ReCyF

Le référentiel de cybersécurité NIS 2 — abrégé ReCyF — est le document par lequel l'ANSSI décrit ce que les entités visées devront mettre en œuvre. Une directive européenne énonce des obligations générales ; un référentiel les traduit en exigences que l'on peut constater, une par une. C'est la différence entre « prendre des mesures appropriées » et une liste de points sur lesquels on peut répondre oui ou non, preuve à l'appui.

Sa structure tient en quatre piliers — gouvernance, protection, défense, résilience — déclinés en 20 objectifs de sécurité et 152 exigences. La répartition est déséquilibrée à dessein : la protection concentre 76 exigences, la gouvernance 42, la résilience 21 et la défense 13. Les objectifs 1 à 15 forment le socle applicable aux entités importantes, soit 77 exigences ; les objectifs 16 à 20 ne visent que les entités essentielles.

Un point mérite d'être dit clairement : la version utilisée par ALYDEA est la v2.5, une version de travail portant la date du 16 février 2026. Un référentiel en version de travail peut encore évoluer, et la loi française qui le rendra opposable n'est pas promulguée. C'est pourquoi chaque page qui s'y réfère porte sa date, et pourquoi nous n'annonçons aucune échéance de contrôle.