Référentiel · 8 min · mis à jour le 4 novembre 2026
ReCyF : comprendre le référentiel cyber France de l'ANSSI
Le ReCyF est le référentiel publié par l'ANSSI pour décliner les mesures de NIS 2 en France. Sa version de travail 2.5 date du 17 mars 2026. C'est la base de notre questionnaire d'audit.
Objectifs et moyens acceptables de conformité
Le ReCyF distingue deux niveaux. Les objectifs de sécurité répondent à la question « quoi ? » : leur atteinte sera obligatoire, via le décret d'application. Les moyens acceptables de conformité répondent à la question « comment ? » : ce sont les mesures proposées par l'ANSSI.
Les moyens acceptables ne sont pas obligatoires, mais les appliquer permet de démontrer que l'objectif est atteint. Une entité peut choisir une mesure différente, à condition de la justifier dans son analyse de conformité.
20 objectifs, 4 piliers
| Pilier | Objectifs |
|---|---|
| Gouvernance | 1 Recensement des SI · 2 Gouvernance · 3 Écosystème · 4 Ressources humaines · 5 Maîtrise des SI · 16 Approche par les risques · 17 Audits |
| Protection | 6 Accès physiques · 7 Architecture · 8 Accès distants · 9 Codes malveillants · 10 Identités et accès · 11 Administration · 18 Configuration · 19 Postes d'administration |
| Défense | 12 Incidents · 20 Supervision |
| Résilience | 13 Continuité · 14 Crises · 15 Exercices |
Ce qui s'applique aux EI et aux EE
Les objectifs 1 à 15 s'appliquent aux entités importantes et essentielles. Les objectifs 16 à 20 (analyse de risques, audits, durcissement, postes d'administration dédiés, supervision) s'appliquent aux seules entités essentielles.
À l'intérieur des objectifs communs, chaque moyen acceptable précise s'il est attendu d'une EI. Au total, une EI a 77 mesures à couvrir, une EE 152.
Les raccourcis reconnus par l'ANSSI
- Certification ISO/CEI 27001:2022 : peut démontrer les objectifs 2 (gouvernance) et 16 (approche par les risques) sur le périmètre certifié.
- Prestation PACS qualifiée : objectifs 12, 14, 15 et 16, avec suivi du plan d'action.
- Prestation PASSI qualifiée : objectif 17 (audits).
- Prestation PAMS qualifiée : une partie de l'objectif 19 (administration).
- Prestation PDIS qualifiée : une partie de l'objectif 20 (supervision).
Le périmètre : tous vos SI par défaut
Les objectifs s'appliquent à l'ensemble de vos systèmes d'information. Un SI peut être exclu seulement si une analyse de risques montre qu'il n'expose à aucun risque d'interruption de vos activités, de divulgation d'informations sensibles ou d'altération d'informations nécessaires. Le fait d'avoir déjà sécurisé un SI ne suffit pas à l'exclure.
Questions fréquentes
Le ReCyF est-il obligatoire ?
Les objectifs de sécurité le seront via le décret d'application. Les moyens acceptables de conformité ne sont pas obligatoires, mais ils sont le moyen le plus simple de démontrer la conformité lors d'un contrôle.
Le ReCyF peut-il encore changer ?
Oui, la version 2.5 est une version de travail. La version définitive accompagnera le décret. Notre outil suit les évolutions du référentiel.
Comment s'en servir concrètement