Guide réglementaire — un objectif ReCyF expliqué
Objectif 13 du ReCyF, « Continuité et reprise d’activité » : le thème qui revient dans tous les questionnaires
Sur les vingt objectifs du ReCyF de l’ANSSI, celui qui descend le plus concrètement jusqu’à un sous-traitant de 5 à 50 personnes est l’objectif 13 : sauvegardes, continuité, reprise. Voici ce qu’il dit, ce qu’un questionnaire en retient, et comment répondre sur vos sauvegardes sans y passer votre semaine.
Contenu établi à partir du ReCyF v2.5 (document de travail de l’ANSSI, 17 mars 2026), vérifié le 18 septembre 2026 contre cyber.gouv.fr et messervices.cyber.gouv.fr. À re-vérifier avant toute décision de conformité.
L’objectif 13, en une phrase
« Continuité et reprise d’activité » est le treizième des quinze objectifs de sécurité du socle commun du ReCyF — ceux qui s’appliquent aux entités importantes et essentielles. Il demande à ces entités de pouvoir maintenir et restaurer leur activité après un sinistre. Votre client y est soumis ; et comme son activité dépend aussi de la vôtre, c’est le thème que ses questionnaires vous posent le plus souvent.
Quatre choses à comprendre
1. Un objectif qui parle de votre client, mais se juge chez vous
L’objectif 13, « Continuité et reprise d’activité », demande à votre client assujetti de montrer qu’il tiendrait après un sinistre. Pour un auditeur, la continuité d’un donneur d’ordre passe aussi par celle de ses fournisseurs : si vous perdez vos données, c’est son activité qui s’arrête. C’est pourquoi les sauvegardes sont le thème le plus constant des questionnaires envoyés aux sous-traitants.
2. Ce que le questionnaire retient de l’objectif 13
Les questionnaires traduisent l’objectif en questions vérifiables : fréquence des sauvegardes, existence d’une copie ailleurs, preuve d’une restauration testée, copie à l’abri d’un rançongiciel. Aucune de ces questions ne demande un budget — toutes demandent une trace. C’est le thème où une PME peut répondre « oui, daté » aussi solidement qu’une grande entreprise.
3. La question qui fait mal : avez-vous déjà restauré ?
Une sauvegarde jamais restaurée est une promesse non testée. Les clients techniques le savent, et la question revient dans presque tous les questionnaires. La bonne réponse n’est pas « oui » au conditionnel : c’est une date. Si vous ne la connaissez pas, un test de restauration d’un dossier critique, noté sur une ligne, transforme toute la section.
4. Le rançongiciel a changé la question de la copie « ailleurs »
« Ailleurs » ne suffit plus : un rançongiciel chiffre d’abord les sauvegardes qu’il peut atteindre avec vos comptes du quotidien. La question moderne est de savoir si une copie est hors d’atteinte — disque débranché, espace sans droit de suppression. L’objectif 13 ne nomme pas le rançongiciel ; les questionnaires, eux, l’ont déjà intégré.
Ce que l’objectif 13 vous demande, à vous
Vu de votre côté de la relation, l’objectif 13 se traduit par trois questions simples — celles-là mêmes que les questionnaires reprennent, presque mot pour mot.
De quand date votre dernière sauvegarde utilisable ?
La première question après un incident est toujours celle-là. Une sauvegarde automatique quotidienne des dossiers de travail, ou une synchro continue plus une sauvegarde nocturne : ce qui compte est de pouvoir le dire avec une date.
Où vit la copie qui ne dépend pas de votre local ?
Une copie chez un hébergeur différent, un disque débranché rangé hors site : l’incendie, le vol et le rançongiciel ne doivent pas emporter les copies avec les données.
Quand avez-vous restauré pour la dernière fois ?
Un test de restauration complet cette année, ou des restaurations ponctuelles à chaque besoin : ce qui compte est la trace. Une ligne datée dans un fichier interne suffit à répondre.
Cadre : ReCyF v2.5, objectif 13 « Continuité et reprise d’activité », socle commun des entités importantes et essentielles. Version citée sur cette page : v2.5 du 17 mars 2026, document de travail de l’ANSSI.
Questions fréquentes
L’objectif 13 du ReCyF s’applique-t-il à mon entreprise ?
Pas directement. Le ReCyF s’applique aux entités assujetties (essentielles et importantes), pas à leurs fournisseurs. Mais l’objectif 13, « Continuité et reprise d’activité », fait partie du socle commun que votre client doit couvrir — et la continuité d’un donneur d’ordre dépend de celle de ses sous-traitants. C’est par ce chemin que les questions de sauvegarde arrivent chez vous.
Faut-il un PRA documenté quand on est 12 personnes ?
Non, pas dans les termes d’un grand compte. L’objectif 13 demande de pouvoir reprendre activité après un sinistre ; un document de deux pages qui dit ce qui est sauvegardé, où vivent les copies, et qui fait quoi le jour d’un incident, répond à l’essentiel. Ce que les questionnaires sanctionnent, c’est l’absence de trace écrite, pas l’absence d’un PRA de cinquante pages.
Que veut dire « copie hors d’atteinte » ou « immuable » ?
C’est une sauvegarde que vos comptes du quotidien ne peuvent pas effacer : un disque débranché après chaque sauvegarde, ou un espace de stockage où votre compte n’a aucun droit de suppression. Un rançongiciel agit avec les droits de vos comptes ; la copie hors d’atteinte est celle qu’il ne peut pas atteindre. C’est devenu une question standard des questionnaires.
Puis-je citer l’objectif 13 dans mes réponses ?
Vous pouvez dire que votre profil est construit sur les objectifs du ReCyF — c’est ce que fait CertiPasse, chaque question citant l’objectif dont elle vient, sauvegardes comprises. Ce que vous ne devez pas dire, c’est que le ReCyF vous « impose » quelque chose : le référentiel ne s’applique pas aux sous-traitants. La bonne formulation est « construit sur » ou « aligné sur », jamais « requis par ».
Et maintenant, concrètement
Pour aller plus loin : la page sur l’objectif 3, « Maîtrise de l’écosystème », explique pourquoi les questionnaires vous visent, « comment répondre à un questionnaire de sécurité client » traite la méthode thème par thème, et le guide NIS2 pour PME couvre le mécanisme complet. Si vos sauvegardes sont en ordre mais que rien n’est écrit nulle part, c’est exactement ce que le questionnaire CertiPasse met en forme — chaque question y cite l’objectif du ReCyF dont elle vient.
Le thème n°1 des questionnaires
L’objectif 10, « Gestion des identités et des accès » : mots de passe, 2FA, départs de salariés.
Pourquoi on vous pose ça
L’objectif 3, « Maîtrise de l’écosystème » : l’objectif du ReCyF qui vous décrit, vous, sous-traitant.
La méthode, thème par thème
Comprendre chaque question, la preuve attendue, répondre sans y passer ses soirées.
Le mécanisme réglementaire
NIS2, article 21, effet cascade : pourquoi la pression vous atteint par le contrat.
Remplir une fois, partager partout
Trente minutes, des questions reliées aux objectifs du ReCyF, un passeport daté à envoyer.