ReCyF, le Référentiel Cyber France de l'ANSSI : mode d'emploi pour anticiper NIS2

Le 9 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour défaut de transposition de la directive NIS2, aux côtés de l'Espagne, de l'Irlande et des Pays-Bas. La directive devait être transposée en droit national au plus tard le 17 octobre 2024. Un peu plus de vingt mois plus tard, le projet de loi Résilience qui doit porter cette transposition n'a toujours pas été examiné en séance publique à l'Assemblée nationale, et son passage n'est plus attendu avant la rentrée de septembre 2026 au mieux. Environ 15 000 entités françaises, essentielles ou importantes au sens de NIS2, restent donc dans un flou juridique total sur leurs obligations de cybersécurité.

Pendant que le Parlement patine, l'ANSSI n'a pas attendu. Le 17 mars 2026, l'agence a publié sur sa plateforme MesServicesCyber le ReCyF, le Référentiel Cyber France : un document de travail de 47 pages qui traduit les exigences de NIS2 en mesures de sécurité concrètes. Ce n'est pas encore un texte opposable, mais c'est déjà la meilleure boussole disponible pour savoir ce que l'administration attendra de vous. Cet article explique ce qu'est exactement le ReCyF, sa structure en 20 objectifs, son statut juridique réel, et comment le faire dialoguer avec une démarche ISO 27001 existante ou à construire, sans attendre un décret qui n'existe pas encore.

#NIS2 en France : une transposition à l'arrêt

Pour comprendre pourquoi l'ANSSI a pris les devants, il faut resituer le contexte législatif. La directive NIS2 (UE 2022/2555) est entrée en application au niveau européen le 17 octobre 2024. En France, le véhicule législatif choisi est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Son parcours parlementaire donne la mesure du blocage :

• Présenté en Conseil des ministres le 15 octobre 2024, deux jours avant l'échéance européenne.
• Adopté par le Sénat en première lecture les 11 et 12 mars 2025.
• Voté à l'unanimité en commission spéciale à l'Assemblée nationale les 9 et 10 septembre 2025.
• Depuis, jamais inscrit à l'ordre du jour d'une séance publique. Il n'a pas non plus figuré au programme de la session extraordinaire de juillet 2026.

Le texte reste donc bloqué en amont de son examen en hémicycle depuis près d'un an. La presse spécialisée pointe un point de friction récurrent autour de l'article 16 bis du projet de loi, relatif à l'interdiction des portes dérobées dans les services de chiffrement, mais aucune source officielle ne confirme ce diagnostic à ce stade.

Face à ce retard, la Commission européenne a formellement engagé un recours devant la CJUE le 9 juillet 2026, en demandant des sanctions financières. C'est un signal fort : la France n'a plus de marge de manœuvre discrète sur ce dossier, et la pression institutionnelle pour publier les décrets d'application va s'accentuer dans les prochains mois.

Pour les dirigeants de PME et d'ETI concernés, la conséquence pratique est simple : il n'existe aujourd'hui aucune obligation légale contraignante issue de NIS2 en droit français. Mais attendre le décret pour commencer à travailler serait une erreur de calendrier. C'est précisément le rôle que joue le ReCyF.

#Le ReCyF, c'est quoi exactement

ReCyF signifie Référentiel Cyber France. C'est un document publié par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), disponible sur la plateforme MesServicesCyber, dans sa version 2.5 datée du 17 mars 2026. Sur sa page de garde, le document porte deux mentions qui donnent le ton : « NIS 2, transposition nationale, mesures de gestion des risques en matière de cybersécurité » et, tamponné en rouge, « VERSION DE TRAVAIL ».

Son objet, tel que défini dans sa propre présentation, est de constituer le référentiel de cybersécurité mentionné au sixième alinéa de l'article 14 du projet de loi Résilience. Concrètement, il traduit en mesures opérationnelles les dix catégories d'exigences de l'article 21 de la directive NIS2 (analyse de risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, cryptographie, authentification forte, etc.), pour les entités importantes et les entités essentielles.

