Gdje je Hrvatska na putu od SMS koda do passkeyja?
Na pola puta: obrazovanje je SMS kod već ugasilo, banke su ga zamijenile vlastitim aplikacijama, a država, Fina, telekomi i manje banke i dalje šalju SMS. Passkey kao uslugu za klijente ne nudi nijedna banka, telekom ni državna e-usluga.
Pregled smo napravili 5. 10. 2026. iz javnih stranica: uputa Srca i fakulteta, stranica svih 19 banaka s HNB-ovim odobrenjem (uz 632 stranice deset banaka), popisa vjerodajnica sustava NIAS, Fine, HZZO-a i telekoma. Mobilne aplikacije nismo provjeravali — passkey se ondje ponekad pojavi prije nego na webu.
| Područje | Stanje |
|---|---|
| Srce — AAI@EduHr | SMS kod ugašen; FIDO2 i YubiKey kao drugi faktor |
| Sveučilište u Rijeci | Obvezni MFA za Office 365 od 1. 10. 2025.; passkey ponuđen |
| Velike banke | Kupnje potvrđuju u vlastitoj aplikaciji (mToken); passkey ne nude |
| Manje banke | SMS kod za kartična plaćanja i dalje |
| e-Građani (NIAS), Fina | SMS vjerodajnica i SMS TAN i dalje; FIDO2 nema |
| Telekomi | A1 je SMS za prijavu tek uveo; passkey nema |
Kako je Srce u AAI@EduHr ugasilo SMS kodove?
Srce je SMS kod maknulo iz dvostupanjske prijave u AAI@EduHr, a kao drugi faktor prima TOTP, YubiKey, WebAuthn/FIDO2 ključ ili certifikat. AAI@EduHr je sustav kojim se prijavljuje većina akademske zajednice — prema Srcu više od 230 ustanova i 900.000 identiteta (2023.).
Srceova uputa u verziji od 11. 2. 2025. kaže da zahtjev za SMS kodom više nije moguć, a postojeći se ne mogu koristiti. Ključ se registrira tako da se prijava potvrdi dodirom tipke na ključu. U izvješću za 2019. Srce je SMS još navodilo među podržanim metodama.
Dvije ograde, da ne pretjeramo: FIDO2 je u AAI@EduHr drugi faktor uz lozinku, a ne prijava bez lozinke, i dvostupanjska prijava nije obvezna za sve usluge. Javnu obavijest s razlogom gašenja SMS-a nismo pronašli.
Što je Sveučilište u Rijeci uvelo za Office 365?
Od 1. 10. 2025. obveznu višefaktorsku prijavu za sve korisnike Office 365, s passkeyjem kao najsigurnijom opcijom. Među metodama su Microsoft Authenticator, Google Authenticator, SMS kod i passkey, uz uputu za stvaranje pristupnog ključa.
Ako sveučilište koristi Microsoftov SMS, njegovi korisnici ulaze u Microsoftovo gašenje: od 1. 2. 2027. tko ima samo SMS kod mora registrirati passkey. Obavijest Sveučilišta poziva se na Microsoftove zahtjeve, ali gašenje SMS-a ne spominje. Isto vrijedi za svaku školu, fakultet i tvrtku na Microsoft 365 — detalje smo opisali u članku Microsoft gasi SMS kodove 1. 2. 2027.
Šalju li hrvatske banke još SMS kodove?
Velike banke kartična plaćanja na internetu potvrđuju u vlastitim aplikacijama, a sedam manjih i OTP banka kao jedna od mogućnosti i dalje šalju SMS kod. Formalno „ukidanje SMS-a od datuma X“ nije objavila nijedna banka, a passkey ne nudi nijedna.
| Banka | Potvrda kupnje na internetu | SMS kod |
|---|---|---|
| PBZ, Zaba, RBA, IKB | Vlastita aplikacija ili token | Ne spominje se |
| Erste | mToken u Georgeu; kreditne kartice isključivo u Georgeu od 2. 10. 2024. | Ne |
| HPB | mToken; fizički token za kartice ukinut od 1. 7. 2026. | Ne |
| Addiko | Aplikacija; SMS kod samo za postojeće korisnike | Djelomično |
| OTP banka | m-token ili PIN uz jednokratnu zaporku SMS-om ili Viberom | Da, kao mogućnost |
| Agram, Partner, Podravska, Samoborska, Kovanica, Croatia banka | Zaporka uz SMS kod (ili token) | Da |
| Imex banka | Obavijest u aplikaciji; SMS kao pričuva | Pričuva |
Jedini doticaj hrvatskih banaka s passkeyjem je pilot: Mastercard je u lipnju 2026. objavio da su RBA i Zagrebačka banka provele kontrolirane kupnje potvrđene Mastercard Payment Passkeysom. To je pilot, ne usluga za klijente, a banke o njemu na svojim stranicama nisu objavile ništa.
