Guide réglementaire — un objectif ReCyF expliqué
Objectif 1 du ReCyF, « Recensement des systèmes d’information » : l’inventaire que tout questionnaire vous demande
Le premier des vingt objectifs du ReCyF de l’ANSSI est aussi celui qui ouvre tous les questionnaires reçus par les sous-traitants : dressez l’inventaire de ce que vous gérez. Voici ce que l’objectif dit, ce qu’un questionnaire en retient, et comment répondre quand on est une PME de 5 à 50 personnes.
Contenu établi à partir du ReCyF v2.5 (document de travail de l’ANSSI, 17 mars 2026), vérifié le 19 septembre 2026 contre cyber.gouv.fr et messervices.cyber.gouv.fr. À re-vérifier avant toute décision de conformité.
L’objectif 1, en une phrase
« Recensement des systèmes d’information » est le premier des quinze objectifs de sécurité du socle commun du ReCyF — ceux qui s’appliquent aux entités importantes et essentielles. Il demande à ces entités de connaître et documenter tous les systèmes qu’elles utilisent. Votre client y est soumis ; et son inventaire n’est complet que s’il décrit aussi ce que ses fournisseurs font tourner — c’est-à-dire vous.
Quatre choses à comprendre
1. Le premier objectif est un inventaire — et il vous concerne par ricochet
L’objectif 1, « Recensement des systèmes d’information », demande à votre client assujetti de dresser et tenir à jour l’inventaire de ses systèmes : machines, logiciels, flux, et fournisseurs qui y sont attachés. Vous ne l’y échappez pas : pour recenser ses systèmes, votre client doit recenser ce qui y touche — dont vos prestations, vos accès et vos outils. C’est la source réglementaire de la question d’ouverture de presque tous les questionnaires : « décrivez votre parc ».
2. Ce que le questionnaire retient de l’objectif 1
Traduit pour un sous-traitant, l’inventaire devient une série de questions concrètes : quels postes et quels serveurs gérez-vous, quels outils en ligne utilisez-vous (messagerie, facturation, stockage), où se trouvent les données de vos clients, qui a les droits d’administration. Aucune de ces questions ne suppose une grande entreprise — toutes supposent qu’on a pris le temps de l’écrire une fois.
3. La question qui fait mal : où sont les données de vos clients ?
C’est la question que les donneurs d’ordre techniques posent en premier, parce que pour eux c’est celle qui décide de tout le reste. « Chez moi » n’est pas une réponse : le serveur du local, le NAS du bureau, le disque externe — tout cela est un emplacement, avec un accès physique et des sauvegardes à décrire. Une liste de dix lignes — outil, à quoi il sert, où vivent les données, qui y a accès — répond mieux qu’un discours.
4. L’inventaire a une date de péremption
Un inventaire écrit en 2024 et ressorti tel quel en 2026 se voit : l’outil de facturation a changé, le stagiaire parti depuis un an est encore admin quelque part. L’objectif 1 demande un recensement « tenu à jour », et les questionnaires reprennent cette exigence sous forme de dates. La bonne pratique PME est simple : relire sa liste tous les six mois, y rayer ce qui n’existe plus, dater la relecture.
Ce que l’objectif 1 vous demande, à vous
Vu de votre côté de la relation, l’objectif 1 se traduit par trois questions simples — celles-là mêmes que les questionnaires reprennent, presque mot pour mot.
Quels outils utilisez-vous au quotidien ?
Messagerie, suite de bureautique, outil de facturation, stockage en ligne, antivirus, gestionnaire de mots de passe. La liste honnête d’une petite structure tient sur une dizaine de lignes — et c’est exactement ce qu’on attend, pas un tableau de cinquante colonnes.
Où vivent les données que vos clients vous confient ?
Un poste de travail, un NAS, un espace en ligne, un serveur chez un hébergeur : nommez l’emplacement et son pays si vous le savez. Si des données clients vivent sur un compte personnel, c’est le point à corriger en premier — et il vaut mieux le savoir avant que le questionnaire ne le révèle.
Qui peut administrer quoi ?
Les comptes à droits étendus — le vôtre, ceux de vos collègues, les comptes « admin » partagés — sont la partie de l’inventaire que les clients regardent le plus. Une ligne par personne et par outil, et les départs couverts, répondent à l’essentiel.
Cadre : ReCyF v2.5, objectif 1 « Recensement des systèmes d’information », socle commun des entités importantes et essentielles. Version citée sur cette page : v2.5 du 17 mars 2026, document de travail de l’ANSSI.
Questions fréquentes
L’objectif 1 du ReCyF s’applique-t-il à mon entreprise ?
Pas directement. Le ReCyF s’applique aux entités assujetties (essentielles et importantes), pas à leurs fournisseurs. Mais l’objectif 1, « Recensement des systèmes d’information », est le premier du socle commun que votre client doit couvrir — et il ne peut pas recenser ses systèmes sans recenser les vôtres. C’est par ce chemin que l’inventaire vous est demandé, sans que le référentiel ne vous vise.
Faut-il un outil d’inventaire automatique quand on est 12 personnes ?
Non. L’objectif 1 demande de connaître et documenter ses systèmes, pas de s’équiper d’un logiciel de gestion de parc. Un document simple, relu et daté, suffit à une PME pour répondre aux questionnaires. Ce qui manque aux questionnaires, c’est la trace écrite à jour — pas un investissement.
Que veut dire exactement « système d’information » ?
Bien plus que les seuls serveurs : l’ensemble des moyens qui traitent l’information — postes de travail, téléphones, NAS, services en ligne, outils de facturation ou de devis, jusqu’au routeur de la boutique. Dans un questionnaire, la question pratique est « sur quoi passent vos activités et vos données ? », et la réponse attendue est une liste.
Puis-je citer l’objectif 1 dans mes réponses ?
Vous pouvez dire que votre profil est construit sur les objectifs du ReCyF — c’est ce que fait CertiPasse, chaque question citant l’objectif dont elle vient, inventaire compris. Ce que vous ne devez pas dire, c’est que le ReCyF vous « impose » quelque chose : le référentiel ne s’applique pas aux sous-traitants. La bonne formulation est « construit sur » ou « aligné sur », jamais « requis par ».
Et maintenant, concrètement
Pour aller plus loin : la page sur l’objectif 3, « Maîtrise de l’écosystème », explique pourquoi les questionnaires vous visent, « comment répondre à un questionnaire de sécurité client » traite la méthode thème par thème, et le guide NIS2 pour PME couvre le mécanisme complet. Si votre inventaire tient en tête mais pas sur le papier, c’est exactement ce que le questionnaire CertiPasse met en forme — chaque question y cite l’objectif du ReCyF dont elle vient.
Le thème n°1 des questionnaires
L’objectif 10, « Gestion des identités et des accès » : mots de passe, 2FA, départs de salariés.
Pourquoi on vous pose ça
L’objectif 3, « Maîtrise de l’écosystème » : l’objectif du ReCyF qui vous décrit, vous, sous-traitant.
La méthode, thème par thème
Comprendre chaque question, la preuve attendue, répondre sans y passer ses soirées.
Le mécanisme réglementaire
NIS2, article 21, effet cascade : pourquoi la pression vous atteint par le contrat.
Remplir une fois, partager partout
Trente minutes, des questions reliées aux objectifs du ReCyF, un passeport daté à envoyer.