Une cartographie ReCyF utile permet de répondre à une question concrète : sur quel périmètre pouvons-nous démontrer le fonctionnement de cette mesure de sécurité ? Elle relie un objectif du référentiel à un contrôle existant, puis à une preuve datée. Elle rend également visibles les systèmes oubliés, les preuves périmées et les actions dont personne n’a accepté la responsabilité.
Cette démarche s’adresse au RSSI, aux responsables de systèmes et aux juristes qui préparent leur organisation à NIS2. Elle part d’une PSSI et de mesures déjà en place. Son résultat est une table de rapprochement et un plan de traitement des écarts, utilisables lors d’une revue de direction ou d’un audit. Elle complète l’analyse de la transposition de NIS2 en France et la préparation d’un audit NIS2.
Fixer la version et le statut du référentiel
Au 5 septembre 2026, la page NIS2 de l’ANSSI présente le ReCyF, disponible depuis le 17 mars 2026, comme un document de travail, par défaut non obligatoire. Elle le rattache au projet de loi Résilience. Sa mise à disposition ne suffit donc pas à affirmer que chacune de ses mesures constitue déjà une obligation française applicable à votre entité.
La version 2.5 du 17 mars 2026 distingue les objectifs de sécurité et les moyens proposés pour les atteindre. Dans l’architecture présentée, les objectifs 16 à 20 concernent les entités essentielles ; le document précise aussi le périmètre de certains moyens. Utilisez cette version comme une base de préparation identifiée, sans attribuer à votre organisation une catégorie réglementaire à partir du seul tableau.
La première ligne de votre dossier indique donc la version analysée, la date de consultation, l’entité, le périmètre et les hypothèses d’assujettissement. Le juriste suit séparément les textes applicables et les éventuelles règles sectorielles. Cette séparation permet de poursuivre la sécurisation tout en corrigeant rapidement le rapprochement lorsqu’un texte ou un référentiel évolue.
Donner une unité de travail à la cartographie
Évitez une seule ligne « gestion des accès : conforme ». Définissez un contrôle observable, par exemple la revue des comptes privilégiés du système de facturation. Vous pourrez ensuite déterminer les comptes examinés, la date de la revue et les anomalies encore ouvertes. La PSSI exprime la règle générale ; la cartographie montre comment une équipe l’applique dans un environnement donné.
Une ligne peut concerner plusieurs systèmes si le contrôle, le propriétaire et les preuves sont réellement communs. Séparez les lignes dès qu’un établissement, un prestataire ou un annuaire suit un autre processus. Cette granularité évite de déclarer tout un groupe couvert sur la base de la capture d’un seul site.
Précisez également ce qui est exclu : un ancien outil en cours de retrait reste un élément à traiter, même si l’équipe préfère concentrer ses efforts sur la nouvelle plateforme. Si un périmètre est différé, inscrivez le motif, le risque associé et la personne qui a validé cette organisation du travail.
Construire une table de rapprochement exploitable
Le tableau suivant décrit les informations à renseigner. Il s’agit d’une méthode de travail proposée, et non d’un formulaire officiel de l’ANSSI ou d’une liste réglementaire de pièces obligatoires.
| Champ | Ce qu’il permet de vérifier |
|---|---|
| Référence et version ReCyF | Le passage exact utilisé pour le rapprochement |
| Objectif reformulé pour le système | Le résultat de sécurité recherché localement |
| Contrôle existant et référence PSSI | La règle ou pratique déjà décidée |
| Périmètre couvert et exclusions | Les systèmes, sites, populations et dépendances examinés |
| Responsable du contrôle | La personne capable d’expliquer son exécution |
| Référence de preuve et emplacement | La pièce consultable, avec ses conditions d’accès |
| Date et période couverte | La fraîcheur et la portée temporelle de l’observation |
| Résultat de la revue | Ce qui est établi, partiel, absent ou à confirmer |
| Écart, action et responsable | La prochaine correction concrète |
| Condition de clôture | L’observation nécessaire pour considérer l’écart traité |
Conservez la référence originale à côté de votre reformulation. Si une ligne est rapprochée de plusieurs objectifs, expliquez le lien. L’outil de comparaison de référentiels proposé par l’ANSSI peut aider à repérer des correspondances, mais la proximité entre deux exigences ne prouve pas leur mise en œuvre dans votre système.
Distinguer une règle écrite d’une mesure qui fonctionne
Une politique approuvée prouve qu’une orientation a été décidée. Un paramétrage montre une configuration à un instant donné. Un compte rendu d’exercice ou une revue d’accès apporte une observation sur l’exécution. Ces pièces se complètent ; elles ne répondent pas à la même question.
Pour une sauvegarde, vous pouvez disposer d’une règle de fréquence, d’un rapport d’exécution et d’un compte rendu de restauration. Si ce dernier porte sur une base de démonstration, il ne démontre pas à lui seul la reprise du système métier. Il faut examiner le périmètre utilisé, les dépendances nécessaires et les données effectivement restituées. La méthode de continuité d’activité aide à définir le résultat métier attendu.
Pour les accès, une liste de comptes extraite sans décision de revue reste un inventaire. Une preuve plus complète rapproche la population attendue, la population observée, les exceptions et les retraits effectués. Pour les incidents, un outil installé ne démontre pas que l’alerte atteint la bonne personne. Une simulation documentée du parcours d’alerte peut révéler une boîte aux lettres non surveillée ou une astreinte inconnue du prestataire.
