Audit ReCyF : méthode, notation et preuves à préparer

Un audit ReCyF doit commencer par le périmètre des systèmes d’information concernés, puis associer à chaque exigence applicable une conclusion, des éléments de preuve et, lorsqu’un écart existe, une action de remédiation. La difficulté est que le ReCyF ne fournit pas une échelle de maturité prête à l’emploi : il décrit des mesures de cybersécurité, pas une méthode de scoring. Une évaluation opérationnelle doit donc distinguer la conformité à l’exigence d’un éventuel score de maturité utilisé pour le pilotage. Les entretiens seuls ne suffisent pas : les déclarations doivent être recoupées par des documents, configurations, enregistrements ou tests adaptés à l’exigence évaluée.

Qu’est-ce qu’un audit ReCyF ?

Dans cet article, l’expression audit ReCyF désigne une évaluation structurée de la situation d’une organisation par rapport aux mesures du Référentiel Cyber France.

Cette précision est importante.

L’ANSSI présente actuellement ReCyF comme un document de travail regroupant les mesures qu’elle recommande pour atteindre les objectifs de sécurité fixés par NIS2. Au 11 août 2026, l’ANSSI indique également que la transposition française de la directive est toujours en cours.

Le ReCyF disponible sur MesServicesCyber distingue les mesures destinées aux entités importantes et aux entités essentielles et structure les exigences autour d’objectifs de sécurité couvrant notamment la gouvernance, l’écosystème, les ressources humaines, la maîtrise des SI, les accès, les incidents, la continuité, les risques, les audits et la supervision.

ReCyF n’est pas un modèle de certification

Il faut éviter une première confusion : réaliser une évaluation ReCyF ne délivre pas une certification NIS2.

L’ANSSI précise que le ReCyF est à ce stade un document de travail. Sa page NIS2 indique également qu’il correspond au référentiel envisagé par le projet français de transposition et qu’il est, dans le dispositif actuellement présenté, non obligatoire par défaut.

Une organisation peut donc utiliser ReCyF dès maintenant pour :

1. préparer sa trajectoire NIS2 ;
2. réaliser une analyse d’écart ;
3. structurer son plan de sécurisation ;
4. homogénéiser plusieurs évaluations ;
5. préparer les preuves permettant de démontrer les mesures déjà appliquées.

Mais il serait excessif d’écrire dans un rapport :

« L’entreprise est certifiée ReCyF » ou « l’audit garantit la conformité NIS2 ».

Le rapport doit plutôt préciser la version du référentiel utilisée, le périmètre évalué et les limites de l’exercice.

Audit ReCyF et audit de sécurité ReCyF : deux notions à distinguer

Cette distinction est particulièrement importante pour le référencement autour de « audit NIS2 ANSSI ».

Le ReCyF contient lui-même un objectif de sécurité 17 consacré aux audits de sécurité, marqué pour les entités essentielles. Il prévoit notamment un programme d’audit tenant compte de l’analyse de risques, de la criticité et de l’exposition du système d’information. Il précise aussi que l’audit de sécurité peut comporter une activité de test d’intrusion, d’audit de configuration, d’architecture, d’audit organisationnel et physique ou, lorsque cela est pertinent, d’audit de code.

Une auto-évaluation ou évaluation de préparation ReCyF n’est donc pas automatiquement l’audit de sécurité attendu par l’objectif 17.

C’est un point à écrire explicitement dans le rapport.

Ce qu’il faut savoir sur le statut actuel du ReCyF

En août 2026, la bonne pratique consiste à figer la version utilisée pour chaque évaluation.

L’ANSSI continue en effet de présenter ReCyF comme un document de travail tant que les travaux législatifs, réglementaires et de consultation ne sont pas terminés. L’Agence a également mis à disposition un outil de comparaison avec d’autres normes et référentiels pour les organisations déjà engagées dans des démarches de sécurisation.

Dans chaque rapport, conservez donc :

1. la date de l’évaluation ;
2. la version ou l’export ReCyF utilisé ;
3. le statut envisagé de l’entité ;
4. le périmètre évalué ;
5. les exigences retenues ;
6. les éventuelles exclusions ;
7. les mesures alternatives ;
8. la méthode de notation.

