Guide réglementaire — un objectif ReCyF expliqué
Objectif 3 du ReCyF, « Maîtrise de l’écosystème » : l’objectif qui vous concerne, sous-traitant
Le ReCyF de l’ANSSI ne s’applique pas aux sous-traitants. Mais sur ses vingt objectifs de sécurité, un seul parle directement de vous : l’objectif 3, « Maîtrise de l’écosystème ». Voici ce qu’il dit, ce que votre client doit prouver à partir de lui, et ce que cela change dans vos réponses.
Contenu établi à partir du ReCyF v2.5 (document de travail de l’ANSSI, 17 mars 2026), vérifié le 17 septembre 2026 contre cyber.gouv.fr et messervices.cyber.gouv.fr. À re-vérifier avant toute décision de conformité.
L’objectif 3, en une phrase
« Maîtrise de l’écosystème » est le troisième des quinze objectifs de sécurité du socle commun du ReCyF — ceux qui s’appliquent aux entités importantes et essentielles. Il demande à ces entités de maîtriser la sécurité de leurs relations avec leurs fournisseurs directs. Votre client y est soumis ; vous en êtes l’objet. Le questionnaire de sécurité que vous recevez est ce que l’objectif 3 donne quand il descend jusqu’à vous.
Quatre choses à comprendre
1. L’objectif 3 ne s’adresse pas à vous — il parle pourtant de vous
Le ReCyF est le référentiel de transposition NIS 2 de l’ANSSI : il s’applique aux entités assujetties, pas à leurs fournisseurs. Mais son objectif 3 s’intitule « Maîtrise de l’écosystème » : il demande à votre client de maîtriser la sécurité de ses relations avec ses fournisseurs directs. Vous êtes ce fournisseur. L’objectif vous décrit sans vous viser.
2. Ce que votre client doit prouver, concrètement
Comme chaque objectif du ReCyF, l’objectif 3 vient avec des « moyens acceptables de conformité » : les mesures que l’ANSSI propose aux assujettis pour démontrer qu’elles l’atteignent. Côté écosystème, ces mesures portent sur la connaissance des prestataires, les exigences de sécurité posées par contrat, et le suivi dans la durée. Le questionnaire que vous recevez est la trace écrite de ces mesures.
3. Ces moyens ne sont pas obligatoires — mais ils font autorité
L’ANSSI le dit elle-même : les moyens acceptables de conformité « ne sont pas d’application obligatoire », mais ils permettent « de pouvoir se prévaloir de leur mise en œuvre pour démontrer l’atteinte des objectifs de sécurité ». En clair : votre client peut choisir ses méthodes, mais s’il suit l’ANSSI, son auditeur suivra le même référentiel. Un profil construit sur ces objectifs parle la langue de son audit.
4. La cascade s’arrête rarement à votre porte
L’objectif 3 demande aussi de prendre en compte ce qui vient de vos propres sous-traitants : hébergeur, prestataire informatique, outils en ligne. Quand vous décrivez vos pratiques, on vous demandera donc aussi qui vous faites travailler. Une réponse qui mentionne vos propres fournisseurs est perçue comme mûre ; une réponse qui s’arrête à votre périmètre paraît faite à la va-vite.
Ce que l’objectif 3 vous demande, à vous
Vu de votre côté de la relation, l’objectif 3 se traduit par trois attentes simples — celles-là mêmes que les questionnaires reprennent, souvent sans le dire.
Vos clients vous connaissent-ils ?
La liste de vos prestataires et outils sensibles, tenue à jour : hébergeur, téléphonie, comptabilité, accès distant. Côté client, c’est le premier attendu de l’objectif 3 — et c’est la première chose que vos réponses doivent couvrir.
Vos engagements sont-ils écrits ?
Des exigences de sécurité posées par contrat, même courtes : confidentialité, sauvegardes, signalement d’incident. Un engagement écrit vaut mieux qu’une promesse orale dans un dossier d’audit.
Suivez-vous vos propres sous-traitants ?
Un point de contact par prestataire, une revue annuelle, une note de ce qui serait fait si l’un d’eux tombait. Peu de moyens suffisent ; l’absence totale de suivi, non.
Cadre : ReCyF v2.5, objectif 3 « Maîtrise de l’écosystème », socle commun des entités importantes et essentielles. Version citée sur cette page : v2.5 du 17 mars 2026, document de travail de l’ANSSI.
Questions fréquentes
Le ReCyF s’applique-t-il à mon entreprise de 12 personnes ?
Non. Le ReCyF est le référentiel de transposition NIS 2 pour les entités assujetties (essentielles et importantes), pas pour leurs fournisseurs. Un sous-traitant de 5 à 50 personnes n’y est jamais directement soumis. Mais l’objectif 3, « Maîtrise de l’écosystème », fait de vous le sujet de l’affaire : vos clients assujettis doivent documenter votre sécurité, et ils le font par contrat et par questionnaire.
Que veut dire « moyens acceptables de conformité » ?
Ce sont, pour chaque objectif du ReCyF, les mesures proposées par l’ANSSI aux entités assujetties pour démontrer qu’elles l’atteignent. L’Agence précise qu’elles ne sont pas d’application obligatoire, mais qu’elles permettent de « se prévaloir de leur mise en œuvre ». Pour un sous-traitant, cela veut dire que les questionnaires reçus suivront, en pratique, la logique de ces mesures.
Quels objectifs du ReCyF retrouvent-on dans un questionnaire fournisseur ?
Les questionnaires envoyés aux sous-traitants reprennent rarement les vingt objectifs dans l’ordre, mais on y retrouve surtout le socle des entités importantes : gouvernance (objectif 2), recensement (objectif 1), accès et mots de passe (objectif 10), sauvegardes et continuité (objectif 13), incidents (objectif 12) — et l’écosystème (objectif 3), puisqu’il vous demande aussi de parler de vos propres sous-traitants.
Puis-je citer l’objectif 3 dans mes réponses ?
Vous pouvez dire que votre profil est construit sur les objectifs du ReCyF — c’est ce que fait CertiPasse, chaque question citant l’objectif dont elle vient. Ce que vous ne devez pas dire, c’est que le ReCyF vous « impose » quelque chose : le référentiel ne s’applique pas aux sous-traitants, et un client attentif le sait. La bonne formulation est « construit sur » ou « aligné sur », jamais « requis par ».
Et maintenant, concrètement
Pour aller plus loin : le guide « NIS2 et sous-traitants PME » explique le mécanisme réglementaire complet, « comment répondre à un questionnaire de sécurité client » traite la méthode thème par thème, et la page sur la clause cybersécurité du contrat montre comment l’exigence arrive chez vous, par écrit. Si vous voulez remplir une fois et garder un document daté à envoyer à chaque client, c’est le questionnaire CertiPasse — chaque question y cite l’objectif du ReCyF dont elle vient.
Le thème n°1 des questionnaires
L’objectif 10, « Gestion des identités et des accès » : mots de passe, 2FA, départs de salariés.
Le mécanisme réglementaire
NIS2, article 21, effet cascade : pourquoi la pression vous atteint par le contrat.
La méthode, thème par thème
Comprendre chaque question, la preuve attendue, répondre sans y passer ses soirées.
La clause du contrat
Ce que les clauses cybersécurité contiennent, ce qui se négocie, ce qu’il ne faut pas signer.
Remplir une fois, partager partout
Trente minutes, des questions reliées aux objectifs du ReCyF, un passeport daté à envoyer.