Référentiel ReCyF de l’ANSSI : mode d’emploi pour les entreprises

Le référentiel ReCyF intrigue autant qu’il rassure les entreprises concernées par NIS2. En effet, ce document technique traduit un texte européen souvent abstrait en mesures concrètes. Il a été publié par l’ANSSI le 17 mars 2026. Pourtant, beaucoup d’entreprises ne savent pas par où commencer face à ce document dense. C’est pourquoi cet article détaille la structure du référentiel ReCyF, ses vingt objectifs, et la marche à suivre pour l’utiliser concrètement dans votre entreprise.

Référentiel ReCyF : qu’est-ce que ce document exactement ?

Le Référentiel Cyber France, ou ReCyF, définit les mesures de sécurité attendues des entités essentielles et importantes au titre de NIS2. Concrètement, il traduit les grands principes du texte européen en exigences techniques précises. L’ANSSI l’a publié le 17 mars 2026, sous une version encore qualifiée de travail. Par ailleurs, le document reste accessible via la plateforme MesServicesCyber, aux côtés d’un comparateur qui aide chaque entreprise à situer sa maturité actuelle. Ce comparateur constitue d’ailleurs un point de départ pratique, plutôt que de lire l’intégralité du document sans méthode.

Référentiel ReCyF : vingt objectifs organisés en quatre blocs

Le référentiel ReCyF structure ses exigences en vingt objectifs distincts, répartis en quatre blocs thématiques. Ainsi, cette organisation facilite une lecture progressive, plutôt qu’une découverte en vrac. En pratique, chaque bloc peut être traité comme un projet distinct, avec son propre responsable et son propre calendrier.

Bloc 1 : gouvernance et pilotage

Les objectifs 1 à 5 couvrent la gouvernance. D’abord, ils imposent une cartographie précise des systèmes d’information. Ensuite, ils exigent une définition claire des rôles et responsabilités. Une politique de sécurité des systèmes d’information formalisée en fait aussi partie. Enfin, la gestion des tiers et de la chaîne d’approvisionnement complète ce premier bloc, un point souvent négligé par les petites structures.

Bloc 2 : protection des systèmes d’information

Les objectifs 6 à 10 couvrent la protection technique. Tout d’abord, le contrôle des accès en constitue le socle, avec l’authentification multifacteur recommandée. Vient ensuite le chiffrement des données sensibles. Enfin, la gestion rigoureuse des configurations et la sécurité des réseaux complètent ce bloc, aux côtés de la sécurité physique des locaux et des équipements.

Bloc 3 : défense et détection

Les objectifs 11 et 12 couvrent la surveillance active. D’une part, ils portent sur le contrôle de l’administration des systèmes d’information. D’autre part, ils couvrent l’identification et la réponse rapide aux incidents de sécurité, un point qui rejoint directement les obligations de notification prévues par NIS2.

Bloc 4 : résilience et réaction

Les objectifs 13 à 15 couvrent la continuité d’activité. Ainsi, chaque entité doit définir et maintenir à jour un plan de continuité adapté à son activité réelle. La gestion des crises cyber en fait également partie, tout comme des exercices réguliers pour tester la préparation des équipes. Par ailleurs, les objectifs 16 à 20, réservés aux entités essentielles, ajoutent des exigences renforcées : approche par les risques, audits réguliers, durcissement des configurations, administration depuis des ressources dédiées.

La grille d’auto-diagnostic en 12 questions

Avant de vous lancer dans le comparateur officiel, un test rapide : cochez mentalement ce que votre entreprise fait déjà, bloc par bloc. Trois « non » sur un même bloc ? C’est probablement par là qu’il faut commencer.

Cette grille est une illustration pédagogique inspirée des thèmes du ReCyF, pas une reproduction du texte officiel de l’ANSSI. Le comparateur disponible sur MesServicesCyber reste la référence pour une évaluation formelle.

Référentiel ReCyF : comment évaluer votre niveau de maturité actuel ?

