URL: https://auditcybersecurity.ro/nis2-industria-alimentara/ Actualizat: 2026-11-05. Texte legale verificate: 2026-11-05. Ghid sectorial # NIS2 pentru producția și distribuția alimentară Producția, prelucrarea și distribuția cu ridicata de alimente sunt în Anexa 2 din [OUG 155/2024](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690). De la 50 de angajați sunteți entitate importantă, inclusiv dacă doar distribuiți. [Legea 124/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/299675) a clarificat asta, iar amenzile ajung la 7.000.000 EUR sau 1,4%. - **Sector**: Alimente, Anexa 2 - **Categorie**: entitate importantă - **Prag**: de la 50 de angajați - **Decizia DNSC**: în 150 de zile **Definiție**O entitate importantă este o firmă mijlocie sau mare dintr-un sector NIS2 care nu îndeplinește condițiile pentru a fi esențială. Firmele mijlocii și mari din sectorul alimentar din Anexa 2 sunt, de regulă, entități importante. ## Se încadrează firmele alimentare în NIS2? Da, dacă sunt cel puțin mijlocii. Sectorul din Anexa 2 se numește producția, prelucrarea și/sau distribuția de alimente, deci distribuția singură este suficientă. Anexa vizează distribuția cu ridicata și producția și prelucrarea industrială, nu comerțul cu amănuntul. Codurile CAEN 10, 11 și 463 sunt doar orientative, nu criteriul legal. | Activitate | Este vizată? | |---|---| | Producție și prelucrare industrială | Da, de la 50 de angajați | | Distribuție cu ridicata | Da, de la 50 de angajați, chiar dacă nu produceți | | Comerț cu amănuntul | Nu este vizat de Anexa 2 | | Firmă mică sau microîntreprindere | Nu, în afara cazului în care DNSC o identifică pe baza criteriilor din art. 9 | Verifică firma ## Ce a schimbat Legea 124/2025 pentru alimente? [Legea 124/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/299675) a formulat sectorul din Anexa 2 ca producția, prelucrarea și/sau distribuția de alimente. Înainte de această clarificare, un distribuitor care nu producea putea crede că nu este vizat. Acum distribuția singură este suficientă, dacă firma este cel puțin mijlocie și activitatea este distribuție cu ridicata. ## Ce înseamnă firmă mijlocie? Pragul de intrare este de 50 de angajați, conform [art. 8](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) și Legii 346/2004. La 250 de angajați firma devine mare, iar criteriul ține seama și de cifra de afaceri de 50 de milioane EUR și de bilanțul de 43 de milioane EUR. Pentru sectorul alimentar, ambele dimensiuni duc la aceeași categorie: entitate importantă. ## Ce nivel de risc are o firmă alimentară? Scorurile standard din anexa [metodologiei din Ordinul DNSC 2/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301477) sunt 85 pentru o firmă mijlocie și 127,5 pentru una mare. Asta înseamnă de regulă nivelul de Bază, respectiv nivelul Important. Scorul real rezultă din ENIRE@RO, până când [platforma NIS2@RO a DNSC](https://platformanis2.ro) devine operațională, și decide ce controale aplicați. | Dimensiune | Scor standard | Interval | Nivel | |---|---|---|---| | Mijlocie | 85 | 0–99 | Bază | | Mare | 127,5 | 100–199 | Important | Categoria din lege și nivelul de asigurare sunt două lucruri diferite. O firmă mijlocie poate fi entitate importantă și să aibă nivelul de Bază. Detaliile sunt în [ghidul despre Ordinul DNSC 1/2026](https://auditcybersecurity.ro/ordinul-dnsc-1-2026/). ## Ce termene are o firmă alimentară? Firma notifică DNSC în 30 de zile, iar DNSC decide în 150 de zile pentru entități importante. De la decizie (T0) desemnați responsabilul în 30 de zile și trimiteți evaluarea nivelului de risc în 60 de zile. Autoevaluarea maturității urmează în alte 60 de zile și se repetă anual, cu aprobarea conducerii ([art. 12 și 18](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). | Ce | Când | Temei | |---|---|---| | Notificarea către DNSC | în 30 de zile de la intrarea sub incidența legii | [art. 18 alin. (2)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) | | Decizia DNSC (T0) | în 60 de zile pentru esențiale, 150 de zile pentru importante | [art. 18 alin. (4)–(5)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) | | Desemnarea responsabilului cu securitatea | T0 + 30 de zile | [art. 14 alin. (3)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) | | Evaluarea nivelului de risc | T0 + 60 de zile | [art. 18 alin. (6)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) | | Autoevaluarea