- Téléchargez notre catalogue
- +33 1 89 62 34 30
- formation@acgcybersecurity.fr
Leader in the cybersecurity training sector.
- Téléchargez notre catalogue
- +33 1 89 62 34 30
Leader in the cybersecurity training sector.
Published: Août 2026
À retenir
Deux sigles, une seule question
Vous avez entendu parler de NIS2 par un client, un collègue ou un article. Puis le mot ReCyF est apparu, et les deux se sont mis à circuler comme s’ils désignaient la même chose.
Cet article explique ce qui les distingue et ce qui s’applique aujourd’hui. Il ne traite ni des seuils d’assujettissement, ni des sanctions, pour lesquels les outils officiels répondent mieux.
Ce que vous vivez
Le sujet arrive rarement de face. Il arrive par un questionnaire de sécurité envoyé par un client, par une clause qui apparaît dans un contrat de renouvellement, ou par une réunion où quelqu’un annonce qu’il faudra « être conforme NIS2 » sans que personne ne sache très bien à partir de quand.
En cherchant, on trouve tout et son contraire. Des articles annoncent que la directive s’applique en France depuis 2024. D’autres expliquent que rien n’est encore en vigueur. Certains présentent le ReCyF comme un texte contraignant, d’autres comme un simple document de travail.
Cette confusion vient de la structure même du dossier : un texte européen, une loi française qui n’est pas encore votée, et un référentiel technique publié avant elle. Trois étages, trois calendriers. Une fois qu’on a compris comment ils s’emboîtent, le reste devient simple.
Les trois étages de la conformité NIS2. Sources : EUR-Lex, Assemblée nationale, MesServicesCyber.
Ce que dit le texte
NIS2 : une directive, donc un texte qui a besoin d’une loi
NIS2 est le nom courant de la directive (UE) 2022/2555, adoptée fin 2022. Elle succède à une première directive NIS de 2016 et élargit largement le nombre d’organisations concernées, en raisonnant par secteur d’activité et par taille plutôt que par désignation individuelle.
Une directive européenne, contrairement à un règlement comme le RGPD, ne s’applique pas directement dans les États membres. Elle fixe un résultat à atteindre et laisse à chaque pays le soin d’écrire sa propre loi pour y parvenir. C’est ce qu’on appelle la transposition. Tant que cette loi n’existe pas, la directive n’a pas d’effet direct sur les entreprises du pays.
La date limite fixée aux États pour transposer NIS2 était le 17 octobre 2024.
Le ReCyF : le mode d’emploi français
Le Référentiel Cyber France, ou ReCyF, est publié par l’ANSSI, l’agence nationale chargée de la cybersécurité. Sa version 2.5 date du 17 mars 2026 et se télécharge sur la plateforme MesServicesCyber.
Il décline les obligations de NIS2 en 20 objectifs de sécurité concrets : recenser ses systèmes d’information, mettre en place une gouvernance, maîtriser les accès, gérer les incidents, assurer la continuité d’activité, et ainsi de suite.
Le référentiel précise lui-même son statut : il correspond au référentiel de cybersécurité mentionné à l’article 14 du projet de loi Résilience, et ses objectifs deviendront des obligations par le décret pris en application de cet article. Autrement dit, le ReCyF décrit à quoi ressemblera l’obligation. Il ne la crée pas.
Ce que ça change concrètement
La distinction qui structure tout le référentiel
Le ReCyF sépare deux niveaux, et cette séparation est ce qu’il apporte de plus utile.
L’objectif de sécurité répond à la question « quoi ». C’est l’obligation. Son atteinte sera obligatoire une fois le décret publié.
Les moyens acceptables de conformité répondent à la question « comment ». Ce sont les mesures que l’ANSSI propose pour atteindre l’objectif, et leur application n’est pas obligatoire. Une organisation peut mettre en œuvre d’autres mesures, à condition de pouvoir démontrer qu’elles atteignent le même résultat.
C’est une architecture souple : le résultat est imposé, le chemin ne l’est pas.
Tous les objectifs ne concernent pas tout le monde
NIS2 distingue deux catégories, les entités importantes et les entités essentielles, selon le secteur d’activité et la taille. Le ReCyF reprend cette distinction.
Les entités importantes relèvent des objectifs 1 à 15. Les entités essentielles relèvent des 20. Les cinq objectifs supplémentaires portent sur l’analyse de risques, l’audit, le durcissement des systèmes et la supervision : un niveau d’exigence qui suppose des moyens plus importants.
