ReCyF : ce que l’objectif d’audit de l’ANSSI implique concrètement pour vos tests

Depuis mars 2026, les pages françaises qui expliquent le Référentiel Cyber France se ressemblent toutes : elles décrivent la structure, énumèrent les objectifs, rappellent la distinction entre entités importantes et entités essentielles, puis s’arrêtent. Presque aucune ne répond à la seule question que pose un RSSI au moment de faire un budget : si un objectif porte sur l’audit, qu’est-ce que j’achète, sur quel périmètre, et à quelle fréquence ?

C’est l’objet de cet article. Nous décrivons ce qu’est le ReCyF et ce qu’il n’est pas, puis nous traduisons son objectif d’audit en un périmètre de test que vous pouvez cadrer, chiffrer et lancer. Il s’adresse aux RSSI et aux DSI de PME et d’ETI qui préfèrent commencer par ce qui restera vrai après la transposition.

Ce qu’est le ReCyF, et ce qu’il n’est pas

Le Référentiel Cyber France est un référentiel d’objectifs de sécurité mis à disposition par l’ANSSI le 17 mars 2026. L’agence le présente comme le référentiel de cybersécurité mentionné à l’article 14 du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — le texte communément appelé « loi Résilience », qui doit transposer en droit français la directive (UE) 2022/2555 (NIS 2).

Trois précisions, parce qu’elles déterminent tout ce qui suit.

• Ce n’est pas une réglementation. Le référentiel est diffusé à ce stade en tant que document de travail. Il ne crée aucune obligation par lui-même, et nul ne peut vous l’opposer tant que le texte législatif auquel il se rattache n’est pas promulgué et que ses mesures d’application ne sont pas publiées.


• Ce n’est pas un schéma de certification. Aucune attestation, aucun label, aucun certificat n’y est rattaché. Vous pouvez travailler votre alignement sur les objectifs et le documenter ; personne ne peut vous certifier ReCyF, et une offre qui le promettrait vous renseignerait surtout sur son auteur.


• Ce n’est pas une liste de mesures techniques. Le référentiel raisonne en objectifs : il décrit un résultat à atteindre, pas un produit à installer ni une case à cocher. C’est précisément ce qui rend la traduction en périmètre de test nécessaire — et c’est le travail que personne n’a publié.

Comment le référentiel est organisé

Le ReCyF répartit une vingtaine d’objectifs de sécurité en quatre blocs thématiques, qui couvrent l’ensemble du cycle : la gouvernance et la maîtrise des risques, la protection des systèmes, la détection et la réaction aux incidents, la continuité et la reprise d’activité.

La lecture importante n’est pas l’ordre des blocs, mais la gradation. Le référentiel distingue deux niveaux d’exigence, calqués sur la distinction que la directive opère entre entités importantes et entités essentielles :

Deux réserves d’usage. D’abord, la classification d’une entité française en « importante » ou « essentielle » n’est pas fixée en droit tant que la loi Résilience n’est pas promulguée et que ses décrets ne sont pas parus : les seuils et les secteurs que vous lisez aujourd’hui proviennent de la directive et du texte adopté par le Sénat, pas d’un texte en vigueur. Ensuite, nous ne reproduisons pas ici le libellé des objectifs : le référentiel est un document de travail susceptible d’évoluer, et une paraphrase commerciale n’a pas la même valeur qu’une lecture directe. Ouvrez le document sur cyber.gouv.fr avant d’écrire quoi que ce soit dans votre plan d’action.

L’objectif consacré à l’audit

Parmi ces objectifs, un seul décrit une activité que vous pouvez commander à un tiers : le référentiel prévoit un objectif consacré au contrôle et à l’audit du niveau de sécurité. Les autres décrivent des dispositifs internes — inventorier, cloisonner, journaliser, sauvegarder, gérer les accès — que vous mettez en œuvre vous-même.

