À l’approche de la transposition française de NIS2, attendue à l’été 2026 dans le cadre du projet de loi Résilience, beaucoup d’Entités Importantes calculent leur budget conformité sur la base d’un schéma standard : audit initial, EBIOS RM annuel à 8-15 jours-homme, chantier de mise en œuvre étalé sur 18 à 24 mois, total entre 80 et 150 k€ pour franchir le seuil des 50% de couverture. C’est l’approche que vendent la plupart des cabinets, et elle n’est pas absurde dans son principe.
Ce que ce schéma occulte, en revanche, c’est qu’une partie significative des obligations ReCyF peut être absorbée en amont par un dispositif de Cyber Threat Intelligence sectorielle bien conçu, à un coût annuel divisé par cinq ou par dix. Pas la totalité, loin de là. Mais une part suffisamment substantielle pour mériter d’être évaluée objectivement avant de signer un chantier monolithique de conformité.
Cet article propose un tableau de couverture objectif des 15 objectifs ReCyF applicables aux Entités Importantes par un rapport CTI mensuel sectoriel structuré. L’exercice est honnête : il montre où la CTI contribue, et il dit aussi clairement où elle ne contribuera jamais.
Le cadre — 15 objectifs ReCyF pour les Entités Importantes
Le Référentiel Cyber France v2.5 publié par l’ANSSI le 17 mars 2026 organise les obligations en 20 objectifs, dont 15 applicables aux Entités Importantes et 5 supplémentaires réservés aux Entités Essentielles. Ces 15 objectifs se regroupent en trois blocs thématiques :
- Gouvernance et pilotage (objectifs 1 à 5) : périmètre SI, rôles et responsabilités, gestion des tiers, conformité, cartographie.
- Protection des systèmes d’information (objectifs 6 à 10) : contrôle d’accès, MFA, gestion des identités, segmentation, durcissement.
- Défense et résilience (objectifs 11 à 15) : supervision et détection, gestion des incidents, continuité et reprise, exercices de crise, sensibilisation.
Le principe de proportionnalité posé par l’ANSSI prévoit que le niveau d’effort attendu sur chaque objectif est adapté à la maturité et aux ressources de l’entité. C’est dans cet espace de proportionnalité que la contribution d’une CTI bien conçue prend toute sa place.
Le tableau de couverture
Hypothèse de cadrage : on considère un rapport CTI sectoriel mensuel structuré, contenant un pivot d’incidents normalisé sur le secteur du client avec scoring Admiralty, un suivi des acteurs ciblant ce secteur avec leurs TTPs MITRE ATT&CK, une analyse des CVE/KEV avec multiplicateurs de risque contextualisés, des règles Sigma/YARA et IOCs prêts à intégrer, des recommandations priorisées P1/P2/P3, et un dashboard multi-référentiel intégré (NIS2/RGPD/CRA/Cyberhygiène ANSSI).
Couverture par objectif ReCyF (niveau : Hors périmètre / Faible / Partielle / Forte) :
- Objectif 1 — Périmètre SI et cartographie : Partielle. Scorecard de maturité avec 8 indicateurs mensuels.
- Objectif 2 — Rôles, responsabilités, PSSI : Partielle. Recommandations attribuées à un responsable avec effort et délai.
- Objectif 3 — Gestion des tiers et écosystème : Forte. Identification des SPOFs prestataires, scoring de risque, recommandations contractuelles.
- Objectif 4 — Conformité et analyse des écarts : Forte. Dashboard multi-référentiel intégré, actions prioritaires par référentiel, courbe d’évolution.
- Objectif 5 — Cartographie et MCO/MCS : Partielle. Cartographie de la surface externe (IPs, domaines, certificats TLS).
- Objectif 6 — Contrôle d’accès : Faible. Recommandations mais pas d’implémentation.
- Objectif 7 — MFA et mots de passe : Faible. Recommandations sur les accès VPN et reset post-credential leak.
- Objectif 8 — Gestion des identités : Hors périmètre.
- Objectif 9 — Segmentation des réseaux : Faible. Recommandation segmentation IT/OT.
- Objectif 10 — Durcissement : Partielle. Priorisation CVE contextualisée.
