Im Amtsblatt Nr. 81 vom 2. Februar 2026 wurde die Verordnung MEDAT 102/2026 veröffentlicht, die die Verfahren für Vertrauensdiensteanbieter, sowohl qualifizierte als auch nicht qualifizierte, regelt. Das Dokument legt den operationellen, institutionellen und technischen Rahmen für die Gewährung, Aussetzung und den Widerruf des Status eines qualifizierten Vertrauensdiensteanbieters fest, gemäß dem Gesetz Nr. 214/2024 und der Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste.
Das Verfahren gilt für alle juristischen Personen, die diesen Status beantragen, sowie für bereits qualifizierte Anbieter, die der Bewertung und Überwachung durch die ADR – die rumänische Behörde für Digitalisierung – unterliegen. Die ADR ist verantwortlich für die Gewährung, Aussetzung oder den Widerruf des Status, stellt die Einhaltung der gesetzlichen Anforderungen durch die Anbieter sicher und fordert bei Nichtkonformität Korrekturmaßnahmen.
Um den qualifizierten Status zu erhalten, muss der Antragsteller der ADR mindestens 30 Tage vor Beginn der Tätigkeit eine Mitteilung zusammen mit vollständigen Unterlagen übermitteln, einschließlich Konformitätsbewertungsbericht, Sicherheitsplan, Servicearchitektur, Finanznachweise, Kontinuitätsplan und weitere relevante Dokumente gemäß den Anhängen der Verordnung. Alle Dokumente müssen unterschrieben und im Original eingereicht werden.
Die ADR prüft die Unterlagen innerhalb von 30 Tagen und, wenn alle Bedingungen erfüllt sind, wird der Anbieter in die Trusted List aufgenommen und erhält den Status eines qualifizierten Vertrauensdiensteanbieters. Konformitätsbewertungen erfolgen in Intervallen von maximal 24 Monaten, und Anbieter müssen Informationen und Nachverfolgbarkeit der qualifizierten Zertifikate 10 Jahre lang aufbewahren, um die langfristige Gültigkeit elektronischer Signaturen zu gewährleisten.
Im Falle einer Aussetzung oder eines Widerrufs des Status informiert die ADR den Anbieter und die zuständigen Behörden und stellt sicher, dass ausgestellte digitale Zertifikate widerrufen oder die Tätigkeiten von einem anderen Anbieter übernommen werden, um die Endnutzer zu schützen.