Pour savoir dans quelle catégorie se situe une organisation, l’ANSSI met à disposition un test en ligne sur MonEspaceNIS2. C’est plus fiable que n’importe quel tableau recopié, et c’est gratuit.
Une certification ou une qualification peut servir de preuve
C’est le mécanisme le moins connu du référentiel, et le plus utile en pratique. Pour plusieurs objectifs, le ReCyF admet qu’une organisation se prévale, lors d’un contrôle, d’une certification reconnue ou d’une prestation réalisée par un prestataire qualifié par l’ANSSI.
À chaque fois, le référentiel précise la portée exacte de cette preuve, et ces précisions méritent d’être lues.
Pour l’objectif 2, qui porte sur la gouvernance, un système de management de la sécurité de l’information certifié ISO/CEI 27001:2022 démontre le respect de l’objectif sur les systèmes d’information couverts par la certification. La preuve vaut pour le périmètre certifié, pas au-delà.
Pour l’objectif 17, qui porte sur l’audit et ne concerne que les entités essentielles, le recours à une prestation d’audit qualifiée PASSI est admis à condition que le périmètre de la prestation couvre l’application des mesures correctives issues de la prestation. La condition ne porte pas sur l’étendue de l’audit, mais sur son contenu : un audit qui s’arrête au rapport ne suffit pas.
Pour l’objectif 19, qui porte sur l’administration des systèmes, la qualification PAMS couvre neuf des douze mesures de l’objectif. Les trois autres restent à démontrer par l’organisation elle-même.
Le fil est le même partout : le référentiel organise ce qui peut être confié et ce qui reste dans les mains de l’organisation. Il ne remplace jamais entièrement le second par le premier.
Ce qui est déjà utilisable aujourd’hui
Deux outils publics existent et fonctionnent, indépendamment du calendrier législatif.
Leaders in Cybersecurity Training and Skills test d’assujettissement sur MonEspaceNIS2 permet de savoir si une organisation entre dans le périmètre, et dans quelle catégorie.
Leaders in Cybersecurity Training and Skills comparateur de référentiels, publié sur MesServicesCyber en mars 2026, met en correspondance les objectifs du ReCyF avec plusieurs normes ISO 27000. Une organisation déjà certifiée ISO 27001 peut ainsi repérer ce que son système de management couvre déjà, et où se situent ses écarts, sans repartir d’une feuille blanche.
Où en est le calendrier
Le texte français s’appelle le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il transpose NIS2 en même temps que d’autres textes européens.
Il a été adopté par le Sénat en mars 2025, puis voté à l’unanimité en commission spéciale à l’Assemblée nationale en septembre 2025. Son examen en séance publique a ensuite été reporté à plusieurs reprises, et il est attendu à la rentrée parlementaire de septembre 2026.
Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, l’Espagne, l’Irlande et les Pays-Bas pour défaut de transposition, en demandant des sanctions financières. Ces sanctions visent l’État, pas les entités régulées.
Une fois la loi promulguée, il restera les décrets d’application. C’est l’un d’eux qui rendra les objectifs du ReCyF obligatoires.
Les cas limites
Être hors périmètre ne signifie pas être hors sujet. NIS2 demande aux organisations concernées de sécuriser leur chaîne d’approvisionnement. Beaucoup de structures qui ne sont pas assujetties reçoivent donc des exigences de sécurité de la part de leurs clients, par contrat et non par la loi. C’est aujourd’hui le premier vecteur de diffusion du sujet.
Le ReCyF peut encore évoluer. Il est diffusé en version de travail. Sa structure et sa logique sont stables, mais le détail des mesures peut bouger d’ici la version définitive.
ISO 27001 ne vaut pas conformité NIS2. Le recouvrement est réel, il est même documenté par le comparateur de l’ANSSI, mais partiel. Une certification est une preuve pour certains objectifs, sur un périmètre donné. Ce n’est pas une équivalence.
Ce que ça demande à une équipe
Comprendre le mécanisme est une chose, le tenir dans la durée en est une autre. Trois compétences reviennent systématiquement.
Lire un référentiel correctement. Distinguer un objectif d’un moyen, repérer la condition attachée à une preuve, identifier ce qui reste à la charge de l’organisation. C’est une compétence de lecture avant d’être une compétence technique.
Documenter ce qui est déjà fait. Une bonne partie des objectifs du ReCyF correspond à des pratiques déjà en place dans beaucoup d’équipes. Ce qui manque n’est pas la mesure, c’est la trace qui permet de la démontrer.
