3-D Secure: derfor må du godkjenne nettkjøp med BankID eller app

Publisert Sikkerhet og rettigheter

Når du handler på nett og blir bedt om å bekrefte kjøpet med BankID, i bankappen eller med en kode på SMS, er det 3-D Secure som er i sving. Det er den tekniske standarden bankene og nettbutikkene bruker for å oppfylle kravet om sterk kundeautentisering: du må vise at det er deg ved å bruke to av tre ting, noe du vet, noe du har og noe du er.

Kravet står i norsk forskrift og gjelder alle banker, betalingsforetak og e-pengeforetak som har kort i Norge. Det har ett unntak du merker i hverdagen: Små kjøp på nett, som hovedregel opptil 30 euro, kan gå gjennom uten godkjenning. Det samme kan kjøp som banken vurderer som lav risiko.

Det viktigste for deg som kortholder er dette: Lar banken en betaling gå gjennom uten å kreve sterk kundeautentisering, og betalingen var ikke din, er det banken som tar tapet. Men godkjenner du selv en betaling i appen, er det mye vanskeligere å få pengene tilbake. Derfor skal du alltid lese hva du godkjenner.

Hva er 3-D Secure, og hva er sterk kundeautentisering?

Sterk kundeautentisering er det juridiske kravet. Finansavtaleloven § 1-8 niende ledd definerer det som autentisering med to eller flere elementer fra kategoriene kunnskap (noe bare du vet), besittelse (noe bare du har) og iboende egenskap (noe du er). Elementene skal være så uavhengige av hverandre at et brudd på ett ikke gir tilgang til de andre.

I praksis ser det slik ut:

KategoriEksempler
KunnskapPIN-kode, passord
BesittelseMobilen med bankappen eller BankID-appen, kodebrikke, selve kortet
Iboende egenskapFingeravtrykk, ansiktsgjenkjenning

3-D Secure er den tekniske løsningen som gjør dette mulig ved kortkjøp på nett. Nordea beskriver det som «den globale standarden» bankene og brukerstedene bruker for å sikre sterk kundeautentisering. Når du har tastet inn kortnummeret, sender nettbutikken forespørselen videre til kortutstederen, som ber deg bekrefte. Visa kaller sin variant Visa Secure, og du kan se merket i kassen hos nettbutikker som er med.

Merk at kortnummer, utløpsdato og den tresifrede koden på baksiden ikke er nok alene. Alt dette står på kortet, og det teller som ett element. Det er godkjenningen i appen eller med BankID som gjør autentiseringen sterk.

Hvor står kravet?

PSD2, EUs betalingstjenestedirektiv, ble innført i norsk rett 1. april 2019. Reglene om sterk kundeautentisering kom 14. september 2019, ifølge Finanstilsynet. De står i forskrift 15. februar 2019 nr. 152 om systemer for betalingstjenester:

  • § 5 sier at betalingstjenestetilbyderen skal bruke sterk kundeautentisering når du logger inn på kontoen din på nett, når du starter en elektronisk betaling, og når du gjør noe som kan innebære risiko for svindel. Ved betalinger på nett skal autentiseringen kobles til et bestemt beløp og en bestemt mottaker.
  • § 12 gjør EUs tekniske standard, delegert forordning (EU) 2018/389, til norsk forskrift. Det er der de detaljerte reglene og unntakene står.

Forskriften gjelder for banker, kredittinstitusjoner, e-pengeforetak og betalingsforetak, også norske filialer av utenlandske foretak (§ 1). Selskaper som Revolut, Wise og N26 betjener Norge fra et annet EØS-land og følger de samme EU-reglene, under tilsyn i hjemlandet. Hvem som fører tilsyn med hvem, har vi forklart i tilsyn med fintech.

Slik ser godkjenningen ut hos norske banker og fintech

Hvordan du bekrefter, avhenger av hvem som har utstedt kortet:

  • Norske banker bruker som regel BankID. Nordea skriver at du bekrefter kjøp på nett og i apper med BankID, BankID på mobil eller Nordea ID. BankID sin egen dokumentasjon beskriver hvordan kortutstederen kan sende 3-D Secure-godkjenningen videre til BankID med biometri, enten i et vindu i nettleseren eller ved at BankID-appen åpnes.
  • Wise sender et varsel til mobilen, og du godkjenner betalingen i Wise-appen. Alternativet er en engangskode på SMS eller i en automatisk telefonsamtale. Godkjenner du ikke, feiler betalingen, skriver Wise i hjelpesenteret.
  • Andre kortutstedere bestemmer selv hvordan du godkjenner. Har du kort fra flere selskaper, er det altså ikke alltid BankID som dukker opp. Det er selskapet som har gitt deg kortet, som sender forespørselen.