Je li mToken u aplikaciji banke isto što i passkey?
Nije: mToken je rješenje pojedine banke unutar njezine aplikacije, a passkey je otvoreni FIDO standard koji vrijedi svugdje gdje ga usluga podržava. mToken potvrdu ne šalje SMS porukom, ali radi samo za svoju banku i ne može se prenijeti na hardverski ključ.
SMS kod bankama je i dalje dopušten: po PSD2 SMS jednokratna lozinka vrijedi kao element posjedovanja, a novi europski propis o platnim uslugama, koji traži da jaka autentifikacija ne ovisi samo o pametnom telefonu, još nije usvojen. Globalni pregled — tko je SMS u bankarstvu ograničio — donosimo u članku Tko gasi SMS kodove i uvodi passkey.
Kako se prijavljujemo u e-Građane i Finu?
Vjerodajnicama sustava NIAS — među kojima je i sms.ID s jednokratnom lozinkom poslanom SMS-om — dok FIDO2, passkeyja i sigurnosnog ključa na popisu nema. Na značajnoj razini stoje mToken za e-Građane, tokeni i mTokeni banaka, FinaSoft i sms.ID.
- Porezna uprava — pristup e-uslugama isključivo NIAS vjerodajnicama.
- Fina — e-Račun traži certifikat na Fininu USB uređaju ili karticu; za napredni udaljeni potpis koristi TAN poslan SMS-om, a za kvalificirani kod iz Fina m-Tokena.
- HZZO (CEZIH) — od 1. 7. 2026. ulaz isključivo novom iskaznicom ovlaštenog zdravstvenog radnika (certifikat, nije FIDO).
- Proširenje NIAS-a na privatne usluge (Fina, 2026.–2029.) — predviđa postojeće vjerodajnice; passkey se ne spominje.
Akcijski plan za e-Građane 2.0 (2025.–2027.) predviđa Europsku lisnicu digitalnog identiteta, ali lisnica nije passkey: služi za identitet i dokumente, a ne kao prijava na pojedinu uslugu.
Što rade telekomi?
Idu u suprotnom smjeru od svijeta: A1 je SMS kod za prijavu u Moj A1 tek uveo kao novu dvofaktorsku zaštitu. Hrvatski Telekom nudi lozinku ili jednokratni PIN, a Telemach javno opisuje samo lozinku. Passkey ne nudi nijedan operater.
Javne stranice operatera o zaštiti od zamjene SIM kartice (SIM swap) — napada kojim se upravo SMS kodovi preusmjeravaju na tuđi mobitel — nismo pronašli, osim Telemachova zahtjeva za osobnom iskaznicom pri zamjeni SIM-a.
Koje hrvatske tvrtke već rade bez lozinke?
Mi u Vi-Di.me: hardverski ključ imamo na svim našim računalima i na svim računima koje koristimo — i sve što nudimo klijentima prvo smo proveli na sebi. Certificirani smo Yubico partner (YubiNation, položene sve tri razine Yubico akademije) i ključeve prodajemo iz vlastitog kataloga.
Tvrtkama i institucijama uvodimo phishing-otpornu prijavu u Microsoft 365 (Entra ID) i Google Workspace: profile passkeyja, uvjetni pristup, privremeni pristup za upis (TAP), račune za hitni pristup, rezervne ključeve i obavijesti zaposlenicima. Postavljamo i prijavu u Windows i macOS ključem te SSH, OpenPGP i PIV za IT.
Ključ biramo prema uređajima i ulozi — od Security Key serije do YubiKey 5 NFC, 5C NFC, Nano, 5Ci, Bio i 5 FIPS serije, a za tajne na poslužiteljima YubiHSM 2. Obveznicima ZKS-a izvozimo metode prijave po korisniku iz Entra ID-a odnosno Google Workspacea kao dokaz za nadzor, a većim organizacijama nudimo pretplatu na ključeve.