C’est ce qui rend cet objectif intéressant, et c’est aussi ce qui le rend piégeux. Un objectif d’audit ne dit pas quel test acheter. Il fixe un résultat : savoir, autrement que par déclaration, où en est réellement votre niveau de sécurité, et le savoir régulièrement. Quatre conséquences en découlent, et ce sont elles qui déterminent le périmètre.

1. La vérification doit être indépendante de l’exploitation. Un contrôle effectué par l’équipe qui a construit et qui administre le système répond à une question différente. Il reste utile au quotidien, mais il ne constitue pas la preuve attendue.


2. Elle doit porter sur un périmètre défini par écrit. « Nous avons fait un audit » ne veut rien dire sans la note de cadrage qui énonce ce qui a été regardé, ce qui a été exclu, et pendant quelle fenêtre.


3. Elle doit être répétée. Un objectif de contrôle suppose une cadence, pas un événement unique. Un rapport vieux de dix-huit mois décrit un système qui n’existe plus.


4. Les écarts doivent être suivis jusqu’à leur correction. Un audit qui produit une liste et rien d’autre ne démontre rien. Ce qui démontre, c’est le registre de remédiation, les dates, et la vérification que les correctifs tiennent.

Cette lecture n’est pas une citation du référentiel. C’est la nôtre, et nous l’assumons comme telle : c’est ce qu’un objectif d’audit implique opérationnellement, quel que soit son libellé final.

De l’objectif au périmètre : cinq briques testables

Voici la traduction. Chacune de ces briques correspond à une portée d’audit que le marché français nomme déjà — ce sont les dénominations que l’ANSSI utilise pour décrire les prestations d’audit, et que vous retrouverez dans n’importe quel cahier des charges.

1. Test d’intrusion sur les interfaces exposées

C’est la brique qui répond le plus directement à la question « où en est-on réellement ? ». Le périmètre minimal est celui que voit un attaquant sans compte : le périmètre externe (adresses publiques, services en écoute, VPN, accès distants), les applications web et leurs API, les portails partenaires et les tenants cloud exposés.

Deux choix de cadrage comptent plus que le reste. L’approche : en boîte noire (black box), vous mesurez ce qu’un attaquant externe obtient sans rien savoir ; en boîte grise (grey box), vous fournissez des comptes de test et vous couvrez bien plus de surface pour le même budget. Pour un objectif de contrôle, la boîte grise donne presque toujours le meilleur rapport couverture/coût. La méthodologie : exigez qu’elle soit nommée dans le rapport — OWASP, WSTG, MASTG, PTES — parce que c’est ce qui rend le périmètre reproductible par un tiers. Le détail de la démarche est décrit sur notre page test d’intrusion.

2. Audit de configuration

Le test d’intrusion montre ce qui est exploitable ; l’audit de configuration montre ce qui est paramétré. On compare le réglage réel de vos équipements, serveurs, annuaires et services cloud à un référentiel de durcissement, et on mesure l’écart.

En pratique, les trois périmètres qui produisent le plus de constats sont l’Active Directory (délégations héritées, comptes de service à mot de passe ancien, stratégies d’audit désactivées), les tenants Microsoft 365 et les environnements cloud (règles d’exposition, conditions d’accès, rôles à privilèges), et les équipements de bordure (règles de pare-feu accumulées sur dix ans, jamais nettoyées). Cette brique est peu spectaculaire et très rentable : elle trouve ce qu’aucun test externe ne voit.

3. Audit d’architecture

Ici on ne teste pas, on lit : schémas de flux, plan d’adressage, zones de confiance, points d’interconnexion, chaîne d’authentification. L’exercice consiste à confronter le schéma que vous avez au comportement réel du réseau — et l’écart entre les deux est presque toujours l’endroit où se trouve le chemin d’attaque intéressant.

L’audit d’architecture se combine naturellement avec un test d’intrusion interne en hypothèse de compromission : on part d’un poste utilisateur standard et on regarde jusqu’où on va. C’est la seule manière honnête de vérifier qu’un cloisonnement fonctionne. Nous décrivons les deux volets sur la page test d’intrusion interne et externe.

