Le 7 septembre 2026, l'ANSSI a mis en ligne sur MesServicesCyber les premières fiches pratiques du ReCyF v2.5. Ces documents traduisent les 20 objectifs du référentiel en listes d'actions concrètes et en pièces justificatives à produire. Pour les équipes engagées dans un programme NIS2, leur lecture n'est pas optionnelle : elles définissent ce qu'un contrôleur considérera comme une mise en conformité réelle, par opposition à une conformité documentaire.
Ce que ReCyF v2.5 a modifié
Publié en mars 2026, le Référentiel Cyber France (ReCyF) traduit les obligations de cybersécurité de la directive NIS2 en 20 objectifs de sécurité et 152 moyens de mise en oeuvre. La version 2.5 a renforcé 23 contrôles existants, principalement autour de trois thèmes : la gestion de la chaîne d'approvisionnement logicielle, l'authentification forte, et les processus de notification d'incident.
Ces révisions n'ont pas modifié la structure d'ensemble du référentiel. Elles ont précisé des exigences que la version 1.0 laissait à l'interprétation des organisations. Une entité qui a commencé son programme de mise en conformité sur la base des objectifs initiaux doit donc vérifier sa position sur ces 23 contrôles renforcés.
La structure des fiches pratiques
Les fiches pratiques sont organisées selon cinq catégories : Défense, Protection, Gouvernance, Résilience et Obligations NIS2. Les quatre premières couvrent les piliers de gestion des risques. La cinquième porte sur les obligations procédurales spécifiques à la directive : délais de notification, qualification d'incident, mise à jour de l'inventaire des systèmes essentiels.
Chaque fiche détaille les mesures attendues, les critères d'évaluation et les documents à constituer. Le niveau de précision est sensiblement supérieur à celui du référentiel de base. Là où le ReCyF indiquait "mettre en oeuvre une gestion formalisée des accès à privilèges", la fiche pratique correspondante exige un inventaire à jour des comptes à privilèges, une procédure de révocation documentée et une revue trimestrielle avec trace écrite.
Cette différence de granularité n'est pas anodine. Une organisation peut penser avoir satisfait l'objectif 8 (gestion des identités et des accès) parce qu'elle dispose d'un outil IAM et d'une politique interne. La fiche pratique peut révéler que la piste d'audit n'existe pas dans le format attendu, ou que la revue des droits n'est pas tracée de manière à pouvoir être produite lors d'un contrôle.
Un exemple concret : la chaîne d'approvisionnement logicielle
La gestion de la chaîne d'approvisionnement logicielle est l'un des trois thèmes renforcés dans ReCyF v2.5. La fiche pratique associée exige que chaque composant logiciel présent dans les systèmes essentiels soit inventorié, que son origine soit traçable et que les mises à jour de sécurité soient appliquées dans un délai défini par la politique interne de l'organisation.
La question pratique est la suivante : savez-vous, aujourd'hui, quels composants logiciels font tourner vos systèmes essentiels ? Si un composant présent dans votre infrastructure est concerné par une vulnérabilité activement exploitée, pouvez-vous confirmer son déploiement dans les 24 heures et répondre à une demande de l'ANSSI dans le délai de notification NIS2 ? Ces capacités supposent une pratique SBOM formalisée. La fiche pratique ReCyF fournit le cadre pour la structurer si elle n'existe pas encore. Pour une lecture approfondie des obligations parallèles, l'article sur l'inventaire logiciel sous NIS2 et DORA détaille les exigences croisées.
Ce que ça change pour les programmes déjà engagés
La majorité des organisations qui ont démarré leur mise en conformité NIS2 en 2025 ou au premier semestre 2026 ont travaillé sur la base des 20 objectifs du ReCyF. Ces programmes ont souvent documenté les politiques et les processus, mais moins systématiquement les preuves opérationnelles que ces processus sont effectivement exécutés.
C'est précisément sur ce point que les fiches pratiques introduisent une contrainte nouvelle. Elles ne créent pas d'obligation supplémentaire : elles précisent ce que "conforme" signifie en pratique pour chaque objectif. Pour votre programme, la première étape est de reprendre chaque objectif pour lequel vous avez un statut "conforme" ou "en cours" et de le vérifier à l'aune de la fiche pratique correspondante.
L'expérience des premières évaluations conduites au second trimestre 2026 montre que les lacunes les plus fréquentes se situent dans la catégorie Gouvernance (politique de gestion des risques non mise à jour depuis le lancement du programme) et dans la catégorie Obligations NIS2 (absence de procédure formalisée pour qualifier si un événement constitue un incident significatif au sens de la directive). Ces deux catégories méritent d'être traitées en priorité.
Le risque de reporter cet audit interne
Les premières sanctions prononcées par les autorités européennes au titre de NIS2 ont mis en évidence que les manquements les plus facilement établis portent sur la documentation et la gouvernance, et non sur des défaillances techniques (voir l'analyse des premiers dossiers sanctionnés en Europe). Un programme NIS2 sans revue de conformité mise à jour sur la base des fiches pratiques ReCyF expose votre organisation à ce type de constat lors d'un contrôle.
La publication des fiches pratiques sur MesServicesCyber le 7 septembre 2026 ne crée pas de délai réglementaire. Elle clarifie des exigences déjà opposables. Les organisations qui prennent connaissance de ces fiches maintenant ont le temps de combler les écarts identifiés. Celles qui attendent un contrôle n'auront pas ce délai.
Par où commencer
La démarche la plus efficace consiste à cartographier vos 20 objectifs ReCyF selon trois colonnes : "pratique documentée avec preuve disponible", "pratique en place sans preuve formalisée", et "pratique à développer". La deuxième colonne est généralement la plus volumineuse pour les organisations déjà engagées. Elle représente l'essentiel de l'effort à fournir avant un contrôle, sans nécessiter de mise en oeuvre technique nouvelle.
Commencez par la catégorie Obligations NIS2 des fiches pratiques. Elle porte sur les trois exigences les plus directement vérifiables lors d'un contrôle : la procédure de qualification d'incident, le respect du délai de notification sous 24 heures et la mise à jour de l'inventaire des systèmes essentiels. Si votre équipe ne peut pas produire ces documents aujourd'hui, c'est là que réside votre exposition la plus immédiate.