Ariovis

Cas d’usage · France · NIS2 et ReCyF

NIS2 en France : du ReCyF aux contrôles IAM vérifiables

NIS2 ne se résume pas à l’IAM. La gestion des identités et des accès constitue cependant un périmètre sur lequel les organisations peuvent transformer rapidement des principes de sécurité en contrôles concrets : savoir qui dispose d’un compte, pourquoi il existe, comment son titulaire s’authentifie, ce qu’il peut faire, comment ses droits évoluent et à quel moment ils sont retirés.

En France, la transposition nationale de NIS2 reste en cours au 18 octobre 2026. L’ANSSI a néanmoins rendu public le Référentiel Cyber France (ReCyF) et des fiches pratiques qui permettent de préparer dès maintenant des dispositifs de sécurité cohérents. Sur le périmètre IAM, l’enjeu consiste à transformer ces objectifs en processus exploitables et en preuves vérifiables, sans confondre préparation et obligation réglementaire déjà entrée en vigueur.

NIS2 en France : quelles obligations sont déjà applicables ?

La directive européenne NIS2, adoptée en décembre 2022, devait être transposée par les États membres au plus tard le 17 octobre 2024. Cette date correspond à une échéance imposée aux États membres : elle ne signifie pas que toutes les nouvelles obligations nationales ont automatiquement pris effet pour chaque organisation française à cette date.

Au 18 octobre 2026, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, souvent appelé projet de loi Résilience, poursuit son parcours parlementaire. La transposition française n’est donc pas encore achevée. Les conditions précises d’application des nouvelles obligations nationales, leurs modalités de contrôle et leurs éventuelles périodes transitoires doivent être appréciées à partir des textes définitivement adoptés.

Cette situation ne signifie pas que les organisations françaises ne sont soumises à aucune obligation de cybersécurité. Les dispositifs préexistants, notamment ceux applicables à certaines entités déjà réglementées, continuent de produire leurs effets. Par ailleurs, le règlement d’exécution (UE) 2024/2690 fixe directement des exigences techniques et méthodologiques pour certaines catégories d’acteurs numériques qu’il vise, notamment des fournisseurs de services cloud, de centres de données, de services gérés et de services de sécurité gérés. Son champ d’application doit être examiné séparément de la transposition générale française.

L’ANSSI a publié le 17 mars 2026 la version 2.5 du Référentiel Cyber France, ou ReCyF, en tant que document de travail. Elle le présente comme un référentiel recommandé, non obligatoire par défaut à ce stade, susceptible d’être ajusté au fil des évolutions législatives et réglementaires. Les fiches pratiques publiées en septembre 2026 permettent d’en comprendre certains objectifs et d’en préparer la mise en œuvre.

Pour une organisation potentiellement concernée, le bon réflexe consiste donc à qualifier son périmètre réglementaire, à conserver une veille sur les textes applicables et à engager les mesures de sécurité justifiées par les risques. Les travaux sur les identités et les accès sont particulièrement utiles : ils permettent de sécuriser des situations concrètes tout en préparant les preuves nécessaires à de futurs contrôles.

Repères chronologiques

  1. Échéance européenne de transposition

    Date limite fixée aux États membres pour transposer NIS2. Elle ne constitue pas une date universelle de mise en conformité individuelle en France.

  2. Publication du ReCyF version 2.5

    Mise à disposition par l’ANSSI d’un référentiel de travail destiné à accompagner la préparation des mesures de gestion des risques.

  3. Publication des fiches pratiques ReCyF

    Publication par l’ANSSI de ressources techniques, dont la fiche dédiée à la gestion des identités.

  4. Transposition française encore en cours

    Le projet de loi Résilience est toujours en discussion. Les prochaines échéances nationales doivent être confirmées à partir des textes officiels.

L’objectif recherché par l’ANSSI

La fiche « ReCyF en pratique – Gestion des identités » publiée par l’ANSSI en septembre 2026 structure ce périmètre autour de l’objectif de sécurité 10 : gestion des identités et des accès des utilisateurs aux systèmes d’information. Un programme IAM permet d’industrialiser une partie importante de ces mécanismes, à condition de l’articuler avec l’Access Management, les annuaires, la gestion des secrets, la PAM et, pour les identités machines, la PKI.

