ReCyF, ISO 27001 et RMC DGA : Cartographie Multi-Référentiels 2026

Pour les entreprises positionnées à l'intersection de plusieurs écosystèmes réglementaires — fournisseurs d'entités NIS2 travaillant également avec la défense ou engagés dans une certification ISO 27001 — la multiplicité des référentiels cybersécurité représente un défi organisationnel et financier majeur. ReCyF V2.5 de l'ANSSI, ISO 27001:2022, et RMC DGA (Référentiel de Maturité Cybersécurité de la Direction Générale de l'Armement) couvrent des périmètres partiellement superposés. Une stratégie multi-référentiels intelligente permet de mutualiser les contrôles, de réduire les coûts d'audit et d'optimiser le niveau de conformité global. Ce guide établit la cartographie complète des correspondances entre ces trois référentiels et fournit une feuille de route pratique pour les entreprises confrontées à une double ou triple exigence.

Présentation des trois référentiels

ReCyF V2.5 : le référentiel supply chain NIS2

ReCyF V2.5, publié par l'ANSSI en mars 2026, est le référentiel d'évaluation de la maturité cybersécurité des fournisseurs d'entités NIS2. Structuré en 12 domaines et 112 contrôles, il couvre l'ensemble des mesures de sécurité pertinentes pour les fournisseurs de services critiques. Sa cotation sur trois niveaux (Initial, Défini, Optimisé) permet une évaluation progressive. ReCyF est spécifiquement conçu pour le contexte supply chain NIS2 et contient des contrôles uniques sur la notification d'incidents aux entités clientes et la cascade des obligations fournisseurs.

ISO 27001:2022 : le standard international de management de la sécurité

La norme ISO 27001:2022 est le standard international de référence pour les systèmes de management de la sécurité de l'information (SMSI). Dans sa version 2022, elle intègre 93 contrôles regroupés en 4 thèmes (organisationnels, humains, physiques, technologiques) et 11 attributs. La certification ISO 27001 est délivrée par des organismes accrédités après audit externe, avec une durée de validité de 3 ans (avec audits de surveillance annuels). Elle est reconnue internationalement et couvre un périmètre général de la sécurité de l'information.

RMC DGA : le référentiel de la Base Industrielle et Technologique de Défense

Le Référentiel de Maturité Cybersécurité de la Direction Générale de l'Armement (RMC DGA) est le cadre imposé aux entreprises de la Base Industrielle et Technologique de Défense (BITD) pour protéger les informations classifiées et les données à diffusion restreinte liées aux programmes d'armement. Il couvre 5 niveaux de maturité et 133 pratiques organisées en 17 domaines. Le RMC DGA est obligatoire pour les prestataires de la DGA travaillant sur des systèmes d'armes et des programmes classifiés. Il s'inspire largement du CMMC américain (Cybersecurity Maturity Model Certification) tout en intégrant les exigences réglementaires françaises.

Cartographie des correspondances : tableau de synthèse

La comparaison des trois référentiels révèle un taux de recouvrement significatif sur les domaines fondamentaux de la cybersécurité. Les estimations de correspondance présentées ci-dessous sont issues d'une analyse contrôle par contrôle conduite par des experts ayant travaillé sur les trois référentiels.

Domaine Gouvernance et politique de sécurité

Les trois référentiels couvrent ce domaine avec des exigences très proches. ReCyF V2.5 Domaine 1 (Gouvernance), ISO 27001:2022 contrôles organisationnels 5.1 à 5.4, et RMC DGA Domaine 1 (Gouvernance Cybersécurité) partagent les mêmes fondamentaux : politique de sécurité formalisée, revue annuelle, approbation par la direction, communication aux parties prenantes. Le niveau d'exigence est légèrement différent (RMC DGA niveau 2 correspond approximativement à ReCyF "Défini" et ISO 27001 certifié), mais les preuves documentaires sont largement mutualisables.