Wise har dessuten en innstilling som heter «Non-3D secure payments». Slår du den av, går bare nettkjøp med ekstra godkjenning gjennom. Det er en enkel måte å stenge for kjøp hos nettsteder som ikke ber om godkjenning. Priser og andre egenskaper ved kortet står i omtalen av Wise-kortet.

Når slipper du å godkjenne kjøpet?

Forordning 2018/389 lar bankene unnlate sterk kundeautentisering i visse tilfeller. Ordlyden er «skal kunne unnlate». Det er altså lov å hoppe over godkjenningen, men aldri en plikt. Banken din kan be om BankID også for et kjøp på 20 kroner.

Unntak (artikkel i forordningen)VilkårOmtrent i kroner
Små kjøp på nett (art. 16)Høyst 30 € per kjøp, og høyst 100 € samlet eller fem kjøp på rad siden forrige godkjenning315 kr per kjøp, 1 051 kr samlet
Lav risiko etter analyse (art. 18)Banken har lav svindelrate og finner ikke noe uvanlig i sanntid; høyst 100, 250 eller 500 € etter hvor lav svindelraten er1 051, 2 628 eller 5 256 kr
Gjentatte trekk (art. 14)Samme beløp til samme mottaker. Godkjenning kreves når serien opprettes, endres eller starter–
Betrodde mottakere (art. 13)Mottakeren står på en liste du selv har laget i banken. Godkjenning kreves når listen lages–
Parkering og bompenger i automat (art. 12)Ubemannet terminal for transport eller parkering–
Kontaktløst i butikk (art. 11)Høyst 50 € per kjøp, 150 € samlet eller fem på rad526 kr per kjøp

Kronebeløpene i tabellen er regnet om med Norges Banks kurs 10,512 kroner per euro (21. oktober 2026). Bankene setter egne grenser i kroner.

Nordea skriver at du «i hovedsak» slipper sterk kundeautentisering for beløp under 300 kroner. Det passer med grensen på 30 euro. Vil du vite hvorfor kortet noen ganger ber om PIN i butikken, har vi skrevet om kontaktløs betaling.

Et eksempel. Du kjøper en app for 59 kr, en strømmetjeneste for 129 kr og en t-skjorte for 249 kr samme uke. Alle tre er under 30 euro og kan gå uten godkjenning. Det fjerde kjøpet, en jakke til 899 kr, er over grensen og krever godkjenning, med mindre banken bruker unntaket for lav risiko. I tillegg holder banken telling, enten på antallet små kjøp (høyst fem) eller på summen (høyst 100 euro, omtrent 1 050 kr) siden sist du godkjente. Når grensen banken bruker er nådd, må du godkjenne på nytt, selv om neste kjøp er lite.

Unntaket for gjentatte trekk forklarer hvorfor et abonnement trekkes hver måned uten at du får en BankID-forespørsel. Du godkjente serien da du meldte deg på. Hvordan du stopper slike trekk, står i abonnementsfeller.

Hvem tar tapet når kravet ikke er fulgt?

Her har loven en regel som mange ikke kjenner til. Finansavtaleloven § 4-30 femte ledd bokstav c sier at du ikke svarer for tap når banken ikke har krevd sterk kundeautentisering, med mindre du har vært svikaktig. Den vanlige egenandelen på inntil 450 kr og ansvaret ved grov uaktsomhet faller da bort.

Eksempel: Kortnummeret ditt lekker fra en nettbutikk, og noen bruker det til tre kjøp på 280 kr hver på et nettsted som ikke ber om godkjenning. Banken lot kjøpene gå uten sterk kundeautentisering. Etter ordlyden i loven skal du da ha alle 840 kr tilbake, uten egenandel.

To andre regler styrker deg også:

  • Bevisbyrden er bankens. Nekter du for å ha godkjent en betaling, må banken bevise at den ble autentisert og registrert riktig (finansavtaleloven § 3-7 første ledd). At kortet ditt ble brukt, er ikke i seg selv bevis for at du godkjente betalingen (tredje ledd).
  • Retten gjelder bare betalinger du ikke har godkjent. Har du selv godkjent med BankID, regnes betalingen som hovedregel som godkjent etter § 4-2. Unntak finnes: i en sak fra 2024 mente flertallet i Finansklagenemnda at en overføring til en «trygg konto», gjort med kundens egen BankID under press fra en svindler, ikke var godkjent. Slike saker avgjøres konkret.

Hele oversikten over egenandel og grov uaktsomhet står i ansvar ved misbruk av kort.