La fiche vise à empêcher un utilisateur illégitime d’accéder aux ressources du système d’information et à rendre chaque action attribuable sans ambiguïté à un utilisateur ou à un processus automatique. Elle traduit cet objectif en trois fonctions de sécurité, complétées par la traçabilité.

Le cycle de vie traverse l’ensemble : dès qu’un compte n’a plus de raison d’exister, son accès doit pouvoir être neutralisé rapidement et ses droits retirés. La fiche précise qu’elle ne remplace pas le ReCyF, n’est ni prescriptive ni exhaustive ; elle explicite les effets recherchés et propose des exemples de mise en œuvre.

  1. 01

    Identifier

  2. 02

    Authentifier

  3. 03

    Autoriser

  4. 04

    Tracer

Le cycle de vie relie ces quatre fonctions, de la création à la désactivation.

Du ReCyF au chantier IAM

La matrice relie les mesures de l’objectif 10 à des mécanismes et à des preuves possibles. Elle ne constitue ni une lecture exhaustive de NIS2, ni une prescription d’architecture.

  • Identification — 10.A.1-EI/EE à 10.A.6-EI/EE

    Effet recherché

    Rattacher chaque accès à une identité humaine ou à un processus automatique clairement identifié.

    Mécanisme IAM

    Référentiel d’identités, identifiants uniques, comptes techniques avec propriétaire, rapprochement identité / compte et cycle de vie.

    Briques complémentaires

    Annuaire, journalisation et PAM lorsque nécessaire.

    Preuves opérationnelles possibles

    Inventaire des identités et comptes, propriétaires des comptes techniques, historique des créations et désactivations.

  • Authentification — 10.B.1-EI/EE à 10.B.6-EI/EE et 10.B.7-EE

    Effet recherché

    Adapter le niveau d’authentification au risque et maîtriser les secrets.

    Mécanisme IAM

    Articulation de l’identité avec la politique d’accès.

    Briques complémentaires

    IdP / Access Management, MFA, fédération, coffre de secrets et PAM.

    Preuves opérationnelles possibles

    Couverture MFA, politiques d’authentification, règles par population, traces d’administration et de modification.

  • Droits d’accès — 10.C.1-EI/EE à 10.C.4-EI/EE

    Effet recherché

    Limiter les accès au besoin réel et les maintenir cohérents dans le temps.

    Mécanisme IAM

    Rôles, règles d’habilitation, demandes, validations, provisioning, recertification, révocation et déprovisioning.

    Briques complémentaires

    Applications, annuaires et autorisation fine lorsque la décision dépend du contexte.

    Preuves opérationnelles possibles

    Catalogue des droits, propriétaires, campagnes de revue, décisions de certification et historique des révocations.

Le SSO simplifie l’authentification ; il ne remplace pas la gouvernance des autorisations. Une personne authentifiée ne doit pas automatiquement pouvoir accéder à toutes les ressources fédérées.

Comparer les contrôles IAM du ReCyF aux autres référentiels

Les mesures françaises de gestion des identités et des accès poursuivent des objectifs que l'on retrouve également dans CyberFundamentals et ISO 27001. Les mécanismes opérationnels peuvent être réutilisés, mais les exigences et modalités d'évaluation doivent être examinées séparément. Cette comparaison permet d'identifier les rapprochements utiles sans les présenter comme des équivalences réglementaires.

Référence éditoriale : 19 octobre 2026 · Rapprochements thématiques et contributions opérationnelles

Identités et cycle de vieReCyF v2.510.A.1, 10.A.2, 10.A.5, 10.A.6

Identifier les utilisateurs, les services et leurs comptes

Problème traité
Une personne quitte l'organisation, change de poste ou perd la responsabilité d'un service, mais les comptes et droits qui lui étaient associés demeurent actifs. À l'inverse, certains comptes techniques existent sans propriétaire ou usage clairement identifié.
Effet recherché
Relier chaque compte à une identité ou à un processus autorisé, puis maîtriser son cycle de vie jusqu'à sa désactivation.

