Token cu certificat digital pierdut sau furat: ce faci

Publicat: 24 iulie 2026 · 8 min de citit

Dacă tokenul cu certificatul digital nu mai e unde îl țineai, un singur pas e cu adevărat urgent: ceri revocarea certificatului. SPV-ul, e-Factura și tokenul nou se rezolvă după. Mai jos ai pașii în ordine, documentele pe care le semnezi și cât costă înlocuirea.

De ce revocarea nu poate aștepta până mâine

Cine are tokenul și îi știe PIN-ul poate semna în numele tău contracte, declarații fiscale, oferte în SEAP sau cereri către instituții, cu aceeași valoare juridică pe care o are semnătura ta olografă. Chiar dacă tu nu ai autorizat nimic, tehnic semnătura arată identic.

Te protejează PIN-ul: fără el, tokenul nu semnează nimic, iar după un număr limitat de încercări greșite (de regulă 3-5, în funcție de model) se blochează singur. Dacă PIN-ul l-ai știut doar tu și nu era scris nicăieri lângă token, riscul e mic. Nu e însă zero, iar tu nu ai cum să verifici ce face cel care l-a găsit.

Revocarea e și o obligație legală. Legea 214/2024 (legea care a înlocuit vechea Lege 455/2001 privind semnătura electronică) prevede la art. 26 alin. (2) că titularii de certificate calificate sau de certificate pentru semnătură electronică avansată sunt obligați să solicite revocarea certificatului în termen de 24 de ore în oricare dintre aceste cazuri: au pierdut datele de creare a semnăturii electronice, au motive să creadă că aceste date au ajuns la cunoștința unui terț neautorizat sau informațiile esențiale cuprinse în certificat nu mai corespund realității. Legea nu prevede o amendă expresă pentru titularul care depășește acest termen. Problema apare dacă certificatul nerevocat e folosit abuziv: răspunderea pentru acele documente poate să cadă tot pe tine.

Și furnizorul are termene stricte. Potrivit art. 24 alin. (3) din Regulamentul eIDAS 910/2014, prestatorul calificat care emite certificate calificate publică statusul de revocare în cel mult 24 de ore de la primirea cererii, iar revocarea produce efecte din momentul publicării, nu retroactiv. În dreptul intern, art. 17 alin. (2) din Legea 214/2024 obligă prestatorul să revoce certificatul în 24 de ore din momentul în care ia cunoștință de unul dintre cazurile prevăzute de lege (cererea ta, compromiterea datelor de creare a semnăturii, utilizarea frauduloasă și altele). Mențiunea de revocare se înscrie în registrul electronic al certificatelor în 24 de ore de la adoptarea deciziei, iar de la data înscrierii revocarea devine opozabilă terților. În practică, totul se întâmplă mult mai repede.

Ce se întâmplă cu documentele pe care le-ai semnat deja

Revocarea nu îți anulează retroactiv semnăturile. Produce efecte din momentul în care e publicată în lista certificatelor revocate, nu de la data emiterii certificatului. Facturile transmise, declarațiile depuse și contractele semnate înainte rămân semnate valabil.

O nuanță tehnică: la verificarea peste ani a unui document, softul se uită și la momentul semnării. Dacă semnătura are aplicată și o marcă temporală calificată, momentul e dovedit clar. Dacă nu are, validarea se poate face „la data semnării” cu informațiile din arhivă. Pentru documentele curente nu contează în practică, dar e un motiv bun să folosești marcă temporală la actele importante.