Domaine Gestion des risques

La gestion des risques est le domaine avec le plus fort taux de recouvrement entre les trois référentiels. ISO 27001:2022 (clause 6.1 et contrôles 5.7, 5.8) impose une appréciation des risques formelle avec critères d'acceptation définis. ReCyF V2.5 Domaine 2 impose la même démarche avec un focus sur les risques supply chain. RMC DGA Domaine 2 ajoute une exigence de classification des actifs liée aux niveaux de sensibilité des informations défense. Un processus de gestion des risques conforme ISO 27001 peut couvrir entre 70% et 80% des exigences ReCyF et RMC DGA sur ce domaine.

Domaine Gestion des accès

ISO 27001:2022 contrôles technologiques 8.2 à 8.6 couvrent la gestion des accès (contrôle d'accès logique, droits d'accès, MFA, gestion des comptes privilégiés). ReCyF V2.5 Domaine 5 et RMC DGA Domaine 7 couvrent le même périmètre avec des niveaux d'exigence proches sur le MFA (obligatoire dans les trois référentiels pour les accès distants). Une politique de gestion des accès conforme ISO 27001 peut être directement réutilisée pour ReCyF et RMC DGA, avec un complément sur les accès aux systèmes de défense pour le RMC.

Domaines spécifiques sans recouvrement complet

Trois domaines présentent des exigences sans équivalent ou avec un faible recouvrement entre les référentiels. La notification d'incidents aux clients EE (ReCyF Domaine 8 spécifique NIS2) n'a pas d'équivalent dans ISO 27001 ni dans RMC DGA, qui traitent la notification aux autorités mais pas aux clients. La protection des informations classifiées (RMC DGA Domaines 14-15) n'a pas d'équivalent dans ReCyF ni dans ISO 27001 standard. Enfin, la cascade des obligations fournisseurs (ReCyF Domaine 11) est spécifique à NIS2 et absente des deux autres référentiels.

Contrôles mutualisables : ce qu'on ne fait qu'une fois

Une stratégie multi-référentiels efficace identifie les contrôles pouvant être mis en œuvre une seule fois avec des preuves communes à tous les référentiels. L'estimation de mutualisation est la suivante :

Noyau commun aux trois référentiels (environ 45% des contrôles)

Le noyau commun comprend : la politique de sécurité et son processus de révision, la gestion des risques et le registre des risques, la gestion des accès et le MFA, la gestion des correctifs et des vulnérabilités, la sécurité physique des locaux, la gestion des sauvegardes et tests de restauration, le plan de continuité d'activité et les tests, la sensibilisation et formation du personnel, la gestion des incidents et le registre, l'audit des journaux et la surveillance. Ces contrôles représentent environ 45% des contrôles de chaque référentiel. Mis en œuvre une seule fois, avec des preuves documentaires communes, ils couvrent simultanément les trois référentiels.

Contrôles communs à deux référentiels (environ 25% supplémentaires)

Au-delà du noyau commun, environ 25% des contrôles sont communs à deux des trois référentiels. Les contrôles ReCyF ↔ ISO 27001 non couverts par RMC DGA sont principalement sur la supply chain et les clauses contractuelles. Les contrôles RMC ↔ ReCyF non couverts par ISO sont sur la classification des systèmes critiques. Les contrôles ISO ↔ RMC non couverts par ReCyF sont sur la sécurité du développement et les tests d'intrusion.

Stratégie multi-référentiel : quelle approche adopter

Profil 1 : Fournisseur NIS2 pur (sans DGA)

Pour une ETI fournisseur uniquement d'entités NIS2, la stratégie recommandée est de cibler la conformité ReCyF V2.5 comme objectif principal, avec ISO 27001 comme objectif de certification à 18-24 mois. Cette séquence est optimale parce que ReCyF peut être atteint sans audit externe, avec un coût immédiat limité, et parce qu'une conformité ReCyF solide constitue une excellente préparation à la certification ISO 27001. La certification ISO 27001 apporte ensuite une reconnaissance internationale et simplifie les futures réponses aux questionnaires.

Profil 2 : Fournisseur défense (BITD) sans clients NIS2

Pour une PME BITD travaillant uniquement avec la DGA, la priorité est le RMC DGA, dont les exigences sont imposées contractuellement et vérifiées par la DGA. ISO 27001 peut être envisagée comme étape intermédiaire de préparation au RMC niveau 3 et au-delà, car la certification ISO 27001 couvre environ 60% des pratiques RMC niveau 2. ReCyF n'est pas prioritaire sans clients NIS2.

