Guide réglementaire — un objectif ReCyF expliqué
Objectif 12 du ReCyF, « Identification et réaction aux incidents » : que répondre quand le client demande votre plan d’incident
Détecter, décider, prévenir : les questions d’incident sont celles que les clients assujettis durcissent le plus vite, parce que leurs propres délais réglementaires dépendent de vos informations. Voici ce que dit l’objectif 12 du ReCyF, ce que votre client en retient, et comment répondre sans inventer un plan que vous n’avez pas.
Contenu établi à partir du ReCyF v2.5 (document de travail de l’ANSSI, 17 mars 2026), vérifié le 18 septembre 2026 contre cyber.gouv.fr et messervices.cyber.gouv.fr. À re-vérifier avant toute décision de conformité.
L’objectif 12, en une phrase
« Identification et réaction aux incidents de sécurité » est le douzième des quinze objectifs de sécurité du socle commun du ReCyF — ceux qui s’appliquent aux entités importantes et essentielles. Il demande à ces entités de savoir détecter un incident, de le traiter et d’en tirer les leçons. Vos incidents qui touchent leurs systèmes sont dans leur périmètre : c’est ce qui explique que la question vous arrive, par le questionnaire puis parfois par le contrat.
Quatre choses à comprendre
1. Une question qui vient de chez votre client, pas de chez vous
L’objectif 12, « Identification et réaction aux incidents de sécurité », existe parce que vos clients assujettis ont eux-mêmes une obligation de notification : un incident grave chez un fournisseur important se déclare, sous 24 heures au sens de NIS2. Quand leur questionnaire demande « avez-vous un processus de gestion des incidents », ils ne demandent pas un plan de 40 pages — ils vérifient que, si quelque chose se passe chez vous, quelqu’un saura le dire à temps.
2. Le mot « processus » fait peur ; la réalité tient en trois questions
Qui s’aperçoit qu’il se passe quelque chose ? Qui décide que c’est un incident ? Qui coupe quoi, et qui prévient qui ? Une PME de 12 personnes peut répondre honnêtement en quelques phrases : le dirigeant ou le prestataire informatique joue chacun de ces rôles. Ce qui affaiblit une réponse, ce n’est pas l’absence d’un SOC — c’est de ne pas savoir qui serait appelé en premier.
3. « Avez-vous déjà subi un incident ? » n’est pas une question piège
Beaucoup de dirigeants hésitent à répondre oui. Or un incident traité et documenté — un compte compromis coupé, un poste réinstallé, un phishing signalé par un salarié — est une preuve de maturité, pas une tache : il montre que la détection fonctionne. Ce qui pénalise, c’est l’incident découvert par le client avant vous, ou l’incapacité à dire ce qui s’est passé et ce qui a été fait.
4. Le contact externe est la réponse que peu de PME pensent à écrire
Les questionnaires demandent souvent « avec qui faites-vous équipe en cas d’incident ». Une réponse qui nomme un prestataire informatique joignable, éventuellement une assistance cyber (la plateforme cybermalveillance.gouv.fr pour les PME, le 511.cyber.gouv.fr pour les opérateurs), et le contact chez le client à prévenir, est plus solide qu’un long paragraphe interne : elle montre que la réaction ne repose pas sur une improvisation du jour.
Ce que l’objectif 12 vous demande, à vous
Vu de votre côté de la relation, l’objectif 12 se traduit par trois questions simples — celles-là mêmes que les questionnaires reprennent, presque mot pour mot.
Comment un incident est-il détecté et par qui ?
La réponse attendue n’est pas une architecture de supervision mais une chaîne claire : les signalements des salariés (une adresse email à qui écrire), les alertes de votre outil antivirus, l’appel du prestataire. Si la seule détection aujourd’hui est « un salarié qui remarque quelque chose d’étrange », le dire tel quel — et désigner à qui il le remarque.
Que se passe-t-il dans les premières heures ?