ReCyF — version de travail 2.5

  • 10.A.1-EI/EE

    Comptes individuels pour les utilisateurs et les processus automatiques.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.2-EI/EE

    Utilisation des comptes individuels réservée à leur titulaire.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.5-EI/EE

    Désactivation des comptes devenus inutiles dans les délais définis par la politique de gestion des comptes.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.6-EI/EE

    Revue des comptes au moins annuelle, avec correction des anomalies.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-01.1 — Basic

    Gestion des identités et informations d'authentification des utilisateurs, services et équipements autorisés.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.5.16

    Gestion des identités.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.5.18

    Droits d'accès, notamment leur gestion et leur révision.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

La gouvernance commence par la capacité à distinguer une personne, une identité, un compte et une habilitation. Un système IAM peut rapprocher ces objets à partir de sources de référence et orchestrer les événements d'arrivée, de mobilité et de départ. Il doit aussi traiter les comptes techniques, dont la légitimité dépend d'un usage et d'un propriétaire, même lorsqu'aucune personne ne les utilise directement.

L'automatisation n'a de valeur que si les événements sont fiables et si les systèmes cibles exécutent réellement les décisions. Une source RH erronée ou un compte sans correspondance peut sinon produire une fausse impression de maîtrise.

Mécanismes IAM

  • Référentiel d'identités.
  • Corrélation identité / compte.
  • Sources RH ou autres sources autoritatives.
  • Processus Joiner / Mover / Leaver.
  • Provisioning.
  • Déprovisioning.
  • Reconciliation et contrôle des écarts.

Preuves possibles

  • Inventaire des comptes actifs.
  • Rattachement à une identité ou à un processus.
  • Propriétaire des comptes techniques.
  • Historique des créations et désactivations.
  • Traces des événements de départ.
  • Liste des écarts non résolus.
  • Résultats des revues de comptes.
Responsabilités types
Référentiel RH, responsable IAM, propriétaires des comptes ou applications, exploitation.
Indicateur possible
Part des comptes actifs dont le propriétaire ou l'identité de rattachement est identifié.

Nature et limites des rapprochements

objectif proche de gestion des identités, mais sans identité démontrée des modalités de cycle de vie ou de périodicité.

Correspondance thématique, selon l'applicabilité définie dans le SMSI.

L'automatisation n'a de valeur que si les événements sont fiables et si les systèmes cibles exécutent réellement les décisions. Une source RH erronée ou un compte sans correspondance peut sinon produire une fausse impression de maîtrise.

Approfondir : Identités et cycle de vie

Approfondissement technique dans le contexte du ReCyF français.

Authentification et secretsReCyF v2.510.B.1 à 10.B.6 ; 10.B.7-EE pour l'exception

Authentifier avec des mécanismes adaptés au risque

Problème traité
Une organisation possède une politique d'authentification, mais ne sait pas précisément quels accès sont protégés, comment les exceptions sont gérées ou à quel moment les secrets doivent être remplacés.
Effet recherché
Maîtriser les mécanismes d'authentification, leur couverture, la gestion des secrets et les exceptions documentées.

ReCyF — version de travail 2.5

  • 10.B.1-EI/EE

    Mécanisme d'authentification utilisant au moins un élément secret.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.2-EI/EE

    Modification des secrets configurés par défaut avant mise en service.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Le texte prévoit aussi de s'assurer auprès du fournisseur des moyens et droits nécessaires au changement.

    Version de travail 2.5 du 17 mars 2026

  • 10.B.3-EI/EE

    Renouvellement de l'élément secret d'un compte partagé lorsqu'un utilisateur de ce compte est retiré.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.4-EI/EE

    Connaissance des éléments secrets réservée aux utilisateurs autorisés.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.5-EI/EE

    Respect des recommandations applicables aux facteurs d'authentification et à leur gestion.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Le texte vise la complexité et la fréquence de renouvellement selon les recommandations ANSSI, compte tenu du maximum techniquement permis.