- Objectif 11 — Supervision et détection : Forte. Règles Sigma/YARA et IOCs prêts à intégrer.
- Objectif 12 — Gestion des incidents : Partielle. Priorisation P1/P2/P3, IOCs par cluster.
- Objectif 13 — Continuité et reprise : Hors périmètre.
- Objectif 14 — Exercices de crise : Partielle. TTPs sectoriels et clusters réels alimentent les scénarios.
- Objectif 15 — Sensibilisation : Partielle. Credential leaks, typosquatting, fiches acteurs comme matière pédagogique.
Lecture honnête du tableau
Sur les 15 objectifs ReCyF applicables aux Entités Importantes, un rapport CTI sectoriel mensuel structuré apporte une contribution forte à trois objectifs (gestion des tiers, conformité et analyse des écarts, supervision et détection), une contribution partielle à sept objectifs, une contribution faible à trois, et est hors périmètre pour deux.
On peut donc évaluer la couverture totale d’un rapport CTI mensuel bien conçu à environ 30 à 35% des obligations ReCyF d’une Entité Importante. Ce chiffre est obtenu pour un livrable dont le coût annuel se situe typiquement entre 6 et 15 k€ — soit l’équivalent de deux à trois jours-homme d’un consultant cybersécurité senior. Le rapport coût / couverture est sensiblement meilleur que celui d’une démarche cabinet classique.
Surtout, cette couverture se concentre sur des objectifs où la production interne ou via un prestataire généraliste est techniquement difficile. La supervision et détection (objectif 11) suppose une matière sectorielle qu’un SOC interne ne produit pas spontanément. Le dashboard multi-référentiel (objectif 4) suppose un travail de mapping entre référentiels qui n’est pas trivial. Les scénarios d’exercice de crise (objectif 14) gagnent considérablement en réalisme quand ils sont calibrés sur les acteurs réels du secteur. Là où la CTI contribue, sa contribution est qualitativement difficile à remplacer.
Ce que la CTI ne couvrira jamais
L’autre lecture du tableau, plus importante encore, est celle de ce que la CTI ne fait pas. La gouvernance, l’analyse de risque formelle, le contrôle d’accès, le durcissement technique, la continuité d’activité, les exercices de crise complets restent à construire séparément. Une organisation qui pense se mettre en conformité NIS2 avec un seul rapport CTI mensuel se trompe lourdement, et elle se le verra rapidement rappelé en cas de contrôle ex post de l’ANSSI.
Ce qui rend l’approche intéressante n’est donc pas la CTI prise isolément. C’est sa capacité à servir de brique d’entrée modulaire, à laquelle on agrège progressivement d’autres briques outillées pour étendre la couverture. La quantification du risque selon la méthode Open FAIR alimentée par cette même CTI fait monter la couverture sur les objectifs 2, 3, 4 et 16. Un EBIOS RM industrialisé sur les ateliers 2 à 5 monte encore la barre sur l’approche par les risques. Un plan de contrôle annuel outillé absorbe l’objectif 17. Un exercice de crise annuel sectoriel absorbe les objectifs 14 et 15.
Empilées intelligemment, ces briques peuvent porter la couverture ReCyF bien au-delà du seuil des 50%, dans une logique économique radicalement différente de l’approche cabinet classique.
En guise de précautions
L’analyse présentée ici est calibrée sur la version v2.5 du ReCyF publiée en mars 2026 comme document de travail. Elle est susceptible d’évoluer à mesure que l’ANSSI affine les moyens acceptables de conformité par objectif, et à mesure que la transposition française se précise dans le projet de loi Résilience.
Pour les Entités Importantes qui démarrent leur cadrage NIS2 en 2026, l’audit objectif des briques modulaires disponibles, avant de s’engager dans un chantier conformité monolithique, est probablement le meilleur usage que l’on peut faire d’une journée de réflexion stratégique.
Découvrez notre formation NIS2.
Sources : Référentiel Cyber France v2.5 publié par l’ANSSI le 17 mars 2026 ; directive (UE) 2022/2555 ; recommandation européenne 2003/361/CE.
Commentaires récents