Situer l’existant face au référentiel. Savoir utiliser le comparateur, identifier les écarts réels, et distinguer ce qui relève d’un chantier de ce qui relève d’une mise en forme.
Ces trois compétences sont au cœur de ce que nous transmettons en formation. ACG Cybersecurity forme sur la directive NIS2, sur ISO/CEI 27001 et sur l’analyse de risques, en sessions inter-entreprises et en intra.
Ce qui vous reste à la fin
L’objectif d’une formation réussie n’est pas de créer une dépendance à un prestataire. C’est que l’équipe sache lire le référentiel qui la concerne, tenir sa documentation, et voir venir les échéances sans les subir. Une organisation qui a compris la logique du ReCyF peut travailler avec n’importe quel intervenant, y compris un autre que nous, en sachant ce qu’elle achète.
Nos références
ACG Cybersecurity est certifié Qualiopi au titre des actions de formation et partenaire Gold de PECB, organisme de certification international.
Par où commencer, sans nous
Trois gestes gratuits, faisables cette semaine : passer le test d’assujettissement sur MonEspaceNIS2, télécharger le ReCyF et lire les objectifs 1 et 2, puis ouvrir le comparateur de référentiels pour voir ce qu’une certification en place couvre déjà.
Une question sur l’un des objectifs ? Notre équipe est à votre disposition à l’adresse formation@acgcybersecurity.fr.
Questions fréquentes
Non, pas aujourd’hui. Il est diffusé en version de travail depuis le 17 mars 2026. Ses objectifs deviendront obligatoires par le décret pris en application de la loi de transposition, qui n’est pas encore votée.
Pas directement. Une directive européenne nécessite une loi nationale. Le projet de loi français est attendu en séance publique à l’Assemblée nationale à la rentrée de septembre 2026.
NIS2 fixe les obligations de cybersécurité au niveau européen. Le ReCyF les traduit en 20 objectifs concrets et précise, pour chacun, ce qui est accepté comme moyen de démontrer qu’ils sont atteints.
Cela dépend du secteur d’activité et de la taille de l’organisation. Le test en ligne de l’ANSSI sur MonEspaceNIS2 donne la réponse en quelques minutes.
Le contenu des objectifs est connu depuis mars 2026. Une organisation qui structure sa sécurité sur cette base sait à quoi ressemblera son obligation future.
CEO ACG Cybersecurity
Sources vérifiées le 24 août 2026, sur le ReCyF v2.5 du 17 mars 2026
Published: Août 2026
À retenir
Deux sigles, une seule question
Vous avez entendu parler de NIS2 par un client, un collègue ou un article. Puis le mot ReCyF est apparu, et les deux se sont mis à circuler comme s’ils désignaient la même chose.
Cet article explique ce qui les distingue et ce qui s’applique aujourd’hui. Il ne traite ni des seuils d’assujettissement, ni des sanctions, pour lesquels les outils officiels répondent mieux.
Ce que vous vivez
Le sujet arrive rarement de face. Il arrive par un questionnaire de sécurité envoyé par un client, par une clause qui apparaît dans un contrat de renouvellement, ou par une réunion où quelqu’un annonce qu’il faudra « être conforme NIS2 » sans que personne ne sache très bien à partir de quand.
En cherchant, on trouve tout et son contraire. Des articles annoncent que la directive s’applique en France depuis 2024. D’autres expliquent que rien n’est encore en vigueur. Certains présentent le ReCyF comme un texte contraignant, d’autres comme un simple document de travail.
Cette confusion vient de la structure même du dossier : un texte européen, une loi française qui n’est pas encore votée, et un référentiel technique publié avant elle. Trois étages, trois calendriers. Une fois qu’on a compris comment ils s’emboîtent, le reste devient simple.
Les trois étages de la conformité NIS2. Sources : EUR-Lex, Assemblée nationale, MesServicesCyber.
Ce que dit le texte
NIS2 : une directive, donc un texte qui a besoin d’une loi
NIS2 est le nom courant de la directive (UE) 2022/2555, adoptée fin 2022. Elle succède à une première directive NIS de 2016 et élargit largement le nombre d’organisations concernées, en raisonnant par secteur d’activité et par taille plutôt que par désignation individuelle.
Une directive européenne, contrairement à un règlement comme le RGPD, ne s’applique pas directement dans les États membres. Elle fixe un résultat à atteindre et laisse à chaque pays le soin d’écrire sa propre loi pour y parvenir. C’est ce qu’on appelle la transposition. Tant que cette loi n’existe pas, la directive n’a pas d’effet direct sur les entreprises du pays.