Le document distingue deux notions dans sa méthodologie :

• L'objectif de sécurité répond à la question « quoi ? ». C'est l'obligation que fixera le décret pris en application de l'article 14 de la loi Résilience. Son atteinte sera obligatoire une fois ce décret publié.
• Les moyens acceptables de conformité répondent à la question « comment ? ». Ce sont les mesures concrètes proposées par l'ANSSI pour atteindre chaque objectif. Leur mise en œuvre n'est pas obligatoire en tant que telle (une entité peut leur substituer des mesures équivalentes), mais les appliquer permet de se prévaloir de leur mise en œuvre pour démontrer sa conformité lors d'un contrôle.

Autrement dit, le ReCyF fonctionne comme un référentiel à deux étages : des obligations de résultat fixées par la future réglementation, et un catalogue de bonnes pratiques reconnues pour y parvenir, avec la possibilité de justifier une approche différente si elle couvre le même risque.

Par défaut, les objectifs de sécurité du ReCyF s'appliquent aux entités importantes, aux entités essentielles, ainsi qu'aux opérateurs d'importance vitale sur leurs systèmes d'information autres que ceux qualifiés d'importance vitale. En application du principe de proportionnalité, cinq objectifs supplémentaires, les objectifs 16 à 20, ne s'appliquent qu'aux entités essentielles.

#Statut juridique : un document à anticiper, pas encore une obligation

C'est le point le plus important de cet article, et celui sur lequel il faut être précis. Le ReCyF, dans sa version actuelle, n'est ni contraignant ni opposable. Trois raisons à cela :

1. Le décret d'application de l'article 14 du projet de loi Résilience, qui doit officiellement fixer les objectifs de sécurité, n'est pas publié puisque la loi elle-même n'est pas promulguée.
2. Le document porte explicitement la mention « version de travail » sur sa couverture, et l'ANSSI précise qu'aucune version définitive ne sera publiée tant que la transposition de NIS2 en droit français ne sera pas achevée.
3. Les moyens acceptables de conformité qu'il décrit ne créent, à ce stade, aucune obligation légale de mise en œuvre.

Ce que cela signifie concrètement pour une PME ou une ETI : personne ne peut aujourd'hui exiger de vous une conformité au ReCyF, et aucun contrôle ANSSI ne peut sanctionner son non-respect sur cette base. En revanche, tout indique que ce document deviendra la référence opérationnelle des futurs audits une fois le cadre légal en place. L'ANSSI l'a construit dans cette perspective, et les organismes de contrôle qualifiés (PASSI, PACS notamment) l'utilisent déjà comme grille de lecture dans leurs prestations d'accompagnement.

Notre recommandation, et celle que nous formulons systématiquement auprès des dirigeants que nous accompagnons : anticipez avec le ReCyF, ne prétendez pas être « conforme au ReCyF » puisque cette notion n'a pas encore de valeur juridique. La nuance compte, y compris dans votre communication interne et vis-à-vis de vos clients ou partenaires.

#La structure du ReCyF : 20 objectifs organisés en 4 piliers

Le référentiel s'organise en 20 objectifs de sécurité, répartis dans le document selon quatre grandes sections qui reprennent un modèle en piliers : gouvernance, protection, défense, résilience. Les objectifs 1 à 15 s'appliquent aux entités importantes comme aux entités essentielles. Les objectifs 16 à 20, plus exigeants, ne s'appliquent qu'aux entités essentielles.

Ce classement en piliers a une vraie utilité pratique : il permet d'attribuer chaque bloc d'objectifs à un interlocuteur naturel dans l'organisation. La gouvernance relève typiquement de la direction générale et du responsable sécurité. La protection et la défense mobilisent la DSI et les équipes opérationnelles. La résilience implique la direction, la DSI et les métiers critiques, puisqu'un plan de continuité qui n'a pas été validé par les métiers ne sert à rien le jour où il faut l'activer.

Pour chaque objectif, le ReCyF détaille des « moyens acceptables de conformité » sous forme de mesures numérotées, avec, pour chacune, une colonne indiquant si elle est attendue d'une entité importante et si elle est attendue d'une entité essentielle. Cette granularité permet une lecture progressive : une PME entité importante peut se concentrer sur le socle commun, tandis qu'une entité essentielle doit viser l'ensemble des 20 objectifs.