Pașii, în ordine, în primele ore

Caută câteva minute, nu mai mult. Sertar, geantă, mașină, laptopul de la birou. Un token uitat înfipt în alt calculator e cazul cel mai frecvent. Dacă în 15 minute nu apare, treci la pasul următor și nu amâna revocarea „până caut mai bine mâine”.
Sună furnizorul care ți-a emis certificatul. Ai nevoie de emitent, nu de cine ți-a vândut tokenul, deși de regulă vânzătorul îți face legătura. Dacă ai luat certificatul de la noi, ne suni sau ne scrii prin pagina de contact și pornim noi procedura. Spune clar din prima: „certificat pierdut/furat, cer revocarea”.
Pregătește datele de identificare. Ți se vor cere numele complet al titularului, CNP-ul, adresa de e-mail din certificat și, dacă certificatul e emis pentru o firmă, denumirea și CUI-ul. Numărul de serie al certificatului sau contractul inițial ajută, dar nu sunt obligatorii.
Semnezi cererea de revocare. E un formular tipizat al furnizorului, în care declari motivul (pierdere, furt, compromitere a PIN-ului) și îți asumi cererea. Îl poți trimite scanat, semnat olograf, împreună cu o copie a actului de identitate al titularului. Revocarea online, direct din contul de client, presupune de obicei să te autentifici cu certificatul, iar fără token nu mai poți face asta. De aceea, când tokenul e pierdut, calea normală e cererea semnată trimisă la furnizor.
Dacă e furt, fă plângere la poliție. Plângerea nu e o condiție pentru revocare, așa că nu aștepta după ea. Dacă tokenul a fost furat împreună cu acte sau dintr-o mașină spartă, numărul de înregistrare al plângerii îți va fi util mai târziu, dacă cineva chiar încearcă să folosească semnătura.
Cere confirmarea și verific-o. După ce revocarea e operată, certificatul apare în lista publică a certificatelor revocate (CRL) a furnizorului. Păstrează e-mailul de confirmare: e dovada datei la care ai anunțat.

Revocarea e definitivă și nu se poate anula. Dacă tokenul apare peste două săptămâni în buzunarul unei geci, certificatul de pe el rămâne mort. De aceea unii furnizori oferă și suspendare temporară, dar ea e gândită pentru situații de tipul „nu sunt sigur, plec în concediu”, nu pentru un token dispărut.

Ce se întâmplă cu SPV și e-Factura între timp

Din momentul revocării nu te mai poți autentifica în Spațiul Privat Virtual cu acel certificat și nu mai poți transmite fișiere semnate cu el. Dacă primești o eroare de autentificare, nu are rost să încerci alt browser, pentru că problema e certificatul, nu configurația. (Dacă vrei totuși să excluzi partea tehnică, ai un ghid separat despre eroarea „certificatul nu a fost prezentat”.)

Între timp, obligațiile tale merg mai departe:

Termenele nu se opresc. De la 1 ianuarie 2026, facturile se transmit în e-Factura în 5 zile lucrătoare de la data emiterii (înainte era 5 zile calendaristice). Pierderea tokenului nu suspendă acest termen.
Persoanele fizice identificate fiscal doar prin CNP au fost scutite de obligația de a emite ele însele facturi în RO e-Factura: prin Legea 88/2026 (în vigoare de la 1 iunie 2026), pentru cei care obțin venituri din drepturi de autor și activități independente pe contracte civile (jurnaliști, scriitori, traducători, artiști, creatori de conținut) utilizarea sistemului a devenit opțională, prin înscriere voluntară în Registrul RO e-Factura opțional (Formularul 082). Nu confunda asta cu sensul invers: transmiterea facturilor către persoane fizice (relația B2C) a rămas obligatorie pentru firme, așa cum este din 1 ianuarie 2025. PFA, II, IF și firmele cu CUI rămân obligate, atât B2B, cât și B2C, deci pentru ele pierderea tokenului e o problemă reală.
Ai variante de avarie. Dacă în firmă mai este un titular înrolat pe același CUI, el poate depune în continuare. La fel poate face contabilul, dacă are împuternicire activă în SPV. Multe firme descoperă abia în acest moment că depind de un singur token.
Ești persoană fizică, pe cont propriu? Atunci înrolarea în SPV se poate face și gratuit, cu user și parolă, fără niciun certificat. Certificatul calificat e obligatoriu pentru înrolarea persoanelor juridice (OPANAF 1090/2022) și pentru comunicarea electronică obligatorie cu ANAF a PJ, PFA, II, IF și profesiilor liberale, în vigoare din 1 martie 2022 conform OG 11/2021.

Și formularul 151?

Revocarea certificatului la furnizor și revocarea dreptului de utilizare la ANAF sunt două lucruri diferite. Formularul 151 retrage dreptul de acces al unui titular la serviciile online ANAF, dar nu desființează certificatul. În practică, dacă certificatul e deja revocat, accesul devine oricum inutilizabil, iar la primirea noului token vei depune un formular 150 nou pentru confirmarea lui. Doar că 151 depus online se semnează electronic, ceea ce nu mai poți face. Dacă chiar ai nevoie de el, se depune pe hârtie la administrația financiară de care aparții sau se semnează de altă persoană decât titularul.

