Token cu certificat digital pierdut sau furat: ce faci

Publicat: 24 iulie 2026 · 8 min de citit

Dacă tocmai ai realizat că tokenul cu certificatul digital nu mai e unde îl țineai, respiră. Situația se rezolvă, dar are un singur pas care chiar e urgent: ceri revocarea certificatului. Restul (SPV, e-Factura, token nou) se aranjează după. Mai jos ai exact ce faci, în ordine, plus ce documente semnezi și cât te costă înlocuirea.

De ce revocarea nu poate aștepta până mâine

Tokenul e o cheie. Cine îl are în mână și îi știe PIN-ul poate semna documente în numele tău, cu aceeași valoare juridică pe care o are semnătura ta olografă: contracte, declarații fiscale, oferte în SEAP, cereri către instituții. Nu contează că tu nu ai autorizat nimic — tehnic, semnătura arată identic.

Există o plasă de siguranță reală: fără PIN, tokenul nu semnează nimic, iar după un număr limitat de încercări greșite (de regulă 3–5, în funcție de model) se blochează singur. Deci dacă PIN-ul l-ai știut doar tu și nu era scris nicăieri lângă token, riscul practic e mic. Dar „mic” nu înseamnă zero, iar tu nu ai cum să verifici ce face cel care l-a găsit.

Mai există și un motiv legal, care nu e negociabil. Legea 214/2024 (legea care a înlocuit vechea Lege 455/2001 privind semnătura electronică) prevede la art. 26 alin. (2) că titularii de certificate calificate sau de certificate pentru semnătură electronică avansată sunt obligați să solicite revocarea certificatului în termen de 24 de ore în oricare dintre aceste cazuri: au pierdut datele de creare a semnăturii electronice, au motive să creadă că aceste date au ajuns la cunoștința unui terț neautorizat sau informațiile esențiale cuprinse în certificat nu mai corespund realității. Nu e o recomandare, e o obligație a ta ca titular. Legea nu prevede o amendă expresă pentru depășirea acestui termen de către titular, dar riscul real e altul: dacă certificatul nerevocat e folosit abuziv, răspunderea pentru acele documente poate să cadă tot pe tine.

De partea cealaltă, furnizorul are la rândul lui termene stricte. Potrivit art. 24 alin. (3) din Regulamentul eIDAS 910/2014, prestatorul calificat care emite certificate calificate publică statusul de revocare în cel mult 24 de ore de la primirea cererii, iar revocarea produce efecte din momentul publicării — deci fără efect retroactiv. În dreptul intern, art. 17 alin. (2) din Legea 214/2024 obligă prestatorul să revoce certificatul în 24 de ore din momentul în care ia cunoștință de unul dintre cazurile prevăzute de lege (cererea ta, compromiterea datelor de creare a semnăturii, utilizarea frauduloasă și altele), iar înscrierea mențiunii de revocare în registrul electronic al certificatelor se face în 24 de ore de la adoptarea deciziei — revocarea devenind opozabilă terților de la data acestei înscrieri. În practică se întâmplă mult mai repede.

Ce se întâmplă cu documentele pe care le-ai semnat deja

Aici mulți intră în panică degeaba: revocarea nu îți anulează retroactiv semnăturile. Ea produce efecte din momentul în care este publicată în lista certificatelor revocate, nu de la data emiterii certificatului. Facturile transmise, declarațiile depuse și contractele semnate înainte rămân semnate valabil.

Singura nuanță tehnică: la verificarea peste ani a unui document, softul se uită și la momentul semnării. Dacă semnătura are aplicată și o marcă temporală calificată, momentul e dovedit clar. Dacă nu are, validarea se poate face „la data semnării” cu informațiile din arhivă. Pentru documentele curente nu e o problemă practică — dar e un argument bun să folosești marcă temporală la actele importante.