    Version de travail 2.5 du 17 mars 2026

  • 10.B.6-EI/EE

    Mesures de réduction du risque lorsqu'un élément secret ne peut pas être modifié pour des raisons techniques ou opérationnelles.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Cette exception exige un contrôle d'accès approprié et une réduction du risque lié au secret fixe ; la traçabilité supplémentaire relève de 10.B.7-EE.

    Version de travail 2.5 du 17 mars 2026

  • 10.B.7-EE

    Traçabilité supplémentaire dans le cadre de l'exception prévue au contrôle précédent, pour les entités essentielles.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-03.2 — Basic

    MFA requis pour accéder à distance aux réseaux de l'organisation.

    Rapprochement thématique · Vérification documentaire à confirmer

    Portée du brief à confirmer dans le livret Basic : l'annexe Key Measures indexée emploie une formulation différente pour 2025. Le livret détaillé n'a pas pu être lu (HTTP 403).

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.5.17

    Informations d'authentification.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.5

    Authentification sécurisée.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

Une politique d'authentification ne se mesure pas uniquement à l'existence d'un MFA. Elle doit permettre de comprendre quels parcours sont protégés, quels mécanismes sont utilisés, comment les exceptions sont autorisées et comment les informations d'authentification sont administrées. Les secrets techniques et les accès partagés nécessitent également un traitement adapté à leurs usages réels.

L'IGA gouverne les identités et les droits associés, tandis que l'Access Management applique les politiques d'authentification. Les solutions de gestion des secrets et de PAM interviennent lorsque les comptes et les opérations concernés nécessitent des contrôles supplémentaires.

Mécanismes IAM

  • IdP et Access Management.
  • MFA.
  • Fédération.
  • Politiques d'authentification.
  • Gestion des exceptions.
  • Coffres de secrets.
  • Rotation des secrets selon les besoins et règles applicables.
  • Journalisation des modifications sensibles.

Preuves possibles

  • Inventaire des parcours d'authentification.
  • Politiques MFA appliquées.
  • Couverture des accès distants concernés.
  • Exceptions autorisées et justifiées.
  • Historique des changements de politique.
  • Traces de rotation des secrets concernés.
Responsabilités types
Responsable Access Management, sécurité, responsables applicatifs et exploitation des secrets.
Indicateur possible
Part des parcours d'accès distants identifiés qui sont effectivement couverts par le MFA prévu.

Nature et limites des rapprochements

cette mesure ne doit pas être présentée comme imposant textuellement le MFA à toutes les applications, pour toutes les connexions et sans distinction de contexte.

Approfondir : Authentification et secrets

Approfondissement technique dans le contexte du ReCyF français.

Droits et recertificationReCyF v2.510.C.1 à 10.C.4

Attribuer, revoir et retirer les droits légitimes

Problème traité
Les droits s'accumulent à mesure que les collaborateurs changent de fonction. Les propriétaires des applications ne disposent pas toujours d'une vision claire des permissions attribuées et les campagnes de revue peuvent rester sans correction effective.
Effet recherché
Maintenir les habilitations au niveau du besoin réel, documenter les décisions et contrôler leur application.

ReCyF — version de travail 2.5

  • 10.C.1-EI/EE

    Droits attribués aux utilisateurs et processus automatiques authentifiés.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.C.2-EI/EE

    Limitation des droits aux ressources nécessaires.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.C.3-EI/EE

    Attribution des droits aux seuls utilisateurs et processus justifiant un besoin sur la ressource.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.C.4-EI/EE

    Revue des droits au moins annuelle, avec correction des anomalies.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-05.1 — Basic

    Définir, gérer, appliquer et revoir les permissions, droits d'accès et autorisations.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

  • PR.AA-05.2 — Basic

    Déterminer les personnes qui ont besoin d'accéder aux informations et technologies critiques.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

  • PR.AA-05.3 — Basic

    Limiter les droits et privilèges aux besoins nécessaires à la réalisation des tâches.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.5.15

    Contrôle d'accès.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.5.18

    Droits d'accès.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.3

    Restriction de l'accès aux informations.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.5.3

    Séparation des tâches, lorsque pertinente pour le contrôle étudié.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

La gouvernance des habilitations exige de relier une décision métier à un droit effectivement présent dans le système. Une demande approuvée, une règle de rôle ou une campagne de recertification ne suffit pas si les autorisations techniques ne sont pas alignées avec le résultat attendu. Le contrôle doit couvrir la légitimité du droit, son attribution, ses éventuelles exceptions et son retrait.

