L’annonce et une incohérence à conserver
Le laboratoire d’innovation de l’ANSSI a publié le 24 mars 2026 une présentation du référentiel et du comparateur disponibles sur MesServicesCyber. L’outil rapproche ReCyF d’autres cadres et permet des filtres par thème ou catégorie d’entité. Sa fonction est informative : les correspondances facilitent une lecture, sans valider automatiquement une organisation.
L’annonce comporte une mention du « 17 mars 2025 » pour l’événement initial, tandis que la page NIS2 de l’ANSSI situe la mise à disposition de ReCyF au 17 mars 2026. Nous retenons ici la date certaine de publication de l’annonce, le 24 mars 2026. Cette discordance ne sert pas à déduire une date juridique ou une échéance française.
L’usage utile pour un RSSI déjà équipé
Une équipe disposant de politiques et de preuves peut examiner les correspondances avant de commander de nouvelles productions. Le tableau doit conserver le document, sa date et son périmètre. Une correspondance partielle doit rester visible. Le comparateur ne sait pas, à lui seul, si le contrôle est appliqué sur les systèmes pertinents.
La préparation peut commencer par un sujet transversal, comme les accès ou la continuité. Le RSSI relie les pièces existantes aux questions à examiner. Les propriétaires de service confirment la portée. Les lacunes deviennent des demandes d’observation ou de mise à jour. Notre guide ISO 27001 et NIS2 explique pourquoi les périmètres doivent être rapprochés.
Ce qu’il faut demander au prestataire
Une offre de correspondance doit préciser les référentiels, les versions et les contrôles réellement vérifiés. Le livrable ne doit pas se limiter à des numéros de clauses. L’acheteur doit pouvoir comprendre ce qui est réutilisable et pourquoi. Les preuves insuffisantes ou trop anciennes doivent être signalées.
La revue des acquis peut être suivie d’un lot de vérification. Les deux travaux sont distincts. Un document approuvé peut répondre à une question de gouvernance, sans établir la bonne configuration d’un accès distant. Le devis doit rendre le niveau d’assurance compréhensible et prévoir les réserves qui empêcheront une conclusion.
Une réception centrée sur une preuve
Choisissez une ligne de correspondance et remontez jusqu’au contrôle observé. Vérifiez la date, les services et les limites. Si la pièce ne couvre qu’une offre, la conclusion ne doit pas être étendue à toute l’entité. Cette méthode permet d’évaluer la qualité du travail sans annoncer une équivalence juridique.
Conservez dans le registre de veille la date de l’annonce et la version des ressources utilisées. Si le comparateur évolue, le dossier doit permettre de comprendre les changements. Une capture non datée peut aider une discussion ponctuelle, mais elle ne constitue pas un historique suffisant pour maintenir les décisions.
Sources et portée réglementaire
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.