Guide réglementaire — un objectif ReCyF expliqué
Objectif 10 du ReCyF, « Gestion des identités et des accès » : le thème n°1 des questionnaires clients
Mots de passe, double authentification, comptes nominatifs, départs de salariés : les questions d’accès sont les plus fréquentes des questionnaires de sécurité, et les seules que tout le monde croit savoir traiter. Voici ce que dit l’objectif 10 du ReCyF, ce que votre client en retient, et comment répondre sans exagérer.
Contenu établi à partir du ReCyF v2.5 (document de travail de l’ANSSI, 17 mars 2026), vérifié le 18 septembre 2026 contre cyber.gouv.fr et messervices.cyber.gouv.fr. À re-vérifier avant toute décision de conformité.
L’objectif 10, en une phrase
« Gestion des identités et des accès des utilisateurs aux systèmes d’information » est le dixième des quinze objectifs de sécurité du socle commun du ReCyF — ceux qui s’appliquent aux entités importantes et essentielles. Il demande à ces entités de contrôler qui entre dans leurs systèmes, avec quels droits, et ce que devient un accès quand la personne qui le détient n’en a plus besoin. Vos accès à leurs systèmes sont dans leur périmètre ; vos propres accès sont dans vos questionnaires.
Quatre choses à comprendre
1. Un objectif que tout le monde comprend — c’est pour cela qu’il revient partout
L’objectif 10, « Gestion des identités et des accès des utilisateurs aux systèmes d’information », est le seul que votre interlocuteur commercial sait commenter : tout le monde a un mot de passe, donc tout le monde a un avis. Les questionnaires le traduisent en questions concrètes — gestionnaire de mots de passe, double authentification, comptes nominatifs, suppression des droits au départ d’un salarié — parce que ces questions sont peu coûteuses à poser et faciles à vérifier.
2. La vraie question n’est jamais « avez-vous un mot de passe »
Elle est toujours : d’où vient votre preuve ? Un gestionnaire de mots de passe d’équipe produit une trace (la liste des accès partagés, l’historique des attributions) ; un bloc-notes partagé ou un mot de passe transmis par téléphone n’en produit aucune. Quand un questionnaire demande « comment gérez-vous les mots de passe », il demande moins l’outil que la réponse datée que vous pouvez produire.
3. L’administrateur, c’est le mot qui fait tiquer
Les questions sur les « comptes à privilèges » et le « moindre privilège » semblent sortir d’un référentiel de grand compte. La réalité d’une PME de 12 personnes est simple : le dirigeant ou le prestataire informatique est administrateur de tout. Le point que l’objectif 10 cherche à couvrir tient en une phrase : savoir qui détient ces droits, pourquoi, et ce qui se passe quand ils ne sont plus nécessaires.
4. Le départ d’un salarié est le scénario de contrôle
La question « que se passe-t-il quand quelqu’un part ? » paraît anodine et ne l’est pas : un compte qui reste actif après un départ est le chemin d’entrée classique après une rupture. Les questionnaires la posent parce qu’elle vérifie en une ligne que les accès sont gérés, pas seulement attribués. Une réponse qui nomme un délai (« les accès sont coupés le jour du départ ») et un responsable vaut mieux qu’un long discours.
Ce que l’objectif 10 vous demande, à vous
Vu de votre côté de la relation, l’objectif 10 se traduit par trois questions simples — celles-là mêmes que les questionnaires reprennent, presque mot pour mot.
Où vivent les mots de passe de l’équipe ?
Un gestionnaire de mots de passe d’équipe (avec coffre partagé pour les accès collectifs) est la réponse attendue. Ce qui affaiblit la réponse : le même mot de passe partout, des identifiants dans un tableur partagé, ou des accès connus de tous. Si vous n’avez pas encore d’outil, le dire franchement et indiquer ce qui est prévu vaut mieux qu’une réponse vague.