Svindlerne er ute etter godkjenningen din

Sterk kundeautentisering har gjort det mye vanskeligere å bruke et stjålet kortnummer på nett. Svindlerne har derfor flyttet seg: De prøver å få deg til å godkjenne selv. Det kan være en falsk bankansatt som ringer og ber deg «bekrefte en sperring», eller en SMS om en pakke som må «frigjøres» med en liten betaling.

Forordningen hjelper deg her, hvis du bruker den. Artikkel 5 krever at du får se beløpet og mottakeren når du godkjenner, og at godkjenningen blir ugyldig hvis beløpet eller mottakeren endres. Les derfor alltid det som står i appen eller BankID-vinduet:

  1. Står det et beløp og en butikk du kjenner igjen, og har du nettopp trykket «Betal»? Da er det trygt å godkjenne.
  2. Står det et annet beløp, en annen mottaker eller en valuta du ikke forventet? Avvis.
  3. Kommer det en forespørsel du ikke selv har startet? Avvis, og ring banken på nummeret som står på nettsiden deres.

Finans Norge skriver at verken banken, politiet eller andre seriøse aktører ber deg om BankID-passord eller engangskoder, og at du aldri skal godkjenne en BankID-forespørsel du ikke selv har satt i gang. De vanligste metodene i 2026 har vi samlet i kortsvindel. Et virtuelt kort til netthandel begrenser skaden hvis et kortnummer først kommer på avveie.

En BankID-forespørsel du ikke har bedt om, er et varsel i seg selv. Avvis den, og ring banken. Har du allerede godkjent noe du ikke kjenner igjen, sperr kortet med en gang. Etter at du har varslet banken, svarer du ikke for nye tap (finansavtaleloven § 4-30 femte ledd bokstav a).

Når godkjenningen ikke kommer frem

Den vanligste grunnen til at et nettkjøp feiler, er at godkjenningen aldri blir gjort. Sjekk dette:

  • Varselet kom ikke. Åpne appen til kortutstederen manuelt. Hos mange ligger forespørselen der selv om varselet ikke dukket opp. Er varsler slått av for appen, slå dem på.
  • Feil eller gammelt mobilnummer. SMS-koden går til nummeret kortutstederen har registrert. Har du byttet nummer, må det oppdateres.
  • For mange forsøk. Forordningen sier at du kan få høyst fem mislykkede forsøk på rad før tilgangen sperres midlertidig eller permanent (artikkel 4). Vent, eller kontakt banken.
  • Nettbutikken støtter ikke 3-D Secure. Nordea skriver at betalingen da kan bli avvist. Det er ikke kortet ditt som er feil.
  • Du er på reise. Godkjenning i appen krever nett på mobilen. Har du ikke mobildata, kan en SMS-kode fortsatt virke, men bare til nummeret som er registrert. Om Apple Pay og Google Pay på reise, se mobilbetaling i utlandet.

Flere grunner til at et kort blir avvist, finner du i kort avvist.

Godkjenner du kjøp i en fintech-app, sjekk at varsler er slått på før du reiser. Det er kjedelig å oppdage på flyplassen at hotellbetalingen ikke går gjennom fordi telefonen har stoppet varslene fra appen.

Vanlige spørsmål

Er det trygt å godkjenne et kjøp med BankID?

Ja, når du selv har startet kjøpet og beløpet og mottakeren stemmer med det du ser i nettbutikken. Det er godkjenninger du ikke har bedt om, som er farlige. Avvis dem alltid.

Hvorfor ble jeg ikke bedt om BankID da jeg handlet for 150 kroner?

Kjøp under 30 euro, omtrent 315 kr, kan gå uten godkjenning inntil banken når grensen for antall små kjøp eller samlet beløp siden sist du godkjente. Banken kan også slippe kjøp den vurderer som lav risiko. Bankene velger selv om de vil bruke unntakene.

Hvem dekker tapet hvis noen handler med kortnummeret mitt uten godkjenning?

Krevde ikke banken sterk kundeautentisering, svarer du ikke for tapet, heller ikke med egenandelen på 450 kr, med mindre du har vært svikaktig. Det følger av finansavtaleloven § 4-30 femte ledd. Meld fra til banken så fort du ser trekket.

Må jeg godkjenne hvert abonnementstrekk?

Nei. Godkjenner du et abonnement med fast beløp til samme mottaker første gang, kan de neste trekkene gå uten ny godkjenning. Endres beløpet eller mottakeren, kreves ny godkjenning.

Gjelder 3-D Secure også for Revolut, Wise og N26?

Ja. Kravet kommer fra EU-regler som gjelder i hele EØS. Forskjellen er måten du godkjenner på. Hos Wise skjer det i appen eller med en kode på SMS, ikke med BankID.

Kilder

Les videre