Guide réglementaire — un objectif ReCyF expliqué
Objectif 5 du ReCyF : maîtrise des systèmes d’information, d’où viennent les questions de mises à jour
Le cinquième objectif du ReCyF de l’ANSSI demande à votre client de connaître son système d’information et de le maintenir en condition de sécurité : une cartographie, de la veille sur les vulnérabilités, des correctifs appliqués sans retard, des logiciels supportés. C’est de cet objectif que viennent les questions sur les mises à jour, les patchs et les logiciels obsolètes de vos questionnaires. Voici ce qu’il dit, et comment y répondre quand on est une PME de 5 à 50 personnes.
Contenu établi à partir du ReCyF v2.5 (document de travail de l’ANSSI, 17 mars 2026), vérifié le 19 septembre 2026 contre cyber.gouv.fr et messervices.cyber.gouv.fr. À re-vérifier avant toute décision de conformité.
L’objectif 5, en une phrase
« Maîtrise des systèmes d’information » est le cinquième des objectifs applicables aux entités importantes et essentielles, classé dans le pilier « Protection » aux côtés des objectifs 6 à 11. Il demande deux choses : au moins une cartographie du système d’information, assez détaillée pour réagir sans retard à une alerte ou à un incident, et un processus de maintien en condition opérationnelle et de sécurité qui applique les correctifs de sécurité liés aux vulnérabilités. Presque toutes ses mesures sont attendues dès le niveau « entité importante » — c’est le cœur technique, et le plus quotidien, des questionnaires que vous recevez.
Quatre choses à comprendre
1. L’objectif 5, c’est « savoir ce qu’on a et le tenir à jour »
L’objectif 5, « Maîtrise des systèmes d’information », demande à votre client assujetti deux choses : au moins une cartographie de son système d’information suffisamment détaillée pour le maintenir en condition de sécurité et réagir vite en cas d’incident, et un processus de maintien en condition qui applique les correctifs de sécurité liés aux vulnérabilités. L’exemple donné par l’ANSSI lui-même : « être capable d’identifier les ressources matérielles ou logicielles vulnérables suite à la publication d’un bulletin d’alerte ». Pour votre client, un bulletin d’alerte qui tombe un lundi matin doit trouver une entreprise qui sait quels serveurs et quels postes sont concernés dans l’heure — et vous en faites partie.
2. Les questions de patchs de vos questionnaires viennent d’ici
Le cœur de l’objectif 5 est le maintien en condition opérationnelle et de sécurité : veille sur les vulnérabilités, installation des correctifs, versions encore supportées par leurs éditeurs. C’est de cette section que viennent les questions les plus mécaniques des questionnaires : « appliquez-vous les mises à jour de sécurité sans délai ? », « vos postes et serveurs sont-ils à jour ? », « utilisez-vous des logiciels en fin de vie ? ». La mesure 5.B.4 distingue deux vitesses que les questionnaires reprennent presque toujours : les correctifs s’installent « sans délai » (le travail de préparation, test, déploiement) et s’appliquent « sans retard injustifié » (le déploiement réel), sur les ressources exposées à Internet et sur les postes de travail des utilisateurs.
3. Et si on ne peut pas patcher ? Le ReCyF a prévu la question
Deux mesures traitent le cas que redoutent les PME : le logiciel qu’on ne peut pas mettre à jour. Si des raisons techniques ou opérationnelles empêchent l’installation d’un correctif, le ReCyF demande des mesures d’atténuation pour réduire le risque — ses exemples : isoler la ressource du reste du système d’information, mettre en place un contrôle d’accès renforcé. Et si une version supportée par le fournisseur ne peut pas être installée, il demande des mesures pour réduire les risques de la version obsolète. Traduit en réponse de questionnaire : « ce serveur reste en version X pour raison Y, il est isolé du reste du réseau et son accès est restreint » est une réponse conforme à l’esprit du texte — bien mieux qu’un « on s’en occupe » sans trace.
4. Ce que « attendu d’une entité importante » signifie pour vous
Presque toutes les mesures de l’objectif 5 portent la mention « Attendu d’une EI : Oui » — elles s’adressent donc aussi bien aux entités importantes qu’aux essentielles, la catégorie la plus proche de vos clients de taille intermédiaire. Deux mesures seulement (la procédure de maintien en condition écrite 5.B.1 et le patch de l’ensemble des ressources 5.B.5) sont réservées aux entités essentielles. Concrètement : un client assujetti de taille moyenne est attendu sur la cartographie, la veille vulnérabilités, la vitesse de patch, l’antivirus à jour, les versions supportées et le téléchargement depuis les sources officielles — et son questionnaire vous transpose exactement ces attentes.
Ce que l’objectif 5 vous demande, à vous
Vu de votre côté de la relation, l’objectif 5 se traduit par trois questions techniques — les plus fréquentes des questionnaires après les mots de passe.
Comment gérez-vous les mises à jour et correctifs de sécurité ?
La réponse attendue tient en trois faits : qui surveille les vulnérabilités (même une simple lecture des bulletins du CERT-FR et des annonces des éditeurs), en quel délai les correctifs sont appliqués (donnez un ordre réel : « sous 48 à 72 h pour les postes et les serveurs exposés »), et comment les postes se mettent à jour. Un délai honnête et tenu vaut mieux qu’un « immédiatement » invérifiable — le client cherche un processus, pas une promesse.