Pașii, în ordine, în primele ore

Verifică rapid, dar nu mai mult de câteva minute. Sertar, geantă, mașină, laptopul de la birou. Un token uitat înfipt în alt calculator e cazul cel mai frecvent. Dacă în 15 minute nu apare, treci mai departe — nu amâna revocarea „până caut mai bine mâine”.
Sună furnizorul care ți-a emis certificatul. Ai nevoie de emitent, nu de cine ți-a vândut tokenul, deși de regulă vânzătorul îți face legătura. Dacă ai luat certificatul de la noi, ne suni sau ne scrii prin pagina de contact și pornim noi procedura. Spune clar din prima: „certificat pierdut/furat, cer revocarea”.
Pregătește datele de identificare. Ți se vor cere: numele complet al titularului, CNP-ul, adresa de e-mail din certificat, iar dacă certificatul e emis pentru o firmă — denumirea și CUI-ul. Dacă ai la îndemână numărul de serie al certificatului sau contractul inițial, cu atât mai bine, dar nu sunt obligatorii.
Semnezi cererea de revocare. Este un formular tipizat al furnizorului, în care declari motivul (pierdere, furt, compromitere a PIN-ului) și îți asumi cererea. Se poate transmite scanat, semnat olograf, împreună cu o copie a actului de identitate al titularului. Atenție: revocarea online, direct din contul de client, presupune de obicei să te autentifici cu certificatul — ceea ce nu mai poți face fără token. De aceea, în cazul pierderii, calea normală e cererea semnată trimisă la furnizor.
Dacă e furt, fă plângere la poliție. Nu e condiție ca să se opereze revocarea și nu aștepta după ea. Dar dacă tokenul a fost furat împreună cu acte sau dintr-o mașină spartă, numărul de înregistrare al plângerii îți este util mai târziu, dacă cineva chiar încearcă să folosească semnătura.
Cere confirmarea și verific-o. După ce revocarea e operată, certificatul apare în lista publică a certificatelor revocate (CRL) a furnizorului. Păstrează e-mailul de confirmare — e dovada ta pentru data la care ai anunțat.

Un lucru important de reținut: revocarea e definitivă. Nu se anulează. Dacă tokenul apare peste două săptămâni în buzunarul unei geci, certificatul de pe el rămâne mort. De aceea unii furnizori oferă și suspendare temporară — dar suspendarea e pentru situații de tipul „nu sunt sigur, plec în concediu”, nu pentru un token dispărut.

Ce se întâmplă cu SPV și e-Factura între timp

Din momentul revocării nu te mai poți autentifica în Spațiul Privat Virtual cu acel certificat și nu mai poți transmite fișiere semnate cu el. Dacă primești o eroare de autentificare, nu are rost să încerci alt browser — problema e certificatul, nu configurația (dacă vrei totuși să excluzi partea tehnică, ai un ghid separat despre eroarea „certificatul nu a fost prezentat”).

Ce trebuie să știi despre obligațiile care curg mai departe:

Termenele nu se opresc. De la 1 ianuarie 2026, facturile se transmit în e-Factura în 5 zile lucrătoare de la data emiterii (înainte era 5 zile calendaristice). Pierderea tokenului nu suspendă acest termen.
Persoanele fizice identificate fiscal doar prin CNP au fost scutite de obligația de a emite ele însele facturi în RO e-Factura: prin Legea 88/2026 (în vigoare de la 1 iunie 2026), pentru cei care obțin venituri din drepturi de autor și activități independente pe contracte civile (jurnaliști, scriitori, traducători, artiști, creatori de conținut) utilizarea sistemului a devenit opțională, prin înscriere voluntară în Registrul RO e-Factura opțional (Formularul 082). Atenție însă la sensul invers — nu confunda cele două: transmiterea facturilor către persoane fizice (relația B2C) a rămas obligatorie pentru firme, așa cum este din 1 ianuarie 2025. PFA, II, IF și firmele cu CUI rămân obligate, atât B2B, cât și B2C, deci pentru ele problema e reală.
Ai variante de avarie. Dacă în firmă mai este un titular înrolat pe același CUI, el poate depune în continuare. La fel poate face contabilul, dacă are împuternicire activă în SPV. Multe firme descoperă abia în acest moment că depind de un singur token.
Persoană fizică, pe cont propriu? Aici o spunem cinstit: pentru persoane fizice, înrolarea în SPV se poate face și gratuit, cu user și parolă, fără niciun certificat. Certificatul calificat e obligatoriu pentru înrolarea persoanelor juridice (OPANAF 1090/2022) și pentru comunicarea electronică obligatorie cu ANAF a PJ, PFA, II, IF și profesiilor liberale, în vigoare din 1 martie 2022 conform OG 11/2021.

Și formularul 151?

Revocarea certificatului la furnizor și revocarea dreptului de utilizare la ANAF sunt două lucruri diferite. Formularul 151 retrage dreptul de acces al unui titular la serviciile online ANAF — nu desființează certificatul. În practică, dacă certificatul e deja revocat, accesul devine oricum inutilizabil, iar la primirea noului token vei depune un formular 150 nou pentru confirmarea lui. Ai grijă la o capcană: 151 depus online se semnează electronic, ceea ce nu mai poți face. Dacă chiar ai nevoie de el, se depune pe hârtie la administrația financiară de care aparții sau se semnează de altă persoană decât titularul.