Cela permettra de réévaluer proprement la situation lorsque ReCyF évoluera.

Comment préparer une évaluation ReCyF ?

Une évaluation ReCyF peut être conduite en dix étapes.

Étape 1 — Définir le périmètre

Ne commencez pas par remplir les exigences.

Commencez par identifier ce qui est réellement évalué.

Le premier objectif de ReCyF demande précisément à l’entité de recenser ses activités et services, d’identifier les responsables associés et les systèmes d’information qui les supportent. Cette liste doit également être revue périodiquement et lors d’évolutions importantes.

La fiche de cadrage devrait donc contenir au minimum :

Le dernier champ est particulièrement important pendant la période actuelle de transposition.

Ne sélectionnez pas artificiellement une catégorie simplement pour diminuer le nombre d’exigences évaluées.

Étape 2 — Identifier les exigences applicables

Le ReCyF publié sur MesServicesCyber distingue les exigences applicables aux EI, aux EE, ou aux deux catégories via des identifiants tels que 1.1-EI/EE ou 17.1-EE.

La première matrice de travail peut donc contenir :

Il ne faut pas traiter la colonne « non applicable » comme une façon de supprimer une exigence gênante.

Toute exclusion doit être justifiée par :

1. la catégorie de l’entité ;
2. le périmètre du SI ;
3. l’objet de l’exigence ;
4. ou un élément réglementaire applicable.

Le ReCyF prévoit par ailleurs la possibilité, dans le cadre décrit par l’ANSSI, de documenter des mesures alternatives lorsqu’une entité choisit de s’appuyer sur d’autres moyens pour atteindre l’objectif visé. La justification de cette alternative doit apparaître dans l’analyse de conformité.

Étape 3 — Construire la matrice d’évaluation

Une ligne par exigence doit suffire pour retrouver toute l’analyse.

Je recommande au minimum les champs suivants :

Cette structure évite le fonctionnement classique :

Excel d’audit → Word de restitution → nouvel Excel de remédiation.

L’objectif est de conserver une chaîne unique :

exigence → preuve → constat → décision → action.

Étape 4 — Préparer les entretiens

Un entretien ne doit pas demander :

« Êtes-vous conforme à l'exigence 10.C.4 ? »

La question incite à répondre oui ou non sans comprendre réellement la pratique.

Il faut transformer l’exigence en questions opérationnelles.

Prenons la revue des droits d’accès. Le ReCyF prévoit une revue périodique, au minimum annuelle, destinée notamment à vérifier et corriger les anomalies.

Les questions utiles deviennent :

1. Qui est responsable des droits d’accès ?
2. Sur quelles applications réalisez-vous les revues ?
3. À quelle fréquence ?
4. Comment identifiez-vous les droits excessifs ?
5. Qui valide leur maintien ?
6. Comment les anomalies sont-elles corrigées ?
7. Quand la dernière revue a-t-elle eu lieu ?
8. Pouvez-vous montrer le compte rendu ou l’export correspondant ?

Cette méthode distingue la déclaration de l’élément démontré.

Utiliser trois modes de collecte

Pour structurer une évaluation, il est utile de distinguer :

1. examiner : politiques, procédures, exports, tickets, configurations ;
2. interroger : responsables et utilisateurs ;
3. tester : vérifier concrètement qu’un mécanisme produit le résultat attendu.

Cette distinction n’est pas une méthode officielle ReCyF. Elle reprend cependant les trois grandes méthodes d’évaluation définies par le NIST SP 800-53A : examination, interview et test.

Exemple sur une sauvegarde :

1. entretien : « nous sauvegardons quotidiennement » ;
2. examen : configuration du logiciel et historique des jobs ;
3. test : restauration d’un élément représentatif.

Les trois informations n’apportent pas le même niveau d’assurance.

Étape 5 — Examiner les preuves

Le ReCyF ne fournit pas une liste universelle disant :

« Pour obtenir Conforme, fournir exactement les documents A, B et C. »

Les preuves doivent donc être déduites du résultat demandé par chaque exigence.

Une méthode simple consiste à analyser le verbe employé.

Cette grille est une méthode de préparation proposée, pas une liste de preuves publiée par l’ANSSI.