Les modèles de rôles permettent d'industrialiser une partie des décisions. Ils doivent néanmoins rester adaptés à l'organisation et peuvent être complétés par des mécanismes d'autorisation fine lorsque les décisions dépendent de la ressource, de l'action ou du contexte.

Mécanismes IAM

  • Catalogue d'habilitations.
  • Propriétaires des ressources.
  • Rôles métier et techniques.
  • Règles d'attribution.
  • Demandes et validations.
  • Campagnes de recertification.
  • Gestion des exceptions.
  • Révocation.
  • Contrôles d'écart entre droits théoriques et effectifs.

Preuves possibles

  • Matrice des droits.
  • Validation des propriétaires.
  • Historique des demandes.
  • Décisions de recertification.
  • Liste des exceptions.
  • Corrections effectuées.
  • Journal des révocations.
Responsabilités types
Propriétaires métier, responsables applicatifs, responsables IAM et exploitation des droits.
Indicateur possible
Part des décisions de révocation effectivement exécutées et vérifiées dans les systèmes cibles.

Nature et limites des rapprochements

La gouvernance des habilitations exige de relier une décision métier à un droit effectivement présent dans le système. Une demande approuvée, une règle de rôle ou une campagne de recertification ne suffit pas si les autorisations techniques ne sont pas alignées avec le résultat attendu. Le contrôle doit couvrir la légitimité du droit, son attribution, ses éventuelles exceptions et son retrait.

Approfondir : Droits et recertification

Approfondissement technique dans le contexte du ReCyF français.

Comptes partagésReCyF v2.510.A.2, 10.A.3, 10.B.3, 10.B.4, 10.B.6, 10.B.7-EE

Encadrer les comptes partagés et préserver l'imputabilité

Problème traité
Certains systèmes historiques ou contraintes opérationnelles conduisent à l'utilisation de comptes partagés. Sans dispositif adapté, il devient difficile de savoir quelle personne a utilisé le compte, à quel moment et pour quelle opération.
Effet recherché
Limiter les usages partagés, justifier les exceptions et conserver une attribution exploitable des accès concernés.

ReCyF — version de travail 2.5

  • 10.A.2-EI/EE

    Utilisation des comptes individuels réservée à leur titulaire.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.3-EI/EE

    Mesures compensatoires et traçabilité lorsque des contraintes empêchent le recours à des comptes individuels.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.3-EI/EE

    Renouvellement de l'élément secret d'un compte partagé après retrait d'un utilisateur de ce compte.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.4-EI/EE

    Protection de la connaissance des secrets.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.6-EI/EE

    Exception relative aux secrets qui ne peuvent pas être modifiés, avec exigence supplémentaire de traçabilité pour les EE dans le cas prévu.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Cette exception exige un contrôle d'accès approprié et une réduction du risque lié au secret fixe ; la traçabilité supplémentaire relève de 10.B.7-EE.

    Version de travail 2.5 du 17 mars 2026

  • 10.B.7-EE

    Exception relative aux secrets qui ne peuvent pas être modifiés, avec exigence supplémentaire de traçabilité pour les EE dans le cas prévu.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

ISO/IEC 27001:2022

  • A.5.16

    Gestion des identités.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.5.17

    Informations d'authentification.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.15

    Journalisation.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

La traçabilité d'un compte partagé ne se résume pas à la conservation de ses journaux techniques. Elle suppose de pouvoir comprendre les conditions dans lesquelles le compte a été utilisé et de rattacher son usage à une personne ou à une opération autorisée. Lorsque les comptes individuels ne sont pas possibles, il faut donc documenter l'exception, définir les mesures compensatoires et vérifier qu'elles restent opérationnelles.

La gestion des secrets, le contrôle des sessions et les procédures d'exploitation peuvent contribuer à cette maîtrise. Aucun de ces mécanismes ne doit être présenté comme une autorisation générale de partager des comptes sans justification.

