Ghid pe sector
NIS2 pentru farmacii și distribuitori de medicamente
Legea 124/2025 a adăugat în sectorul sănătății din Anexa 1 farmaciile (CAEN 4773), comerțul farmaceutic cu ridicata (CAEN 4646) și titularii de autorizații de distribuție a medicamentelor. De la 50 de angajați intrați sub OUG 155/2024, iar firmele mari sunt entități esențiale.
- Sector
- Sănătate, Anexa 1
- Coduri CAEN
- 4773, 4646
- Firmă mare
- entitate esențială
- Firmă mijlocie
- entitate importantă
DefinițieO entitate esențială este o firmă mare dintr-un sector din Anexa 1 sau o entitate dintr-o categorie specială din art. 5. Are obligații în plus față de o entitate importantă și amenzi maxime mai mari.
Intră farmaciile sub NIS2?
Da, dacă sunt cel puțin mijlocii. Legea 124/2025 a adăugat în sectorul sănătății activitățile CAEN 4773 (farmacii) și 4646 (comerț cu ridicata farmaceutic), precum și titularii de autorizații de distribuție a medicamentelor. Firmele mari din acest sector sunt entități esențiale, iar cele mijlocii sunt entități importante, potrivit OUG 155/2024.
| Activitate | Mijlocie | Mare |
|---|---|---|
| Farmacie (CAEN 4773) | Importantă | Esențială |
| Comerț cu ridicata farmaceutic (CAEN 4646) | Importantă | Esențială |
| Titular de autorizație de distribuție | Importantă | Esențială |
| Fabricare de produse farmaceutice (CAEN 21) | Importantă | Esențială |
Codurile CAEN sunt orientative, nu testul legal. Verificați activitatea reală a firmei.
O farmacie mică intră sub NIS2?
De regulă nu. Pragul de intrare este de 50 de angajați, conform art. 8 și Legii 346/2004, deci o firmă mică sau micro rămâne în afară, cu excepția cazului în care DNSC o identifică pe criteriile din art. 9. Dacă nu sunteți siguri, puteți notifica DNSC: DNSC decide și vă spune dacă sunteți în afara domeniului.
Ce obligații în plus are o entitate esențială?
O firmă mare din sectorul sănătății primește decizia DNSC în 60 de zile, nu în 150 de zile. Depune planul de remediere în 30 de zile de la fiecare autoevaluare (art. 12 alin. (5)). Responsabilul cu securitatea are autoritate managerială, raportează direct conducerii și obține un curs acreditat în 12 luni.
- Limite mai mari la amenzi: până la 10.000.000 EUR sau 2%.
- Responsabil independent de IT și OT, cu resursele necesare (art. 14 alin. (4)).
- Ținta generală de 3,5 la autoevaluare, dacă nivelul de asigurare este Esențial.
Ce nivel de risc are o farmacie?
Scorurile standard pentru sănătate din anexa metodologiei din Ordinul DNSC 2/2025 sunt 145 pentru o firmă mijlocie și 217,5 pentru una mare. Asta înseamnă de regulă nivelul Important, respectiv nivelul Esențial. Scorul real vine din ENIRE@RO sau din platforma NIS2@RO a DNSC și decide ce controale aplicați.
| Mărime | Scor standard | Interval | Nivel |
|---|---|---|---|
| Mijlocie | 145 | 100–199 | Important |
| Mare | 217,5 | 200–1.500 | Esențial |
Fiindcă ambele scoruri ajung cel puțin la nivelul Important, se aplică și controlul PR.DS-11.2, verificarea periodică a backup-urilor. Vezi ghidul despre Ordinul DNSC 1/2026.
Ce termene are o farmacie sau un distribuitor?