La plateforme MesServicesCyber propose un comparateur dédié. Cet outil permet à une entreprise de situer ses pratiques actuelles face aux vingt objectifs du référentiel. Il ne s’agit pas d’un audit formel au sens strict, mais d’une première photographie utile et rapide à obtenir. Une entreprise qui débute sa mise en conformité gagne à passer par cet outil avant de se lancer dans un plan d’action détaillé. Cela évite de disperser ses efforts sur des objectifs déjà largement couverts, au détriment de ceux qui restent véritablement fragiles. Un budget cybersécurité limité gagne toujours à cibler ses priorités réelles plutôt qu’à saupoudrer ses moyens sur l’ensemble du référentiel.

Référentiel ReCyF : est-il juridiquement obligatoire ?

Le référentiel ReCyF reste, à ce stade, un document de référence plutôt qu’une obligation légale directe. En effet, le cadre juridique de NIS2 impose les grands principes de sécurité, tandis que le ReCyF propose une façon concrète de les respecter. Une entreprise n’est donc pas tenue de suivre ce référentiel mot pour mot. Elle reste toutefois fortement encouragée à s’en inspirer, car il représente l’interprétation officielle de l’ANSSI sur ce qu’une bonne conformité implique en pratique. Ainsi, en cas de contrôle, s’appuyer sur le ReCyF facilite la démonstration de sa bonne foi.

Mise à jour du 28 juillet 2026 : la loi résilience, qui doit transposer NIS2 en droit français et rendre ces obligations réellement contraignantes, n’est toujours pas votée. Son examen en séance plénière, un temps annoncé pour juillet 2026, a été reporté à l’automne, au plus tôt en septembre. Conséquence directe de ce retard : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France pour défaut de transposition de la directive. En clair, le texte qui doit rendre le ReCyF pleinement opposable n’existe pas encore, mais l’ANSSI avance déjà sans attendre le vote du Parlement. Pour une entreprise, ce flou juridique ne justifie pas d’attendre : le référentiel reste le meilleur guide disponible, et l’appliquer par anticipation évite un rattrapage précipité une fois la loi votée.

Référentiel ReCyF : par où commencer concrètement ?

Une entreprise qui découvre ce référentiel n’a pas besoin de tout traiter en même temps. D’abord, le bloc 1, consacré à la gouvernance, forme une base logique de départ. En effet, sans cartographie claire des systèmes et sans rôles définis, les blocs suivants deviennent difficiles à mettre en œuvre sérieusement. Une fois cette base posée, le bloc 2 sur la protection technique prend le relais. Ensuite, les blocs 3 et 4, plus avancés, viennent consolider la détection et la résilience. Au final, cette progression par étapes reste plus réaliste qu’une tentative de tout mettre en place en quelques semaines.

Référentiel ReCyF et notification d’incident : un lien direct

Le bloc 3 du ReCyF rejoint directement les obligations de notification d’incident sous 24 heures imposées par NIS2. Ainsi, une entreprise qui a déjà mis en place une détection efficace, conformément à l’objectif 12, dispose d’une longueur d’avance pour respecter ce délai serré. Par conséquent, traiter ces deux chantiers ensemble, plutôt que séparément, évite de découvrir un manque de préparation au pire moment possible. En effet, cette découverte tardive survient trop souvent en pleine gestion d’un incident réel, quand il est déjà trop tard pour corriger le tir.

Référentiel ReCyF : un exemple concret d’application

Prenons une ETI industrielle qui découvre le ReCyF pour la première fois. Elle commence par le comparateur MesServicesCyber. Le résultat montre une gouvernance déjà correcte, mais des lacunes sur la gestion des tiers. Elle dresse alors la liste de ses prestataires critiques : hébergeur cloud, éditeur de son logiciel de production, société de maintenance informatique. Elle demande à chacun un point sur ses propres pratiques de sécurité, condition posée par l’objectif 5 du bloc 1. Or, cette démarche simple révèle parfois des surprises, quand un prestataire jugé fiable se montre finalement mal préparé.

Et ensuite, comment la démarche progresse-t-elle ?

