NIS2 Entité Importante : focus sur le projet public de décret « RéCyF » v2.5 de l’ANSSI du 17 mars 2026.

En publiant son projet de décret sur le détail des mesures techniques à mettre en oeuvre en application de la Directive NIS2, l’ANSSI déroge à sa traditionnelle politique de « retenue » .

Le 11 octobre 2023 puis le 26 mars 2024, M. Vincent. STRUBEL avait publiquement annoncé un délai de « tolérance » de 3 ans de mise en conformité pour les entités importantes et essentielles. 

Mais voila, changement d’ambiance, en octobre 2026, la France fêtera les 2 ans de retard de la transposition (prévue dans la Directive au plus tard le 24 octobre 2024).

La faute à un processus législatif dysfonctionnel (un grand nombre d’amendements cosmétiques, des débats byzantins dont seuls nos politiques ont le secret, un calendrier parlementaire surchargé faute de majorité claire, etc.) ?

Il n’est plus temps de procrastiner, mais de s’y mettre, vu le caractère désastreux du niveau de cyber-sécurité des « assujettis » (entreprises comme administrations et collectivités territoriales).

Il est probable – nous ne sommes pas dans le secret des Dieux – que l’ANSSI ait cherché à contourner cet obstacle juridique en « annonçant la couleur ».

Aussi, il n’est plus entendable aujourd’hui de continuer les jérémiades – largement entendues depuis 2023 – du genre « mais concrètement, nous ne savons pas ce qu’il faudra faire » : « il est urgent d’attendre », comprendre « de ne rien faire »…

Depuis le 17 mars 2026, le projet de décret d’application de la Directive NIS2 est publiquement accessible depuis le site web de l’ANSSI : 

https://lab.cyber.gouv.fr/les-actualit%C3%A9s-du-lab-anssi/recyf–publication-du-r%C3%A9f%C3%A9rentiel-dexigences-et-du-comparateur/

Qu’y trouve-t-on ? 

Pour les « entités importantes », 76 mesures obligatoires portant :

(i) sur la  gouvernance des systèmes  d’information,

(ii) sur les contrats entre entités importantes et leurs « partenaires » (prestataires sous-traitants, fournisseurs, etc.) dont les systèmes d’information sont « interconnectés » avec le SI des entités régulées,

(iii) et – bien évidemment – sur les mesures techniques à mettre en oeuvre.

Pourquoi un focus sur les mesures applicables aux entités importantes ?  

Tout simplement parce que ce sont ces entités qui constituent le gros des organisations impactées par le dispositif légal. On parle – au doigt mouillé – d’environ 15.000 entités « importantes » en France.

Quelle différence entre le régime des entités « importantes » et celui des entités « essentielles » ? 

Les 76 mesures des entités importantes ne nécessitent pas une analyse des risques pesant sur les systèmes d’information des entités importantes. Au contraire, les 76 mesures « complémentaires » applicables aux entités « essentielles » passent d’abord par une appréciation « réelle » des risques.

Dans le cas des entités importantes, les 76 mesures du projet de décret RéCyF de l’ANSSI (nous les avons comptées) sont tout simplement obligatoires, à 2 ou 3 options près.

Alors que le calendrier parlementaire de la loi française de transposition NIS2 se précise (fin septembre ? début octobre 2026 ?), il nous semble intéressant de faire le point  sur le contenu détaillé de ce projet de décret « RéCyF » (pour « Référenciel Cyber France »).

A NOTER : nous n’avons pas détaillé les 76 mesures en 76 slides. Nous vous proposons une synthèse des mesures principales qui permettent de comprendre comment ce projet de décret a été structuré et rédigé.