Procedura din 20 martie 2026
de supraveghere, suspendare, retragere și luare a măsurilor pentru prestatorii de servicii de încredere calificate și necalificate
prezumat în vigoare
DECIZIA nr. 162 din 20 martie 2026 , publicată Monitorul Oficial al României, Partea I, nr. 246 din 30 martie 2026.
Aprobată prin
Capitolul I Dispoziții generale
Articolul 1
ADR exercită atribuțiile de organism de supraveghere pentru prestatorii de servicii de încredere necalificate și serviciile de încredere calificate.
Articolul 2
Prestatorii de servicii de încredere sunt auditați, pe propria cheltuială, cel puțin la fiecare 24 de luni, de către un organism de evaluare a conformității. Auditul confirmă că prestatorii de servicii de încredere calificați și serviciile de încredere calificate pe care le prestează îndeplinesc cerințele prevăzute în prezentul regulament și la articolul 21 din Directiva (UE) 2022/2555 transpusă prin
Ordonanța de Urgență nr. 155 din 30 decembrie 2024
privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil. Prestatorul de servicii de încredere transmite organismului de supraveghere raportul de evaluare a conformității imediat ce acesta este disponibil, iar pachetul complet aferent (raport, anexe, plan de remediere și documentația suport în forma finală, semnată) se transmite în termen de cinci zile lucrătoare de la primire, cu respectarea obligațiilor aplicabile din dreptul Uniunii Europene.
Articolul 3
Prestatorii de servicii de încredere necalificați și prestatorii de servicii de încredere calificați informează organismul de supraveghere cu cel puțin 30 de zile înainte de un audit planificat și, la cerere, îi permit organismului de supraveghere să participe în calitate de observator.
Articolul 4
Organismul de supraveghere poate, în orice moment, să efectueze un audit sau să solicite unui organism de evaluare a conformității să efectueze o evaluare a conformității privind prestatorii de servicii de încredere necalificați și prestatorii de servicii de încredere calificați, pe cheltuiala prestatorilor de servicii de încredere respectivi, pentru a confirma că aceștia și serviciile de încredere calificate pe care le prestează îndeplinesc cerințele prevăzute în prezentul regulament. În cazul în care normele de protecție a datelor cu caracter personal par să fi fost încălcate, organismul de supraveghere informează, fără întârzieri nejustificate, autoritățile de supraveghere competente înființate în temeiul
articolului 51 din Regulamentul (UE) 2016/679.
Capitolul II Supraveghere
Articolul 5
Prestatorul este supus supravegherii exercitate de ADR pe întreaga durată a deținerii statutului de prestator de servicii de încredere necalificate sau calificate, în vederea verificării menținerii conformității cu cerințele legale și cu documentația depusă la acordare.
Articolul 6
Prestatorul are obligația de a coopera cu ADR în cadrul activităților de supraveghere, de a pune la dispoziție toate documentele, evidențele, înregistrările tehnice și informațiile solicitate și de a permite efectuarea verificărilor documentare și tehnice, inclusiv prin acces de la distanță sau la fața locului.
Prestatorul are obligația de a pune la dispoziția ADR, la solicitare și, după caz, în cadrul verificărilor, un mediu de demonstrație/testare reprezentativ, scenarii de test și acces la interfețele necesare verificării efective a cerințelor, inclusiv a mecanismelor de securitate și jurnalizare, în condițiile protejării informațiilor sensibile și a secretului comercial.
Articolul 7
Supravegherea poate fi efectuată de ADR oricând se consideră necesar pentru verificarea menținerii conformității.
Articolul 8
Supravegherea periodică
ADR efectuează acțiuni de supraveghere periodice asupra tuturor prestatorilor de servicii de încredere necalificați și prestatorilor de servicii de încredere calificați, conform unei planificări anuale bazate pe analiza de risc.
Frecvența acțiunilor de supraveghere:
a)
prestatori necalificați - minimum o dată la 6 luni;
b)
prestatori calificați - minimum o dată la 12 luni;
c)
prestatori LTP sau arhive calificate - controale tematice suplimentare semestriale.