Uz uvođenje dogovaramo i postupak za izgubljen ključ (rezervni ključ i ponovni upis). Koje usluge ključ podržava, vidi se u katalogu servisa; ponudu zatražite na stranici uvođenja, a uvođenje radimo po satnici iz cjenika.
Od drugih hrvatskih tvrtki javno je opisan Spanov primjer: prema njihovu tekstu, članice Span grupe u Hrvatskoj u zadnjem kvartalu 2021. uvele su prijavu bez lozinke, uz YubiKeye za dijeljena stolna računala.
Među potrošačkim uslugama passkey nije ponudila nijedna od provjerenih trgovina i usluga. Neke traže kod e-poštom ili SMS-om (Lidl Hrvatska, Hrvatska lutrija, PSK, Index oglasi), a kod velikog dijela velikih trgovaca u javnom kodu stranica nismo našli ni drugi korak prijave (aplikacije nismo provjeravali).
Tehnološke tvrtke o passkeyju pišu, ali vlastito uvođenje nismo našli opisano.
To ne znači da drugi ne rade bez lozinke — znači da to nisu javno opisali. Ako ste uvođenje proveli, rado ćemo ga navesti.
Što kažu CERT.hr, NCSC-HR i propisi?
Propisi traže višefaktorsku prijavu, ali ne propisuju metodu — passkey i FIDO2 nigdje nisu obvezni. Uredba o kibernetičkoj sigurnosti (NN 135/2024, Prilog II., mjera 5.3) traži MFA na VPN pristupu i SaaS alatima dostupnima s interneta.
CERT.hr je još 2018. napisao da je SMS metoda ranjiva na zamjenu SIM kartice i kao standard za jaču prijavu naveo U2F, preteču FIDO2. Preporuke NCSC-HR-a traže dvofaktorsku prijavu općenito, bez spominjanja FIDO-a ili passkeyja. HAKOM je u siječnju 2026. vodio kampanju protiv prijevara lažnim SMS porukama, a od HNB-a i HUB-a o SMS kodovima i passkeyju nismo našli ništa.
Kako obveznici ZKS-a mogu ispuniti mjeru 5.3 hardverskim ključem, opisali smo u članku ZKS i višefaktorska autentifikacija.
Što Microsoftov rok 1. 2. 2027. znači za Hrvatsku?
Za svaku hrvatsku tvrtku, školu, fakultet i instituciju na Microsoft 365 kojima korisnici imaju Microsoftov SMS kod ili poziv — obvezan prijelaz na passkey ili plaćenog pružatelja SMS-a. Od 1. 9. 2026. takvi korisnici dobivaju poziv na registraciju passkeyja, a od 1. 2. 2027. Microsoftov SMS prestaje.
Škole su poseban slučaj. CARNET-ov Microsoft 365 za škole radi s AAI@EduHr računima na domeni skole.hr, a njegova MFA politika nije javno opisana. Office 365 A1 omogućuje passkey uključiti, ali ne i prisiliti — za to treba Entra ID P1, kojeg u A1 nema.
Što hrvatska tvrtka može napraviti već sada?
Popisati tko se gdje prijavljuje SMS kodom i prvo prebaciti Microsoft 365 i administratore na passkey ili hardverski ključ — prije Microsoftova roka, a ne na dan roka. Bankovne i državne prijave ostaju na vjerodajnicama banke i NIAS-a; ondje sigurnosni ključ danas ne pomaže.
- Microsoft 365 i Google Workspace — passkey ili FIDO2 ključ; administratori i računi za hitni pristup prvi.
- Ljudi bez službenog mobitela i dijeljena računala — hardverski ključ, koji ne traži mobitel.
- Dva ključa po osobi — rezervni na sigurnom mjestu.
- Obveznici ZKS-a — isti ključevi pokrivaju MFA na VPN-u i SaaS alatima iz mjere 5.3.
Vi-Di.me je certificirani Yubico partner (YubiNation, položene sve tri razine Yubico akademije). Ključeve nudimo iz vlastitog kataloga, uvođenje radimo po satnici iz cjenika, a ponudu za organizaciju zatražite na stranici uvođenja.