Publication du référentiel ReCyF : l’ANSSI prépare concrètement les organisations à l’ère NIS2

La publication du référentiel ReCyF par l’ANSSI constitue une étape majeure dans la mise en œuvre opérationnelle de la directive européenne NIS2. Alors que la directive n’est pas encore formellement transposée en droit français, l’ANSSI fixe dès aujourd’hui les attentes en matière de cyberrésilience. Le message est clair : la capacité à résister à une cyberattaque, à maintenir les activités essentielles et à redémarrer rapidement devient désormais un élément central des dispositifs de cybersécurité.

Les incidents cyber ne sont plus des événements exceptionnels. Ils s’inscrivent désormais dans le fonctionnement normal des organisations, avec des impacts opérationnels, financiers et réputationnels parfois majeurs.

Pourtant, un décalage persiste. Depuis plus de dix ans, les entreprises ont largement investi dans la prévention, la protection et la détection. En revanche, leur capacité à faire face à une crise cyber majeure, à préserver leurs activités critiques, à protéger leurs données les plus sensibles et à retrouver un fonctionnement normal reste souvent insuffisante. La résilience demeure encore trop fréquemment le parent pauvre des politiques de cybersécurité.

ReCyF : un changement de paradigme

Le référentiel ReCyF répond à un constat désormais largement partagé : malgré les investissements réalisés en matière de protection et de détection, l’incident majeur reste une hypothèse crédible, voire inévitable.

ReCyF acte ainsi un changement profond de doctrine. La question n’est plus uniquement « Comment empêcher une cyberattaque ? », mais également « Comment continuer à fonctionner lorsqu’elle survient ? ». La cyberrésilience devient un pilier à part entière de la gouvernance de la cybersécurité.

Cette évolution est renforcée par un contexte de menace toujours plus exigeant. L’essor des IA génératives, qu’il s’agisse de modèles frontière ou open source, abaisse progressivement le niveau d’expertise nécessaire pour préparer, automatiser ou industrialiser certaines attaques. Dans ce contexte, la capacité à absorber un incident devient aussi importante que celle de le prévenir.

Avec ReCyF, l’ANSSI ne publie pas simplement un nouveau référentiel technique. Elle formalise un socle de référence en matière de cyberrésilience qui préfigure très concrètement les futures attentes associées à NIS2 :

• des PCA et PRA véritablement orientés cyber, intégrant sauvegardes, scénarios de reprise et tests réguliers ;
• une gestion de crise structurée, outillée et pilotée, reposant sur des procédures, une organisation claire et des outils opérationnels ;
• une stratégie d’entraînement inscrite dans la durée, avec des exercices réguliers impliquant les différentes parties prenantes.

Un défi majeur pour les entités essentielles

Les exigences de ReCyF interviennent alors même que le niveau de maturité des organisations reste très hétérogène. Les résultats du Baromètre CESIN 2026¹ illustrent l’ampleur du chemin à parcourir :

• une organisation sur deux n’a jamais testé son PRA en conditions réelles ;
• moins de 30 % intègrent les métiers dans les tests de continuité ;
• plus de 60 % n’entraînent pas régulièrement leur COMEX ou leur CODIR à la gestion d’une crise cyber ;
• les exercices restent majoritairement « sur table » et peu immersifs ;
• moins de 35 % disposent d’un programme d’exercices structuré ;
• moins de 20 % réalisent des exercices associant simultanément les équipes IT, les métiers et la direction générale.

Le décalage entre les exigences portées par ReCyF et le niveau de maturité actuel des organisations est significatif. 

La cyberrésilience ne peut donc plus être considérée comme un chantier secondaire : elle devient un enjeu stratégique de gouvernance et un facteur de résilience opérationnelle.

Une fenêtre d’opportunité à saisir

La directive NIS2 n’est pas encore formellement transposée en droit français. Sa loi de transposition pourrait être adoptée au cours du second semestre 2026, sous réserve du calendrier parlementaire.

Pour autant, avec la publication de ReCyF, le cadre est déjà posé. Les attentes sont désormais explicites et le niveau d’exigence ne fait plus de doute.

Cette période transitoire, qui pourrait s’étendre jusqu’à une entrée en vigueur fin 2026 ou début 2027, constitue une véritable fenêtre d’opportunité pour les organisations. Elle leur permet de :

• anticiper les futures exigences plutôt que subir une mise en conformité dans l’urgence ;
• structurer progressivement leurs dispositifs de cyberrésilience ;
• tester, entraîner et améliorer leurs capacités avant les premiers contrôles… ou avant d’avoir à gérer une crise réelle.

Au-delà de la conformité réglementaire, ReCyF représente surtout une opportunité de renforcer durablement la résilience des organisations. Les entreprises qui engageront cette transformation dès aujourd’hui disposeront non seulement d’une longueur d’avance lors de l’entrée en application de NIS2, mais seront également mieux préparées à faire face à une menace cyber dont le niveau demeure particulièrement élevé.

La cyberrésilience ne s’improvise pas le jour où la crise survient. Elle se construit bien avant, par la préparation, l’entraînement et l’amélioration continue. ReCyF fournit aujourd’hui un cadre de référence ; il appartient désormais aux organisations de le transformer en capacité opérationnelle. C’est précisément le sens de l’engagement d’ALCYCONIE.

Guillaume CHÉREAU – COO Alcyconie

FAQ : Référentiel ReCyF et NIS2