Acțiunile de supraveghere pot fi:
a)
documentare - analiza politicilor, rapoartelor și jurnalelor;
b)
tehnice - verificări în sistem, teste de penetrare, validare a algoritmilor;
c)
operaționale - audit on-site în centrele de date și mediile de producție.
Articolul 9
Supraveghere inopinată
ADR poate efectua acțiuni de supraveghere inopinate în oricare dintre următoarele cazuri:
a)
sesizare privind o posibilă frauda, fals sau utilizare abuzivă a unui serviciu;
b)
detectarea unui incident major raportat prin sistemul NIS2 sau prin DNSC;
c)
suspiciuni privind modificarea neautorizată sau nenotificată a sistemelor de semnare, arhivare sau LTP.
Prestatorul are obligația de a permite accesul imediat la toate informațiile solicitate și de a furniza suport tehnic în timp real.
Refuzul nejustificat de cooperare poate duce la suspendarea sau chiar retragerea statutului.
Articolul 10
În urma efectuării supravegherii, ADR poate dispune, după caz, una sau mai multe dintre următoarele măsuri:
a)
avertisment scris;
b)
stabilirea unui termen pentru remedierea neconformităților constatate;
c)
impunerea implementării unor măsuri corective tehnice sau organizaționale;
d)
suspendarea statutului de prestator de servicii de încredere necalificate sau calificate până la remedierea neconformităților;
e)
retragerea statutului de prestator de servicii de încredere necalificate sau calificate.
Articolul 11
Prestatorul are obligația de a se conforma măsurilor dispuse de ADR în termenul stabilit și de a transmite dovada implementării acestora, sub sancțiunea retragerii statutului și radierii din Lista sigură.
Articolul 12
În caz de incident critic, precum compromiterea cheilor, pierderea datelor, compromiterea lanțului de încredere, prestatorul are obligația de a:
a)
suspenda imediat serviciul afectat;
b)
informa ADR în maxim 24 de ore;
c)
informa utilizatorii impactati;
d)
furniza un plan de remediere în 24 ore.
ADR poate dispune evaluarea conformității post - incident.
Capitolul III Suspendare
Articolul 13
ADR poate dispune suspendarea statutului de prestator de servicii de încredere necalificate sau calificate în cazul constatării unor neconformități care nu afectează grav integritatea, trasabilitatea sau continuitatea probatorie a serviciului, acordând prestatorului un termen stabilit de ADR, dar nu mai mare de 60 de zile, pentru remedierea neconformităților.
Articolul 14
În perioada suspendării, prestatorul are interdicția de a presta servicii de încredere necalificate sau calificate și de a utiliza orice mențiune privind calitatea de prestator de servicii de încredere.
Articolul 15
Suspendarea se aplică pentru o perioadă de 10-90 zile în următoarele situații:
a)
neconformități majore neremediate;
b)
refuz repetat de audit;
c)
încălcarea politicilor de securitate;
d)
compromiterea datelor clienților.
Suspendarea implică interdicția de a emite, valida sau conserva documente noi pe durata măsurii.
Prestatorul trebuie să informeze toți clienții în maxim 48 ore despre măsura de suspendare.
Capitolul IV Retragere
Articolul 16
ADR retrage statutul de prestator de servicii de încredere necalificate sau calificate fără acordarea unui termen de remediere în oricare dintre următoarele situații:
a)
compromiterea sau pierderea integrității elementelor probatorii aferente serviciului;
b)
pierderea trasabilității sau a sursei de timp folosite pentru generarea dovezilor;
c)
continuarea prestării serviciului după dispunerea suspendării.
Articolul 17
În cazul retragerii, prestatorul pierde dreptul de a presta servicii de încredere necalificate sau calificate după caz, putând formula o nouă cerere doar însoțită de un raport de evaluare a conformității actualizat emis de un organism de evaluare a conformității acreditat.
Articolul 18
ADR retrage definitiv statutul unui prestator în următoarele situații:
a)
falsificarea rapoartelor de evaluare a conformității sau a dovezilor;
b)
încălcarea legislației și a standardelor din domeniu după o suspendare;
c)
refuzul repetat de conformare la măsurile dispuse de organismul de supraveghere;
d)
activități frauduloase sau de natura penală, constatate de o instanță judecătorească.
