Această pagină este destinată managerilor de cybersecuritate, responsabililor de IT și liderilor de conformitate din lanțurile de farmacie, producătorii de medicamente și distribuitorii cu minimum 50 de angajați. Vă veți familiariza cu obligațiile specifice impuse de OUG 155/2024, riscurile sectorului farmaceutic și instrumentele practice pentru a atinge conformitatea până la deadline-ul stabilit.
Organizațiile farmaceutice care opereaza în România cu 50 sau mai mulți angajați — inclusiv lanțuri de retail de farmacie, producători de medicamente, distribuitori cu licență și furnizori de sisteme de management al farmaciilor — sunt clasificate ca entități importante sub NIS2. Această clasificare se aplică indiferent dacă operatorul este privat sau public, dar trebuie să opereze servicii esențiale legate de sănătate publică și integritatea lanțului de aprovizionare cu medicamente.
Trebuie să implementați controale tehnice și organizaționale pentru a verifica siguranța furnizorilor de software de gestionare a comenzilor și a stocurilor de medicamente. Aceasta include auditul periodic al platformelor de comunicare cu distribuitorii și producătorii, precum și criptarea datelor de autentificare a conturilor de furnizor. Orice sistem legat la comenzile de medicamente trebuie monitorizat pentru a detecta modificări neautorizate sau injecții de cod malițios.
Platformele care gestionează rețete electronice și datele pacienților trebuie să utilizeze autentificare multi-factor obligatorie pentru toți utilizatorii cu acces administrativ sau la date sensibile. Este interzisă folosirea de credențiale partajate între asistenți de farmacie sau terminale de dispensare. Fiecare utilizator trebuie să aibă cont individual cu tracing complet al acțiunilor și să existe controale de revocă rapidă a accesului la plecarea din funcție.
Orice incident de securitate cibernetică care afectează sistemele de distribuție, dispensare sau comenzi de medicamente trebuie raportate autorității DNSC în termen de 24 de ore (avertizare timpurie) și notificare completă în termen de 72 de ore. Aceasta include tentative de acces neautorizat la sisteme de gestionare a stocurilor, întreruperi ale conectivității cu furnizori și orice anomalii care pot compromite disponibilitatea medicamentelor. Documentația incidentului trebuie să conțină o evaluare de impact asupra pacienților și lanțului de aprovizionare.
Informatiile medicale, prescripțiile și datele de contact ale pacienților sunt supuse atât obligațiilor NIS2 cât și GDPR. Trebuie implementate principii de criptare end-to-end pentru transmisiile de date de rețete, controale de acces bazate pe rol, și auditări trimestrale ale accesurilor la dosarele electronice. Orice transfer de date între filiale ale lanțului de farmacie sau cu terți (asigurări, laboratoare) trebuie documentat și avaluat din perspectiva impactului asupra confidențialității.
Organizațiile farmaceutice trebuie să identifice sistemele critice (software de dispensare, baze de date de stocuri, module de plată și comenzi) și să dezvolte planuri de recuperare cu RTO (Recovery Time Objective) sub 4 ore pentru sisteme de dispensare și sub 24 ore pentru administrație. Testele de failover trebuie efectuate semestrial. De asemenea, trebuie menținute back-up-uri criptate offline pentru datele de pacienți și inventar, cu plan de restaurare documentat și testat.
OUG 155/2024 (aprobată prin Legea 124/2025) stabilește termenul de conformitate la 18 luni de la intrare în vigoare. Pentru entități importante în sector farmaceutic, respectarea obligațiilor principale de control de acces, criptare și raportare incidente trebuie finalizată imediat, cu auditurile și planurile de recuperare completate în următoarele 6-9 luni.
Pentru entități importante (cum sunt lanțurile de farmacie cu 50+ angajați), penalitatea poate ajunge până la 7 miloane de euro sau 1,4% din cifra de afaceri anuală globală, oricare dintre acestea este mai mare. Aceasta include sancțiuni pentru neraportarea incidentelor în termen de 24-72 ore, lipsă de autentificare multi-factor și neasigurarea continuității serviciilor de dispensare de medicamente.
Trebuie să raportați o avertizare timpurie la DNSC în termen de 24 de ore, apoi notificare completă în termen de 72 de ore cu detalii despre volumul de rețete afectate, tipul datelor compromise și măsurile de remediere. Simultan, trebuie să notificați pacienții conform GDPR și autorități de sănătate dacă medicamentele au fost expuse riscului de substituire sau contrafacere.