistetaan suomalaisilla verkkopankkitunnuksilla; prepaid-liittymällä aktivointia ei voi tehdä. Mobiilivarmenne ei siis useimmiten ole ensimmäinen tunnistusväline vasta Suomeen muuttaneelle vaan toinen väline sille, jolla on jo pankkitunnukset. Tarkista ehdot, hinta, eSIM-tuki ja käytettävissä olevat aktivointitavat omalta operaattoriltasi, koska ne vaihtelevat operaattoreittain.

Kolmas reitti on henkilökortin kansalaisvarmenne, ja se on riippumaton sekä pankin asiakasarvioinnista että puhelinoperaattorista. Digi- ja väestötietoviraston mukaan kansalaisvarmenne on poliisin myöntämän henkilökortin sirulla oleva varmenne, jolla voi tunnistautua viranomaisten sähköisiin asiointipalveluihin ja tehdä sähköisen allekirjoituksen: PIN1 eli perustunnusluku on 4–12 numeroa ja sillä tunnistaudutaan, PIN2 eli allekirjoitustunnusluku on 6–12 numeroa ja sillä allekirjoitetaan. Käyttöön tarvitaan aktivointitunnusluku, sirukortinlukija ja kortinlukijaohjelmisto, ja aktivointi on vapaaehtoinen: kortti toimii henkilöllisyystodistuksena ilmankin. Henkilökortin voi saada myös Suomessa vakinaisesti asuva ulkomaalainen, joka on rekisteröity väestötietojärjestelmään ja jolla on voimassa oleva oleskelulupa tai oleskelukortti taikka rekisteröity oleskeluoikeus. Kortin hakemisessa neuvoo poliisi, varmenteen käyttöönotossa Digi- ja väestötietovirasto — varmista hakemusta jättäessäsi, sisältääkö sinulle myönnettävä korttityyppi kansalaisvarmenteen.

Finnish Authenticator on Digi- ja väestötietoviraston tunnistuspalvelu, ja Suomi.fi:n mukaan sitä voivat käyttää vain ulkomaalaiset, jotka eivät voi tunnistautua julkishallinnon asiointipalveluihin suomalaisilla tunnistusvälineillä tai yhteiseurooppalaisilla tunnistustavoilla. Sovellus asennetaan puhelimeen, ja käyttöönotossa henkilöllisyys varmistetaan ulkomaalaisen tunnisteen (UID), henkilöllisyysasiakirjan ja kasvokuvan avulla. Se on tarkoitettu nimenomaan tilanteeseen, jossa suomalaista pankkitiliä tai pankkitunnuksia ei vielä ole eikä oman maan tunnistusväline kuulu eurooppalaisen rajat ylittävän tunnistamisen piiriin — esimerkiksi silloin, kun asiaa on hoidettava ennen kuin kotikunta ja pankkiasiakkuus ovat kunnossa.

Tärkeä rajoitus on tämä: Suomi.fi:n vuoden 2026 ohjeistuksen mukaan Finnish Authenticator -sovellus ei ole vahvan sähköisen tunnistamisen menetelmä, asiointi onnistuu vain jos ulkomaalaisten asiointi on kyseisessä asiointipalvelussa sallittu, eikä sillä tai tietyillä ulkomaisilla tunnistusvälineillä tehty kirjautuminen välttämättä kytkeydy suomalaiseen henkilötunnukseesi. Käytännössä osa niistä toiminnoista, jotka onnistuvat pankkitunnuksilla, ei onnistu tällä reitillä, ja tiedot voivat näkyä palvelussa puutteellisina. Pidä Finnish Authenticator siksi väliaikaisena ratkaisuna ja hanki suomalainen tunnistusväline heti, kun henkilötunnus, kotikunta ja hyväksytty henkilöllisyysasiakirja sen mahdollistavat.

Vahva tunnistautuminen kertoo, kuka olet, mutta ei sitä, kenen puolesta saat asioida. Yrityksen tai toisen henkilön puolesta asiointi ratkeaa Suomi.fi-valtuuksissa: palvelu tarkistaa kaupparekisteriin merkityn edustamisoikeuden tai erikseen annetun valtuuden ja päästää läpi vain sen, mitä valtuus kattaa. Toiminimiyrittäjä voi yleensä asioida oman yrityksensä puolesta suoraan, kun taas osakeyhtiössä oikeus perustuu rekisteröityyn asemaan, esimerkiksi toimitusjohtajuuteen tai hallituksen puheenjohtajuuteen, tai annettuun valtuuteen. Jos kirjanpitäjän, konsultin tai perheenjäsenen on hoidettava asioita puolestasi, valtuus annetaan Suomi.fi-valtuuksissa — ei tunnuksia luovuttamalla. Jos edustamisoikeus ei ole kaupparekisterissä ajan tasalla, valtuus ei toimi, ja korjaus tehdään kaupparekisteri-ilmoituksella ennen asiointia.

Pankin käyttäjätunnus, salasana, avainlukulista, mobiilivarmenteen PIN-koodi, kansalaisvarmenteen PIN1 ja PIN2 sekä pankkisovelluksen vahvistus ovat henkilökohtaisia, ja niiden luovuttaminen toiselle on tunnistusvälineen käyttöehtojen vastaista. Vahvalla tunnistautumisella tehty toimi katsotaan lähtökohtaisesti sinun tekemäksesi myös silloin, kun joku toinen sen tosiasiassa teki, joten vastuu vahingosta siirtyy helposti sinulle itsellesi. Jos joku tarvitsee oikeuden asioida puolestasi, käytä Suomi.fi-valtuutta, kirjallista valtakirjaa tai edunvalvontavaltuutusta. Jos epäilet tunnusten joutuneen vääriin käsiin, sulje ne heti pankin tai operaattorin sulkupalvelussa ja tee rikosilmoitus; viranomainen ei koskaan pyydä tunnuksiasi puhelimessa, tekstiviestillä tai sähköpostilla.