Mécanismes IAM

  • Inventaire des comptes partagés.
  • Justification des exceptions.
  • Désignation des responsables.
  • Gestion des secrets.
  • Rotation à la révocation d'un utilisateur concerné.
  • Contrôle d'accès.
  • Traçabilité des usages.
  • Révision des exceptions.

Preuves possibles

  • Registre des comptes partagés.
  • Justification technique ou opérationnelle.
  • Liste des utilisateurs autorisés.
  • Traces de rotation.
  • Journaux pertinents.
  • Résultats des contrôles périodiques.
  • Décisions de maintien ou de suppression des exceptions.
Responsabilités types
Propriétaire du système, responsable sécurité, responsable PAM ou secrets, exploitation.
Indicateur possible
Part des comptes partagés identifiés disposant d'une exception justifiée et d'un dispositif de traçabilité documenté.

Nature et limites des rapprochements

Ces mesures constituent des points d'appui thématiques. Elles ne doivent pas être présentées comme une transposition textuelle des exceptions aux comptes partagés prévues par le ReCyF.

Correspondances thématiques, à apprécier selon le périmètre et les contrôles retenus.

Approfondir : Comptes partagés

Approfondissement technique dans le contexte du ReCyF français.

Annuaires et privilègesReCyF v2.511.A.1, 11.A.3, 11.A.4-EE, 11.B.1, 11.B.2-EE, 11.B.6-EE

Sécuriser les annuaires et les chemins d'administration

Problème traité
Une organisation dispose d'une gouvernance IAM, mais certains groupes, délégations, comptes administratifs et mécanismes hérités dans ses annuaires permettent encore des accès excessifs ou des escalades de privilèges.
Effet recherché
Articuler la gouvernance IAM avec la sécurité technique des annuaires et la maîtrise des droits d'administration.

ReCyF — version de travail 2.5

  • 11.A.1-EI/EE

    Séparation des comptes d'administration et de leur usage.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    L'administration se fait exclusivement via des comptes d'administration, eux-mêmes réservés exclusivement à ces actions.

    Version de travail 2.5 du 17 mars 2026

  • 11.A.3-EI/EE

    Application des règles de gestion des identités aux comptes d'administration.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Les règles concernent les identités et les accès des comptes d'administration.

    Version de travail 2.5 du 17 mars 2026

  • 11.A.4-EE

    Usage des comptes d'administration limité aux ressources et opérations d'administration prévues.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Connexion aux ressources administrées pour les administrer, ou à une ressource d'administration.

    Version de travail 2.5 du 17 mars 2026

  • 11.B.1-EI/EE

    Application des correctifs de sécurité sur les annuaires concernés.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Les correctifs doivent être appliqués sans retard injustifié.

    Version de travail 2.5 du 17 mars 2026

  • 11.B.2-EE

    Identification des ressources constituant le cœur de confiance de chaque annuaire.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Le cœur de confiance comprend l'annuaire et les ressources permettant de l'héberger ou d'en prendre le contrôle.

    Version de travail 2.5 du 17 mars 2026

  • 11.B.6-EE

    Revue annuelle de la configuration des annuaires.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    La revue vise les éléments inutiles ou anormaux ; un outil automatisé est recommandé, non imposé par cette ligne.

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-05.1 — Basic

    Gestion et revue des droits.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

  • PR.AA-05.4 — Basic

    Absence de privilèges administratifs pour les tâches courantes.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

  • ID.AM-08.2 — Basic

    Installation des correctifs et mises à jour de sécurité sur les systèmes et composants critiques concernés.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.8.2

    Droits d'accès privilégiés.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.9

    Gestion des configurations.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.15

    Journalisation.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

La sécurité des annuaires ne découle pas automatiquement de la gouvernance des habilitations. L'IGA peut contrôler l'attribution de groupes et de droits, mais la protection d'Active Directory ou de LDAP nécessite aussi une analyse des délégations, des comptes sensibles, des configurations et des chemins permettant d'atteindre les ressources critiques. Les corrections doivent être priorisées selon les risques plutôt que limitées à un inventaire de comptes administratifs.

