Diagnostic cyber ReCyF : évaluer sa maturité et préparer sa feuille de route NIS2

Vous souhaitez évaluer votre cybersécurité sans engager immédiatement une démarche de certification ? Un diagnostic cyber aligné sur le Référentiel Cyber France (ReCyF) permet de dresser un état des lieux, de hiérarchiser les risques et de construire une première feuille de route. Il convient notamment aux organisations qui commencent à structurer leur sécurité ou qui veulent préparer leur trajectoire vers NIS2.

Le diagnostic ne cherche pas à produire une conformité de façade. Il met en regard vos enjeux, vos pratiques et les preuves disponibles pour répondre à une question simple : quelles actions réduiront le plus utilement votre exposition ?

Qu'est-ce que le référentiel ReCyF ?

Le Référentiel Cyber France est élaboré par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Il organise des exigences de cybersécurité afin d'aider les entités concernées à comprendre les mesures attendues et à les relier à leur niveau de maturité.

ReCyF s'inscrit dans la dynamique d'accompagnement de la directive NIS2. L'ANSSI le présente comme un document de travail appelé à évoluer. Il ne faut donc pas le confondre avec une certification, un visa de sécurité ou une décision de conformité délivrée par l'Agence.

Son intérêt pour un diagnostic est très concret : disposer d'un cadre commun pour examiner la gouvernance, la protection, la défense et la résilience de l'organisation, tout en adaptant la profondeur de l'analyse à ses activités, à ses risques et à ses moyens.

Pourquoi commencer par un diagnostic cyber ?

Une jeune démarche de cybersécurité se heurte souvent au même problème : la liste des sujets à traiter est longue, mais les ressources ne le sont pas. Identités, sauvegardes, postes de travail, fournisseurs, incidents, continuité… tout paraît prioritaire.

Le diagnostic aide à sortir de cette logique de catalogue. Il identifie les actifs et services essentiels, observe les mesures déjà en place et met en évidence les écarts qui ont le plus d'impact. L'organisation peut alors séquencer ses efforts au lieu de lancer plusieurs chantiers sans ordre clair.

Cette approche est particulièrement pertinente si vous :

• débutez la structuration de votre cybersécurité ;
• devez présenter une vision claire des risques à votre direction ;
• souhaitez préparer NIS2 sans viser, à ce stade, une certification ISO 27001 ;
• avez déjà déployé des outils, mais manquez de visibilité sur leur efficacité réelle ;
• voulez définir un plan d'amélioration réaliste avant d'investir davantage.

Diagnostic ReCyF, audit ISO 27001 ou test d'intrusion ?

Ces démarches sont complémentaires, mais elles ne répondent pas au même besoin.

Le diagnostic cyber aligné sur ReCyF

Il fournit une vision transversale de votre maturité et débouche sur des priorités d'action. Il convient à une organisation qui cherche son point de départ ou souhaite structurer sa trajectoire de sécurité.

L'audit interne ISO 27001

Il évalue un système de management de la sécurité de l'information au regard de critères d'audit définis. Il est adapté lorsqu'un SMSI existe déjà, notamment pour vérifier son fonctionnement et préparer une certification. Découvrez la différence sur la page dédiée à l'audit interne ISO 27001.

Le test d'intrusion

Il recherche des vulnérabilités exploitables sur un périmètre technique donné. Il apporte une profondeur technique utile, mais ne remplace pas l'examen de la gouvernance, de la gestion des risques, de la continuité ou de la relation avec les fournisseurs.

Comment se déroule un diagnostic cyber ?

1. Cadrer le périmètre et les enjeux

Le premier échange précise les activités essentielles, les sites, les systèmes concernés, les dépendances et les attentes de la direction. Ce cadrage évite un diagnostic trop large pour être utile ou trop étroit pour représenter les risques réels.

2. Recueillir les informations et les preuves

Les entretiens sont complétés par l'examen d'éléments disponibles : politiques, inventaires, procédures, configurations, comptes rendus de tests ou tableaux de suivi. Une mesure déclarée en place doit pouvoir être reliée à une pratique observable. L'objectif n'est pas d'accumuler des documents, mais de comprendre comment la sécurité fonctionne au quotidien.

