NIS2 Entité Importante : focus sur le projet public de décret « RéCyF » v2.5 de l’ANSSI du 17 mars 2026.

En publiant son projet de décret sur le détail des mesures techniques à mettre en oeuvre en application de la Directive NIS2, l’ANSSI déroge à sa traditionnelle politique de « retenue » .

Le 11 octobre 2023 puis le 26 mars 2024, M. Vincent. STRUBEL avait publiquement annoncé un délai de « tolérance » de 3 ans de mise en conformité pour les entités importantes et essentielles. 

Mais voila, changement d’ambiance, en octobre 2026, la France fêtera les 2 ans de retard de la transposition (prévue dans la Directive au plus tard le 24 octobre 2024).

La faute à un processus législatif dysfonctionnel (un grand nombre d’amendements cosmétiques, des débats byzantins dont seuls nos politiques ont le secret, un calendrier parlementaire surchargé faute de majorité claire, etc.) ?

Il n’est plus temps de procrastiner, mais de s’y mettre, vu le caractère désastreux du niveau de cyber-sécurité des « assujettis » (entreprises comme administrations et collectivités territoriales).

Il est probable – nous ne sommes pas dans le secret des Dieux – que l’ANSSI ait cherché à contourner cet obstacle juridique en « annonçant la couleur ».

Aussi, il n’est plus entendable aujourd’hui de continuer les jérémiades – largement entendues depuis 2023 – du genre « mais concrètement, nous ne savons pas ce qu’il faudra faire » : « il est urgent d’attendre », comprendre « de ne rien faire »…

Depuis le 17 mars 2026, le projet de décret d’application de la Directive NIS2 est publiquement accessible depuis le site web de l’ANSSI : 

https://lab.cyber.gouv.fr/les-actualit%C3%A9s-du-lab-anssi/recyf–publication-du-r%C3%A9f%C3%A9rentiel-dexigences-et-du-comparateur/

Qu’y trouve-t-on ? 

Pour les « entités importantes », 76 mesures obligatoires portant :

(i) sur la  gouvernance des systèmes  d’information,

(ii) sur les contrats entre entités importantes et leurs « partenaires » (prestataires sous-traitants, fournisseurs, etc.) dont les systèmes d’information sont « interconnectés » avec le SI des entités régulées,

(iii) et – bien évidemment – sur les mesures techniques à mettre en oeuvre.

Pourquoi un focus sur les mesures applicables aux entités importantes ?  

Tout simplement parce que ce sont ces entités qui constituent le gros des organisations impactées par le dispositif légal. On parle – selon les propos publics de M. Vincent STRUBEL – d’environ 20.000 entités « importantes » en France.

Quelle différence entre le régime des entités « importantes » et celui des entités « essentielles » ? 

Les 76 mesures des entités importantes ne nécessitent pas une analyse des risques pesant sur les systèmes d’information des entités importantes. Au contraire, les 76 mesures « complémentaires » applicables aux entités « essentielles » passent d’abord par une appréciation « réelle » des risques.

Dans le cas des entités importantes, les 76 mesures du projet de décret RéCyF de l’ANSSI (nous les avons comptées) sont tout simplement obligatoires, à 2 ou 3 options près.

Alors que le calendrier parlementaire de la loi française de transposition NIS2 se précise (début octobre 2026 ?), il nous semble intéressant de faire le point  sur le contenu détaillé de ce projet de décret « RéCyF » (pour « Référentiel Cyber France »).

A NOTER : nous n’avons pas détaillé les 76 mesures en 76 slides. Nous vous proposons une synthèse des mesures principales qui permettent de comprendre comment ce projet de décret a été structuré et rédigé.