ReCyF NIS2 : piloter les exigences des entités essentielles et importantes
Le ReCyF (Référentiel Cyber France) est le référentiel de mesures de sécurité préparé par l'ANSSI pour la mise en œuvre de NIS2 en France. Publié le 17 mars 2026 comme document de travail (version 2.5), il anticipe la loi de transposition, non adoptée au 10 octobre 2026, et distingue les entités essentielles (EE) et importantes (EI).
Voir le ReCyF dans CompliKeyPar Alexandre Vivier, ISO 27001 Lead Implementer · Mis à jour le 10 octobre 2026
EE ou EI : quelle variante suivre ?
Le ReCyF compte 20 objectifs de sécurité. Les objectifs 1 à 15 s'appliquent aux entités importantes comme aux entités essentielles ; les objectifs 16 à 20 ne concernent que les entités essentielles.
La qualification d'entité essentielle ou importante découle du secteur d'activité et de la taille de l'organisation, selon les critères de la loi de transposition. Tant qu'elle n'est pas adoptée, l'ANSSI propose un test d'éligibilité sur MesServicesCyber (nouvel onglet).
ReCyF NIS2 · EE
Entités essentielles. Publié dans CompliKey le 30 mars 2026.
ReCyF NIS2 · EI
Entités importantes. Publié dans CompliKey le 26 mars 2026.
Correspondances avec les autres référentiels
Dans CompliKey, une mesure évaluée pour le ReCyF peut couvrir des exigences d'autres référentiels. Chaque correspondance est tracée exigence par exigence ; aucune couverture n'est revendiquée sans preuve.
| Référentiel | Lien avec le ReCyF | Page |
|---|---|---|
| NIS2 (directive) | Texte européen dont le ReCyF décline les mesures | Voir NIS2 (directive) |
| ISO 27001 | Nombreuses mesures communes, mutualisées dans CompliKey | Voir ISO 27001 |
| CyFun NIS2 | Équivalent belge, utile pour les groupes présents en France et en Belgique | Voir CyFun NIS2 |
| ANSSI (hygiène) | Bonnes pratiques de base souvent déjà engagées | Voir ANSSI (hygiène) |
Le ReCyF dans CompliKey, en trois étapes
- 1Activer la variante EE ou EI : les mesures déjà évaluées pour un autre référentiel sont reprises.
- 2Auditer sur preuves : chaque mesure reçoit un score de 0 à 4 ; les écarts deviennent des remédiations suivies.
- 3Présenter la progression : rapport d'audit et DDA/SoA exportés en PDF, depuis les mêmes données.
Questions fréquentes sur le ReCyF
Le ReCyF est-il obligatoire ?
Pas encore. Tant que la loi de transposition de NIS2 et ses décrets ne sont pas adoptés, le ReCyF reste un document de travail. Selon le projet, les objectifs de sécurité deviendraient obligatoires par décret, les moyens proposés pour les atteindre restant indicatifs.
Quelle différence entre le ReCyF et la directive NIS2 ?
La directive fixe les obligations au niveau européen ; le ReCyF précise les mesures attendues en France.
Puis-je réutiliser mon travail ISO 27001 ?
Oui : dans CompliKey, les mesures communes sont mutualisées et chaque correspondance reste traçable.
CompliKey certifie-t-il ma conformité ?
Non. CompliKey structure votre démarche, vos preuves et vos livrables ; il ne délivre ni certification ni attestation réglementaire.
Référentiels liés
Voir le ReCyF dans CompliKey
Voyez le ReCyF appliqué dans CompliKey, sur un périmètre NIS2 de démonstration.