Aligner votre organisation sur NIS 2 et sur la directive REC
Deux directives européennes redéfinissent ce qu’une organisation doit être capable de tenir quand tout s’arrête. NIS 2 pour la cybersécurité, REC pour la résilience physique des entités critiques. Nous vous aidons à savoir si vous êtes concerné, à quel titre, et ce qu’il vous reste à faire.
Où en est-on réellement
La directive (UE) 2022/2555, dite NIS 2, est entrée en vigueur le 16 janvier 2023 et devait être transposée avant le 17 octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025 et poursuit son parcours parlementaire. Il n’était pas promulgué à la fin du mois d’août 2026, et les décrets d’application restent à publier.
L’ANSSI n’a pas attendu la loi. Elle a publié sur MesServicesCyber le Référentiel Cyber France, dit ReCyF, qui traduit les objectifs de la directive en vingt objectifs de sécurité assortis de moyens acceptables de conformité. Elle a ouvert un test d’éligibilité et un service de pré-enregistrement des entités. Les exigences sont donc connues et stables, seules leurs modalités d’application restent à préciser.
État de la transposition et version du ReCyF arrêtés au 25 août 2026.
Les questions qui se posent d’abord
-
Êtes-vous concerné ?Dix-huit secteurs, et un seuil qui descend jusqu’aux organisations de taille moyenne. Beaucoup d’entités visées ne le savent pas encore.
-
Essentielle ou importante ?La qualification conditionne le niveau d’exigence, l’étendue des contrôles et le plafond des sanctions.
-
Que vaut l’existant ?La plupart des organisations ont déjà des sauvegardes, un plan de crise, une politique de sécurité. La question est de savoir ce qui résiste à la confrontation au référentiel.
-
Qui répond en cas de contrôle ?L’article 20 rend les organes de direction responsables de l’approbation des mesures et de la supervision de leur mise en oeuvre.
-
Que faut-il pouvoir montrer ?La conformité ne se déclare pas, elle se démontre. Traces de décision, comptes rendus d’exercice, attestations de formation.
-
Et la directive REC ?La résilience physique des entités critiques suit une logique parallèle. Les deux textes se recoupent sur la continuité et la gestion de crise.
Ce que les deux directives exigent
Au-delà du renforcement technique, elles engagent le périmètre, la gouvernance et la capacité à tenir sous contrainte.
Un périmètre élargi
NIS 2 étend le champ de NIS 1 à dix-huit secteurs et à des organisations de taille moyenne. REC vise les entités critiques et leurs dépendances physiques.
Dix mesures minimales
L’article 21 énumère dix catégories, dont la continuité et la gestion de crise, la cyberhygiène et la formation, la sécurité de la chaîne d’approvisionnement.
La direction engagée
L’article 20 impose aux organes de direction d’approuver les mesures, d’en superviser la mise en oeuvre et de suivre une formation.
Une horloge de notification
Alerte précoce sous 24 heures, notification circonstanciée sous 72 heures, rapport final sous un mois. Ces délais courent pendant l’incident.
Vingt objectifs de sécurité
Le ReCyF de l’ANSSI détaille ce que la directive attend en pratique. Quinze objectifs pour toutes les entités, cinq de plus pour les entités essentielles.
Des sanctions dissuasives
Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions d’euros ou 1,4 % pour une entité importante.
Par où commencer
Quatre étapes, de la qualification du périmètre à la preuve que le dispositif tient.
Qualifier le périmètre
Déterminer si votre organisation entre dans le champ, à quel titre, et sur quels systèmes. L’ANSSI met à disposition un test d’éligibilité et un service de pré-enregistrement, c’est le point de départ le moins coûteux.
Mesurer l’écart
Confronter l’existant aux dix mesures de l’article 21 et aux objectifs du ReCyF, coter les écarts selon leur criticité et l’effort qu’ils demandent, et en tirer une feuille de route présentable en comité de direction.
Mettre le dispositif de crise au niveau
Reprendre le plan de crise existant plutôt que d’en écrire un neuf, et y intégrer ce que la directive ajoute : qualification de l’incident, horloge de notification, autorité compétente, traçabilité des décisions.
Former et éprouver
Former les membres de la direction comme l’article 20 le prévoit, puis jouer le dispositif sur un scénario cyber. Le ReCyF attend au minimum un exercice sur table, et un programme triennal pour les entités essentielles.
Aller plus loin
Le cadre de référence
Savoir si vous êtes concerné, et par quoi
Décrivez votre secteur, votre taille et l’état de votre dispositif. Un consultant vous rappelle pour situer votre organisation face aux deux directives.
assistance opérationnelle 24h/24 · +33 (0)1 47 33 03 12