La date limite fixée aux États pour transposer NIS2 était le 17 octobre 2024.
Le ReCyF : le mode d’emploi français
Le Référentiel Cyber France, ou ReCyF, est publié par l’ANSSI, l’agence nationale chargée de la cybersécurité. Sa version 2.5 date du 17 mars 2026 et se télécharge sur la plateforme MesServicesCyber.
Il décline les obligations de NIS2 en 20 objectifs de sécurité concrets : recenser ses systèmes d’information, mettre en place une gouvernance, maîtriser les accès, gérer les incidents, assurer la continuité d’activité, et ainsi de suite.
Le référentiel précise lui-même son statut : il correspond au référentiel de cybersécurité mentionné à l’article 14 du projet de loi Résilience, et ses objectifs deviendront des obligations par le décret pris en application de cet article. Autrement dit, le ReCyF décrit à quoi ressemblera l’obligation. Il ne la crée pas.
Ce que ça change concrètement
La distinction qui structure tout le référentiel
Le ReCyF sépare deux niveaux, et cette séparation est ce qu’il apporte de plus utile.
L’objectif de sécurité répond à la question « quoi ». C’est l’obligation. Son atteinte sera obligatoire une fois le décret publié.
Les moyens acceptables de conformité répondent à la question « comment ». Ce sont les mesures que l’ANSSI propose pour atteindre l’objectif, et leur application n’est pas obligatoire. Une organisation peut mettre en œuvre d’autres mesures, à condition de pouvoir démontrer qu’elles atteignent le même résultat.
C’est une architecture souple : le résultat est imposé, le chemin ne l’est pas.
Tous les objectifs ne concernent pas tout le monde
NIS2 distingue deux catégories, les entités importantes et les entités essentielles, selon le secteur d’activité et la taille. Le ReCyF reprend cette distinction.
Les entités importantes relèvent des objectifs 1 à 15. Les entités essentielles relèvent des 20. Les cinq objectifs supplémentaires portent sur l’analyse de risques, l’audit, le durcissement des systèmes et la supervision : un niveau d’exigence qui suppose des moyens plus importants.
Pour savoir dans quelle catégorie se situe une organisation, l’ANSSI met à disposition un test en ligne sur MonEspaceNIS2. C’est plus fiable que n’importe quel tableau recopié, et c’est gratuit.
Une certification ou une qualification peut servir de preuve
C’est le mécanisme le moins connu du référentiel, et le plus utile en pratique. Pour plusieurs objectifs, le ReCyF admet qu’une organisation se prévale, lors d’un contrôle, d’une certification reconnue ou d’une prestation réalisée par un prestataire qualifié par l’ANSSI.
À chaque fois, le référentiel précise la portée exacte de cette preuve, et ces précisions méritent d’être lues.
Pour l’objectif 2, qui porte sur la gouvernance, un système de management de la sécurité de l’information certifié ISO/CEI 27001:2022 démontre le respect de l’objectif sur les systèmes d’information couverts par la certification. La preuve vaut pour le périmètre certifié, pas au-delà.
Pour l’objectif 17, qui porte sur l’audit et ne concerne que les entités essentielles, le recours à une prestation d’audit qualifiée PASSI est admis à condition que le périmètre de la prestation couvre l’application des mesures correctives issues de la prestation. La condition ne porte pas sur l’étendue de l’audit, mais sur son contenu : un audit qui s’arrête au rapport ne suffit pas.
Pour l’objectif 19, qui porte sur l’administration des systèmes, la qualification PAMS couvre neuf des douze mesures de l’objectif. Les trois autres restent à démontrer par l’organisation elle-même.
Le fil est le même partout : le référentiel organise ce qui peut être confié et ce qui reste dans les mains de l’organisation. Il ne remplace jamais entièrement le second par le premier.
Ce qui est déjà utilisable aujourd’hui
Deux outils publics existent et fonctionnent, indépendamment du calendrier législatif.
Leaders in Cybersecurity Training and Skills test d’assujettissement sur MonEspaceNIS2 permet de savoir si une organisation entre dans le périmètre, et dans quelle catégorie.
Leaders in Cybersecurity Training and Skills comparateur de référentiels, publié sur MesServicesCyber en mars 2026, met en correspondance les objectifs du ReCyF avec plusieurs normes ISO 27000. Une organisation déjà certifiée ISO 27001 peut ainsi repérer ce que son système de management couvre déjà, et où se situent ses écarts, sans repartir d’une feuille blanche.
Où en est le calendrier
Le texte français s’appelle le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il transpose NIS2 en même temps que d’autres textes européens.
