Le ReCyF est le référentiel de cybersécurité français issu de la directive européenne NIS 2. Il définit 20 objectifs de sécurité obligatoires pour les entités importantes et essentielles, et précise les moyens acceptables pour en démontrer la conformité.
Le ReCyF est le référentiel de cybersécurité français issu de la directive européenne NIS 2. Il définit 20 objectifs de sécurité pour les entités importantes et essentielles, et précise les moyens acceptables pour en démontrer la conformité.
Le ReCyF (Référentiel Cyber France) est le cadre réglementaire national qui traduit concrètement les obligations de la directive européenne NIS 2 en matière de gestion des risques cyber.
Il se compose de deux niveaux distincts :
Les objectifs de sécurité : ce sont les obligations réglementaires fixées par décret. Leur atteinte est obligatoire. Ils répondent à la question "Quoi faire ?".
Les moyens acceptables de conformité : ce sont les mesures concrètes proposées par l'ANSSI pour atteindre chaque objectif. Leur application n'est pas obligatoire (une entité peut y substituer des mesures alternatives) mais les adopter permet de faciliter la démonstration de conformité lors d'un contrôle. Ils répondent à la question "Comment faire ?".
Le ReCyF s'inscrit dans la transposition nationale de la directive NIS 2 via le Projet de Loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (PJL).
Son objectif est double : donner aux entités concernées un cadre clair et actionnable pour élever leur niveau de sécurité, et permettre à l'ANSSI de contrôler le respect de ces obligations de manière homogène sur l'ensemble du territoire.
Le ReCyF s'applique à trois catégories d'entités :
Elles sont soumises aux objectifs de sécurité 1 à 15. Ce socle couvre la gouvernance, la protection des systèmes, la défense et la résilience de base.
Elles sont soumises à l'intégralité des 20 objectifs — les 15 communs avec les EI, plus 5 objectifs supplémentaires (16 à 20) qui imposent notamment une approche par les risques, des audits réguliers, le durcissement des configurations, l'administration depuis des ressources dédiées et la supervision de sécurité.
Les Opérateurs d’Importance Vitale (OIV) pourraient également être concernés pour certains systèmes d’information, en fonction de l’articulation finale entre les cadres LPM et ReCyF.
Le principe de proportionnalité s'applique : les objectifs 16 à 20 ne concernent que les EE, en raison de leur niveau de criticité plus élevé.
La logique du ReCyF repose sur une séparation claire entre la fin (l'objectif) et les moyens (la façon d'y parvenir).
Une entité peut démontrer sa conformité à un objectif de deux façons :
Certains moyens permettent également de se prévaloir de certifications ou qualifications reconnues : la norme ISO/IEC 27001:2022, les prestations qualifiées ANSSI (PASSI, PACS, PAMS, PDIS) constituent des preuves recevables pour couvrir tout ou partie de certains objectifs.
Le ReCyF organise ses 20 objectifs autour de quatre piliers :
Le ReCyF est la traduction opérationnelle française des obligations de l'article 21 de la directive NIS 2, qui impose aux entités de prendre des mesures appropriées pour gérer les risques pesant sur leurs réseaux et systèmes d'information.
Chaque objectif de sécurité du ReCyF correspond à une ou plusieurs dispositions de NIS 2. Par exemple : l'OS12 (gestion des incidents) répond à l'article 21.2.b ; l'OS13 (continuité d'activité) à l'article 21.2.c ; l'OS10 (gestion des identités) à l'article 21.2.j.
Lors d'un contrôle ANSSI, une entité peut s'appuyer sur plusieurs types de preuves :
Le document est actuellement une version de travail (v2.5 du 17/03/2026). Son entrée en vigueur définitive est liée à la publication du décret pris en application de l'article 14 du PJL.
Les Entités Essentielles ont des obligations plus étendues (20 objectifs contre 15) et des exigences renforcées sur certains points comme l'authentification multifacteur, le cloisonnement réseau, la supervision ou l'approche par les risques.
Oui, partiellement. Une certification ISO/IEC 27001:2022 peut être invoquée lors d'un contrôle pour démontrer la conformité aux objectifs qu'elle couvre, sur le périmètre couvert par la certification.
C'est une mesure concrète proposée par l'ANSSI pour atteindre un objectif. Son application n'est pas obligatoire, mais si une entité l'applique, elle peut s'en prévaloir lors d'un contrôle sans avoir à en démontrer davantage la pertinence.
Oui. Lorsqu'une entité externalise tout ou partie de son SI, celui-ci reste sous sa responsabilité et n'est pas considéré comme un SI tiers au sens du référentiel. Les obligations s'appliquent donc pleinement.
Le ReCyF est le référentiel de cybersécurité français issu de la directive européenne NIS 2. Il définit 20 objectifs de sécurité obligatoires pour les entités importantes et essentielles, et précise les moyens acceptables pour en démontrer la conformité.
Le Payment Card Industry Data Security Standard (aussi appelé PCI-DSS pour faire plus court) est un ensemble de normes de sécurité destiné à assurer que toutes les entreprises acceptant, traitant, stockant ou transmettant des informations de carte de crédit maintiennent un environnement sécurisé.
Dans le paysage cyber actuel, il ne suffit plus de mettre en place des solutions de protection. La conformité aux normes et aux réglementations est rapidement devenue un paramètre essentiel pour garantir la sécurité des informations – et donc la confiance des utilisateurs. Parmi ces normes se trouve la norme SOC 2 (Service Organization Control 2), devenue incontournable.
