NIS 2 en France :
ce que le RECYF va demander aux entreprises
La directive européenne NIS 2 étend les obligations de cybersécurité à des milliers d’organisations. En France, l’ANSSI traduit ces obligations dans un référentiel unique, le RECYF (Référentiel Cyber France) : 20 objectifs de sécurité, deux niveaux d’exigence selon la taille et la criticité de l’entité.
De la directive européenne au référentiel français
Trois textes s'emboîtent : la directive fixe le cap, la loi française la transpose, le RECYF traduit le tout en exigences concrètes et contrôlables.
Directive NIS 2
La directive (UE) 2022/2555 élargit massivement le périmètre de son aînée NIS 1 : 18 secteurs d'activité concernés, des obligations de gestion des risques et de notification d'incidents.
Loi résilience et cybersécurité
Le projet de loi transpose la directive en droit français : il définit qui est entité importante ou essentielle, les pouvoirs de contrôle de l'ANSSI et le régime de sanctions.
RECYF
Le Référentiel Cyber France décline les obligations légales en 20 objectifs de sécurité concrets, contrôlables, accompagnés de moyens acceptables de conformité.
Deux catégories d'entités, deux niveaux d'exigence
La loi classe les organisations concernées en entités importantes ou essentielles selon leur secteur et leur taille. Le RECYF applique un principe de proportionnalité : mêmes objectifs de base pour tous, mesures renforcées et objectifs supplémentaires pour les entités essentielles.
Le socle : inventaire des SI, gouvernance portée par le dirigeant, maîtrise des prestataires, gestion des accès, correctifs, sauvegardes testées chaque année, gestion des incidents et des crises.
Le socle avec des mesures renforcées, plus 5 objectifs propres : analyse de risques, audits de sécurité réguliers, durcissement des configurations, administration depuis des ressources dédiées, supervision de sécurité.
Les 20 objectifs, classés en 4 piliers
Chaque objectif est obligatoire. Le référentiel propose ensuite, pour chacun, des « moyens acceptables de conformité » : la façon dont l'ANSSI recommande de l'atteindre.
Gouvernance7 objectifs
Protection8 objectifs
Défense2 objectifs
Résilience3 objectifs
Les délais et fréquences qui structurent la conformité
Ce qui pèse surtout sur les entités essentielles
Au-delà des 5 objectifs qui leur sont réservés, les EE doivent aller plus loin sur la plupart des objectifs communs. Six exemples parlants.
Un interlocuteur désigné pour l'ANSSI
Le dirigeant nomme au moins une personne qui le conseille et devient le point de contact de l’ANSSI pour les incidents et les échanges réglementaires.
Fin du BYOD
Seuls les équipements gérés par l’entité ou son prestataire peuvent se connecter aux SI. Les EI peuvent continuer à encadrer l’usage d’appareils personnels.
Authentification multifacteur obligatoire
Pour tout accès distant des personnels et prestataires, avec au moins un facteur de connaissance. Disques des postes nomades chiffrés en permanence.
Administration isolée
Réseau d’administration dédié, postes physiques réservés aux actions d’administration, comptes distincts pour le « cœur de confiance » (annuaires type Active Directory).
Audits et tests d'intrusion réguliers
Programme d’audit couvrant l’ensemble des SI, incluant au minimum un test d’intrusion, un audit de configuration, d’architecture ou organisationnel, et un plan de correction suivi.
Plans de continuité et de reprise
Définition, activité par activité, de la durée maximale d’interruption admissible et du point de reprise des données, avec un PCA et un PRA adaptés aux crises cyber.
Comment lire le référentiel
L'objectif de sécurité
C’est l’obligation fixée par décret. Son atteinte est obligatoire et contrôlable par l’ANSSI. Une entité peut écarter un SI du périmètre uniquement si une analyse de risques prouve qu’il n’expose ni ses activités, ni ses informations sensibles.
Les moyens acceptables de conformité
Les mesures concrètes proposées par l’ANSSI pour atteindre l’objectif. Elles ne sont pas obligatoires : une entité peut choisir une autre voie, à condition de la justifier lors d’un contrôle.
Certifications et prestations qualifiées
- ISO/CEI 27001:2022 pour la gouvernance et l’analyse de risques
- PASSI (audit qualifié ANSSI) pour l’audit de sécurité
- PACS pour la gestion des incidents, des crises et les exercices
- PAMS pour l’administration sécurisée
- PDIS pour la supervision de sécurité
Comment BZHunt vous emmène vers la conformité
Chacune de nos expertises répond directement à un ou plusieurs objectifs du RECYF — du cadrage initial jusqu'aux tests d'intrusion exigés des entités essentielles.
Gouvernance & Risques
Cadrage, PSSI, analyse de risques et maîtrise de l'écosystème : nous structurons votre gouvernance sur le modèle ISO 27001 attendu par le référentiel.
Audits & Tests d'intrusion
Pentest, audit de configuration, d'architecture et organisationnel : exactement le programme d'audit exigé des entités essentielles, avec plan de correction suivi.
Exercices de crise & Formation
Exercices de gestion de crise cyber, entraînements et sensibilisation des équipes IT et managériales pour tenir l'exigence d'entraînement régulier.
Réponse à incident
Détection, confinement, analyse forensique et remédiation : nous vous aidons à bâtir et éprouver votre capacité de réaction aux incidents.
Anticipez le RECYF avant qu'il ne devienne obligatoire
État des lieux, feuille de route et mise en conformité : discutons de votre situation face aux 20 objectifs et priorisons ensemble les chantiers.
Source : ANSSI, RECYF « Référentiel Cyber France », version de travail 2.5 du 17/03/2026, mesures de gestion des risques en matière de cybersécurité (transposition nationale de NIS 2). Synthèse réalisée par BZHunt.