3. Évaluer la maturité et l'exposition

Les constats sont rapprochés des exigences pertinentes de ReCyF. L'analyse tient compte de la criticité des services, des menaces plausibles et des mesures compensatoires. Un même écart ne reçoit donc pas mécaniquement la même priorité dans toutes les organisations.

4. Construire une feuille de route

Les recommandations sont hiérarchisées selon le risque, l'effort et les dépendances. Les premières actions peuvent viser des fondamentaux : clarifier les responsabilités, fiabiliser l'inventaire, renforcer les accès, tester les restaurations ou formaliser la gestion des incidents. Les chantiers plus structurants sont ensuite planifiés avec des responsables et des jalons.

Quels livrables attendre ?

Un diagnostic utile doit permettre de décider. Selon le périmètre convenu, la restitution peut comprendre :

• une synthèse compréhensible par la direction ;
• une cartographie du niveau de maturité par domaine ;
• les points forts, écarts et situations de risque observés ;
• des recommandations priorisées et justifiées ;
• une feuille de route avec des actions à court, moyen et plus long terme ;
• les éléments à approfondir lors d'un audit ou d'un test technique ultérieur.

Une représentation à 30, 90 et 180 jours peut faciliter le pilotage, à condition de l'adapter aux contraintes réelles de l'entreprise. Il ne s'agit pas d'un calendrier universel : certaines corrections critiques doivent être engagées immédiatement, tandis que d'autres nécessitent un projet plus long.

Comment le diagnostic aide-t-il à préparer NIS2 ?

NIS2 renforce les attentes de gestion des risques cyber pour les entités qui entreront dans son champ. L'ANSSI présente ReCyF comme un outil d'accompagnement destiné à rendre les mesures de sécurité plus lisibles et applicables.

Le diagnostic permet de repérer les sujets déjà maîtrisés et ceux qui nécessitent un chantier : gouvernance, gestion des incidents, continuité, chaîne d'approvisionnement, contrôle des accès ou sécurité des systèmes. Il fournit ainsi une base de pilotage, sans préjuger de votre qualification juridique ni garantir votre conformité à la future réglementation applicable.

La détermination du périmètre NIS2 et l'interprétation des obligations relèvent d'une analyse spécifique. Le diagnostic cyber éclaire votre niveau de préparation ; il ne remplace ni un conseil juridique ni une évaluation conduite par l'autorité compétente.

Trois précautions pour garder un diagnostic utile

1. Ne pas confondre score et sécurité. Une note facilite la lecture, mais les risques et les preuves qui la justifient sont plus importants que le chiffre seul.
2. Associer les métiers. La cybersécurité ne se limite pas à l'informatique. Les achats, les ressources humaines, la direction et les responsables d'activité détiennent une partie des réponses.
3. Prévoir le suivi. Une feuille de route sans responsables, échéances ni indicateurs reste une intention. Le diagnostic doit ouvrir un cycle d'amélioration piloté.

Questions fréquentes sur le diagnostic ReCyF

Le diagnostic délivre-t-il une certification ReCyF ?

Non. Le diagnostic produit un état des lieux et des recommandations. Il ne délivre ni certification, ni visa, ni validation de conformité par l'ANSSI.

Faut-il déjà disposer de nombreuses procédures ?

Non. L'absence de formalisation fait partie de l'état des lieux. Les entretiens et les preuves opérationnelles permettent de comprendre les pratiques existantes et de proposer un niveau de documentation proportionné.

Combien de temps faut-il pour progresser ?

La durée dépend du périmètre, de la maturité de départ et des ressources disponibles. Des améliorations ciblées peuvent être rapides, mais une gouvernance durable, la maîtrise des fournisseurs ou la continuité d'activité s'inscrivent généralement dans le temps.

Transformez l'état des lieux en plan d'action

Un diagnostic cyber aligné sur ReCyF vous donne un point de départ commun, des priorités compréhensibles et une trajectoire adaptée à votre organisation. C'est une première étape solide pour renforcer votre résilience et préparer votre démarche NIS2 sans engager immédiatement un projet de certification.

Découvrez l'accompagnement Diagnostic Cyber de Cyber-Estuaire et échangeons sur votre périmètre, vos enjeux et le niveau d'analyse adapté.