Qui a la double authentification, et où ?
La double authentification (2FA) sur la messagerie et sur les outils métier est devenue le minimum social attendu. La question piège n’est pas « avez-vous de la 2FA » mais « sur quoi » : répondre outil par outil, en citant la messagerie et les accès distants, montre qu’on sait de quoi on parle.
Que devient un accès le jour où la personne part ?
Une seule phrase suffit si elle est vraie : qui coupe quoi, quand. Le compte de messagerie, les outils métier, les accès client et le poste lui-même. Si un prestataire externe tient les accès, le nommer dans la réponse est un point de maturité, pas une faiblesse — votre client a le même sujet de son côté.
Cadre : ReCyF v2.5, objectif 10 « Gestion des identités et des accès des utilisateurs aux systèmes d’information », socle commun des entités importantes et essentielles. Version citée sur cette page : v2.5 du 17 mars 2026, document de travail de l’ANSSI.
Questions fréquentes
L’objectif 10 du ReCyF s’applique-t-il à mon entreprise ?
Pas directement. Le ReCyF s’applique aux entités assujetties (essentielles et importantes), pas à leurs fournisseurs. Mais l’objectif 10, « Gestion des identités et des accès des utilisateurs aux systèmes d’information », fait partie du socle commun que votre client doit couvrir — et les accès de ses prestataires font partie de son périmètre. C’est par ce chemin que les questions de mots de passe arrivent chez vous.
Faut-il un outil payant de gestion des mots de passe ?
Non. Ce que les questionnaires vérifient, c’est l’existence d’une pratique décrite et d’une trace : un gestionnaire d’équipe (gratuit ou payant) avec un coffre partagé répond à l’essentiel. Ce qui coûte cher, ce n’est pas l’outil, c’est la réponse improvisée après un incident.
Que veut dire « moindre privilège » dans un questionnaire ?
Chacun n’a que les accès dont il a besoin pour son travail — et pas les droits d’administrateur par défaut. Dans une PME, cela se traduit rarement par des matrices de droits ; cela se traduit par la capacité à dire qui est administrateur, sur quoi, et pourquoi. Si la réponse est « le dirigeant, sur l’outil X, parce que nous n’avons pas d’informaticien », c’est une réponse honnête et recevable.
Puis-je citer l’objectif 10 dans mes réponses ?
Vous pouvez dire que votre profil est construit sur les objectifs du ReCyF — c’est ce que fait CertiPasse, chaque question citant l’objectif dont elle vient. Ce que vous ne devez pas dire, c’est que le ReCyF vous « impose » quelque chose : le référentiel ne s’applique pas aux sous-traitants. La bonne formulation est « construit sur » ou « aligné sur », jamais « requis par ».
Et maintenant, concrètement
Pour aller plus loin : le guide sur l’objectif 13, « Continuité et reprise d’activité », couvre les sauvegardes — le second thème le plus constant des questionnaires. « Comment répondre à un questionnaire de sécurité client » traite la méthode thème par thème, et le guide NIS2 pour PME couvre le mécanisme complet. Si vos pratiques d’accès sont réelles mais rien n’est mis en forme, c’est exactement ce que fait le questionnaire CertiPasse — chaque question y cite l’objectif du ReCyF dont elle vient.
Le second thème le plus posé
L’objectif 13, « Continuité et reprise d’activité » : sauvegardes, restauration testée, copie hors d’atteinte.
Le thème qui durcit le plus vite
L’objectif 12, « Identification et réaction aux incidents » : détecter, prévenir, sous quel délai.
La méthode, thème par thème
Comprendre chaque question, la preuve attendue, répondre sans y passer ses soirées.
Le mécanisme réglementaire
NIS2, article 21, effet cascade : pourquoi la pression vous atteint par le contrat.
Remplir une fois, partager partout
Trente minutes, des questions reliées aux objectifs du ReCyF, un passeport daté à envoyer.