Ne pas confondre document et preuve d’effectivité

Une procédure de gestion des incidents démontre qu’un processus est défini.

Elle ne démontre pas nécessairement qu’il fonctionne.

Pour une mesure mature, recherchez lorsque c’est pertinent :

document → mise en œuvre → contrôle → historique.

Exemple :

1. procédure de gestion des comptes ;
2. export actuel des comptes ;
3. dernière revue ;
4. anomalies identifiées ;
5. tickets de suppression ;
6. validation de la revue.

C’est souvent cette dernière partie qui manque lors des premiers audits.

Étape 6 — Qualifier chaque exigence

C’est ici qu’il faut éviter une erreur fréquente : transformer directement ReCyF en note sur 100.

Le référentiel disponible sur MesServicesCyber organise des exigences et une analyse de conformité, mais ne publie pas de barème de maturité ou de scoring global dans cette présentation. Il demande notamment à l’entité de maintenir une analyse des écarts entre les mesures mises en œuvre et celles prévues par ReCyF.

Il vaut donc mieux conserver deux informations différentes :

Conclusion de conformité

et

niveau de maturité interne, si vous souhaitez en utiliser un.

Nous y revenons plus loin.

Étape 7 — Rédiger les constats

Un constat utile ne dit pas :

« Gestion des sauvegardes insuffisante. »

Il doit pouvoir être compris et défendu par une autre personne.

Utilisez la structure :

critère → observation → preuve → écart → conséquence → recommandation.

Exemple :

Critère

ReCyF 13.2-EI/EE prévoit que les processus de sauvegarde et de restauration soient testés au moins une fois par an.

Observation

Des sauvegardes automatiques sont configurées et leur exécution est supervisée par le prestataire informatique.

Preuves

1. configuration de la solution ;
2. historique des sauvegardes ;
3. contrat du prestataire ;
4. entretien avec le responsable IT.

Écart

Aucun test de restauration daté n’a pu être présenté pour les douze derniers mois.

Conclusion

Exigence non démontrée sur le point relatif au test de restauration.

Recommandation

Planifier un test représentatif de restauration, conserver son résultat et intégrer ce contrôle au calendrier récurrent de l’organisation.

La formulation reste factuelle. Elle ne transforme pas une absence de document en hypothèse technique non vérifiée.

Étape 8 — Prioriser les écarts

Il serait tentant de traiter en premier toutes les exigences notées zéro.

Ce n’est pas une bonne méthode.

La priorisation doit croiser au minimum :

1. criticité du service ;
2. exposition du SI ;
3. scénario de risque ;
4. gravité potentielle ;
5. dépendances ;
6. exigences réglementaires ;
7. mesures compensatoires ;
8. effort de remédiation.

Le principe est cohérent avec NIS2, qui demande des mesures appropriées et proportionnées et prévoit notamment de tenir compte de l’exposition aux risques, de la taille de l’entité et de la probabilité et de la gravité potentielles des incidents.

Le ReCyF reprend lui-même une logique de proportionnalité et l’ANSSI indique que le niveau d’effort attendu est adapté à la maturité et aux ressources de l’entité.

Étape 9 — Construire le plan de remédiation

Le plan d’action n’est pas une annexe facultative.

Dans la partie « gestion de la conformité », le ReCyF prévoit qu’un plan soit établi, mis en œuvre et suivi afin de corriger les écarts. Pour chaque action, il demande au minimum un responsable et une échéance raisonnable.

Je recommande d’aller légèrement plus loin :

L’échéance de l’exemple est illustrative : elle ne correspond pas à un délai réglementaire ReCyF.

Étape 10 — Restituer les résultats à la direction

La direction n’a généralement pas besoin de parcourir chaque exigence pendant le comité de restitution.

Elle doit pouvoir comprendre :

1. ce qui a été évalué ;
2. ce qui ne l’a pas été ;
3. le niveau global de préparation ;
4. les écarts importants ;
5. les principaux risques associés ;
6. les actions prioritaires ;
7. les ressources nécessaires ;
8. les décisions attendues.

Le ReCyF demande, pour l’audit de sécurité relevant de son objectif 17, que le rapport présente notamment une synthèse du niveau de conformité et de sécurité, les non-conformités ou vulnérabilités identifiées ainsi que les recommandations correspondantes.