Profil 3 : Double contrainte BITD + fournisseur NIS2

C'est le profil le plus complexe et le plus répandu dans le secteur industriel et aérospatial. La stratégie optimale est de prioriser ISO 27001 comme socle commun, de compléter avec les contrôles spécifiques RMC DGA (notamment sur la protection des informations classifiées), et d'ajouter les contrôles spécifiques ReCyF (notification d'incidents NIS2, cascade fournisseurs). Cette approche permet de réaliser un seul SMSI documenté, avec un seul cycle d'audit interne, tout en couvrant les trois référentiels.

Certification : quelle prioriser selon votre profil

La question de la certification à prioriser dépend de plusieurs facteurs : les exigences contractuelles immédiates, le budget disponible, et la trajectoire stratégique de l'entreprise.

ISO 27001 : quand la prioriser

ISO 27001 doit être priorisée quand l'entreprise a des ambitions commerciales à l'international (la certification est reconnue mondialement), quand elle vise à servir plusieurs clients EE différents (la certification simplifie la réponse aux questionnaires multiples), ou quand elle dispose d'un budget suffisant pour l'audit de certification (entre 15 000 et 40 000 euros selon la taille). Elle ne doit pas être priorisée si l'urgence est une évaluation ReCyF imminente — dans ce cas, la conformité ReCyF directe est plus rapide et moins coûteuse.

RMC DGA : quand le prioriser

Le RMC DGA est à prioriser absolument quand l'entreprise a des contrats DGA en cours ou en négociation sur des programmes classifiés. Il n'est pas optionnel dans ce contexte. La bonne nouvelle est que la préparation au RMC DGA construit une grande partie du socle nécessaire à la conformité ReCyF et à la certification ISO 27001.

FAQ : Cartographie multi-référentiels ReCyF / ISO 27001 / RMC DGA

Peut-on utiliser ISO 27001 pour répondre à un questionnaire ReCyF ?

Oui, partiellement. Une certification ISO 27001 en cours de validité peut couvrir environ 55-65% des contrôles ReCyF, selon le périmètre de certification. Les contrôles non couverts concernent principalement la notification d'incidents aux entités NIS2 clientes, la cascade des obligations fournisseurs, et certains contrôles spécifiques au contexte supply chain NIS2. Il faut donc compléter le dossier ReCyF avec des preuves spécifiques sur ces points.

Le RMC DGA est-il compatible avec NIS2 ?

Oui, le RMC DGA et NIS2 sont compatibles et partiellement complémentaires. Le RMC DGA répond à une obligation contractuelle DGA, NIS2 à une obligation réglementaire. Une entreprise BITD soumise aux deux n'est pas en contradiction mais doit gérer des périmètres et des exigences de preuve différents. L'ANSSI a publié un guide de mise en cohérence des deux référentiels disponible sur cyber.gouv.fr.

Combien d'économies peut-on réaliser avec une stratégie multi-référentiels ?

Les économies estimées par les entreprises ayant adopté une stratégie multi-référentiels structurée se situent entre 30% et 50% par rapport à une approche séparée de chaque référentiel. Ces économies proviennent de la mutualisation des audits internes, du partage des preuves documentaires et de la formation unique des équipes. Le surcoût initial de la planification de la stratégie multi-référentiels est généralement amorti en moins de 12 mois.

Quelle est la durée de mise en conformité multi-référentiels pour une PME de 100 personnes ?

Pour une PME de 100 personnes partant d'un niveau de maturité faible, la durée réaliste est de 18 à 30 mois pour atteindre simultanément la conformité ReCyF, la certification ISO 27001 et le niveau 2 du RMC DGA. La première étape (6-9 mois) est la mise en place du SMSI et la conformité ReCyF. La deuxième (9-12 mois) est la préparation et le passage de la certification ISO 27001. La troisième (6-9 mois complémentaires) est la complétion des contrôles spécifiques RMC DGA.

Où trouver les référentiels complets ?

