Le ReCyF, la carte maîtresse de l’ANSSI face au millefeuille réglementaire ?
Simplifier la sécurité pour mieux protéger, telle pourrait être l’ambition de ce nouveau référentiel cyber français.
À l’aube de l’examen de la loi de transposition de la directive NIS2 à l’Assemblée nationale, il semble important de replacer dans son juste cadre un concept aussi simple qui pourrait bien marquer un changement de paradigme : la cybersécurité ne doit plus être vécue comme une contrainte, mais comme un réflexe naturel, proportionné à la taille et aux moyens de chaque organisation.
Prétendre que la cybersécurité est une charge « transparente » dans les budgets internes est tout simplement faux. Elle a un coût, et ce dernier peut s’avérer conséquent. Mais il faut rappeler que ne rien faire peut coûter bien plus cher (rançons à payer, pertes de production, atteinte à l’image, sanctions réglementaires, etc.) L’inaction n’est jamais gratuite, elle expose au risque le plus onéreux qui soit.
La cybersécurité n’imprègne pas encore le quotidien de toutes les organisations, alors même que le niveau de menace ne cesse de croître en sophistication. Les organismes soumis à une réglementation stricte, qui leur impose un haut niveau de protection, ont, bon gré mal gré, pris la mesure des enjeux et déployé les dispositifs adéquats.
À l’inverse, un grand nombre d’acteurs échappent encore à un cadre réglementaire ou ne sont concernés que depuis peu par des obligations légales ou par une réalité de lendemain de fête. C’est notamment le cas de nombreuses PME, TPE et collectivités, cibles privilégiées d’une cybercriminalité et d’une « cyber-pollution » nourries par les rançongiciels, le vol de données et les escroqueries. Leur niveau de maturité et leur conscience du risque restent insuffisants, alors que la menace numérique n’épargne personne.
Dès lors, il est essentiel que chaque organisation, quel que soit son statut et quelles que soient ses obligations légales, s’engage dans une trajectoire de cybersécurité adaptée à ses risques, à sa maturité et à ses moyens, afin de se protéger de manière proportionnée.
Cette ambition se heurte cependant au cadre en constante évolution, complexe, et fragmenté qui guide cette protection. En France et au sein de l’Union européenne, la réglementation relative à la protection des données et des systèmes d’information a connu une évolution rapide, portée par l’augmentation des menaces et des incidents. De nombreuses lois, règlements et référentiels ont vu le jour, créant un véritable « millefeuille » réglementaire. Ce contexte pousse les responsables sécurité à jongler avec un grand nombre de textes, de guides et de référentiels, rendant la conformité complexe, chronophage et parfois déroutante.
C’est dans ce contexte que le 17 mars 2026, l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) a présenté la première version de travail ReCyF, le Référentiel Cyber France, qui liste les mesures recommandées par l’Agence pour atteindre les objectifs de sécurité fixés par NIS 2 pour contrer la menace cybercriminelle de masse.
Il est légitime de craindre que le ReCyF ne vienne alourdir ce millefeuille déjà saturé, et son entrée dans le paysage risque effectivement d’être perçue comme celle d’un nouveau référentiel de plus. C’est pourtant en refusant cette logique d’empilement que le référentiel ReCyf opérerait véritablement un changement de paradigme.
L’ambition ne serait pas d’ajouter une couche réglementaire, mais de faire du ReCyF le socle national d’exigences de sécurité vers lequel toute la cybersécurité française devrait converger. En posant une base unique et stable, les cadres sectoriels et les référentiels internationaux viendraient s’y greffer plutôt que de s’ajouter de manière chaotique.
Le « millefeuille » réglementaire* : quand la sur-norme paralyse l’action
Au fil des ans, chaque alerte majeure a suscité une réponse législative ou normative. Intrusions d’ampleur, fuites de données sensibles ou interruptions de chaînes de production ont conduit les pouvoirs publics à renforcer progressivement les obligations imposées aux organisations.