4. Audit organisationnel

Un objectif d’audit ne porte pas que sur la technique. La partie organisationnelle vérifie que les procédures existent, qu’elles sont connues et qu’elles sont appliquées : gestion des accès et des départs, gestion des correctifs, procédure de signalement d’incident, exigences de sécurité dans les contrats fournisseurs, plan de continuité.

La méthode est classique — entretiens, revue documentaire, échantillonnage de preuves — et elle relève d’un audit de sécurité informatique. Un complément utile : un exercice contrôlé d’ingénierie sociale mesure ce que les procédures produisent réellement, en observant si le signalement remonte et à quelle vitesse. Les résultats sont restitués de façon agrégée, jamais nominative, et aucune sanction individuelle n’en découle. En France, cela suppose d’informer préalablement les salariés et, selon l’effectif, d’associer les instances représentatives du personnel : faites valider ce point en interne avant de lancer la campagne. La suite naturelle est un programme de sensibilisation à la cybersécurité.

5. La revue périodique

C’est la brique que les plans d’action oublient, et c’est celle qui transforme une dépense ponctuelle en preuve d’un dispositif de contrôle. Un objectif d’audit suppose une cadence.

Ce que nous recommandons, et ce qu’un auditeur considère comme raisonnable : une campagne annuelle sur le périmètre exposé ; un test complémentaire après chaque changement structurant (mise en ligne d’une application, migration cloud, fusion d’annuaires, ouverture d’un accès partenaire) ; et, entre deux campagnes, un audit de vulnérabilités outillé et récurrent, dont les constats sont vérifiés manuellement. La différence entre ce dernier et un test d’intrusion est développée dans scan de vulnérabilités ou test d’intrusion.

Tableau de correspondance

Le tableau ci-dessous fait le pont entre ce qu’un objectif d’audit suppose et ce que vous commandez. La colonne de gauche est notre lecture de l’objectif, pas une citation du référentiel.

Ce dernier point mérite d’être souligné, parce qu’il est celui que les organisations sous-estiment le plus : un objectif de contrôle ne se démontre pas avec un rapport, il se démontre avec un rapport et sa vérification. Chez Haxoris, le contre-audit est inclus dans le prix, dans les 90 jours suivant la remise du rapport, et le rapport mis à jour est le document que votre auditeur ou votre donneur d’ordre souhaitera voir.

Ce que le ReCyF ne vous demande pas

Autant que la traduction positive, il faut poser les limites — elles sont précisément là où le discours commercial dérape.

• Il ne vous impose pas un prestataire titulaire d’une qualification de l’État. Aucune obligation de ce type n’existe en droit français pour un audit commandé par une entreprise privée, et elle ne saurait découler d’un régime qui n’est pas encore transposé. Nous traitons la question en détail dans faut-il un prestataire titulaire de la qualification PASSI.


• Il ne vous impose pas nommément « un test d’intrusion ». Comme la directive (UE) 2022/2555 à son article 21, il raisonne en mesures appropriées et proportionnées au risque. Le test est le moyen le plus économique de prouver ce qu’on vous demande de prouver ; ce n’est pas une obligation nommée.


• Il ne remplace pas le RGPD. Pour tout système traitant des données personnelles, l’article 32 du règlement reste la disposition directement applicable qui nomme explicitement la procédure visant à tester et à évaluer régulièrement l’efficacité des mesures. C’est aujourd’hui votre justification la plus solide, et elle ne dépend d’aucune transposition.


• Il ne vous dispense pas du mandat écrit. Sans autorisation, les actes réalisés pendant un test relèveraient des articles 323-1 et suivants du code pénal. Tous nos tests d’intrusion sont réalisés sur mandat écrit, dans un périmètre défini contractuellement.

Ce que vous pouvez engager maintenant

La tentation, devant un référentiel non opposable, est d’attendre. C’est le mauvais calcul : les quatre actions ci-dessous ont une valeur propre aujourd’hui et conserveront leur valeur après la transposition, quel que soit le texte final.