Ce travail, réalisé en quelques semaines, comble une lacune identifiée dès la première évaluation. En outre, il ne coûte presque rien financièrement : il demande surtout de la coordination interne et un peu de temps administratif bien réparti entre les équipes concernées. L’entreprise passe ensuite au bloc 2, avec un audit de ses accès et de son chiffrement. Ainsi, cette progression méthodique, bloc après bloc, reste plus efficace qu’une tentative de tout corriger en même temps. Elle permet aussi de mesurer des progrès concrets à chaque étape, un point utile pour maintenir la mobilisation des équipes sur la durée.

Comment utiliser le référentiel ReCyF dans votre entreprise ?

Quelques actions concrètes permettent de démarrer sans se perdre dans le document :

• Consultez le comparateur disponible sur MesServicesCyber pour obtenir une première photographie de votre maturité actuelle.
• Commencez par le bloc 1, gouvernance et pilotage, avant de vous attaquer aux blocs plus techniques.
• Identifiez vos prestataires et fournisseurs critiques, un point souvent sous-estimé de la gestion de la chaîne d’approvisionnement.
• Vérifiez si votre entreprise relève des entités essentielles, ce qui ajoute les objectifs 16 à 20 à votre feuille de route.
• Documentez chaque action entreprise, pour pouvoir démontrer votre bonne foi en cas de contrôle de l’ANSSI.
• Planifiez une révision annuelle de votre niveau de conformité, car le référentiel continuera d’évoluer après sa version de travail actuelle.

FAQ : les questions fréquentes sur le référentiel ReCyF

Le ReCyF remplace-t-il le texte européen de NIS2 ?

Non. Il traduit les principes de NIS2 en mesures pratiques françaises, sans se substituer au texte européen qui reste la base juridique de l’obligation.

Une PME doit-elle appliquer les vingt objectifs du ReCyF ?

Les objectifs 16 à 20 concernent surtout les entités essentielles. Une entité importante applique en priorité les objectifs 1 à 15, adaptés à sa taille et à son activité.

Le comparateur MesServicesCyber est-il gratuit ?

Oui, cet outil d’auto-évaluation reste accessible gratuitement à toute entreprise concernée par NIS2, sans frais ni abonnement particulier.

Le référentiel ReCyF va-t-il encore évoluer après mars 2026 ?

Oui, très probablement. La version publiée en mars 2026 reste qualifiée de version de travail. Des ajustements sont attendus au fil des retours des entreprises et des premiers contrôles menés par l’ANSSI.

Une entreprise peut-elle se faire accompagner pour appliquer le ReCyF ?

Oui. De nombreux prestataires en cybersécurité proposent déjà des audits basés directement sur les vingt objectifs du référentiel, un point de départ utile pour une entreprise sans expertise interne dédiée.

Faut-il attendre le vote de la loi résilience pour appliquer le ReCyF ?

Non. Le calendrier parlementaire reste incertain, avec un examen désormais annoncé pour l’automne 2026 au plus tôt. NIS2 reste une obligation européenne indépendamment de la transposition française, et la Commission européenne a d’ailleurs saisi la CJUE le 8 juillet 2026 pour ce retard. Attendre la loi pour commencer expose à un rattrapage brutal une fois le texte voté.

Ce qu’il faut retenir sur le référentiel ReCyF

Le référentiel ReCyF transforme un texte européen souvent abstrait en vingt objectifs concrets, répartis en quatre blocs progressifs. D’abord la gouvernance, qui ouvre la marche, puis la protection technique, la détection, et enfin la résilience. Une entreprise qui commence par le comparateur MesServicesCyber gagne d’ailleurs un temps précieux pour prioriser ses efforts. Certes, le document n’impose pas juridiquement chaque mesure à la lettre. Il reste toutefois la référence la plus fiable pour comprendre ce qu’une bonne conformité NIS2 implique concrètement. Aussi, avancer bloc par bloc, plutôt que de viser une conformité totale immédiate, reste la méthode la plus réaliste pour la grande majorité des entreprises concernées. Concrètement, un plan d’action étalé sur douze à dix-huit mois convient à la plupart des structures de taille intermédiaire. Enfin, des jalons clairs à chaque trimestre aident à garder le rythme sur toute la durée du projet.