#Ce que le ReCyF partage déjà avec ISO 27001

C'est là que la situation devient intéressante pour toute organisation déjà engagée dans une démarche ISO/IEC 27001. Le ReCyF le reconnaît explicitement à deux endroits.

Sur l'objectif 2 (cadre de gouvernance de la sécurité numérique), le texte précise que les entités importantes et essentielles peuvent se prévaloir, lors d'un contrôle, de la mise en place d'un système de management de la sécurité de l'information certifié conforme à la norme ISO/CEI 27001:2022, pour démontrer le respect de cet objectif sur les systèmes d'information couverts par la certification.

Sur l'objectif 16 (mise en œuvre d'une approche par les risques, réservé aux entités essentielles), la même reconnaissance s'applique : un SMSI certifié ISO/CEI 27001:2022 constitue un moyen acceptable de conformité, tout comme le recours à une prestation d'accompagnement et de conseil en sécurité qualifiée par l'ANSSI.

Au-delà de ces deux mentions explicites, l'ANSSI a publié en parallèle du ReCyF un outil de correspondance sur MesServicesCyber, qui permet de comparer les exigences du référentiel avec les normes ISO 2700x et avec l'annexe du règlement d'exécution européen 2024/2690. Cet outil est précieux, mais il appelle une précaution méthodologique que l'ANSSI formule elle-même : une correspondance entre deux exigences ne signifie pas automatiquement que les preuves existantes couvrent entièrement l'attente du ReCyF. Il faut vérifier le contenu, le périmètre et le niveau d'application réel de chaque contrôle, pas seulement l'intitulé.

C'est précisément ce travail de vérification fine que fait un auditeur ISO 27001 habitué à la matière. Voici notre lecture de correspondance, construite objectif par objectif à partir de la structure des 20 objectifs du ReCyF et des 93 contrôles de l'Annexe A d'ISO/IEC 27001:2022. Elle donne une vision d'ensemble, mais ne remplace pas une revue détaillée de vos preuves face à chaque moyen acceptable de conformité.

La lecture de ce tableau donne une intuition juste : une organisation déjà certifiée ISO 27001, avec une SoA (Statement of Applicability) réellement vivante et des preuves documentées, couvre une large part du socle des objectifs 1 à 15. Nous détaillons la structure complète des 93 contrôles dans notre guide de l'Annexe A 2022.

#Ce que l'ISO 27001 seule ne couvre pas

Trois angles morts méritent d'être signalés, pour éviter la fausse impression de conformité automatique.

Le niveau de preuve opérationnelle attendu par les objectifs 16 à 20 est plus poussé que ce qu'exige une certification ISO 27001 de base. L'objectif 20 (supervision de la sécurité) attend une capacité de détection réellement active, pas seulement une politique de journalisation. L'objectif 19 (administration depuis des ressources dédiées) impose une séparation physique ou logique stricte des postes d'administration, un point que peu d'organisations traitent au niveau de détail requis même lorsqu'elles sont certifiées. L'objectif 18 (sécurisation de la configuration) va au-delà d'une simple baseline documentée et attend une vérification effective de l'absence de dérive.

Les obligations réglementaires propres à NIS2 ne sont pas couvertes par un SMSI. L'enregistrement de l'entité auprès de l'ANSSI, la notification d'incident dans les délais imposés par la directive, ou encore l'approbation et la supervision des mesures de gestion des risques par les organes de direction sont des obligations légales distinctes du système de management, même si un SMSI mature en facilite grandement la mise en œuvre.

La proportionnalité joue dans les deux sens. Un contrôle ISO 27001 marqué « non applicable » dans votre SoA, avec une justification parfaitement recevable pour votre certification, peut correspondre à un objectif ReCyF qui, lui, sera attendu sans exception si vous êtes entité essentielle. La SoA d'un SMSI et le périmètre d'un contrôle NIS2 ne se recouvrent pas nécessairement à l'identique.