Le PAM intervient sur certains usages privilégiés, mais la réduction des privilèges permanents et la sécurisation du cœur de confiance exigent également des décisions d'architecture, de configuration et d'exploitation. Un bastion ne suffit pas à supprimer les chemins d'attaque présents dans l'annuaire.

Mécanismes IAM

  • Revue des comptes administratifs.
  • Analyse des groupes sensibles.
  • Séparation des usages administratifs.
  • Analyse des délégations.
  • Réduction des privilèges.
  • Contrôle des chemins d'attaque.
  • Revue de configuration des annuaires.
  • Gestion des correctifs.
  • Journalisation des changements critiques.

Preuves possibles

  • Inventaire des comptes et groupes privilégiés.
  • Justification des droits sensibles.
  • Cartographie des chemins d'attaque.
  • Historique des remédiations.
  • Rapports de revue de configuration.
  • Suivi des correctifs.
  • Journaux de changements privilégiés.
Responsabilités types
Équipe annuaire, architecte IAM, sécurité des identités, responsable PAM et exploitation.
Indicateur possible
Nombre de chemins d'attaque critiques identifiés puis supprimés ou maîtrisés selon un périmètre documenté.

Nature et limites des rapprochements

Ces références ne constituent pas une description exhaustive du durcissement d'Active Directory ni une équivalence aux exigences françaises sur le cœur de confiance.

Approfondir : Annuaires et privilèges

Approfondissement technique dans le contexte du ReCyF français.

Identités machines et certificatsReCyF v2.510.A.1, 10.A.5, 10.B.1, 10.B.2

Gouverner les identités machines et leurs mécanismes de confiance

Problème traité
Une organisation connaît les comptes de ses collaborateurs, mais maîtrise insuffisamment les identités des applications, équipements et processus automatiques. Certains certificats, secrets ou comptes techniques persistent sans propriétaire identifié ni cycle de vie documenté.
Effet recherché
Relier les identités techniques à leurs usages et contrôler les moyens cryptographiques associés lorsque ceux-ci sont utilisés.

ReCyF — version de travail 2.5

  • 10.A.1-EI/EE

    Identification individuelle des utilisateurs et processus automatiques accédant aux ressources.

    Contribution opérationnelle · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.5-EI/EE

    Désactivation des comptes devenus inutiles.

    Contribution opérationnelle · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.1-EI/EE

    Mécanismes d'authentification des utilisateurs et processus automatiques.

    Contribution opérationnelle · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.2-EI/EE

    Changement des éléments secrets configurés par défaut.

    Contribution opérationnelle · Identifiant et applicabilité vérifiés dans le document officiel

    Le texte prévoit aussi de s'assurer auprès du fournisseur des moyens et droits nécessaires au changement.

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-01.1 — Basic

    Gestion des identités et informations d'authentification des utilisateurs, services et équipements.

    Contribution opérationnelle · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.5.16

    Gestion des identités.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.24

    Utilisation de la cryptographie.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

Une identité machine ne se résume pas à un compte de service. Elle peut être portée par un certificat, une clé, un jeton, un compte applicatif ou plusieurs mécanismes combinés. L'organisation doit distinguer la légitimité de cette identité, les ressources qu'elle peut atteindre et les moyens techniques permettant de l'authentifier.

L'IAM peut gouverner les propriétaires, les usages et les habilitations de ces identités. La PKI assure la gestion des certificats et des mécanismes cryptographiques correspondants. La maîtrise du risque exige une articulation entre ces responsabilités, notamment lorsqu'une application est abandonnée, qu'un certificat expire ou qu'un secret doit être révoqué.

Mécanismes IAM

  • Inventaire des identités machines.
  • Identification des propriétaires.
  • Gestion des comptes de service.
  • Cycle de vie des identités techniques.
  • Inventaire des certificats concernés.
  • Attribution et retrait des droits.
  • Émission, renouvellement et révocation des certificats par les dispositifs appropriés.
  • Contrôle des secrets et clés associés.

