Ghid pe sector
NIS2 pentru producția și distribuția alimentară
Producția, prelucrarea și distribuția cu ridicata de alimente sunt în Anexa 2 din OUG 155/2024. De la 50 de angajați sunteți entitate importantă, inclusiv dacă doar distribuiți. Legea 124/2025 a clarificat asta, iar amenzile ajung la 7.000.000 EUR sau 1,4%.
- Sector
- Alimente, Anexa 2
- Clasă
- entitate importantă
- Prag
- de la 50 de angajați
- Decizia DNSC
- în 150 de zile
DefinițieO entitate importantă este o firmă mijlocie sau mare dintr-un sector NIS2 care nu îndeplinește condițiile pentru a fi esențială. Firmele mijlocii și mari din sectorul alimentar din Anexa 2 sunt, de regulă, entități importante.
Intră firmele alimentare sub NIS2?
Da, dacă sunt cel puțin mijlocii. Sectorul din Anexa 2 se numește producția, prelucrarea și/sau distribuția de alimente, deci distribuția singură este suficientă. Anexa vizează distribuția cu ridicata și producția și prelucrarea industrială, nu comerțul cu amănuntul. Codurile CAEN 10, 11 și 463 sunt doar orientative, nu testul legal.
| Activitate | Intră? |
|---|---|
| Producție și prelucrare industrială | Da, de la 50 de angajați |
| Distribuție cu ridicata | Da, de la 50 de angajați, chiar dacă nu produceți |
| Comerț cu amănuntul | Nu este vizat de Anexa 2 |
| Firmă mică sau micro | Nu, în afara cazului în care DNSC o identifică pe criteriile din art. 9 |
Ce a schimbat Legea 124/2025 pentru alimente?
Legea 124/2025 a formulat sectorul din Anexa 2 ca producția, prelucrarea și/sau distribuția de alimente. Înainte de această clarificare, un distribuitor care nu producea putea crede că nu este vizat. Acum distribuția singură este suficientă, dacă firma este cel puțin mijlocie și activitatea este distribuție cu ridicata.
Ce înseamnă firmă mijlocie?
Pragul de intrare este de 50 de angajați, conform art. 8 și Legii 346/2004. La 250 de angajați firma devine mare, iar testul ține seama și de cifra de afaceri de 50 de milioane EUR și de bilanțul de 43 de milioane EUR. Pentru sectorul alimentar, ambele mărimi duc la aceeași clasă: entitate importantă.
Ce nivel de risc are o firmă alimentară?
Scorurile standard din anexa metodologiei din Ordinul DNSC 2/2025 sunt 85 pentru o firmă mijlocie și 127,5 pentru una mare. Asta înseamnă de regulă nivelul de Bază, respectiv nivelul Important. Scorul real vine din ENIRE@RO sau din platforma NIS2@RO a DNSC și decide ce controale aplicați.
| Mărime | Scor standard | Interval | Nivel |
|---|---|---|---|
| Mijlocie | 85 | 0–99 | Bază |
| Mare | 127,5 | 100–199 | Important |
Clasa din lege și nivelul de asigurare sunt două lucruri diferite. O firmă mijlocie poate fi entitate importantă și să aibă nivelul de Bază. Detaliile sunt în ghidul despre Ordinul DNSC 1/2026.
Ce termene are o firmă alimentară?
Firma notifică DNSC în 30 de zile, iar DNSC decide în 150 de zile pentru entități importante. De la decizie (T0) desemnați responsabilul în 30 de zile și trimiteți evaluarea nivelului de risc în 60 de zile. Autoevaluarea maturității urmează în alte 60 de zile și se repetă anual, cu aprobarea conducerii (art. 12 și 18).
| Ce | Când | Temei |
|---|---|---|
| Notificarea către DNSC | în 30 de zile de la intrarea sub incidența legii | art. 18 alin. (2) |
| Decizia DNSC (T0) | în 60 de zile pentru esențiale, 150 de zile pentru importante | art. 18 alin. (4)–(5) |
| Desemnarea responsabilului cu securitatea | T0 + 30 de zile | art. 14 alin. (3) |
| Evaluarea nivelului de risc | T0 + 60 de zile | art. 18 alin. (6) |
| Autoevaluarea maturității | 60 de zile după evaluarea riscului, apoi anual, cu aprobarea conducerii | art. 18 alin. (7), art. 12 alin. (4) |
| Plan de remediere (doar entități esențiale) | în 30 de zile de la fiecare autoevaluare | art. 12 alin. (5) |
| Cursul acreditat al responsabilului (entități esențiale) | în 12 luni de la desemnare | art. 14 alin. (4) lit. e) |
| Modificarea datelor din registru | în 2 săptămâni sau 3 luni, în funcție de dată | art. 18 alin. (8) |
La ce să fie atentă o firmă alimentară?
Firmele alimentare depind de sisteme de producție, de depozitare și de logistică, iar un incident oprește livrările. Controlul PR.DS-11.1 cere backup-uri pe un sistem diferit, iar ghidul lui spune că strategiile ar trebui să acopere și sistemele OT: configurații de control, date operaționale și setările dispozitivelor critice.
- Includeți în inventar sistemele de producție și depozitele, nu doar birourile.
- Verificați furnizorii direcți, cum cere art. 11 alin. (8).
- Pregătiți raportarea incidentelor în 24 de ore și 72 de ore.
- Testați restaurarea și păstrați un proces-verbal, cu șabloanele gratuite.
Ce amenzi riscă o firmă alimentară?
O entitate importantă poate fi amendată cu 5.000 lei până la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială pentru măsuri de securitate, autoevaluare și raportarea incidentelor (art. 60 alin. (2)). Pentru înregistrare, evaluarea riscului și termene de remediere, limitele sunt 1.000–300.000 lei. Sunt limite maxime, nu sume obișnuite.
Ce faceți mai departe
Întrebări frecvente
Un magazin alimentar intră sub NIS2?
Comerțul cu amănuntul nu este vizat de sectorul alimentar din Anexa 2. Dacă aceeași firmă are și distribuție cu ridicata sau producție industrială și este cel puțin mijlocie, verificați activitatea respectivă cu verificarea gratuită.
Un distribuitor care nu produce nimic intră?
Da, dacă este cel puțin mijlociu și face distribuție cu ridicata. După Legea 124/2025, distribuția singură este suficientă.
O firmă alimentară poate fi entitate esențială?
Sectorul din Anexa 2 duce, de regulă, la clasa importantă, indiferent dacă firma e mijlocie sau mare. Excepțiile sunt categoriile speciale din art. 5, de exemplu o entitate critică sau o entitate identificată pe criteriile din art. 9.
Trebuie depus plan de remediere?
Depunerea în 30 de zile de la fiecare autoevaluare este obligația entităților esențiale (art. 12 alin. (5)). Metodologia din Ordinul DNSC 1/2026 cere însă un plan de remediere când rezultatul este sub țintă.
Termenul de notificare a trecut. Ce fac?
Dacă firma intră și nu ați notificat, faceți-o acum, conform anexei la Ordinul DNSC 1/2025. Dacă nu sunteți siguri, puteți notifica DNSC: DNSC decide și vă spune dacă sunteți în afara domeniului.