ReCyF : le référentiel cyber France de l'ANSSI

Le ReCyF, pour référentiel de cybersécurité France (l'ANSSI parle aussi de « Référentiel Cyber France »), est le document par lequel l'Agence nationale de la sécurité des systèmes d'information traduit les exigences de l'article 21 de NIS 2 en objectifs et en mesures concrètes. Il correspond au référentiel de cybersécurité mentionné à l'article 14 du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

L'ANSSI l'a présenté le 17 mars 2026 au Campus Cyber, lors d'une rencontre avec des acteurs institutionnels, sectoriels et publics concernés par NIS 2, et l'a mis en ligne sur MesServicesCyber. Selon Next, son directeur général, Vincent Strubel, le décrit comme co-construit avec des organisations professionnelles et des associations d'élus, et invite les futures entités régulées à le mettre en œuvre sans attendre la transposition.

L'agence a aussi annoncé un référentiel de mesures de base, distinct du ReCyF mais tiré de lui, destiné aux structures les moins matures dans le cadre de son programme Cyber Départ. Pour le contexte législatif, voyez notre article Loi résilience : où en est la transposition de NIS 2 ?.

Le ReCyF regroupe ses objectifs en grands thèmes : gouvernance, protection, défense et résilience des systèmes d'information. En application du principe de proportionnalité, les cinq derniers ne concernent que les entités essentielles.

Le ReCyF distingue deux niveaux. L'objectif de sécurité dit quoi atteindre. Les moyens acceptables de conformité (MAC) disent comment y parvenir : ce sont des mesures numérotées, chacune marquée selon qu'elle vise les entités importantes, les essentielles ou les deux, certaines étant plus exigeantes pour les essentielles. Les MAC ne sont pas obligatoires, sauf cas particuliers prévus par le projet de loi ; les appliquer permet de démontrer que l'objectif est atteint.

Une entité peut retenir d'autres mesures, à condition d'en justifier la pertinence. Le document prévoit aussi des preuves alternatives :

• une certification ISO/IEC 27001:2022 permet de démontrer l'atteinte de l'objectif 2 (gouvernance) et, pour les entités essentielles, de l'objectif 16 (approche par les risques), sur les systèmes couverts par la certification ;
• le recours à des prestataires qualifiés par l'ANSSI : prestataires d'accompagnement et de conseil en sécurité (PACS), d'audit de la sécurité des systèmes d'information (PASSI), d'administration et de maintenance sécurisées (PAMS) ou de détection des incidents de sécurité (PDIS).

Le document fixe aussi quelques fréquences : par exemple, la liste des systèmes d'information et la politique de sécurité sont revues au moins chaque année, et une entité essentielle réexamine son analyse de risques au moins tous les trois ans, ou plus tôt après un incident ou un changement majeur. Pour mener cette analyse, voyez notre guide EBIOS RM.

1. Télécharger la version en vigueur sur MesServicesCyber et noter son numéro : elle évoluera.
2. Identifier les objectifs applicables selon votre catégorie probable (1 à 15, ou 1 à 20), voir le chapitre entités essentielles et importantes.
3. Cartographier l'existant : l'outil de comparaison de l'ANSSI permet de rapprocher le ReCyF des référentiels, normes et réglementations que vous suivez déjà.
4. Évaluer chaque MAC sur le périmètre retenu, avec des preuves, et justifier les mesures alternatives.
5. Prioriser les écarts à l'aide de l'analyse de risques et les inscrire dans un plan d'action approuvé par la direction.