Louable dans son intention, cette dynamique a toutefois abouti à une accumulation de textes dont la superposition complique aujourd’hui l’exercice quotidien de la cybersécurité.
Pour un acteur opérant en France ou au sein de l’Union européenne, il n’est plus rare de devoir naviguer simultanément entre :
- le Référentiel général de sécurité (RGS), pierre angulaire de la protection des services publics ;
- le règlement DORA, imposant une résilience opérationnelle renforcée aux établissements financiers ;
- la directive NIS2, qui élargit considérablement le périmètre des entités essentielles et importantes ;
- le Cyber Resilience Act (CRA), qui place la cybersécurité au cœur de la conception des produits numériques et des objets connectés ;
- l’Artificial Intelligence Act (IA Act), qui instaure un cadre européen fondé sur les risques pour encadrer le développement, le déploiement et la supervision des systèmes d’IA,
- la directive sur la Résilience des Entités Critiques (REC), qui combine exigences physiques et cyber pour les opérateurs vitaux ;
- sans oublier les obligations préexistantes de la Loi de programmation militaire, du RGPD ou encore de la première directive NIS.
Et bien d’autres encore.
Chacune de ces strates poursuit un objectif légitime : protéger les citoyens, sécuriser l’économie et garantir la continuité des services essentiels. Mais, dans la pratique, une part croissante des ressources est consacrée à la démonstration de la conformité plutôt qu’à la protection effective des infrastructures. A mesure que les exigences réglementaires prolifèrent, les équipes consacrent l’essentiel de leur temps à renseigner des tableaux de conformité, aligner des livrables et compiler des preuves d’audit.
L’accumulation des normes produit ainsi un effet contraire à celui recherché. En voulant couvrir chaque risque par un nouveau cadre, elle réduit la capacité d’action de ceux qui doivent les appliquer. Résultat : les correctifs critiques sont repoussés, les vulnérabilités s’empilent et la surface d’attaque s’étend.
La conformité ne devrait pas constituer une finalité. Elle doit rester au service de la prévention, de la détection et de la réponse aux attaques.
* Le « millefeuille réglementaire » désigne la superposition de normes, lois et référentiels, souvent créés dans des contextes différents ou pour des objectifs spécifiques.
Pourquoi simplifier (vraiment) les référentiels ?
Cette complexité ne pèse pas de la même manière sur toutes les organisations. Les grands groupes disposent généralement d’équipes spécialisées, de centres opérationnels de sécurité et de budgets dédiés. Ils peuvent absorber plus facilement la multiplication des obligations, même si celle-ci mobilise des ressources importantes.
La situation est différente pour les PME, TPE et collectivités territoriales qui font face à une équation intenable faute de moyens humains ou financiers. Financer un RSSI à temps plein ou des campagnes régulières d’audit constitue souvent une marche compliquée à atteindre.
Ces structures peinent parfois à identifier les exigences qui les concernent, à les hiérarchiser et à les traduire en mesures concrètes. Elles sont pourtant particulièrement exposées aux rançongiciels, aux fraudes et aux vols de données.
Sans accompagnement, la conformité devient rapidement un fardeau inaccessible plutôt qu’un levier de protection et d’amélioration de la cybersécurité.
Simplifier ne signifie pas réduire le niveau d’exigence. Il s’agit de rendre les règles plus lisibles, plus cohérentes et mieux proportionnées aux risques. Un socle commun permettrait de mutualiser les démarches, de limiter les doublons et d’utiliser un même ensemble de preuves pour répondre à plusieurs obligations.
Les ressources ainsi libérées pourraient être consacrées aux activités essentielles de cybersécurité. Des exigences plus claires faciliteraient également leur appropriation par les dirigeants et les équipes métiers. La cybersécurité serait alors davantage considérée comme un sujet de gestion des risques que comme un domaine réservé aux experts.
L’enjeu n’est donc pas de supprimer les cadres existants, mais de mieux les articuler et de leur donner une cohérence d’ensemble.
