NIS2, la directive (UE) 2022/2555, devait être transposée par les États membres au plus tard le 17 octobre 2024. En France, l'ANSSI pilote cette transposition et a conçu le Référentiel Cyber France, ou ReCyF, qui liste les mesures qu'elle recommande pour atteindre les objectifs de NIS2 et a vocation à devenir le socle de la réglementation cyber française.
Ce qu'est ReCyF et où le trouver
La version la plus récente est la 2.5 du 17 mars 2026, publiée comme version de travail sur l'espace NIS 2 de MesServicesCyber vers lequel renvoie aussi l'adresse MonEspaceNIS2, avec le suivi des modifications, un outil de comparaison avec la famille ISO 2700X et des fiches « ReCyF en pratique » publiées depuis le 7 septembre 2026. L'ANSSI précise que le référentiel peut encore évoluer au fil des débats parlementaires et des travaux réglementaires.
Vingt objectifs de sécurité et 152 moyens acceptables de conformité
ReCyF se présente comme le référentiel prévu à l'article 14 du projet de loi de transposition et associe à chaque objectif de sécurité des moyens acceptables de conformité :
- L'objectif dit quoi atteindre, il correspond à l'obligation que fixera le décret et son atteinte est obligatoire
- Le moyen dit comment y parvenir, il n'est en principe pas obligatoire mais l'appliquer vous permet de vous en prévaloir pour démontrer que l'objectif est atteint
- Une mesure alternative reste possible si vous la justifiez dans votre analyse de la conformité
Les objectifs 1 à 15 visent les entités importantes comme essentielles, du recensement des systèmes d'information à la gestion des incidents et à la continuité d'activité, tandis que les objectifs 16 à 20 ne concernent que les entités essentielles avec l'approche par les risques, l'audit, la sécurisation des configurations, l'administration depuis des ressources dédiées et la supervision. Chacun des 152 moyens précise à qui il s'adresse et la moitié environ ne vise que les entités essentielles.
Les entités concernées par NIS2 en France
Selon l'ANSSI, plusieurs milliers d'entités de 18 secteurs seront concernées, surtout des moyennes et grandes entreprises ainsi que des acteurs publics. Les entités essentielles sont en règle générale les grandes organisations des secteurs hautement critiques, à partir de 250 personnes ou au-delà de 50 millions d'euros de chiffre d'affaires et 43 millions d'euros de bilan, et les entités importantes emploient au moins 50 personnes ou dépassent 10 millions d'euros de chiffre d'affaires et de bilan. Le test en ligne de l'ANSSI vous indique votre catégorie et un service de pré-enregistrement est déjà ouvert.
Où en est la loi française de transposition
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose à la fois REC, NIS2 et DORA. Le Sénat l'a adopté le 12 mars 2025 et la commission spéciale de l'Assemblée nationale l'a voté le 10 septembre 2025, mais à la mi-octobre 2026 le dossier législatif de l'Assemblée nationale ne mentionne aucun vote en séance publique et la loi n'est donc pas adoptée.
L'ANSSI rappelle que NIS2 n'entrera en vigueur en France qu'une fois la loi, les décrets et les arrêtés promulgués, et invite les futures entités à renforcer dès maintenant leur sécurité, d'autant que le travail de recensement, de gouvernance et de preuve restera utile quelle que soit la version finale.
Mener CyFun® et ReCyF de front dans un groupe belgo-français
Un groupe n'est pas assujetti en tant que tel car chaque société est analysée séparément et relève en principe du droit de l'État membre où elle est établie, si bien que votre filiale belge suit la loi du 26 avril 2024 sous le contrôle du CCB et que votre filiale française suivra la loi française sous celui de l'ANSSI.
Les deux référentiels déclinent pourtant les mêmes mesures de l'article 21 de NIS2. En Belgique, une mise en œuvre validée de CyFun® ouvre une présomption de conformité, et en France l'ANSSI précise qu'une certification ISO 27001 ne suffit pas à elle seule mais peut servir de méthode pour déployer ReCyF. Nous vous conseillons donc de :
- Tenir un seul inventaire des systèmes et une seule base de preuves pour tout le groupe
- Relier chaque document aux exigences CyFun® et aux moyens ReCyF qu'il couvre, avec l'aide de l'outil de comparaison de l'ANSSI
- Garder visibles les attentes propres à chaque pays, comme l'analyse de conformité par système d'information et le plan d'action que demande ReCyF
Comment Sinplify vous aide à préparer ReCyF et CyFun® ensemble
L'IA européenne de Sinplify lit vos documents existants, reconnaît les bonnes pratiques en place et prépare ce qui manque, puis chaque preuve confirmée par votre équipe compte à la fois pour CyFun®, ISO 27001 et ReCyF pour que vos entités belges et françaises avancent sans refaire le travail. Sinplify structure et accélère votre démarche et prépare votre dossier, sans remplacer le contrôle de l'ANSSI ni l'évaluation d'un organisme accrédité.
Découvrez la plateforme Sinplify, relisez notre article sur NIS2 en Belgique et le rôle du CCB ou réservez une démo pour voir Sinplify à l'œuvre sur vos documents.