ReCyF et NIS2 : un référentiel de mesures face à une gouvernance en boucle

La France n'a toujours pas transposé la directive NIS2 : le projet de loi dit « résilience », adopté par le Sénat le 12 mars 2025, a de nouveau été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026. L'échéance européenne de transposition était pourtant fixée au 17 octobre 2024.

Ce retard produit une situation intéressante pour qui s'occupe de gouvernance : le référentiel existe avant la loi. Depuis le 17 mars 2026, l'ANSSI diffuse le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS2. Il est organisé en quatre piliers — Gouvernance, Protection, Défense, Résilience — déclinés en vingt-deux domaines, et correspond au référentiel mentionné à l'article 14 du projet de loi. Diffusé comme document de travail, il n'est pas obligatoire par défaut, mais une entité qui l'applique pourra s'en prévaloir lors d'un contrôle.

Ce qu'un référentiel de mesures fait bien

Il faut lui rendre justice : une liste structurée de mesures est l'outil le plus efficace qui existe pour sortir du flou. Elle donne un vocabulaire commun, elle rend les écarts mesurables, elle permet de répondre à un auditeur, et elle évite à chaque organisation de réinventer une taxonomie de contrôles. Un cadre d'architecture qui prétendrait s'en passer se condamnerait à produire des recommandations invérifiables.

Ce qu'un référentiel de mesures ne peut pas faire

Un référentiel est, par construction, une photographie. Il dit ce qui devrait être vrai ; il ne dit pas depuis quand ça ne l'est plus. Trois limites apparaissent dès qu'on l'applique dans la durée :

• Il ne porte pas sa propre péremption. Une mesure jugée en place au dernier audit peut avoir cessé de l'être le lendemain d'une migration, sans que rien ne le signale.
• Il ne qualifie pas la source du constat. « Mesure en place » signifie-t-il qu'on l'a déclarée, qu'on l'a observée dans un journal, qu'on l'a inférée d'un paramétrage, ou qu'on l'a validée par un test ? Le mot est le même ; la valeur de l'information ne l'est pas.
• Il ne relie pas la mesure à la décision qui l'a produite. Une dérogation accordée il y a deux ans pour une bonne raison devient, sans trace écrite, une non-conformité inexplicable.

Là où la Gouvernance Continue prend le relais

La réponse de TEAF n'est pas un référentiel concurrent — il n'en propose aucun — mais un mécanisme qui maintient celui-ci vivant. Trois articulations suffisent à l'illustrer.

Le pilier Gouvernance du ReCyF se branche sur Intent et Decision. Une politique de sécurité, dans la Boucle, n'est pas un document annuel : c'est un Intent dont dérivent des Living ADR datés. Chaque dérogation est une décision tracée, avec une échéance de revue, ce qui transforme une exception en objet gouverné plutôt qu'en angle mort.

Les piliers Protection et Défense se branchent sur Automation et Observation. Les mesures qui s'instrumentent — authentification multifacteur, journalisation, supervision — doivent remonter leur état réel dans le composant Observation, où elles deviennent du Validated plutôt que du Declared. C'est la différence entre « nous avons déployé la MFA » et « 97 % des comptes à privilèges l'utilisaient hier ».

Le pilier Résilience ferme la boucle par Learning. L'obligation de notification sous 24 heures prévue par NIS2 est, en termes de Boucle, un chemin Observation → Decision sous contrainte de temps. Un dispositif qui n'a jamais été parcouru à blanc ne tiendra pas ce délai. Et ce que l'incident enseigne doit remonter en Learning, sinon la même mesure échouera deux fois.

Le rôle de Compliance Liaison est précisément celui qui rattache ces obligations à la Boucle au lieu de les traiter dans un registre parallèle — c'est sa mission depuis le Livre II, et le ReCyF lui donne enfin une liste de mesures française sur laquelle s'appuyer.

Ce que ni l'un ni l'autre ne règle

Deux honnêtetés pour finir. La première : appliquer le ReCyF ne rend conforme à rien tant que la loi n'est pas votée, et son opposabilité exacte dépendra du texte final et de ses décrets. La seconde : TEAF ne rend personne conforme non plus. Il n'est ni un référentiel de sécurité, ni une méthode d'audit, et son propre statut reste celui d'un cadre en cours de validation. Ce qu'il apporte ici est limité mais réel — empêcher qu'un travail de mise en conformité réalisé une fois ne se périme en silence.

Pour une organisation qui démarre, l'ordre reste le même que celui décrit dans TEAF Light et le principe 1-1-1 : un processus, une boucle, un objectif mesurable. Les vingt-deux domaines viendront ensuite ; ils ne tiendront que s'il y a une boucle pour les porter.

• Le ReCyF existe depuis mars 2026, la loi de transposition toujours pas : le référentiel précède l'obligation.
• Quatre piliers, vingt-deux domaines, non obligatoires par défaut mais opposables si on les applique.
• Un référentiel ne porte ni sa péremption, ni la source de ses constats, ni la décision qui l'a produit.
• La Boucle apporte ces trois choses : Living ADR, taxonomie Declared/Observed/Inferred/Validated, fermeture par Observation et Learning.
• Ni le ReCyF ni TEAF ne rendent conforme : l'un liste, l'autre maintient.

Sources

• ANSSI — La directive NIS 2
• Next — L'ANSSI publie son ReCyF
• Leto — Report du projet de loi Résilience, octobre 2026