Preuves possibles

  • Inventaire des identités non humaines.
  • Propriétaire et usage documentés.
  • Références des comptes ou certificats associés.
  • Dates de validité et renouvellement.
  • Historique des révocations.
  • Résultats des revues de droits.
  • Traitement des identités devenues inutiles.
Responsabilités types
Responsables applicatifs, équipe IAM, équipe PKI, exploitation et sécurité.
Indicateur possible
Part des identités techniques critiques disposant d'un propriétaire et d'un mécanisme de renouvellement ou de révocation documenté.

Nature et limites des rapprochements

Aucune des références citées ne doit être présentée comme imposant systématiquement le déploiement d'une PKI complète pour l'ensemble des organisations.

Les certificats constituent un mécanisme technique possible pour certains usages. Leur gestion dépend des besoins d'authentification, de confiance et de cryptographie concernés.

Approfondir : Identités machines et certificats

Approfondissement technique dans le contexte du ReCyF français.

Ce qu’un IAM peut automatiser

Une source RH ou un autre référentiel autoritatif peut déclencher les événements Joiner / Mover / Leaver. À l’arrivée, l’IAM crée l’identité, applique les règles d’habilitation et provisionne les comptes nécessaires. Lors d’une mobilité, il recalcule les droits à partir de la nouvelle situation et retire les habilitations devenues inutiles.

Au départ, ou lors d’une absence qui nécessite la suspension des accès, le processus peut déclencher la désactivation des comptes et la suppression des habilitations selon les règles établies. Les campagnes de recertification comparent ensuite périodiquement les droits détenus au besoin théorique à jour.

Cette automatisation n’est fiable que si les sources, les propriétaires, les règles et les responsabilités sont définis. Automatiser une donnée ambiguë ou une règle sans responsable accélère surtout la propagation des erreurs.

Ce que l’IAM ne fait pas seul

Une plateforme IGA ne remplace ni un fournisseur d’identité ni un mécanisme MFA. Un IdP ne gouverne pas à lui seul les habilitations. Un PAM ne prend pas en charge tout le cycle de vie des identités. Un IAM ne durcit pas à lui seul Active Directory et ne remplace pas une PKI pour émettre, renouveler ou révoquer des certificats.

Aucune de ces briques ne constitue, isolément ou par simple addition, une conformité NIS2. Leur intérêt vient d’une chaîne cohérente de responsabilités et de contrôles, capable de produire des preuves de maîtrise sur le périmètre des identités et des accès.

  • IGA

    Gouverner les identités, les habilitations et leur cycle de vie.

  • Access Management

    Authentifier et appliquer les politiques sur les parcours d’accès.

  • PAM

    Encadrer certains secrets, comptes et privilèges sensibles.

  • Annuaires

    Porter et exécuter une partie des comptes, groupes et politiques.

  • PKI

    Établir et maintenir la confiance fondée sur les certificats.

  • Journalisation et supervision

    Conserver, corréler et exploiter les traces.

Approfondir les contrôles

Chaque fiche isole un chantier technique et organisationnel, tout en conservant son lien avec l’objectif 10 du ReCyF.

Capacités à mobiliser

Le choix dépend de l’existant et des risques ; ces capacités interviennent à des moments différents de la chaîne de contrôle.

Sources et référentiels

La fiche « ReCyF en pratique – Gestion des identités » constitue la source technique structurante de cette analyse IAM. Le ReCyF et les publications de l’ANSSI permettent de replacer ces mécanismes dans la préparation française à NIS2. Les documents parlementaires et européens sont utilisés séparément pour qualifier le statut juridique des obligations.

Transformer les contrôles IAM du ReCyF en processus vérifiables

Le ReCyF donne un cadre de travail pour examiner la maîtrise des identités et des accès. Sa traduction opérationnelle dépend toutefois des sources de données, des applications, des responsabilités et des mécanismes déjà présents dans l'organisation. Ariovis peut vous aider à identifier les écarts, à prioriser les travaux utiles et à construire une trajectoire IAM qui améliore la sécurité dès maintenant, tout en préparant les éléments de preuve associés aux contrôles.

Cadrer mes contrôles IAM pour le ReCyF
Découvrir notre approche de stratégie IAM