Objectif 2 : Mise en œuvre d'un cadre de gouvernance de la sécurité numérique
11 mesures composent cet objectif, dont 10 attendues d'une entité importante.
Notre lecture de cet objectif
Autrement dit : qui décide, qui est responsable, et qui suit le plan ?
Ce que le texte exige
« Les entités importantes et essentielles définissent un cadre de gouvernance de la sécurité numérique placé sous la responsabilité du dirigeant exécutif. »
Ce cadre comprend une organisation, des rôles et responsabilités, des processus de gestion de la conformité, et une politique de sécurité des systèmes d'information. Le texte ajoute que l'entité réalise une analyse de sa conformité, identifie les écarts, puis établit et suit dans la durée un plan d'action pour les corriger.
Ce que ça veut dire chez vous
Lisez la dernière phrase encore une fois. Le référentiel ne vous demande pas d'être conforme demain matin. Il vous demande de savoir où vous en êtes, de connaître vos écarts, et de tenir un plan pour les combler. C'est une obligation de pilotage avant d'être une obligation de résultat technique.
C'est aussi, très exactement, ce que fait l'outil que vous êtes en train de lire. Nous ne prétendons pas vous rendre conforme : nous vous donnons l'analyse d'écart, le plan, et surtout la preuve que le plan est suivi. L'objectif 2 est le seul du référentiel qui décrive un logiciel de pilotage sans le nommer.
L'autre point, celui qui surprend les dirigeants : la responsabilité est nommément la vôtre. La mesure 2.A.1 pose que le dirigeant exécutif de l'entité est responsable de la sécurité numérique, en transposition de l'article 20 de la directive NIS2. Ce n'est pas délégable au prestataire informatique. Vous pouvez confier l'exécution, vous ne pouvez pas confier la responsabilité.
Et la politique de sécurité n'a pas besoin d'être un pavé de quatre-vingts pages. Le texte demande au minimum des dispositions sur l'usage du chiffrement, le contrôle d'accès physique et logique, et la revue de l'application des mesures. Six pages écrites, validées et connues valent mieux que quatre-vingts téléchargées et rangées.
Ce qui est attendu de vous
Onze mesures, dont dix attendues d'une entité importante. C'est le deuxième objectif le plus lourd du référentiel côté entité importante, juste après la gestion des accès. Trois sous-ensembles : rôles et responsabilités, politique de sécurité, gestion de la conformité.
Les gestes qui couvrent cet objectif
E-RESP : un responsable de la sécurité numérique est désigné et connu de tous. État, à réattester chaque année. E-PSSI : une politique de sécurité validée par la direction existe. État. R-PSSI : revoir et faire valider la politique de sécurité. Rituel annuel. R-DIRIGEANT : le point sécurité en instance dirigeante, avec approbation formelle. Rituel annuel, et c'est lui qui produit la preuve de l'article 20. R-CONFORMITE : revoir l'analyse d'écart et l'avancement du plan d'action. Rituel trimestriel.
Ce qui se passe si vous ne le faites pas
Selon l'annexe du référentiel, le cadre de gouvernance est ce qui permet l'allocation de ressources financières, techniques et humaines adaptées à la menace. Sans lui, l'entité ne pilote pas : elle réagit. Et personne n'arbitre entre ce qui est urgent et ce qui est important.
Équivalence
Une certification ISO/CEI 27001:2022 sur un système de management de la sécurité de l'information vous permet de vous prévaloir de l'atteinte de cet objectif, dans le périmètre couvert par la certification. Si vous êtes certifié, vous n'avez pas à refaire le travail : vous avez à produire le certificat et son périmètre.
