La ressource officielle
La page ANSSI consacrée à NIS2 indique que ReCyF est disponible depuis le 17 mars 2026. Elle le présente comme un document de travail regroupant des mesures recommandées pour atteindre les objectifs de sécurité. La version 2.5 porte cette date. Cette distinction doit rester visible dans les consultations et les rapports.
La publication fournit un support pour organiser la préparation. Elle ne constitue pas une certification d’entreprise et ne transforme pas toutes ses lignes en obligations identiques pour chaque activité. Certains services numériques doivent examiner leur cadre sectoriel. Le choix du référentiel demande donc une analyse du périmètre avant la construction d’une grille d’audit.
Ce que cela change pour le RSSI
Le RSSI peut structurer une matrice reliant les domaines de sécurité aux mesures et aux preuves disponibles. Il doit conserver le numéro de version et la date. Une copie de tableau sans origine devient difficile à maintenir. Une nouvelle publication doit pouvoir être comparée à la base utilisée, sans effacer les décisions prises sur les anciens travaux.
L’état de préparation doit distinguer les mesures observées et les réponses déclaratives. Un document peut décrire un contrôle sans prouver qu’il fonctionne sur tous les services. La mission doit préciser les observations et les échantillons. Notre guide d’audit d’écart propose des critères de réception adaptés à cette distinction.
Comment cadrer une offre d’accompagnement
Demandez au prestataire quels systèmes seront examinés et comment les écarts seront reliés aux références. La proposition doit distinguer recommandation, exigence applicable et décision interne. Le rapport peut être organisé à partir de ReCyF, mais doit conserver les limites juridiques et techniques de sa lecture.
Le plan d’action doit préciser les responsables et les dépendances. Une ligne « à mettre en conformité » est insuffisante pour organiser un chantier. Il faut comprendre le service affecté, la correction recherchée et la preuve de réalisation. Les délais sont des cibles internes tant qu’ils ne sont pas rattachés à un texte applicable.
La décision à préparer
La direction peut demander un inventaire des acquis et des observations manquantes avant de lancer une remédiation. Cette démarche évite de recréer des documents déjà utiles et permet d’identifier les sujets qui nécessitent une investigation. Les correspondances avec une démarche existante doivent être vérifiées sur le périmètre réel.
L’auto-positionnement proposé sur ce site aide à organiser les besoins de preuve. Il ne lit pas votre SI et ne produit pas de verdict. Utilisez son résultat comme une liste de questions pour l’échange avec le prestataire. Les configurations et documents sensibles seront partagés seulement dans un canal convenu après cadrage.
Sources et portée réglementaire
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.