Cette structure constitue également une bonne base pour une restitution interne de préparation.

Quelle méthode de notation utiliser pour ReCyF ?

Noter d’abord la conformité

Pour chaque exigence, utilisez un statut explicite.

Une grille opérationnelle peut être :

Cette nomenclature est une proposition de méthode. Le ReCyF n’impose pas ce libellé de statuts.

Une subtilité est importante : non évalué n’est pas conforme.

Et :

absence de preuve ≠ preuve automatique d’absence de la mesure.

La conclusion peut être :

« Mise en œuvre déclarée mais non démontrée dans le cadre de l’évaluation. »

C’est beaucoup plus rigoureux qu’une extrapolation.

Ajouter éventuellement un score de maturité

Pour le pilotage, une organisation peut ajouter une note.

Par exemple :

Ce barème n’est pas une notation officielle ReCyF ou ANSSI.

Il s’agit d’un modèle de pilotage que le consultant ou l’organisation peut appliquer de manière constante.

Cette distinction doit apparaître dans le rapport :

Conformité ReCyF : Non conforme

Maturité interne : 2/4

Les deux informations peuvent coexister.

Une organisation peut avoir une pratique relativement mature mais manquer un élément précis requis par le référentiel.

Pourquoi une moyenne globale ne suffit pas

Prenons trois domaines :

1. sauvegardes : 3/4 ;
2. gouvernance : 3/4 ;
3. accès administrateurs : 1/4.

Une moyenne de 2,3/4 peut sembler rassurante.

Elle ne doit pas masquer la faiblesse importante concernant les accès privilégiés.

Un dashboard devrait donc toujours afficher en parallèle :

1. couverture de l’évaluation ;
2. distribution des scores ;
3. exigences non conformes ;
4. actions prioritaires ;
5. domaines à faible maturité ;
6. éléments non évalués.

Le score sert à communiquer une tendance, pas à remplacer l’analyse.

Quelles preuves préparer pour un audit ReCyF ?

Plutôt que créer un immense dossier « preuves NIS2 », préparez les preuves par objectif et exigence.

Voici une checklist pratique.

Ce tableau est une checklist d’audit proposée, dérivée de la nature des mesures publiées dans le ReCyF ; il ne s’agit pas d’une liste officielle de pièces justificatives imposée par l’ANSSI. Le référentiel contient par exemple des exigences précises concernant les revues d’accès, les tests de sauvegarde, la conservation de certains éléments relatifs aux incidents et les audits de sécurité.

Les cinq critères d’une preuve utile

Pour chaque élément, notez :

1. ce qu’il démontre ;
2. à quelle exigence il correspond ;
3. quel périmètre il couvre ;
4. sa date ou sa période de validité ;
5. qui l’a vérifié.

Évitez :

« Capture MFA »

Préférez :

« Export de la console d’administration du 3 août 2026 démontrant l’activation du MFA sur les comptes du périmètre X. »

L’auditeur peut alors déterminer ce que la preuve démontre réellement — et ce qu’elle ne démontre pas.

Comment rédiger un constat ReCyF ?

Chaque constat devrait répondre à sept questions.

Évitez les formulations telles que :

« L’entreprise ne fait pas de gestion des accès. »

si vous avez simplement constaté l’absence d’une revue annuelle.

Préférez :

« L’attribution et la suppression des droits sont réalisées opérationnellement. En revanche, aucune revue périodique documentée des droits n’a pu être démontrée sur le périmètre examiné. »

La différence paraît mineure, mais elle change complètement la qualité du rapport.

Comment prioriser les remédiations ?

Une méthode simple consiste à croiser impact et urgence.

Ne déduisez pas automatiquement cette priorité du niveau de maturité.

Ajoutez quatre questions :

1. Le SI concerné supporte-t-il une activité critique ?

2. La faiblesse augmente-t-elle directement l’exposition à un incident ?

3. Existe-t-il déjà une mesure compensatoire crédible ?

4. D’autres actions dépendent-elles de celle-ci ?

Cela permet de distinguer :

« documenter une politique déjà appliquée »

de :

« mettre en place une protection aujourd’hui inexistante sur un SI critique ».