Il a été adopté par le Sénat en mars 2025, puis voté à l’unanimité en commission spéciale à l’Assemblée nationale en septembre 2025. Son examen en séance publique a ensuite été reporté à plusieurs reprises, et il est attendu à la rentrée parlementaire de septembre 2026.
Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France, l’Espagne, l’Irlande et les Pays-Bas pour défaut de transposition, en demandant des sanctions financières. Ces sanctions visent l’État, pas les entités régulées.
Une fois la loi promulguée, il restera les décrets d’application. C’est l’un d’eux qui rendra les objectifs du ReCyF obligatoires.
Les cas limites
Être hors périmètre ne signifie pas être hors sujet. NIS2 demande aux organisations concernées de sécuriser leur chaîne d’approvisionnement. Beaucoup de structures qui ne sont pas assujetties reçoivent donc des exigences de sécurité de la part de leurs clients, par contrat et non par la loi. C’est aujourd’hui le premier vecteur de diffusion du sujet.
Le ReCyF peut encore évoluer. Il est diffusé en version de travail. Sa structure et sa logique sont stables, mais le détail des mesures peut bouger d’ici la version définitive.
ISO 27001 ne vaut pas conformité NIS2. Le recouvrement est réel, il est même documenté par le comparateur de l’ANSSI, mais partiel. Une certification est une preuve pour certains objectifs, sur un périmètre donné. Ce n’est pas une équivalence.
Ce que ça demande à une équipe
Comprendre le mécanisme est une chose, le tenir dans la durée en est une autre. Trois compétences reviennent systématiquement.
Lire un référentiel correctement. Distinguer un objectif d’un moyen, repérer la condition attachée à une preuve, identifier ce qui reste à la charge de l’organisation. C’est une compétence de lecture avant d’être une compétence technique.
Documenter ce qui est déjà fait. Une bonne partie des objectifs du ReCyF correspond à des pratiques déjà en place dans beaucoup d’équipes. Ce qui manque n’est pas la mesure, c’est la trace qui permet de la démontrer.
Situer l’existant face au référentiel. Savoir utiliser le comparateur, identifier les écarts réels, et distinguer ce qui relève d’un chantier de ce qui relève d’une mise en forme.
Ces trois compétences sont au cœur de ce que nous transmettons en formation. ACG Cybersecurity forme sur la directive NIS2, sur ISO/CEI 27001 et sur l’analyse de risques, en sessions inter-entreprises et en intra.
Ce qui vous reste à la fin
L’objectif d’une formation réussie n’est pas de créer une dépendance à un prestataire. C’est que l’équipe sache lire le référentiel qui la concerne, tenir sa documentation, et voir venir les échéances sans les subir. Une organisation qui a compris la logique du ReCyF peut travailler avec n’importe quel intervenant, y compris un autre que nous, en sachant ce qu’elle achète.
Nos références
ACG Cybersecurity est certifié Qualiopi au titre des actions de formation et partenaire Gold de PECB, organisme de certification international.
Par où commencer, sans nous
Trois gestes gratuits, faisables cette semaine : passer le test d’assujettissement sur MonEspaceNIS2, télécharger le ReCyF et lire les objectifs 1 et 2, puis ouvrir le comparateur de référentiels pour voir ce qu’une certification en place couvre déjà.
Si un objectif vous laisse dans le doute à la lecture, écrivez à [Prénom Nom] : nous répondons.
Questions fréquentes
Non, pas aujourd’hui. Il est diffusé en version de travail depuis le 17 mars 2026. Ses objectifs deviendront obligatoires par le décret pris en application de la loi de transposition, qui n’est pas encore votée.
Pas directement. Une directive européenne nécessite une loi nationale. Le projet de loi français est attendu en séance publique à l’Assemblée nationale à la rentrée de septembre 2026.
NIS2 fixe les obligations de cybersécurité au niveau européen. Le ReCyF les traduit en 20 objectifs concrets et précise, pour chacun, ce qui est accepté comme moyen de démontrer qu’ils sont atteints.
Cela dépend du secteur d’activité et de la taille de l’organisation. Le test en ligne de l’ANSSI sur MonEspaceNIS2 donne la réponse en quelques minutes.
Le contenu des objectifs est connu depuis mars 2026. Une organisation qui structure sa sécurité sur cette base sait à quoi ressemblera son obligation future.
CEO ACG Cybersecurity
Sources vérifiées le 24 août 2026, sur le ReCyF v2.5 du 17 mars 2026
Demande d’information
Demande d’information
