NIS2 is richtlijn (EU) 2022/2555, die de lidstaten uiterlijk op 17 oktober 2024 moesten omzetten. In Frankrijk stuurt het ANSSI die omzetting aan en ontwikkelde het het Référentiel Cyber France of ReCyF, dat de maatregelen oplijst die het agentschap aanbeveelt om de veiligheidsdoelstellingen van NIS2 te halen en dat de basis moet worden van de Franse cyberregelgeving.
Wat ReCyF is en waar u het vindt
De meest recente versie is 2.5 van 17 maart 2026, gepubliceerd als werkversie in de NIS 2-ruimte van MesServicesCyber waarnaar ook het adres MonEspaceNIS2 verwijst, samen met het overzicht van de wijzigingen, een vergelijkingstool met de ISO 2700X-familie en de praktische fiches « ReCyF en pratique » die sinds 7 september 2026 verschijnen. Het ANSSI geeft aan dat het referentiekader nog kan evolueren naargelang de parlementaire debatten en de regelgevende werkzaamheden.
Twintig veiligheidsdoelstellingen en 152 aanvaardbare conformiteitsmiddelen
ReCyF stelt zichzelf voor als het referentiekader waarnaar artikel 14 van het Franse omzettingswetsontwerp verwijst en koppelt aan elke veiligheidsdoelstelling aanvaardbare conformiteitsmiddelen:
- De doelstelling zegt wat u moet bereiken, ze komt overeen met de verplichting die het decreet zal vastleggen en het halen ervan is verplicht
- Het middel zegt hoe u dat bereikt, het is in principe niet verplicht maar wie het toepast, kan zich erop beroepen om aan te tonen dat de doelstelling is gehaald
- Een alternatieve maatregel blijft mogelijk als u die motiveert in uw conformiteitsanalyse
De doelstellingen 1 tot 15 gelden voor belangrijke en essentiële entiteiten, van de inventaris van de informatiesystemen tot incidentbeheer en bedrijfscontinuïteit, terwijl de doelstellingen 16 tot 20 alleen voor essentiële entiteiten gelden met de risicogebaseerde aanpak, audits, het beveiligen van configuraties, beheer vanaf toegewezen middelen en monitoring. Elk van de 152 middelen vermeldt voor wie het bedoeld is en ongeveer de helft betreft alleen essentiële entiteiten.
Welke entiteiten in Frankrijk onder NIS2 vallen
Volgens het ANSSI gaat het om enkele duizenden entiteiten in 18 sectoren, vooral middelgrote en grote ondernemingen en overheidsinstanties. Essentiële entiteiten zijn doorgaans de grote organisaties uit de zeer kritieke sectoren, vanaf 250 personen of boven 50 miljoen euro omzet en 43 miljoen euro balanstotaal, en belangrijke entiteiten tellen minstens 50 personen of hebben meer dan 10 miljoen euro omzet en balanstotaal. Met de onlinetest van het ANSSI kent u uw categorie en u kunt uw entiteit nu al vooraf registreren.
Hoe ver de Franse omzettingswet staat
Het wetsontwerp over de weerbaarheid van kritieke infrastructuur en de versterking van de cyberbeveiliging zet tegelijk REC, NIS2 en DORA om. De Senaat keurde het goed op 12 maart 2025 en de bijzondere commissie van de Assemblée nationale stemde erover op 10 september 2025, maar half oktober 2026 vermeldt het wetgevend dossier van de Assemblée nationale geen stemming in plenaire zitting, zodat de wet nog niet is aangenomen.
Het ANSSI herinnert eraan dat NIS2 in Frankrijk pas in werking treedt wanneer de wet, de decreten en de besluiten zijn uitgevaardigd, en roept toekomstige entiteiten op om nu al hun beveiliging te versterken, temeer omdat het werk rond inventaris, governance en bewijsstukken nuttig blijft, welke eindversie er ook komt.
CyFun® en ReCyF samen aanpakken in een Belgisch-Franse groep
Een groep valt als dusdanig niet onder NIS2, want elke vennootschap wordt afzonderlijk beoordeeld en valt in principe onder het recht van de lidstaat waar ze gevestigd is, zodat uw Belgische dochteronderneming de wet van 26 april 2024 volgt onder toezicht van het CCB en uw Franse dochteronderneming de Franse wet zal volgen onder toezicht van het ANSSI.
Toch werken beide referentiekaders dezelfde maatregelen van artikel 21 van NIS2 uit. In België geeft een gevalideerde implementatie van CyFun® een vermoeden van conformiteit, en in Frankrijk stelt het ANSSI dat een ISO 27001-certificering op zich niet volstaat maar wel kan dienen als methode om ReCyF uit te rollen. Wij raden u daarom aan om:
- Eén inventaris van de systemen en één bewijsbasis bij te houden voor de hele groep
- Elk document te koppelen aan de CyFun®-eisen en de ReCyF-middelen die het afdekt, met de vergelijkingstool van het ANSSI als hulpmiddel
- De verwachtingen per land zichtbaar te houden, zoals de conformiteitsanalyse per informatiesysteem en het actieplan die ReCyF vraagt
Hoe Sinplify u helpt om ReCyF en CyFun® samen voor te bereiden
De Europese AI van Sinplify leest de documenten die u al hebt, herkent de goede praktijken die er al zijn en bereidt voor wat nog ontbreekt, waarna elk bewijsstuk dat uw team bevestigt tegelijk telt voor CyFun®, ISO 27001 en ReCyF, zodat uw Belgische en Franse entiteiten vooruitgaan zonder werk over te doen. Sinplify structureert en versnelt uw aanpak en bereidt uw dossier voor, zonder de controle door het ANSSI of de beoordeling door een geaccrediteerde instelling te vervangen.
Ontdek het Sinplify-platform, lees ons artikel over NIS2 in België en de rol van het CCB of boek een demo om Sinplify aan het werk te zien met uw documenten.