RECYF Renforcé : vers un véritable socle national d’exigences de sécurité
Le ReCyF constitue déjà une avancée significative. Son principe de proportionnalité permet d’adapter l’effort requis selon la maturité et les ressources réelles de chaque entité dans une perspective NIS2.
Sa création intervient toutefois alors qu’un autre référentiel de mesures fondamentales est également en préparation. Celui-ci doit remplacer le Guide d’hygiène informatique de l’ANSSI et accompagner le programme « cyber départ ».
La France pourrait donc voir apparaître deux nouveaux cadres, au risque de prolonger la logique d’accumulation que le ReCyF devrait justement contribuer à réduire. Le ReCyF doit dès lors passer d’un simple référentiel NIS2 à un véritable cadre national unifié, bâti sur quatre principes fondateurs :
- Universalité : s’adresser à toutes les organisations, publiques ou privées, des TPE aux OIV, avec des exigences modulaires adaptées à la criticité ;
- Clarté et lisibilité : exigences formulées sans ambiguïté, afin de rester compréhensibles et applicables par tous ;
- Compatibilité : harmoniser les principaux cadres existants (DORA, RGPD, CRA, RGS, LPM, REC, II 901, etc.) pour faciliter la conformité multiple ;
- Évolutivité : s’ajuster aux avancées technologiques, à l’émergence de nouvelles menaces et à l’évolution des référentiels sectoriels de sécurité.
Ces principes s’articulent autour de trois axes opérationnels :
- Périmètre élargi au-delà de NIS 2
Le référentiel doit dépasser les seules exigences NIS 2 et la menace criminelle pour englober l’ensemble du cyberespace français ainsi que toutes les menaces qui le ciblent y compris celles d’origine étatique.
Il offrirait ainsi une protection globale contre la cyber-criminalité, la cyber-pollution et les actions offensives sophistiquées.
Les niveaux les plus élevés intégreraient des mesures renforcées – segmentation réseau, chiffrement systématique, détection avancée, etc. – inspirées des réglementations propres à la défense nationale, afin de sécuriser les entités les plus sensibles.
- Principe de proportionnalité généralisé
Le ReCyF doit calibrer ses exigences en fonction de la maturité et des moyens réels de chaque organisation, de la TPE au grand groupe, du service public à l’OIV.
Sur la base de leur analyse de risques et des textes qui leur sont applicables, les entités pourront choisir et justifier un niveau d’exigence allant du socle basique jusqu’au plus avancé.
- Une grille de lecture unique pour l’ensemble des textes réglementaires
Sans se substituer aux cadres existants, le ReCyF doit devenir l’adaptateur universel qui met en cohérence les référentiels applicables.
En fusionnant et harmonisant ces cadres dans une matrice lisible, il offre une cartographie claire des obligations et permet d’orienter une trajectoire de maturité cohérente par paliers progressifs, alignés sur les obligations sectorielles et horizontales, permettant de renforcer la sécurité sans rupture d’exploitation tout en valorisant les efforts auprès des régulateurs, assureurs et partenaires.
En réunissant ces principes fondateurs et ces axes d’action, le ReCyF deviendrait la boussole commune qui simplifie, harmonise et rationalise la cybersécurité pour toutes les organisations françaises, tout en leur laissant la latitude d’adapter l’effort selon leurs risques et leurs moyens.
Le ReCyF, une occasion de simplifier durablement
Dans un paysage réglementaire toujours plus dense, le ReCyF renforcé peut devenir la passerelle indispensable entre les obligations de conformité et l’accompagnement opérationnel des entreprises dans leur démarche de protection, avec l’ambition de simplifier, d’harmoniser et de rationaliser un cadre référentiel complexe, tout en insufflant la sécurité numérique au cœur de chaque organisation, quel que soit son secteur ou sa taille.
Le ReCyF pourrait ainsi devenir un véritable socle national d’exigences de sécurité. Non pas une nouvelle couche dans le paysage réglementaire, mais un cadre capable de rendre la cybersécurité plus lisible, plus accessible et plus efficace.
Auteur
Sébastien VINCON, Principal Cyber Consulting & Tech Services