URL: https://auditcybersecurity.ro/nis2-farmacii/
Actualizat: 2026-11-05. Texte legale verificate: 2026-11-05.

Ghid sectorial

# NIS2 pentru farmacii și distribuitori de medicamente

[Legea 124/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/299675) a adăugat în sectorul sănătății din Anexa 1 farmaciile (CAEN 4773), comerțul farmaceutic cu ridicata (CAEN 4646) și titularii de autorizații de distribuție a medicamentelor. De la 50 de angajați intrați sub incidența [OUG 155/2024](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690), iar firmele mari sunt entități esențiale.

- **Sector**: Sănătate, Anexa 1

- **Coduri CAEN**: 4773, 4646

- **Firmă mare**: entitate esențială

- **Firmă mijlocie**: entitate importantă

**Definiție**O entitate esențială este o firmă mare dintr-un sector din Anexa 1 sau o entitate dintr-o categorie specială din [art. 5](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690). Are obligații în plus față de o entitate importantă și amenzi maxime mai mari.

## Se încadrează farmaciile în NIS2?

Da, dacă sunt cel puțin mijlocii. [Legea 124/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/299675) a adăugat în sectorul sănătății activitățile CAEN 4773 (farmacii) și 4646 (comerț cu ridicata farmaceutic), precum și titularii de autorizații de distribuție a medicamentelor. Firmele mari din acest sector sunt entități esențiale, iar cele mijlocii sunt entități importante, potrivit [OUG 155/2024](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690).

| Activitate | Mijlocie | Mare |
|---|---|---|
| Farmacie (CAEN 4773) | Importantă | Esențială |
| Comerț cu ridicata farmaceutic (CAEN 4646) | Importantă | Esențială |
| Titular de autorizație de distribuție | Importantă | Esențială |
| Fabricare de produse farmaceutice (CAEN 21) | Importantă | Esențială |

Codurile CAEN sunt orientative, nu criteriul legal. Verificați activitatea reală a firmei.

Verifică firma

## O farmacie mică se încadrează în NIS2?

De regulă nu. Pragul de intrare este de 50 de angajați, conform [art. 8](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) și Legii 346/2004, deci o firmă mică sau o microîntreprindere rămâne în afară, dacă DNSC nu o identifică pe baza criteriilor din [art. 9](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690). Dacă nu sunteți siguri, puteți notifica DNSC: DNSC decide și vă spune dacă sunteți în afara domeniului de aplicare.

## Ce obligații în plus are o entitate esențială?

O firmă mare din sectorul sănătății primește decizia DNSC în 60 de zile, nu în 150 de zile. Depune planul de remediere în 30 de zile de la fiecare autoevaluare ([art. 12 alin. (5)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Responsabilul cu securitatea are autoritate managerială, raportează direct conducerii și obține un curs acreditat în 12 luni.

- Limite mai mari la amenzi: până la 10.000.000 EUR sau 2%.
- Responsabil independent de IT și OT, cu resursele necesare ([art. 14 alin. (4)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)).
- Ținta generală de 3,5 la autoevaluare, dacă nivelul de asigurare este Esențial.

## Ce nivel de risc are o farmacie?

Scorurile standard pentru sănătate din anexa [metodologiei din Ordinul DNSC 2/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301477) sunt 145 pentru o firmă mijlocie și 217,5 pentru una mare. Asta înseamnă de regulă nivelul Important, respectiv nivelul Esențial. Scorul real rezultă din ENIRE@RO, până când [platforma NIS2@RO a DNSC](https://platformanis2.ro) devine operațională, și decide ce controale aplicați.

| Dimensiune | Scor standard | Interval | Nivel |
|---|---|---|---|
| Mijlocie | 145 | 100–199 | Important |
| Mare | 217,5 | 200–1.500 | Esențial |

Fiindcă ambele scoruri ajung cel puțin la nivelul Important, se aplică și controlul PR.DS-11.2, verificarea periodică a backup-urilor. Vedeți [ghidul despre Ordinul DNSC 1/2026](https://auditcybersecurity.ro/ordinul-dnsc-1-2026/).