Cum obții un token nou și cât costă

Aici e vestea mai puțin plăcută, dar e corect să o spunem direct: un certificat revocat nu se poate reînnoi. Reînnoirea presupune un certificat valabil, pe un token pe care îl ai fizic. Când tokenul e pierdut, ai nevoie de o comandă nouă de pachet — token nou plus certificat nou, cu identificarea titularului de la zero.

Prețurile noastre, final, fără alte taxe adăugate (firma e neplătitoare de TVA):

Pachet nou, certificat 1 an + token: 329 lei
Pachet nou, certificat 2 ani + token: 620 lei
Pachet nou, certificat 3 ani + token: 799 lei

Prețurile de reînnoire (de la 229 lei, în funcție de valabilitate) se aplică doar când tokenul există și certificatul de pe el mai e valabil. Le găsești detaliate pe pagina de prețuri. Dacă tokenul apare ulterior, îl poți păstra ca rezervă — dar certificatul revocat de pe el nu mai revine la viață.

Cât durează? Depinde de cât de repede trimiți documentele și de curier, așa că nu îți dăm o promisiune fixă. Ce putem spune onest: emiterea certificatului se face după validarea actelor, iar livrarea tokenului se face prin curier în toată țara. Dacă ai un termen fiscal pe cap, spune-ne asta din primul mesaj și tratăm cererea ca urgentă.

Greșeli frecvente în situația asta

„Mai caut o săptămână, poate apare.” Cea mai costisitoare. Între timp curge și termenul legal de 24 de ore de anunțare, și riscul de utilizare.
„Tokenul se blochează oricum după 3 PIN-uri greșite, deci sunt acoperit.” Adevărat parțial, dar nu dacă PIN-ul era notat pe o hârtie în aceeași cutie, salvat în telefon sau era ceva de tipul 1234.
„Am revocat, deci pot depune declarațiile mai departe.” Nu. Revocarea închide accesul, nu îl păstrează. Până la noul certificat lucrezi prin alt titular sau prin contabil.
„Revocarea îmi invalidează facturile din ultimele luni.” Nu. Efectul e de la data publicării revocării, nu retroactiv.
„Anunț doar ANAF-ul.” ANAF nu revocă certificatul, doar dreptul de acces. Revocarea propriu-zisă o face furnizorul care l-a emis.
„Comand reînnoire, e mai ieftin.” Nu se poate tehnic: reînnoirea se aplică pe tokenul existent. Dacă ai ajuns aici pentru că certificatul a expirat, nu pentru că l-ai pierdut, citește mai bine ce faci când certificatul digital a expirat.

Cum eviți repetarea

Un loc fix, unul singur. Tokenul nu se plimbă între geantă, sertar și buzunar. Sertar încuiat la birou sau casetă acasă.
Nu îl lăsa înfipt permanent în laptop. E cel mai frecvent mod de a-l pierde: laptopul pleacă, tokenul rămâne — sau invers, se rupe conectorul.
PIN-ul nu se scrie lângă token. Dacă nu îl ții minte, folosește un manager de parole, nu un post-it în cutie.
Notează-ți datele, nu tokenul. Fă o poză sau un fișier cu numele emitentului, numărul de serie al certificatului, data expirării și numărul contractului. Toate astea îți scurtează procedura de revocare la un telefon.
Păstrează PUK-ul primit la instalare. Îți salvează tokenul dacă blochezi PIN-ul din greșeală. Fără el, tokenul blocat e pierdut la fel de definitiv.
În firmă, nu depinde de o singură persoană. Un al doilea titular înrolat costă un pachet, dar te scutește de blocaj total exact în ziua cu termen fiscal.
Pune-ți alertă la expirare. Nu ține de pierdere, dar e aceeași categorie de probleme evitabile — vezi pagina de reînnoire.

Pe scurt

Sună furnizorul și cere revocarea azi, nu mâine. Semnează cererea de revocare și păstrează confirmarea. Verifică cine mai poate depune în SPV pentru firma ta în perioada următoare. Apoi comandă un pachet nou și, când primești tokenul, refă înrolarea la ANAF pe noul certificat.

Dacă vrei să sărim peste partea de căutat formulare, scrie-ne prin pagina de contact cu numele titularului și CUI-ul, și îți spunem exact ce ai de semnat. Când ești gata pentru înlocuire, comanda se face online, direct de pe pagina de comandă.