Deux ou trois phrases suffisent : qui coordonne, quels comptes sont coupés en premier, comment les postes suspects sont isolés du réseau. Une PME qui écrit « le dirigeant coupe les accès en lien avec le prestataire, les postes incriminés sont débranchés du réseau » répond à l’esprit de l’objectif 12. Un scénario écrit et testé vaut mieux, mais son absence n’interdit pas une réponse honnête.
Qui prévient le client, et quand ?
C’est la question que les clients assujettis posent de plus en plus souvent, parce qu’ils ont leur propre horloge réglementaire. Nommer une personne et un ordre (« le dirigeant prévient le contact désigné chez le client dès confirmation ») suffit. Éviter la réponse « nous n’avons pas d’obligation de notification » : elle est juridiquement vraie et commercialement désastreuse.
Cadre : ReCyF v2.5, objectif 12 « Identification et réaction aux incidents de sécurité », socle commun des entités importantes et essentielles. Version citée sur cette page : v2.5 du 17 mars 2026, document de travail de l’ANSSI.
Questions fréquentes
L’objectif 12 du ReCyF s’applique-t-il à mon entreprise ?
Pas directement. Le ReCyF s’applique aux entités assujetties (essentielles et importantes), pas à leurs fournisseurs. Mais l’objectif 12, « Identification et réaction aux incidents de sécurité », fait partie du socle commun que votre client doit couvrir — et la sécurité de sa chaîne de sous-traitance en fait partie. C’est par ce chemin que les questions d’incident arrivent chez vous, dans les questionnaires et parfois dans le contrat.
Faut-il un plan de réponse aux incidents formel, écrit et signé ?
Pas nécessairement à ce stade. Ce que les questionnaires vérifient, c’est qu’une réponse existe : qui fait quoi, qui est prévenu, avec quoi on est aidé. Une page — contacts, premiers gestes, ordre de notification — écrite et connue de l’équipe vaut mieux qu’un plan complet que personne n’a ouvert. Si vous en écrivez une, dater-la : c’est le document le plus simple à produire comme preuve.
Que veut dire « notifier un incident » dans un questionnaire ?
Pour votre client assujetti, notifier est une obligation légale avec des délais courts (24 heures pour la notification initiale au sens de NIS2, selon le projet de loi Résilience en discussion). Pour vous, rien n’est imposé par la réglementation — mais le contrat peut le prévoir, et de plus en plus de questionnaires demandent « sous quel délai nous prévenez-vous ». Répondre un délai réaliste (le jour même, dès confirmation) et le tenir est le bon positionnement.
Puis-je citer l’objectif 12 dans mes réponses ?
Vous pouvez dire que votre profil est construit sur les objectifs du ReCyF — c’est ce que fait CertiPasse, chaque question citant l’objectif dont elle vient. Ce que vous ne devez pas dire, c’est que le ReCyF vous « impose » quelque chose : le référentiel ne s’applique pas aux sous-traitants. La bonne formulation est « construit sur » ou « aligné sur », jamais « requis par ».
Et maintenant, concrètement
Pour aller plus loin : le guide sur l’objectif 10, « Gestion des identités et des accès », couvre les mots de passe — le thème n°1 des questionnaires. « Comment répondre à un questionnaire de sécurité client » traite la méthode thème par thème, et le guide NIS2 pour PME couvre le mécanisme complet. Si vos pratiques d’incident sont réelles mais rien n’est mis en forme, c’est exactement ce que fait le questionnaire CertiPasse — chaque question y cite l’objectif du ReCyF dont elle vient.
Le thème n°1 des questionnaires
L’objectif 10, « Gestion des identités et des accès » : mots de passe, 2FA, départs de salariés.
La méthode, thème par thème
Comprendre chaque question, la preuve attendue, répondre sans y passer ses soirées.
Ce que le contrat vous impose
Clause cybersécurité dans un contrat de sous-traitance : ce qu’on signe, ce qu’on négocie, ce qu’on refuse.
Remplir une fois, partager partout
Trente minutes, des questions reliées aux objectifs du ReCyF, un passeport daté à envoyer.