Cum obții un token nou și cât costă

Un certificat revocat nu se poate reînnoi. Reînnoirea presupune un certificat valabil, pe un token pe care îl ai fizic. Când tokenul e pierdut, ai nevoie de o comandă nouă de pachet: token nou și certificat nou, cu identificarea titularului de la zero.

Prețurile noastre sunt finale, fără alte taxe adăugate (firma e neplătitoare de TVA):

Pachet nou, certificat 1 an + token: 329 lei
Pachet nou, certificat 2 ani + token: 620 lei
Pachet nou, certificat 3 ani + token: 799 lei

Prețurile de reînnoire (de la 229 lei, în funcție de valabilitate) se aplică doar când tokenul există și certificatul de pe el mai e valabil. Le găsești detaliate pe pagina de prețuri. Dacă tokenul apare ulterior, îl poți păstra ca rezervă, dar certificatul revocat de pe el nu mai revine la viață.

Durata depinde de cât de repede trimiți documentele și de curier, așa că nu îți promitem un termen fix. Certificatul se emite după validarea actelor, iar tokenul se livrează prin curier în toată țara. Dacă ai un termen fiscal aproape, spune-ne din primul mesaj și tratăm cererea ca urgentă.

Greșeli frecvente în situația asta

„Mai caut o săptămână, poate apare.” E cea mai costisitoare. Între timp trece termenul legal de 24 de ore pentru anunțare, iar riscul ca tokenul să fie folosit rămâne.
„Tokenul se blochează oricum după 3 PIN-uri greșite, deci sunt acoperit.” Parțial adevărat, dar nu și dacă PIN-ul era notat pe o hârtie în aceeași cutie, salvat în telefon sau era ceva de tipul 1234.
„Am revocat, deci pot depune declarațiile mai departe.” Nu. Revocarea închide accesul, nu îl păstrează. Până la noul certificat lucrezi prin alt titular sau prin contabil.
„Revocarea îmi invalidează facturile din ultimele luni.” Nu. Efectul e de la data publicării revocării, nu retroactiv.
„Anunț doar ANAF-ul.” ANAF nu revocă certificatul, doar dreptul de acces. Revocarea propriu-zisă o face furnizorul care l-a emis.
„Comand reînnoire, e mai ieftin.” Nu se poate tehnic: reînnoirea se aplică pe tokenul existent. Dacă ai ajuns aici pentru că certificatul a expirat, nu pentru că l-ai pierdut, citește mai bine ce faci când certificatul digital a expirat.

Cum eviți repetarea

Un loc fix, unul singur. Tokenul nu se plimbă între geantă, sertar și buzunar. Sertar încuiat la birou sau casetă acasă.
Nu îl lăsa înfipt permanent în laptop. Așa se pierde cel mai des (laptopul pleacă, tokenul rămâne) sau i se rupe conectorul.
PIN-ul nu se scrie lângă token. Dacă nu îl ții minte, folosește un manager de parole, nu un post-it în cutie.
Notează-ți datele, nu tokenul. Fă o poză sau un fișier cu numele emitentului, numărul de serie al certificatului, data expirării și numărul contractului. Toate astea îți scurtează procedura de revocare la un telefon.
Păstrează PUK-ul primit la instalare. Îți salvează tokenul dacă blochezi PIN-ul din greșeală. Fără el, tokenul blocat e pierdut la fel de definitiv.
În firmă, nu depinde de o singură persoană. Un al doilea titular înrolat costă un pachet, dar te scutește de un blocaj total în ziua cu termen fiscal.
Pune-ți alertă la expirare. Nu ține de pierdere, dar e tot o problemă care se poate evita. Detalii găsești pe pagina de reînnoire.

Pe scurt

Sună furnizorul și cere revocarea azi, nu mâine. Semnează cererea de revocare și păstrează confirmarea. Verifică cine mai poate depune în SPV pentru firma ta până ai certificat nou. Apoi comandă un pachet nou și, când primești tokenul, refă înrolarea la ANAF pe noul certificat.

Ca să nu cauți singur formularele, scrie-ne prin pagina de contact numele titularului și CUI-ul, iar noi îți spunem ce ai de semnat. Tokenul nou îl comanzi online, de pe pagina de comandă.