Exemple fictif : trois écarts dans une entreprise multisite
Considérons une entreprise fictive disposant de deux sites, d’un outil de facturation et d’une maintenance externalisée. Sa PSSI a été approuvée. Le RSSI prépare une revue sur le seul périmètre de facturation, avec les responsables métier et informatique. L’exercice ci-dessous illustre des rapprochements sélectionnés ; il ne représente pas une couverture complète du ReCyF.
| Rapprochement dans la version 2.5 | Contrôle et preuve examinés | Constat fictif | Action et clôture attendue |
|---|---|---|---|
| Objectif 3, écosystème | Inventaire des intervenants et des accès de maintenance | Le prestataire du second site manque | Responsable achats : faire identifier l’intervenant, ses accès et son contact d’incident |
| Objectif 10, identités et accès | Revue des comptes privilégiés du mois précédent | Deux comptes sans propriétaire connu | Responsable système : attribuer ou retirer les accès, puis conserver la vérification |
| Objectif 13, continuité et reprise | Rapport de sauvegarde et exercice de restauration | L’application démarre, mais sa dépendance d’authentification était exclue | Responsable exploitation : refaire un exercice incluant cette dépendance et faire constater la reprise métier |
Le premier constat concerne le périmètre du fournisseur. Le deuxième concerne une mesure existante mais imparfaitement exécutée. Le troisième révèle une preuve trop étroite. Leur attribuer le même statut « document manquant » conduirait à demander trois fichiers supplémentaires, alors que deux corrections nécessitent un travail technique.
La revue fixe des responsables nommés et des conditions de clôture. Elle conserve aussi les observations favorables : les autres comptes privilégiés possèdent un propriétaire, le premier site dispose d’un contact d’incident et les sauvegardes examinées ont été exécutées. Ces faits restent attachés à leur périmètre et à leur date. Ils ne justifient pas une conclusion globale de conformité.
Organiser les preuves sans diffuser les secrets du système
Une cartographie peut devenir elle-même sensible. Des captures révèlent des comptes, des adresses techniques ou une architecture. Privilégiez un index de preuves avec des liens vers les emplacements maîtrisés. Une personne autorisée doit pouvoir retrouver la pièce ; toute personne consultant le plan d’action n’a pas besoin d’en recevoir une copie.
La fiche de preuve indique son producteur, sa date, le système concerné, la période examinée et les restrictions d’accès. Si une capture est expurgée pour une revue de direction, conservez un lien vers l’original dans le circuit habilité et expliquez la réduction. Ne remplacez pas silencieusement un ancien résultat : l’historique peut être nécessaire pour comprendre pourquoi une décision a été prise.
Pour les journaux, définissez une extraction limitée à l’objectif de vérification. Le guide sur la journalisation de sécurité aide à traiter leur utilité et leur maîtrise. Déposer des journaux exhaustifs dans un espace de projet élargit inutilement les accès et complique leur conservation. Une référence précise et une observation expliquée peuvent suffire à la revue courante.
Faire remonter les dépendances et les décisions de risque
Un responsable de contrôle peut dépendre d’une autre équipe pour corriger un écart. La cartographie doit rendre cette dépendance visible : accès à un export, décision budgétaire, intervention du fournisseur ou arrêt planifié. Inscrivez le blocage factuel, son interlocuteur et l’action qui permet de le lever. Un délai sans responsable de dépendance ne constitue pas un plan de traitement.
Les questions de sécurité de la chaîne de sous-traitance méritent ce même traitement. Une attestation fournisseur peut couvrir un service central sans couvrir la prestation locale achetée. Rapprochez systématiquement le nom de l’entité, le service, les dates et les exclusions de la pièce reçue.
La directive NIS2, notamment ses articles 20 et 21, relie gouvernance et gestion des risques de cybersécurité. Pour la revue interne, transformez les constats en décisions compréhensibles : maintenir un accès temporaire avec surveillance, financer une correction ou différer une ouverture de service. Documentez qui a décidé, sur quelles informations et jusqu’à quelle nouvelle vérification. Un risque accepté ne doit pas être renommé « mesure mise en œuvre ».
Préparer la prochaine revue
Avant de présenter le dossier, prenez une ligne au hasard et demandez à une personne extérieure à sa rédaction de retrouver la preuve. Elle doit comprendre ce que le contrôle couvre, ce qui reste incertain et comment la clôture sera constatée. Si elle doit consulter plusieurs auteurs pour interpréter une case verte, améliorez la ligne.
La revue peut ensuite suivre cette liste :
- La version ReCyF et les hypothèses d’assujettissement sont visibles.
- Les objectifs retenus sont rapprochés d’un périmètre explicite.
- Chaque contrôle possède un responsable et une référence de règle interne.
- Les preuves sont accessibles aux personnes habilitées et suffisamment datées.
- Les pièces documentaires sont distinguées des observations d’exécution.
- Les exclusions, dépendances et résultats partiels restent apparents.
- Chaque écart possède une action et une condition de clôture vérifiable.
- Les décisions de risque sont séparées des constats de fonctionnement.
- Les changements de système ou de référentiel déclenchent une nouvelle revue.
- Le compte rendu conserve les désaccords et les questions non résolues.
Dans votre outil de suivi de conformité, reliez les contrôles aux applications, aux fournisseurs, aux audits et aux actions. La prochaine évolution du ReCyF devra alors conduire à réexaminer les correspondances concernées, tandis qu’un changement d’annuaire ou de prestataire rouvrira les preuves affectées. C’est cette capacité à retrouver une décision et son périmètre qui rend la cartographie durable.