Retragerea definitivă conduce la:
a)
radierea imediată din Lista Sigură;
b)
transmiterea informațiilor către Comisia Europeană;
c)
blocarea tuturor acceselor la infrastructura de semnare/validare sub marca respectiva.
Prestatorul poate solicita acordarea statutului după minimum 12 luni de la retragere, cu parcurgerea procedurii de acordare a statutului în întregime.
Capitolul V Radierea
Articolul 19
Radierea prestatorilor de servicii de încredere necalificate din domeniul apărării, ordinii publice și siguranței naționale din Lista sigură se efectuează în următoarele situații:
a)
la cererea prestatorului;
b)
în cazul nerespectării dispozițiilor prezentei proceduri;
c)
la expirarea valabilității documentelor prevăzute la art. 2 alin. (2) lit. a), dacă nu au fost reînnoite;
d)
la nerespectarea termenelor de soluționare a măsurilor dispuse în urma supravegherii efectuate de organismul de supraveghere.
ADR informează prestatorul despre decizia de radiere și motivele care au stat la baza acesteia.
Capitolul VI Încetare voluntară
Articolul 20
Încetarea voluntară a statutului de prestator de servicii de încredere necalificate sau calificate se face la cererea prestatorului, prin notificare transmisă ADR, având ca efect încetarea statutului după un termen stabilit de ADR, dar nu mai mic de 30 de zile de la data confirmării notificării, pentru a permite asigurarea măsurilor de transfer.
Articolul 21
Înainte de data încetării efective, prestatorul are obligația de a transfera către un alt prestator necalificat, respectiv calificat sau, după caz, către client, toate elementele probatorii aferente serviciilor de încredere necalificate sau calificate prestate, asigurând integritatea și autenticitatea acestora.
Articolul 22
De la data încetării efective, prestatorul are interdicția de a continua prestarea serviciilor de încredere necalificate sau calificate, după caz, și de a utiliza orice mențiune privind calitatea de prestator de servicii de încredere necalificate sau calificate.
Articolul 23
Restul dispozițiilor privind procedura și condițiile de acordare, suspendare și retragere a statutului rămân aplicabile potrivit prezentului act.
Capitolul VII Clasificarea neconformităților
Articolul 24
Nivelurile de severitate
Neconformitățile se clasifica astfel:
a)
Nivel 1 - minoră: abateri documentare fără impact operațional;
b)
Nivel 2 - medie: abateri operaționale cu impact controlabil;
c)
Nivel 3 - majoră: afectare parțială a integrității serviciului sau indisponibilitate extinsă;
d)
Nivel 4 - critică: compromitere a cheilor, fraude, falsificări, refuz de cooperare, pierdere a încrederii publice.
ADR stabilește nivelul de severitate în baza criteriilor:
a)
impactul asupra utilizatorilor;
b)
durata neconformității;
c)
intenția sau neglijența;
d)
istoricul prestatorului;
e)
cooperarea la remediere.
Capitolul VIII Plan de conformare
Articolul 25
În urma unei acțiuni de supraveghere, ADR poate dispune un plan de conformare cu termene precise:
a)
60 zile pentru neconformități minore;
b)
30 zile pentru neconformități medii;
c)
15 zile pentru neconformități majore.
Prestatorul transmite un raport de implementare a măsurilor.
Lipsa conformării în termenele stabilite atrage sancțiuni corespunzătoare.
Capitolul IX Sancțiuni administrative și contravenții
Articolul 26
Sancțiunile administrative și contravențiile se stabilesc conform art. 16 din Regulamentul UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE, cu modificările și completările ulterioare.
Capitolul X Obligații post-autorizare și raportare
Articolul 27
Raportarea periodică
Toți prestatorii transmit ADR anual sau la cerere, un raport sumar de activitate care include:
a)
număr de operațiuni, clienți, documente;
b)
incidente de securitate și măsuri luate;
c)
schimbări semnificative de infrastructură.
Raportul anual complet este însoțit de audit extern.
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.