Firma notifică DNSC în 30 de zile, iar DNSC decide în 60 de zile pentru entități esențiale și în 150 de zile pentru cele importante. De la decizie (T0) desemnați responsabilul în 30 de zile și trimiteți evaluarea nivelului de risc în 60 de zile. Autoevaluarea urmează în alte 60 de zile, apoi anual.
| Ce | Când | Temei |
|---|---|---|
| Notificarea către DNSC | în 30 de zile de la intrarea sub incidența legii | art. 18 alin. (2) |
| Decizia DNSC (T0) | în 60 de zile pentru esențiale, 150 de zile pentru importante | art. 18 alin. (4)–(5) |
| Desemnarea responsabilului cu securitatea | T0 + 30 de zile | art. 14 alin. (3) |
| Evaluarea nivelului de risc | T0 + 60 de zile | art. 18 alin. (6) |
| Autoevaluarea maturității | 60 de zile după evaluarea riscului, apoi anual, cu aprobarea conducerii | art. 18 alin. (7), art. 12 alin. (4) |
| Plan de remediere (doar entități esențiale) | în 30 de zile de la fiecare autoevaluare | art. 12 alin. (5) |
| Cursul acreditat al responsabilului (entități esențiale) | în 12 luni de la desemnare | art. 14 alin. (4) lit. e) |
| Modificarea datelor din registru | în 2 săptămâni sau 3 luni, în funcție de dată | art. 18 alin. (8) |
La ce să fie atentă o farmacie?
Rețelele de farmacii și distribuitorii depind de sistemele de gestiune și de furnizorii lor IT, iar un incident poate opri eliberarea medicamentelor. Art. 11 alin. (8) cere să țineți seama de practicile de securitate ale fiecărui furnizor direct. Backup-urile se fac pe un sistem diferit, conform controlului PR.DS-11.1, și se testează.
- Stabiliți cine răspunde la furnizorul de software pentru backup și incidente.
- Pregătiți raportarea incidentelor în 24 de ore și 72 de ore.
- Testați restaurarea, cu un proces-verbal, folosind șabloanele gratuite.
| Etapă | Termen | Temei |
|---|---|---|
| Avertizare timpurie | 24 de ore | art. 15 |
| Notificarea incidentului | 72 de ore | art. 15 |
| Raport final | o lună | art. 15 |
| Informare privind impactul transfrontalier | 6 ore | art. 15 alin. (3) |
Ce amenzi riscă o farmacie?
O entitate importantă riscă 5.000 lei până la 7.000.000 EUR sau 1,4%, iar una esențială 10.000 lei până la 10.000.000 EUR sau 2% din cifra de afaceri mondială, valoarea cea mai mare (art. 60 alin. (2)). Încălcările de procedură au limite mai mici, în lei. Sunt limite maxime, nu sume obișnuite.
Ce faceți mai departe
Întrebări frecvente
Spitalele și clinicile sunt tratate la fel?
Furnizorii de servicii medicale sunt tot în sectorul sănătății din Anexa 1, deci aceleași praguri de mărime se aplică. Verificați activitatea exactă cu verificarea gratuită.
Un distribuitor autorizat mic intră?
De regulă nu, dacă firma este sub 50 de angajați, cu excepția cazului în care DNSC o identifică pe criteriile din art. 9. Dacă nu sunteți siguri, puteți notifica DNSC: DNSC decide și vă spune dacă sunteți în afara domeniului.
Cine poate fi responsabil NIS2 într-o farmacie?
Conducerea desemnează responsabilul în 30 de zile de la decizia DNSC (art. 14 alin. (3)). În entitățile esențiale persoana are autoritate managerială, raportează direct conducerii, este independentă de IT și OT și obține un curs acreditat în 12 luni.
Ce fac dacă nu am notificat DNSC?
Dacă firma intră și nu ați notificat, faceți-o acum, conform anexei la Ordinul DNSC 1/2025. Notificarea se generează cu instrumentul NIS2@RO.
NIS2 înlocuiește GDPR pentru datele pacienților?
Nu. NIS2 se ocupă de securitatea rețelelor și a sistemelor, iar GDPR de datele personale. Se aplică separat, chiar dacă unele măsuri se suprapun.