maturității | 60 de zile după evaluarea riscului, apoi anual, cu aprobarea conducerii | [art. 18 alin. (7), art. 12 alin. (4)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) | | Plan de remediere (doar entități esențiale) | în 30 de zile de la fiecare autoevaluare | [art. 12 alin. (5)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) | | Cursul acreditat al responsabilului (entități esențiale) | în 12 luni de la desemnare | [art. 14 alin. (4) lit. e)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) | | Modificarea datelor din registru | în 2 săptămâni sau 3 luni, în funcție de dată | [art. 18 alin. (8)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) | Calculează-ți termenele ## La ce să fie atentă o firmă alimentară? Firmele alimentare depind de sisteme de producție, de depozitare și de logistică, iar un incident oprește livrările. Controlul PR.DS-11.1 cere backup-uri pe un sistem diferit, iar ghidul lui spune că strategiile ar trebui să acopere și sistemele OT: configurații de control, date operaționale și setările dispozitivelor critice. - Includeți în inventar sistemele de producție și depozitele, nu doar birourile. - Verificați furnizorii direcți, cum cere [art. 11 alin. (8)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690). - Pregătiți raportarea incidentelor în 24 de ore și 72 de ore. - Testați restaurarea și păstrați un proces-verbal, cu [șabloanele gratuite](https://auditcybersecurity.ro/sabloane-nis2/). ## Ce amenzi riscă o firmă alimentară? O entitate importantă poate fi amendată cu 5.000 lei până la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială pentru măsuri de securitate, autoevaluare și raportarea incidentelor ([art. 60 alin. (2)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Pentru înregistrare, evaluarea riscului și termene de remediere, limitele sunt 1.000–300.000 lei. Sunt limite maxime, nu sume uzuale. [Vezi toate amenzile NIS2](https://auditcybersecurity.ro/amenzi-nis2/) ## Ce faceți mai departe Verifică încadrarea Pornește autoevaluarea ## Întrebări frecvente ### Un magazin alimentar se încadrează în NIS2? Comerțul cu amănuntul nu este vizat de sectorul alimentar din Anexa 2. Dacă aceeași firmă are și distribuție cu ridicata sau producție industrială și este cel puțin mijlocie, verificați activitatea respectivă cu [verificarea gratuită](https://auditcybersecurity.ro/verificare-nis2/). ### Un distribuitor care nu produce nimic intră? Da, dacă este cel puțin mijlociu și face distribuție cu ridicata. După [Legea 124/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/299675), distribuția singură este suficientă. ### O firmă alimentară poate fi entitate esențială? Sectorul din Anexa 2 duce, de regulă, la categoria importantă, indiferent dacă firma e mijlocie sau mare. Excepțiile sunt categoriile speciale din [art. 5](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690), de exemplu o entitate critică sau o entitate identificată pe baza criteriilor din art. 9. ### Trebuie depus plan de remediere? Depunerea în 30 de zile de la fiecare autoevaluare este obligația entităților esențiale ([art. 12 alin. (5)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Metodologia din Ordinul DNSC 1/2026 cere însă un plan de remediere când rezultatul este sub țintă. ### Termenul de notificare a trecut. Ce fac? Dacă firma este vizată și nu ați notificat, faceți-o acum, conform [anexei la Ordinul DNSC 1/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301474). Dacă nu sunteți siguri, puteți notifica DNSC: DNSC decide și vă spune dacă sunteți în afara domeniului de aplicare. ## Surse oficiale - [OUG 155/2024, Anexa 2, forma consolidată](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) - [Legea 124/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/299675) - [metodologia din Ordinul DNSC 2/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301477) - [Măsurile aprobate prin Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360) Despre acest ghid Publicat de AuditCyberSecurity.ro. Site-ul este informativ și nu vinde nimic. Persoana care îl realizează este implicată în AirVault, serviciu de backup offline; legătura este menționată ori de câte ori apare AirVault în pagină. Actualizat: 5 noiembrie 2026 · Texte legale verificate: 5 noiembrie 2026 · Informare, nu consultanță juridică; verificați textul oficial.