Un référentiel facultatif, mais opposable en cas de contrôle

Diffusé depuis mars 2026 sous forme de document de travail, le Référentiel Cyber France (ReCyF) recense les mesures recommandées par l’ANSSI pour atteindre les objectifs de sécurité fixés par NIS 2. Il correspond au référentiel mentionné à l’article 14 du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Si son application n’est pas obligatoire, les futures entités assujetties qui le suivront pourront s’en prévaloir lors d’un contrôle de l’ANSSI[1].

Adopté par le Sénat en mars 2025, le texte devait être examiné en séance publique à l’Assemblée nationale début octobre. La conférence des présidents l’a retiré de l’ordre du jour le 6 octobre, sans fixer de nouvelle date.

Trois fiches consacrées à la protection des systèmes

Lancée début septembre, la collection de fiches « ReCyF en pratique » s’adresse aux équipes techniques chargées d’appliquer le référentiel. Elle s’organise en cinq rubriques : défense, protection, gouvernance, résilience et obligations NIS 2. Les trois fiches déjà publiées relèvent toutes de la rubrique protection[2].

La fiche sur la gestion des identités traite des mécanismes d’authentification, du cycle de vie des comptes et du cas particulier des comptes partagés. Celle consacrée aux architectures sécurisées aborde le cloisonnement des systèmes, le filtrage des flux et les accès à distance. La troisième porte sur l’administration des systèmes d’information et précise comment maîtriser et protéger les comptes et les ressources d’administration.

Les trois points clés à retenir

• Trois fiches pratiques : l’ANSSI détaille la gestion des identités, les architectures sécurisées et l’administration des systèmes, premières déclinaisons opérationnelles du ReCyF.
• Un référentiel facultatif : le ReCyF n’est pas obligatoire, mais son application pourra être invoquée lors d’un contrôle de l’ANSSI.
• Transposition en attente : l’examen du projet de loi Résilience, qui transpose NIS 2, a de nouveau été reporté à l’Assemblée nationale, sans nouvelle date.

[1] La directive NIS 2 – cyber.gouv.fr

[2] Fiches pratiques ReCyF – MesServicesCyber, ANSSI