Les deux peuvent produire une non-conformité, mais pas nécessairement la même priorité de traitement.

Quel tableau de bord présenter à la direction ?

Un dashboard ReCyF de direction devrait rester très court.

Ajoutez ensuite trois blocs.

Nos principaux points forts

Trois à cinq pratiques existantes.

Nos principaux écarts

Pas vingt lignes : les cinq sujets qui nécessitent réellement l’attention de la direction.

Les décisions attendues

Par exemple :

1. affecter un responsable ;
2. engager un budget ;
3. accepter temporairement un risque ;
4. valider une politique ;
5. mobiliser un prestataire ;
6. arbitrer une échéance.

Le comité devient alors un outil de gouvernance et non une présentation de scores.

Exemple d’évaluation d’une exigence ReCyF

Prenons une exigence très concrète.

Critère : 13.2-EI/EE

Le ReCyF prévoit des tests au moins annuels des processus de sauvegarde et de restauration afin notamment de vérifier la bonne réalisation des sauvegardes et leur capacité de restauration.

Entretien

Le responsable informatique explique :

les serveurs sont sauvegardés chaque nuit par le prestataire et les jobs sont surveillés quotidiennement.

Preuves examinées

1. configuration de sauvegarde ;
2. historique des jobs sur 30 jours ;
3. compte rendu du prestataire ;
4. procédure de sauvegarde.

Élément manquant

Aucun compte rendu de restauration ou autre preuve d’un test annuel n’a pu être présenté.

Conclusion

Non conforme sur l’exigence de test de restauration.

La bonne exécution quotidienne des sauvegardes ne suffit pas à démontrer que la restauration a été testée.

Maturité interne illustrative

2/4 — Défini

Les sauvegardes sont structurées et opérationnelles, mais leur effectivité en situation de restauration n’est pas suffisamment contrôlée.

Cette note est une appréciation interne, pas un score ANSSI.

Recommandation

Réaliser un test de restauration sur un périmètre représentatif, documenter le résultat et définir une fréquence de test pérenne.

Action

Voilà la différence entre poser une question et réaliser une évaluation défendable.

Les erreurs fréquentes lors d’une évaluation ReCyF

Évaluer tout le référentiel sans cadrer les SI

Le ReCyF demande lui-même de raisonner à partir des activités, services et systèmes d’information. Une évaluation sans périmètre précis produit des réponses difficilement défendables.

Présenter le score comme une note officielle ANSSI

ReCyF ne fournit pas dans sa version publiée sur MesServicesCyber de barème de maturité 0-4 ou de score sur 100. Un score ajouté par l’organisation doit être clairement identifié comme un outil interne de pilotage.

Valider une mesure uniquement sur entretien

Une personne peut connaître la procédure sans qu’elle soit formalisée, appliquée partout ou contrôlée.

Croisez les entretiens avec des éléments examinables et, lorsque nécessaire, des tests.

Confondre absence de preuve et absence totale de dispositif

La formulation « non démontré » est souvent plus rigoureuse.

L’audit doit rapporter ce qu’il a effectivement pu observer.

Utiliser une preuve ancienne sans vérifier qu’elle représente l’état actuel

Une capture datant de deux ans ne démontre pas nécessairement la configuration d’aujourd’hui.

Créer une action par exigence

Plusieurs écarts peuvent avoir la même cause racine.

Par exemple :

1. absence de processus de gestion des identités ;
2. absence de revue ;
3. comptes inactifs ;
4. droits excessifs.

Un seul chantier IAM correctement conçu peut traiter plusieurs exigences.

Transformer l’audit en checklist purement documentaire

ReCyF comporte des exigences techniques, organisationnelles et opérationnelles. Un document ne suffit donc pas toujours à démontrer la mise en œuvre de la mesure. Les dispositions ReCyF sur les accès, les sauvegardes, l’administration ou les audits illustrent cette nécessité d’examiner également l’effectivité.

Oublier le caractère évolutif du ReCyF

Le référentiel est encore présenté comme un document de travail. Enregistrer la version utilisée est donc essentiel pour comparer deux évaluations dans le temps.

Quels livrables conserver après l’audit ?