ReCyF V2.5 est disponible sur cyber.gouv.fr. ISO 27001:2022 est disponible auprès de l'AFNOR et de l'ISO. Le RMC DGA est un référentiel à diffusion restreinte, accessible aux entreprises BITD ayant un contrat DGA actif. Pour en savoir plus sur notre approche, consultez notre page ReCyF NIS2 supply chain et notre analyse de la directive NIS2. La version officielle de NIS2 est disponible sur EUR-Lex.

Tableau de correspondance détaillé : ReCyF V2.5 ↔ ISO 27001:2022 ↔ RMC DGA

Le tableau ci-dessous présente une correspondance détaillée entre les domaines des trois référentiels. Cette cartographie est indicative et basée sur une analyse fonctionnelle — les niveaux d'exigence peuvent différer même quand les thèmes se recoupent.

Domaine Gouvernance : ReCyF D1 (Politique de sécurité, rôles, responsabilités) correspond à ISO 27001:2022 contrôles 5.1-5.4 (Politique, rôles, responsabilités) et au RMC DGA D1 (Gouvernance cyber). Mutualisation possible : PSSI unique avec annexes sectorielles, organigramme sécurité commun, processus de révision annuelle documenté.

Domaine Gestion des risques : ReCyF D2 (Appréciation et traitement des risques) correspond à ISO 27001:2022 clauses 6.1-6.2 et contrôles 5.7-5.8 (Threat intelligence, gestion des risques IS) et au RMC DGA D2 (Gestion des risques). Mutualisation possible : registre des risques unique avec des attributs sectoriels (criticité NIS2 vs. criticité défense), processus d'appréciation des risques commun.

Domaine Gestion des actifs : ReCyF D4 (Inventaire des actifs, CMDB) correspond à ISO 27001:2022 contrôle 5.9 (Inventaire des actifs) et au RMC DGA D4 (Inventaire et classification). Mutualisation possible : inventaire des actifs commun avec classification selon les trois référentiels (criticité NIS2, sensibilité défense). Point de divergence : RMC DGA exige une classification selon les niveaux de sensibilité DR/CD/CD Spécial, absente des deux autres référentiels.

Domaine Sécurité des RH : ReCyF D3 (Sensibilisation, habilitations) correspond à ISO 27001:2022 contrôles 6.1-6.8 (Contrôles humains) et au RMC DGA D3 (Sécurité du personnel). Mutualisation possible : processus d'habilitation commun, formations de sensibilisation communes. Point de divergence : le RMC DGA exige des habilitations de défense (Secret, Très Secret) qui ont des processus spécifiques gérés par le DRSD, sans équivalent dans les deux autres référentiels.

Domaine Sécurité physique : ReCyF D6 (Sécurité des locaux et équipements) correspond à ISO 27001:2022 contrôles 7.1-7.14 (Contrôles physiques) et au RMC DGA D6 (Sécurité physique). Mutualisation possible : politique de sécurité physique commune, contrôles d'accès physiques documentés. Point de divergence : les zones de sécurité défense (ZSP) requises par le RMC DGA ont des exigences de construction et de contrôle d'accès spécifiques sans équivalent dans les deux autres référentiels.

Financement et aides disponibles pour la mise en conformité multi-référentiels

La mise en conformité multi-référentiels représente un investissement significatif pour les PME et ETI. Plusieurs dispositifs de financement et d'accompagnement peuvent alléger cet investissement.

Dispositifs nationaux

Le dispositif France Num propose des co-financements pour les PME engagées dans des projets de transformation numérique incluant la cybersécurité. L'ANSSI propose des accompagnements via MonAideCyber (diagnostic initial gratuit) et le dispositif Cyber Campus (formations subventionnées). BPI France propose des prêts à taux préférentiels pour les projets de mise en conformité réglementaire, y compris NIS2 et ISO 27001. Les conseils régionaux de plusieurs régions (Île-de-France, Auvergne-Rhône-Alpes, Nouvelle-Aquitaine) ont mis en place des aides spécifiques pour les PME engagées dans des certifications ISO 27001 ou des démarches NIS2.