## Ce termene are o farmacie sau un distribuitor?

Firma notifică DNSC în 30 de zile, iar DNSC decide în 60 de zile pentru entități esențiale și în 150 de zile pentru cele importante. De la decizie (T0) desemnați responsabilul în 30 de zile și trimiteți evaluarea nivelului de risc în 60 de zile. Autoevaluarea urmează în alte 60 de zile, apoi anual.

| Ce | Când | Temei |
|---|---|---|
| Notificarea către DNSC | în 30 de zile de la intrarea sub incidența legii | [art. 18 alin. (2)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Decizia DNSC (T0) | în 60 de zile pentru esențiale, 150 de zile pentru importante | [art. 18 alin. (4)–(5)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Desemnarea responsabilului cu securitatea | T0 + 30 de zile | [art. 14 alin. (3)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Evaluarea nivelului de risc | T0 + 60 de zile | [art. 18 alin. (6)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Autoevaluarea maturității | 60 de zile după evaluarea riscului, apoi anual, cu aprobarea conducerii | [art. 18 alin. (7), art. 12 alin. (4)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Plan de remediere (doar entități esențiale) | în 30 de zile de la fiecare autoevaluare | [art. 12 alin. (5)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Cursul acreditat al responsabilului (entități esențiale) | în 12 luni de la desemnare | [art. 14 alin. (4) lit. e)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Modificarea datelor din registru | în 2 săptămâni sau 3 luni, în funcție de dată | [art. 18 alin. (8)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |

Calculează-ți termenele

## La ce să fie atentă o farmacie?

Rețelele de farmacii și distribuitorii depind de sistemele de gestiune și de furnizorii lor IT, iar un incident poate opri eliberarea medicamentelor. [Art. 11 alin. (8)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) cere să țineți seama de practicile de securitate ale fiecărui furnizor direct. Backup-urile se fac pe un sistem diferit, conform controlului PR.DS-11.1, și se testează.

- Stabiliți cine răspunde la furnizorul de software pentru backup și incidente.
- Pregătiți raportarea incidentelor în 24 de ore și 72 de ore.
- Testați restaurarea, cu un proces-verbal, folosind [șabloanele gratuite](https://auditcybersecurity.ro/sabloane-nis2/).

| Etapă | Termen | Temei |
|---|---|---|
| Avertizare timpurie | 24 de ore | [art. 15](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Notificarea incidentului | 72 de ore | [art. 15](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Raport final | o lună | [art. 15](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Informare privind impactul transfrontalier | 6 ore | [art. 15 alin. (3)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |

## Ce amenzi riscă o farmacie?

O entitate importantă riscă 5.000 lei până la 7.000.000 EUR sau 1,4%, iar una esențială 10.000 lei până la 10.000.000 EUR sau 2% din cifra de afaceri mondială, valoarea cea mai mare ([art. 60 alin. (2)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Încălcările de procedură au limite mai mici, în lei. Sunt limite maxime, nu sume uzuale.

[Vezi toate amenzile NIS2](https://auditcybersecurity.ro/amenzi-nis2/)

## Ce faceți mai departe

Verifică încadrarea
Pornește autoevaluarea

## Întrebări frecvente

### Spitalele și clinicile sunt tratate la fel?

Furnizorii de servicii medicale sunt tot în sectorul sănătății din Anexa 1, deci aceleași praguri de dimensiune se aplică. Verificați activitatea exactă cu [verificarea gratuită](https://auditcybersecurity.ro/verificare-nis2/).

### Un distribuitor autorizat mic intră?

De regulă nu, dacă firma este sub 50 de angajați, cu excepția cazului în care DNSC o identifică pe baza criteriilor din [art. 9](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690). Dacă nu sunteți siguri, puteți notifica DNSC: DNSC decide și vă spune dacă sunteți în afara domeniului de aplicare.

### Cine poate fi responsabil NIS2 într-o farmacie?

Conducerea desemnează responsabilul în 30 de zile de la decizia DNSC ([art. 14 alin. (3)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). În entitățile esențiale persoana are autoritate managerială, raportează direct conducerii, este independentă de IT și OT și obține un curs acreditat în 12 luni.

### Ce fac dacă nu am notificat DNSC?

Dacă firma este vizată și nu ați notificat, faceți-o acum, conform [anexei la Ordinul DNSC 1/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301474). Notificarea se generează cu instrumentul NIS2@RO.

### NIS2 înlocuiește GDPR pentru datele pacienților?

Nu. NIS2 se ocupă de securitatea rețelelor și a sistemelor, iar GDPR de datele personale. Se aplică separat, chiar dacă unele măsuri se suprapun.

## Surse oficiale

- [OUG 155/2024, Anexa 1, forma consolidată](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)
- [Legea 124/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/299675)
- [metodologia din Ordinul DNSC 2/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301477)
- [Măsurile aprobate prin Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360)

Despre acest ghid

Publicat de AuditCyberSecurity.ro. Site-ul este informativ și nu vinde nimic. Persoana care îl realizează este implicată în AirVault, serviciu de backup offline; legătura este menționată ori de câte ori apare AirVault în pagină.

Actualizat: 5 noiembrie 2026 · Texte legale verificate: 5 noiembrie 2026 · Informare, nu consultanță juridică; verificați textul oficial.