Une évaluation ReCyF complète devrait produire au minimum :

1. Une fiche de cadrage

Avec périmètre, version du référentiel, hypothèse EI/EE et limites.

2. La matrice d’applicabilité

Elle précise quelles exigences ont été évaluées et pourquoi.

3. La matrice d’audit

Elle relie chaque exigence aux entretiens, preuves, constats et conclusions.

4. Un index des preuves

Il permet de retrouver les éléments sans nécessairement les dupliquer dans le rapport.

5. Un rapport de synthèse

Avec :

1. méthode ;
2. couverture ;
3. constats ;
4. maturité éventuelle ;
5. principales priorités ;
6. limites.

6. Le plan de remédiation

Le ReCyF prévoit explicitement dans son approche de conformité un plan destiné à corriger les écarts, avec au minimum un responsable et une échéance pour chaque action.

7. Le journal des décisions

Pour conserver les reports, acceptations, mesures alternatives et arbitrages.

8. La date de prochaine réévaluation

La conformité ne doit pas devenir une photographie oubliée après la remise du rapport.

Comment CompliKey aide à piloter ce besoin

CompliKey peut servir de couche de pilotage pour structurer une évaluation ReCyF autour du même cycle :

référentiel → mesure → audit → preuve → score → constat → remédiation → action.

Centraliser le référentiel

Les exigences peuvent être organisées dans un référentiel dédié plutôt que maintenues dans plusieurs fichiers d’audit.

Cela facilite l’utilisation d’une méthode commune entre plusieurs évaluations.

Réaliser une évaluation de maturité

L’audit permet d’attribuer une notation, de documenter les observations et de restituer les résultats de manière homogène.

Il faut néanmoins conserver dans la méthodologie une distinction claire :

le score de maturité CompliKey est un indicateur de pilotage ; il ne constitue pas une notation officielle ReCyF.

Rattacher les preuves

Les preuves peuvent être référencées au niveau des mesures afin de conserver le lien entre :

ce qui est demandé et ce qui permet de le démontrer.

Cela évite qu’un dossier documentaire séparé devienne impossible à rapprocher du dernier audit.

Transformer les écarts en actions

Les remédiations permettent de prolonger l’évaluation au-delà du rapport.

Le consultant ou le RSSI peut ainsi suivre les actions, responsables et échéances plutôt que reconstruire un nouveau fichier après chaque audit.

Suivre l’évolution

Une nouvelle évaluation peut ensuite servir à mesurer les progrès et à vérifier si les mesures précédemment insuffisantes sont désormais démontrées.

Les limites à conserver

CompliKey ne réalise pas automatiquement :

1. les tests d’intrusion ;
2. les audits de configuration ;
3. les audits d’architecture ;
4. l’analyse de code ;
5. une analyse de risques complète EBIOS Risk Manager ;
6. l’appréciation professionnelle de la pertinence d’une preuve.

Or le ReCyF prévoit explicitement, pour l’audit de sécurité applicable aux EE dans son objectif 17, des activités techniques ou organisationnelles pouvant aller au-delà d’une évaluation de maturité.

La plateforme aide donc à structurer, démontrer et suivre l’évaluation. Elle ne remplace pas l’auditeur ni les contrôles techniques nécessaires.

Conclusion

Un audit ReCyF utile ne consiste pas à ajouter une colonne « oui/non » devant chaque exigence.

La méthode robuste consiste à :

1. figer la version de ReCyF utilisée ;
2. cadrer les activités et SI concernés ;
3. sélectionner les exigences pertinentes ;
4. préparer les entretiens ;
5. collecter des preuves ;
6. distinguer conformité et maturité ;
7. rédiger des constats factuels ;
8. prioriser selon le risque ;
9. attribuer les remédiations ;
10. restituer les décisions à la direction.

Cette approche répond d’ailleurs directement à la logique du ReCyF : maintenir une analyse des écarts et un plan de traitement piloté dans le temps.

Le point essentiel est de ne pas inventer une conformité à partir d’un score. Le score facilite le pilotage ; les exigences, les preuves et les constats permettent de défendre l’évaluation.

7. FAQ

Quelle notation utiliser pour un audit ReCyF ?