Crédit d'impôt et déductibilité fiscale

Les investissements en cybersécurité liés à la conformité réglementaire sont généralement déductibles en charge dans l'exercice, permettant une économie fiscale immédiate à hauteur du taux d'imposition de l'entreprise. Pour les dépenses d'investissement (logiciels, matériels), les règles d'amortissement habituelles s'appliquent. Une consultation avec votre expert-comptable sur la qualification fiscale des dépenses de conformité NIS2 est recommandée avant de lancer le projet.

Vers une certification commune multi-référentiels : perspectives 2027-2030

L'écosystème des référentiels cybersécurité est en pleine évolution. Plusieurs initiatives européennes visent à réduire la fragmentation réglementaire que subissent les entreprises opérant sur plusieurs marchés. Le Cyber Resilience Act (CRA) européen, le EUCC (European Cybersecurity Certification Scheme for Common Criteria) et les travaux de l'ENISA sur l'harmonisation des exigences NIS2 supply chain convergent vers un futur où un seul cadre de certification pourrait couvrir les exigences actuellement dispersées entre ReCyF, ISO 27001 et les référentiels sectoriels.

À l'horizon 2028-2030, les entreprises qui auront investi dans une certification ISO 27001 et dans la conformité ReCyF auront une base solide pour s'adapter au cadre européen harmonisé attendu. Les référentiels nationaux comme ReCyF ont vocation à évoluer pour s'aligner sur les standards européens, préservant les investissements déjà réalisés. L'anticipation de ces évolutions est un argument supplémentaire pour investir dès maintenant dans une stratégie multi-référentiels cohérente plutôt que dans des réponses ad hoc à chaque questionnaire client.

Conclusion : la stratégie multi-référentiels, un levier de compétitivité

Aborder la multiplicité des référentiels cybersécurité comme un problème plutôt que comme une opportunité est une erreur de perspective fréquente. Pour les entreprises positionnées à l'intersection de plusieurs écosystèmes réglementaires, une stratégie multi-référentiels bien construite est un levier de compétitivité : elle réduit les coûts de conformité grâce à la mutualisation, améliore la posture de sécurité globale de l'entreprise, et facilite l'ouverture de nouveaux marchés en démontrant une maturité cyber reconnue par plusieurs référentiels simultanément.

La clé du succès réside dans la planification : construire un SMSI documenté comme colonne vertébrale commune, identifier précisément les contrôles spécifiques à chaque référentiel, et traiter la mutualisation des preuves comme une exigence de conception dès le départ. Les entreprises qui abordent chaque référentiel en silo — une équipe pour ISO 27001, une autre pour ReCyF, une troisième pour le RMC DGA — s'épuisent dans des duplications inutiles et perdent la cohérence de leur dispositif de sécurité. Pour approfondir votre stratégie de conformité multi-référentiels, consultez notre guide ReCyF NIS2 supply chain et notre page sur la directive NIS2 en France. L'ANSSI publie régulièrement des guides de mise en cohérence des référentiels sur cyber.gouv.fr, et le texte de référence de NIS2 est sur EUR-Lex.

Tableau synthétique des niveaux d'exigence comparés

Pour faciliter la prise de décision sur la priorisation des investissements, voici une synthèse des niveaux d'exigence et des délais de mise en conformité estimés pour chaque référentiel, en fonction du profil d'entreprise. Pour une PME de 50-100 salariés avec peu de maturité initiale : ReCyF niveau "Défini" est atteignable en 6-9 mois avec un accompagnement, ISO 27001 demande 12-18 mois supplémentaires, RMC DGA niveau 2 peut prendre 12-24 mois selon les pratiques actuelles. Pour une ETI de 100-500 salariés avec une DSI structurée : ReCyF peut être atteint en 3-6 mois, ISO 27001 en 9-12 mois, RMC DGA niveau 2-3 en 12-18 mois. Les estimations de coût associées varient en proportion de la taille et de la maturité initiale, mais la mutualisation multi-référentiels permet systématiquement une réduction de 30 à 50% par rapport à des approches séparées. Cette économie justifie l'effort de planification initiale et confirme l'intérêt d'une stratégie intégrée dès le début de la démarche.