Si vous préparez par ailleurs une certification ISO/IEC 27001, la même série de rapports alimente les mesures 8.8 et 8.29 de l’annexe A sans travail supplémentaire : l’articulation entre les deux régimes est développée dans ISO 27001 et NIS 2. Et si la question qui bloque est le budget plutôt que le périmètre, la structure des coûts d’une mission française est détaillée dans combien coûte un test d’intrusion.

Questions fréquentes

Le ReCyF est-il obligatoire ? Non. Il a été mis à disposition le 17 mars 2026 en tant que document de travail et se rattache à un projet de loi non promulgué. Tant que ce texte n’est pas adopté et que ses mesures d’application ne sont pas publiées, personne ne peut vous opposer une obligation ReCyF en droit français.

Peut-on être « certifié ReCyF » ? Non. Aucun dispositif de certification ni d’attestation n’y est rattaché. On travaille l’alignement et on le documente ; aucun prestataire ne délivre de certificat ReCyF.

Mon entité est-elle importante ou essentielle ? La réponse dépend de votre secteur, de votre taille et de votre rôle dans la chaîne d’approvisionnement — et elle n’est pas fixée en droit français à ce jour. Les critères que vous lirez proviennent de la directive et du texte adopté par le Sénat le 12 mars 2025. Faites qualifier votre situation par votre propre conseil.

Faut-il un prestataire titulaire d’une qualification de l’État ? Pas pour un audit commandé par une entreprise privée. La qualification PASSI est une démarche volontaire délivrée par l’ANSSI au titre du décret n° 2015-350 du 27 mars 2015. Elle est attendue dans des contextes précis, notamment les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense, ainsi que dans certains marchés publics. Haxoris ne détient pas la qualification PASSI et ne soumissionne pas sur ces prestations.

Une certification ISO 27001 suffit-elle ? Elle vous place en bonne position, sans couvrir l’ensemble. Vérifiez surtout le périmètre de votre certificat : un énoncé d’applicabilité étroit ne couvre pas un système d’information large, et c’est l’angle mort que nous rencontrons le plus souvent.

Par où commencer si nous n’avons jamais rien testé ? Par le périmètre exposé sur Internet, en boîte grise, sur une durée courte. C’est là que se trouvent les constats les plus exploitables et c’est le rapport qui vous servira le plus vite, y compris hors de tout référentiel. La préparation d’un audit au sens large est décrite dans comment préparer un audit de cybersécurité.

Conclusion

Le ReCyF est aujourd’hui un document de travail, et cela ne le rend pas inutile : il indique la direction dans laquelle le droit français va se déplacer. La partie de cette direction que vous pouvez engager immédiatement, c’est l’objectif d’audit — parce qu’il se traduit en périmètre, en jours-homme et en livrables, et parce que ce qu’il produit sert déjà vos obligations actuelles au titre du RGPD, votre système de management ISO 27001 et les questionnaires de vos donneurs d’ordre.

Haxoris intervient sur cette partie : test d’intrusion, audit de configuration, audit d’architecture, audit organisationnel, avec une restitution en visioconférence et un contre-audit inclus sans surcoût. Nous ne certifions rien et nous ne délivrons aucun avis de conformité ; nous produisons les preuves techniques sur lesquelles votre auditeur, votre organisme de certification ou votre client s’appuiera. Pour situer la démarche dans le calendrier réglementaire, voyez notre page préparation à la directive NIS 2.

Dernière vérification : 11 septembre 2026. Le libellé exact des objectifs du Référentiel Cyber France doit être contrôlé sur le document publié par l’ANSSI avant toute reprise dans un plan d’action.

Nos services associés : tests d’intrusion pour préparer la directive (UE) 2022/2555 (NIS 2) · audit de sécurité informatique de votre environnement · tests d’intrusion sur vos applications et vos infrastructures