Les mesures
L'atteinte de l'objectif est obligatoire. Les mesures ci-dessous sont des moyens acceptables de conformité proposés par l'ANSSI : les appliquer permet de se prévaloir de leur mise en œuvre, mais d'autres moyens sont recevables.
| Référence | Contenu |
|---|---|
|
2.A.1 EI + EE |
Rôles et responsabilités
Le dirigeant exécutif de l’entité est responsable de la sécurité numérique au sein de son entité et en particulier du suivi de la conformité des systèmes d’information aux présentes mesures. |
|
2.A.2 EE |
Rôles et responsabilités
Il désigne au moins une personne qui le conseille et l’accompagne dans l’exercice de cette responsabilité. Cette personne est le point de contact privilégié de l’Agence nationale de la sécurité des systèmes d’information pour tous les sujets relatifs à la sécurité numérique (notamment incidents de sécurité, communications de l’ANSSI sur les sujets relatifs aux entités essentielles) |
|
2.A.3 EI + EE |
Rôles et responsabilités
L’entité définit et met en œuvre une organisation adaptée pour assurer sa sécurité numérique (par exemple : la désignation d’un responsable de la sécurité numérique, l’établissement d’un RACI, la mise en place d’une comitologie). |
|
2.B.1 EI + EE |
Politique de sécurité des systèmes d'information
L’entité définit et met en œuvre une politique de sécurité des systèmes d’information (PSSI). |
|
2.B.2 EI + EE |
Politique de sécurité des systèmes d'information
Cette PSSI comprend au moins :• L’organisation de la gouvernance de la sécurité numérique et notamment les rôles et les responsabilités du personnel interne et externe (par exemple : prestataires, fournisseurs) ; • Les orientations et objectifs stratégiques en matière de sécurité numérique déclinés de la stratégie globale de l’entité ; • L’engagement du dirigeant exécutif de l’entité à assurer la… lire la mesure |
|
2.B.3 EI + EE |
Politique de sécurité des systèmes d'information
Le dirigeant exécutif de l’entité approuve la PSSI. |
|
2.B.4 EI + EE |
Politique de sécurité des systèmes d'information
La PSSI est au minimum revue annuellement et mise à jour lorsque nécessaire, notamment en cas d’évolutions majeures de la menace, du contexte métier, technique ou organisationnel intervenues après son approbation. |
|
2.B.5 EI + EE |
Politique de sécurité des systèmes d'information
L’entité décline, en tant que de besoin, la PSSI en politiques de sécurité relatives à des thèmes précis permettant de couvrir tout ou partie des présentes mesures.En particulier, l’entité définit et met en œuvre, au minimum, des politiques de sécurité en matière : • D’usage du chiffrement ; • De contrôle d’accès physique et logique ; • De revue de l’application des mesures de sécurité mises en œ… lire la mesure |
|
2.C.1 EI + EE |
Gestion de la conformité
Pour chaque système d’information, l’entité réalise et maintient à jour une analyse de la conformité du système d’information vis-à-vis des mesures du présent référentiel.L’analyse de la conformité identifie les éventuels écarts entre les mesures mises en œuvre par l’entité et les mesures prévues dans le présent référentiel. Cette analyse tient compte de la PSSI de l’entité. |
|
2.C.2 EI + EE |
Gestion de la conformité
L’entité établit, met en œuvre et suit dans la durée un plan d’action adapté à la structure et à l’environnement dans lequel elle opère afin de corriger ces écarts dans les meilleurs délais.La responsabilité de ce plan d’action est déterminée au regard du cadre de gouvernance de la sécurité numérique mis en place. Ce plan d’action prévoit, au minimum, une échéance raisonnable au regard du besoin … lire la mesure |
|
2.C.3 EI + EE |
Gestion de la conformité
Lorsque l’entité n’est pas tenue de mettre en œuvre le référentiel mais qu’elle décide de l’appliquer pour démontrer sa conformité aux objectifs de sécurité, et qu’elle applique une ou plusieurs mesures alternatives aux moyens acceptables de conformité du référentiel, elle en précise les justifications dans son analyse de la conformité. L’ANSSI peut apprécier la pertinence de la mesure retenue pou…
lire la mesure |
Atteindre cet objectif, et le rester
Savoir ce qu'exige un objectif est une chose. Le tenir dans le temps en est une autre : une photo de conformité vieillit en trois mois.
ReCyF version 2.5 du 17/03/2026 : document de travail
Contenu officiel publié par l'ANSSI sur messervices.cyber.gouv.fr, réutilisé sous Licence Ouverte / Etalab 2.0. Reproduction fidèle, sans modification du texte des exigences.
Au 13/09/2026, la loi française de transposition de la directive (UE) 2022/2555 n'est pas promulguée et aucun décret d'application n'existe. Ce contenu est fourni à titre documentaire et ne constitue pas un conseil juridique.