ReCyF v2.5 : le référentiel NIS 2 qui va transformer la cybersécurité de milliers d’organisations françaises

Qu’est-ce que le ReCyF ?

Le ReCyF pour Référentiel de Cybersécurité des Entités régulées par NIS 2 en France (version 2.5) est le texte officiel par lequel l’ANSSI traduit les exigences de la directive européenne NIS 2 en obligations concrètes et opposables.

Il définit 20 objectifs de sécurité répartis en deux niveaux d’exigence selon la criticité de l’entité concernée :

N°	Objectif de sécurité
01	Recensement des SI : cartographie des activités et services
02	Gouvernance de la sécurité numérique : PSSI, rôles, plan de conformité
03	Maîtrise de l’écosystème : supply chain, contractualisation fournisseurs
04	Ressources humaines : sensibilisation, formations, onboarding/offboarding
05	Maintien en condition opérationnelle : MCO/MCS, gestion des correctifs
06	Contrôle d’accès physique aux locaux
07	Sécurisation de l’architecture SI : segmentation, filtrage
08	Accès distants sécurisés : VPN, MFA
09	Protection contre les codes malveillants : antivirus, EDR
10	Gestion des identités et des accès : IAM, MFA, moindre privilège
11	Administration des SI : comptes à privilèges, ségrégation
12	Détection et réaction aux incidents
13	Continuité et reprise d’activité : PCA/PRA, RPO/RTO
14	Gestion de crise cyber
15	Exercices et tests : simulations, audits
16	Analyse de risques : EBIOS RM ou équivalent [EE uniquement]
17	Audit de sécurité des SI [EE uniquement]
18	Durcissement des configurations [EE uniquement]
19	Administration depuis des ressources dédiées [EE uniquement]
20	Supervision de la sécurité : SOC, SIEM, détection continue [EE uniquement]

Point clé
La certification ISO 27001:2022 est explicitement reconnue par le ReCyF comme moyen de démontrer la conformité à l’objectif 2 (gouvernance). Les prestations qualifiées ANSSI, dont SecNumCloud, peuvent être invoquées comme preuves de conformité.

À quoi sert le ReCyF ?

Traduire NIS 2 en obligations opérationnelles

La directive européenne NIS 2 fixe des principes généraux. Le ReCyF les transforme en exigences mesurables, vérifiables et auditables, avec des critères d’évaluation précis pour chaque objectif.

Fixer le socle de contrôle de l’ANSSI

Le référentiel est le document officiel utilisé par l’ANSSI lors des contrôles et inspections. En cas de manquement, les sanctions prévues par NIS 2 s’appliquent : amendes pouvant atteindre 10 millions d’euros ou 2% du chiffre d’affaires mondial pour les Entités Essentielles.

Créer un langage commun avec les prestataires

Le ReCyF structure les relations contractuelles entre entités régulées et leurs fournisseurs (objectif 3 : maîtrise de l’écosystème). Les prestataires technologiques doivent désormais démontrer leur propre niveau de conformité aux objectifs qui les concernent.

En résumé
Le ReCyF n’est pas un guide de bonnes pratiques optionnel. C’est un cadre réglementaire contraignant, assorti de sanctions, qui s’impose à des milliers d’organisations françaises.

Collaborez avec des solutions sécurisées et souveraines

Oodrive est le seul éditeur qualifié SecNumCloud version 3.2 de bout en bout, de l’infrastructure au logiciel. 

En savoir plus

Quels sont les enjeux du ReCyF ?

Un effort de conformité massif et transverse

La mise en conformité avec les 20 objectifs du ReCyF mobilise simultanément la DSI, la direction juridique, les ressources humaines et la direction générale. Elle suppose un recensement complet des SI (objectif 1), une politique de sécurité formalisée (objectif 2), des plans de continuité documentés (objectif 13) et des exercices de crise réguliers (objectifs 14 et 15).

La supply chain numérique sous haute surveillance

L’objectif 3 introduit une exigence forte de maîtrise de l’écosystème : les entités régulées doivent s’assurer contractuellement que leurs prestataires informatiques respectent des niveaux de sécurité compatibles avec leurs propres obligations.

La souveraineté des données, un enjeu central

Les exigences de segmentation (objectif 7), de protection de la confidentialité (objectif 10) et d’accès distants sécurisés (objectif 8) remettent au premier plan la question de l’hébergement souverain des données sensibles. Utiliser des solutions non qualifiées pour stocker des documents critiques devient un risque de conformité réel.

Des niveaux d’exigence différenciés selon la criticité

Les Entités Essentielles (EE) sont soumises à 20 objectifs, dont des exigences avancées : analyses de risques formalisées selon la méthode EBIOS RM (objectif 16), audits de sécurité réguliers (objectif 17), supervision continue via un SOC ou un SIEM (objectif 20). Les Entités Importantes (EI) doivent satisfaire aux 15 premiers objectifs.

Pour qui et pourquoi se conformer ?

Les secteurs concernés

Le ReCyF s’applique à toutes les entités régulées par NIS 2 établies en France, dans des secteurs jugés critiques :

• Énergie
• Santé
• Finance & Banque
• Transports
• Eau & Assainissement
• Numérique & Cloud
• Défense
• Collectivités
• Recherche & Industrie critique

Pourquoi s’y conformer dès maintenant ?

Au-delà du risque juridique et financier, la conformité au ReCyF est une démarche de résilience opérationnelle. Les organisations qui anticipent bénéficient d’un avantage concurrentiel réel : confiance renforcée de leurs partenaires et clients, meilleure capacité à répondre aux incidents, et positionnement différenciant dans les appels d’offres intégrant des critères de cybersécurité.

Oodrive, partenaire de votre conformité NIS 2

Oodrive est l’un des rares acteurs français à détenir la qualification SecNumCloud de l’ANSSI, le niveau de certification le plus exigeant pour les services cloud destinés aux organisations sensibles. Cette qualification fait d’Oodrive un partenaire naturel des entités régulées par NIS 2.

✅ SecNumCloud comme preuve de conformité  [Objectifs 2, 3, 7, 8] La qualification SecNumCloud d’Oodrive peut être invoquée directement comme élément de preuve auprès de l’ANSSI. Choisir Oodrive, c’est cocher des cases réglementaires sans effort supplémentaire.

✅ Coffre-fort numérique & stockage souverain  [Objectifs 7, 9, 10] Les solutions Oodrive Work et Oodrive Sign offrent un espace de stockage, de partage et de signature électronique sécurisé et souverain, répondant aux exigences de segmentation et de contrôle des accès.

✅ MFA et gestion fine des droits d’accès  [Objectifs 8, 10, 11] Le ReCyF impose l’authentification multifacteur pour les accès distants et la gestion granulaire des droits. Les mécanismes d’IAM intégrés dans les solutions Oodrive répondent directement à ces exigences.

✅ Résilience documentaire & continuité d’activité  [Objectifs 13, 14] L’archivage immuable et le coffre-fort numérique Oodrive constituent une brique de résilience documentaire au service de vos plans PCA/PRA, avec des objectifs de RPO et RTO garantis contractuellement.

✅ Audit trail & traçabilité des accès  [Objectifs 12, 20] Les journaux d’accès et l’audit trail natif des solutions Oodrive répondent aux exigences de supervision et de détection d’incidents du ReCyF pour les documents sensibles.

✅ Engagement contractuel supply chain  [Objectifs 3] Oodrive fournit à ses clients des éléments de preuve documentés (certifications, rapports d’audit, SLA de sécurité) pour satisfaire aux obligations de maîtrise de l’écosystème et justifier du niveau de sécurité du prestataire.