ReCyF : le référentiel arrive avant la loi

Un référentiel technique publié avant la loi qu'il décline. C'est inhabituel, et c'est une fenêtre de préparation.

Publié le 2 avril 2026 par Cédric Lécuyer. 7 minutes de lecture.

De quoi il s'agit

Le Référentiel Cyber France, ReCyF, est le document par lequel l'Agence nationale de la sécurité des systèmes d'information traduit en exigences opérationnelles les mesures de gestion des risques prévues par la directive NIS 2.

Sa version 2.5, datée du 17 mars 2026, porte une mention qu'il faut relever d'emblée : il s'agit d'un document de travail. Le référentiel se présente comme celui mentionné au sixième alinéa de l'article 14 du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Un projet, pas une loi promulguée.

Cette précision n'est pas un détail juridique. Elle signifie que le contenu peut encore évoluer, et qu'aucune obligation n'est aujourd'hui exigible sur ce fondement. Elle signifie aussi que les organisations concernées disposent, dès maintenant, d'une description précise de ce qui leur sera demandé.

Vingt objectifs, deux niveaux d'exigence

Le référentiel s'organise en objectifs de sécurité, chacun assorti de moyens acceptables de conformité. La distinction structure tout le document.

L'objectif de sécurité répond à la question du quoi. Son atteinte est obligatoire, et il correspond à une obligation fixée par décret. Le moyen acceptable de conformité, lui, est une mesure proposée par l'ANSSI pour atteindre l'objectif : il n'est pas imposé, mais une entité qui l'applique peut s'en prévaloir pour démontrer qu'elle a atteint l'objectif.

Quinze objectifs s'appliquent aux entités importantes comme aux entités essentielles. Ils couvrent le recensement des systèmes d'information, la gouvernance de la sécurité numérique, la maîtrise de l'écosystème, l'intégration de la sécurité dans la gestion des ressources humaines, la maîtrise des systèmes d'information, la maîtrise des accès physiques aux locaux, la sécurisation de l'architecture et des accès distants, la protection contre les codes malveillants, la gestion des identités et des accès, la maîtrise de l'administration, l'identification et la réaction aux incidents, la continuité et la reprise d'activité, la réaction aux crises d'origine cyber, et les exercices, tests et entraînements.

Cinq objectifs supplémentaires, numérotés 16 à 20, ne s'appliquent qu'aux entités essentielles, en application du principe de proportionnalité : approche par les risques, audit de sécurité, et supervision de la sécurité des systèmes d'information notamment.

Le référentiel précise enfin comment une entité peut se prévaloir, lors d'un contrôle, du recours à des prestations qualifiées par l'ANSSI ou à des certifications aux normes internationales ou européennes, pour démontrer le respect de tout ou partie d'un objectif.

Ce que la structure révèle

Trois choses méritent d'être soulignées, parce qu'elles orientent la façon d'aborder le sujet.

D'abord, ce n'est pas un référentiel technique. Le premier objectif porte sur le recensement des systèmes d'information, le deuxième sur la gouvernance. On reconnaît la logique de tout dispositif de maîtrise des risques : connaître son périmètre, puis organiser la responsabilité, avant de déployer des mesures.

Ensuite, la sécurité physique y est traitée avec la cybersécurité. Un objectif entier porte sur la maîtrise des accès physiques aux locaux. Les organisations qui gèrent ces deux domaines dans des directions distinctes, avec des cartographies séparées, devront les rapprocher.

Enfin, l'objectif 16, l'approche par les risques, est réservé aux entités essentielles mais irrigue tout le reste. Une entité qui applique les quinze premiers objectifs sans avoir identifié ses risques applique des mesures sans savoir ce qu'elle protège.

Le calendrier réel

Le projet de loi a été adopté par le Sénat en mars 2025 et examiné en séance publique à l'Assemblée nationale en juillet 2026. La promulgation est attendue à l'été, les décrets et arrêtés d'application d'ici la fin 2026, avec l'ouverture à cette échéance de l'enregistrement des entités régulées auprès de l'ANSSI. Les premiers contrôles ciblés sont annoncés pour 2027, en commençant par les entités essentielles.

La France a manqué l'échéance de transposition fixée au 17 octobre 2024 par la directive, ce qui lui a valu une procédure d'infraction ouverte par la Commission européenne fin novembre 2024. Ce retard explique la séquence inhabituelle : le référentiel technique circule avant que le texte qui le fonde ne soit promulgué.

Comment l'utiliser dès maintenant

Le changement d'échelle est considérable : le nombre d'entités régulées passerait d'environ 500 sous NIS 1 à un ordre de grandeur de 15 000, réparties sur dix-huit secteurs. Les collectivités territoriales y figurent, régions, départements, communes au-delà d'un seuil de population et leurs groupements.

Pour ces organisations, la fenêtre qui s'ouvre a une valeur pratique. Les objectifs sont connus, les moyens acceptables de conformité sont décrits, et rien n'est encore exigible. C'est le moment de conduire l'écart entre le référentiel et l'existant, sans la pression d'un contrôle.

Le premier travail n'est pas technique. Il consiste à savoir si l'organisation entre dans le périmètre, à quel titre, et donc si les objectifs 16 à 20 lui seront applicables. La réponse détermine l'ampleur de tout le reste, et elle dépend de dispositions qui ne sont pas encore publiées.

Sources

• Référentiel Cyber France, ReCyF, version 2.5 du 17 mars 2026, Agence nationale de la sécurité des systèmes d'information

• Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, Assemblée nationale, dossier législatif

• Projet de loi résilience des infrastructures critiques et cybersécurité, vie-publique.fr