Qu’est-ce que le ReCyF de l’ANSSI ?
Le Référentiel Cyber France (ReCyF) est publié par l’ANSSI depuis le 17 mars 2026 comme document de travail, en version 2.5 3 6. Il décline les objectifs de sécurité de NIS2 en mesures concrètes : 15 objectifs valent pour toutes les entités, 5 de plus pour les entités essentielles, soit 20 7. Il n’est pas obligatoire en tant que tel, mais une entreprise qui l’applique peut s’en prévaloir lors d’un contrôle 3.
Quelles sanctions prévoit NIS2 ?
La directive impose aux États un plafond d’amende d’au moins 10 M€ ou 2 % du chiffre d’affaires mondial pour une entité essentielle, et d’au moins 7 M€ ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu 1. Pour une entité essentielle, un dirigeant peut être temporairement écarté de ses fonctions si les injonctions restent sans effet 1. Les montants applicables en France seront ceux de la loi, encore en discussion 2.
À partir de quand faudra-t-il être conforme ?
Aucune date ne s’impose tant que la loi et ses décrets ne sont pas publiés 2. En octobre 2024, l’ANSSI annonçait au moins trois ans avant d’exiger une conformité complète une fois le cadre fixé 8. En octobre 2026, son directeur général a évoqué devant les députés une conformité complète fin 2028 9. Ce sont des intentions, pas des échéances légales : le calendrier définitif dépendra du texte voté.
Comment savoir si mon entreprise est concernée et s’enregistrer ?
L’ANSSI propose sur MonEspaceNIS2 un simulateur « Suis-je concerné ? » et une foire aux questions 3. Depuis le 24 novembre 2025, les entités concernées peuvent se pré-enregistrer auprès de l’ANSSI, via un parcours guidé 4. Cette démarche reste volontaire : l’enregistrement deviendra obligatoire avec la publication des textes d’application 4.
Par où commencer avec l’ANSSI quand on part de zéro ?
L’ANSSI propose CyberDépart, un diagnostic gratuit d’une heure, à distance ou sur site, mené par un aidant cyber bénévole 5. Un test de maturité de 3 minutes donne une première photographie, sans mesurer la conformité à NIS2 5. Pour aller plus loin, le ReCyF et son outil de comparaison permettent de rapprocher les mesures attendues des normes déjà appliquées dans l’entreprise 3.
Un fournisseur ou un éditeur de logiciel de production est-il touché par NIS2 ?
Il peut l’être directement s’il appartient lui-même à un secteur visé et dépasse les seuils 1. Sinon, il l’est indirectement : ses clients soumis à NIS2 doivent évaluer la sécurité de leurs fournisseurs directs, la qualité de leurs produits et leurs procédures de développement sécurisé 1. Il faut donc s’attendre à des questionnaires, à des clauses contractuelles et à des demandes sur la gestion des vulnérabilités et des mises à jour.