Le ReCyF ne fournit pas, dans sa version actuellement publiée sur MesServicesCyber, de barème officiel de maturité sur 4 ou sur 5. Pour l’évaluation, il est préférable de conserver d’abord un statut de conformité par exigence. Une échelle de maturité peut être ajoutée pour le pilotage interne, à condition d’en définir précisément les niveaux et de mentionner qu’elle ne constitue pas une notation ANSSI.

Quelles preuves faut-il préparer pour ReCyF ?

Il n’existe pas une pièce justificative unique par objectif. Les preuves dépendent de la formulation de l’exigence : politiques approuvées, procédures, inventaires, configurations, exports, comptes rendus de revue, rapports de tests ou journaux peuvent être nécessaires. Certaines mesures ReCyF exigent explicitement des contrôles périodiques ou la conservation d’éléments démontrables, par exemple pour les revues des droits, les tests de sauvegarde ou certains traitements d’incidents.

Peut-on réaliser soi-même un audit ReCyF ?

Une organisation peut réaliser une évaluation interne de sa situation par rapport au ReCyF afin d’identifier ses écarts et de préparer son plan d’action. Il ne faut cependant pas la confondre avec l’audit de sécurité décrit dans l’objectif 17 du ReCyF pour les entités essentielles, dont l’objectif est notamment d’évaluer de manière indépendante la conformité et le niveau de sécurité et qui peut nécessiter des activités d’audit technique.

Quelle différence entre conformité ReCyF et maturité ReCyF ?

La conformité répond à la question : l’exigence évaluée est-elle satisfaite ? La maturité cherche plutôt à déterminer si la pratique est seulement initiée ou si elle est définie, appliquée, contrôlée et durable. Le ReCyF structure une analyse de conformité et des écarts, mais ne publie pas dans sa version en ligne un modèle de score de maturité. La maturité doit donc être présentée comme une couche de pilotage complémentaire.

ReCyF suffit-il pour être conforme à NIS2 ?

Il ne faut pas l’affirmer ainsi aujourd’hui. Au 11 août 2026, l’ANSSI présente toujours ReCyF comme un document de travail et indique que la transposition française de NIS2 est en cours. ReCyF rassemble les mesures actuellement recommandées par l’Agence pour atteindre les objectifs de sécurité de NIS2 et constitue donc un excellent cadre de préparation, mais le résultat d’une auto-évaluation ne vaut pas automatiquement constat officiel de conformité.

Comment transformer les écarts ReCyF en plan d’action ?

Pour chaque écart, définissez l’action attendue, sa priorité, son responsable, son échéance et la preuve permettant de vérifier sa clôture. Regroupez les exigences partageant une même cause racine pour éviter des dizaines d’actions redondantes. Le ReCyF prévoit lui-même, dans son volet de gestion de la conformité, qu’un plan d’action soit maintenu pour corriger les écarts avec au minimum un responsable et une échéance raisonnable.

Passez du référentiel à une évaluation réellement pilotable

Structurez vos exigences ReCyF, vos audits de maturité, vos preuves, vos constats et vos actions dans un même environnement de suivi.

Lancer une évaluation ReCyF structurée dans CompliKey

8. Sources utilisées

1. ANSSI — Référentiel Cyber France / exigences NIS2 sur MesServicesCyber. Source principale pour les objectifs de sécurité, les mesures EI/EE, la gestion de la conformité, les audits, les plans d’action et les exigences techniques.
2. ANSSI — “NIS 2 : l’ANSSI poursuit et renforce sa dynamique d’accompagnement”, 18 mars 2026. Source pour le statut de document de travail de ReCyF, son objectif et son principe de proportionnalité.
3. ANSSI — Page officielle Directive NIS 2. Source pour le statut actuel de la transposition française et le positionnement juridique annoncé du ReCyF.
4. Directive (UE) 2022/2555 — EUR-Lex. Source pour les principes européens de mesures de gestion des risques appropriées et proportionnées.
5. NIST SP 800-53A Revision 5. Utilisé uniquement comme référence méthodologique complémentaire pour distinguer examen documentaire, entretien et test lors de la collecte d’éléments d’évaluation ; il ne définit pas la méthode ReCyF.