#Comment anticiper concrètement, sans attendre le décret

Voici la méthode que nous recommandons aux dirigeants qui veulent avancer sans se précipiter sur un cadre qui n'est pas encore figé.

Première étape : clarifier votre statut. Déterminez si vous êtes potentiellement entité essentielle, entité importante, ou hors du champ de NIS2, à partir de votre secteur d'activité et de votre taille. L'ANSSI a mis en place l'outil MonEspaceNIS2, actuellement en version bêta, pour une auto-évaluation indicative. Vous pouvez aussi utiliser notre diagnostic dédié.

Deuxième étape : réaliser un état des lieux face aux 20 objectifs. Si vous êtes déjà certifié ISO 27001, croisez votre SoA avec le tableau de correspondance ci-dessus, objectif par objectif, en vérifiant réellement le contenu des preuves et pas seulement la présence d'un contrôle dans votre référentiel. Si vous n'avez aucun cadre formel, priorisez les objectifs 1 à 15, qui s'appliquent quelle que soit votre catégorie.

Troisième étape : documenter une note de cadrage datée. Consignez par écrit, avec validation de la direction, votre analyse du champ d'application et votre plan d'action priorisé. Ce document n'a pas de valeur d'opposabilité aujourd'hui, mais il constitue une preuve de diligence raisonnable qui aura de la valeur le jour où le décret sera publié, et qui rassure déjà vos clients et partenaires dans leurs questionnaires de sécurité fournisseurs.

Quatrième étape : traiter les objectifs 16 à 20 comme une trajectoire, pas une urgence. S'ils vous concernent en tant qu'entité essentielle, ce sont les cinq objectifs les plus structurants à budgéter sur la durée (approche par les risques formalisée, audits réguliers, durcissement de configuration, administration dédiée, supervision active), pas ceux à traiter dans l'urgence avant un décret encore hypothétique.

Cinquième étape : surveiller la publication du décret. Le calendrier reste incertain compte tenu du blocage parlementaire, mais la procédure engagée par la Commission européenne devant la CJUE augmente la pression pour une adoption rapide une fois l'examen en séance repris. Le jour où le décret d'application de l'article 14 sera publié, les objectifs de sécurité deviendront obligatoires sans délai de grâce annoncé à ce stade.

#En synthèse

Le retard de la France sur la transposition de NIS2 est désormais un contentieux européen, pas seulement un débat parlementaire. Mais ce retard législatif ne doit pas être confondu avec une absence de référentiel technique : l'ANSSI a publié, avec le ReCyF, un document précis, structuré en 20 objectifs et quatre piliers, qui préfigure très concrètement ce que la réglementation exigera. Ce document reste un document de travail, non opposable, et il le restera tant que la loi Résilience et ses décrets ne seront pas publiés.

Pour une organisation déjà engagée en ISO 27001, l'essentiel du chemin sur les objectifs 1 à 15 est souvent déjà parcouru, à condition de vérifier réellement le niveau de preuve, pas seulement la présence d'un contrôle sur le papier. Pour une entité essentielle, les objectifs 16 à 20 dessinent une feuille de route claire à budgéter sereinement. Dans les deux cas, la meilleure stratégie n'est ni l'attentisme, en attendant un décret qui traîne, ni la précipitation, en communiquant sur une conformité qui n'a pas encore de valeur légale. C'est l'anticipation méthodique, documentée, et alignée sur un cadre qui deviendra la référence des futurs contrôles ANSSI.

Vous voulez savoir où vous en êtes réellement face au ReCyF ? Notre audit gap ISO 27001, mené par un Lead Auditor certifié, cartographie vos preuves existantes face aux 93 contrôles de l'Annexe A et identifie les écarts prioritaires, y compris ceux qui comptent pour NIS2. Comptez de 5 000 à 12 000 € HT selon votre taille, sur 5 à 10 jours. Découvrir l'audit gap ISO 27001 →

Une question sur votre situation spécifique ? Écrivez-nous à [email protected], nous répondons rapidement.

Équipe M-KIS, Lead Auditor ISO 27001, 100 % open source.