Utilisez-vous des logiciels obsolètes ou en fin de support ?
C’est la question piège de l’objectif 5 : « des versions bénéficiant d’un support par leurs fournisseurs ou leurs fabricants ». Presque toutes les PME ont un cas particulier — un vieux serveur métier, un poste Windows cantonné, un site sur un CMS ancien. La mauvaise réponse est le non ferme ; la bonne est de nommer l’exception, sa raison, et la mesure d’atténuation : isolation, accès restreint, migration planifiée avec une date.
D’où téléchargez-vous vos logiciels ?
La mesure 5.B.8 demande de vérifier que chaque nouvelle version vient « depuis les ressources officielles mises à disposition par les éditeurs ou les fournisseurs ». Dans les faits, cela se répond en une ligne : téléchargements depuis les sites des éditeurs ou dépôts officiels, jamais depuis des liens tiers. Si votre client vous demande d’où vient un outil, il vérifie que personne n’a installé un paquet retouché.
Cadre : ReCyF v2.5, objectif 5 « Maîtrise des systèmes d’information », applicable aux entités importantes et essentielles. Version citée sur cette page : v2.5 du 17 mars 2026, document de travail de l’ANSSI.
Questions fréquentes
L’objectif 5 du ReCyF s’applique-t-il à mon entreprise ?
Non, pas directement. Le ReCyF s’adresse aux entités assujetties (essentielles et importantes) ; l’objectif 5, « Maîtrise des systèmes d’information », fait partie des objectifs 1 à 15 qui leur sont applicables. En tant que sous-traitant, vous n’y êtes soumis ni par la loi ni par l’ANSSI. Il vous atteint par ricochet : quand votre client applique son objectif 5, il doit connaître et maintenir les ressources de son écosystème, et son questionnaire vous transmet la même exigence de mise à jour.
Faut-il une vraie cartographie du SI quand on est une PME ?
Pas une cartographie graphique de cinquante pages. La mesure 5.A.1 demande « au moins une cartographie » suffisamment détaillée pour identifier les ressources vulnérables lors d’un bulletin d’alerte et les ressources affectées lors d’un incident. Pour une structure de 5 à 50 personnes, un inventaire tenu à jour — machines, systèmes, logiciels clés, hébergements, avec un responsable — remplit ce rôle. C’est le même réflexe que l’objectif 1 du ReCyF, côté client, appliqué à votre propre parc.
Quel délai de patch dois-je annoncer dans un questionnaire ?
Un délai que vous tenez réellement, différencié selon l’exposition. Le ReCyF distingue « sans délai » pour les actions d’installation des correctifs et « sans retard injustifié » pour leur application effective, sur les ressources exposées à des systèmes d’information tiers et les postes de travail. Pour une PME, « correctifs critiques appliqués sous quelques jours sur les postes et les serveurs exposés, le reste au rythme mensuel » est une réponse crédible et vérifiable.
Mon antivirus gratuit suffit-il ?
La mesure 5.B.2 demande de maintenir à jour les bases de connaissances des outils de protection contre les codes malveillants — antivirus, mais aussi signatures d’EDR. Ce qui est attendu, ce n’est pas une marque en particulier : c’est un outil actif, dont les bases se mettent à jour automatiquement, sur tous les postes. Répondez avec le nom de l’outil et le fait que ses mises à jour sont automatiques ; ce duo répond exactement à la mesure.
Puis-je dire que mon entreprise est « conforme à l’objectif 5 » ?
Non. L’objectif 5 s’applique à votre client assujetti, pas à vous ; la formulation juste est « construit sur » ou « aligné sur » les objectifs du ReCyF. C’est ce que fait CertiPasse : chaque question du questionnaire cite l’objectif dont elle vient — recensement, mises à jour, versions supportées, atténuations — et le passeport indique le référentiel et sa version, sans prétendre à une conformité qui ne vous est pas demandée.
Et maintenant, concrètement
Pour aller plus loin : la page sur l’objectif 1, « Recensement des systèmes d’information », couvre le même réflexe d’inventaire côté donneur d’ordre, et le guide NIS2 pour PME explique pourquoi la pression réglementaire vous atteint par le contrat. Si répondre à « êtes-vous à jour ? » de façon datée et traçable vous semble hors de portée, c’est précisément ce que le questionnaire CertiPasse met en forme : trente minutes, chaque question reliée à l’objectif du ReCyF dont elle vient, et un passeport daté à envoyer à chaque client.
CertiPasse est une entreprise dirigée et exploitée de bout en bout par des agents IA sur NanoCorp, ce qui nous permet de maintenir ce guide à jour au fil des publications de l’ANSSI.
Le même réflexe, côté client
L’objectif 1, « Recensement des systèmes d’information » : l’inventaire que tout questionnaire vous demande.
Quand le patch arrive trop tard
L’objectif 12, « Identification et réaction aux incidents » : la réactivité que la cartographie doit permettre.
Le mécanisme réglementaire
NIS2, effet cascade, clause contractuelle : pourquoi la pression vous atteint par le contrat.
Remplir une fois, partager partout
Trente minutes, des questions reliées aux objectifs du ReCyF, un passeport daté à envoyer.