ReCyF: el referencial cibernético de la ANSSI para los MSP

Un cliente le pregunta si es «conforme al ReCyF». Usted busca la respuesta y no encuentra casi nada: ninguna página divulgativa, ningún artículo que explique con claridad de qué se trata. Es normal — el documento solo existe desde hace unos meses y todavía no tiene estatuto definitivo. Esto es lo que conviene saber antes de responder a ese cliente.

¿Qué es el ReCyF y quién lo publica?#

El ReCyF (Référentiel Cyber France) es el referencial de seguridad digital publicado por la ANSSI francesa para estructurar la puesta en conformidad de las entidades incluidas en el ámbito de la directiva NIS2. La versión en vigor, la v2.5, publicada el 17 de marzo de 2026, define 20 objetivos de seguridad cuyo nivel de exigencia varía según que la entidad esté clasificada como «entidad importante» (EI) o «entidad esencial» (EE) en el sentido de la directiva NIS2.

No es un texto de alcance general dirigido a todas las pymes: es la herramienta que la ANSSI construye para evaluar a las entidades sujetas a la supervisión NIS2, una vez concluida la transposición francesa.

¿En qué se diferencia el ReCyF de la guía de las 42 medidas de higiene informática?#

La guía de higiene informática de la ANSSI es una base de buenas prácticas genérica, aplicable a cualquier organización, sin vínculo formal con un régimen normativo concreto. El ReCyF, en cambio, se ha construido específicamente para apoyar la supervisión NIS2: cubre familias de medidas próximas — gobernanza, protección técnica, detección, resiliencia — pero las organiza en objetivos evaluables, con una distinción explícita entre lo que se exige a toda entidad cubierta y lo que solo se exige a las entidades esenciales.

En concreto, la guía de higiene responde a «¿qué buenas prácticas aplicar?». El ReCyF responde a «¿qué va a comprobar el regulador, y a qué nivel, según mi categoría NIS2?». Un cliente puede seguir la primera sin verse nunca afectado por el segundo — pero si entra en el perímetro NIS2, es el segundo el que cuenta para su puesta en conformidad.

¿Qué relación hay entre el ReCyF y la ISO 27001?#

Ambos cubren un terreno próximo — gobernanza de la seguridad, gestión de accesos, continuidad de la actividad — sin tener ni la misma finalidad ni la misma estructura. ISO/IEC 27001:2022 es una norma de certificación internacional, organizada en torno a un sistema de gestión de la seguridad de la información (SGSI) y a 93 controles del Anexo A repartidos en cuatro temas: organizativos, de personas, físicos y tecnológicos. Una organización se conforma a ella voluntariamente y puede hacer certificar su conformidad por un organismo acreditado.

El ReCyF no es una norma de certificación: es un referencial de supervisión normativa, propio de Francia, sin mecanismo de certificación previsto por el momento. Una entidad ya estructurada en torno a la ISO 27001 cubre de hecho buena parte de los objetivos del ReCyF — pero los dos referenciales no se solapan término a término, y presentar uno como un simple subconjunto del otro simplifica en exceso. La tabla de correspondencia ReCyF, NIS2 e ISO 27001 acerca los 20 objetivos a los controles del Anexo A, y muestra dónde se detiene ese acercamiento.

¿Cuáles son los 20 objetivos del ReCyF y cómo se reparten?#

El ReCyF ordena sus 20 objetivos en cuatro pilares: Gobernanza, Protección, Defensa y Resiliencia. El reparto no es secuencial — los objetivos 16 a 20, reservados a las entidades esenciales, están repartidos entre los cuatro pilares en lugar de agrupados aparte:

• Gobernanza (6 objetivos): Inventario de los sistemas de información (1); Implantación de una gobernanza de la seguridad digital (2); Dominio del ecosistema (3); Integración de la seguridad digital en la gestión de personas (4); Adopción de un enfoque basado en el riesgo (16, solo EE); Auditoría de la seguridad de los sistemas de información (17, solo EE).
• Protección (9 objetivos): Dominio de los sistemas de información (5); Control del acceso físico a los locales (6); Seguridad de la arquitectura de los sistemas de información (7); Seguridad de los accesos remotos a los sistemas de información (8); Protección de los sistemas de información frente al código malicioso (9); Gestión de las identidades y de los accesos de los usuarios (10); Dominio de la administración de los sistemas de información (11); Seguridad de la configuración de los activos (18, solo EE); Administración desde recursos dedicados (19, solo EE).
• Defensa (2 objetivos): Identificación de los incidentes de seguridad y reacción ante ellos (12); Supervisión de la seguridad de los sistemas de información (20, solo EE).
• Resiliencia (3 objetivos): Continuidad y recuperación de la actividad (13); Respuesta a las crisis de origen cibernético (14); Ejercicios, pruebas y entrenamientos (15).

Los 15 primeros objetivos (sin contar del 16 al 20) forman la base común, aplicable a toda entidad cubierta por NIS2, importante o esencial. Los objetivos 16 a 20 solo se añaden para las entidades esenciales.

Un punto que las herramientas de diagnóstico suelen omitir: el ReCyF no define ninguna escala de madurez. Para cada objetivo, la ANSSI publica «medios aceptables de conformidad» — la medida se considera alcanzada o no alcanzada, sin puntuación intermedia oficial. Cualquier escala del tipo «nivel 0 a 4» que vea en una herramienta de diagnóstico es un instrumento de dirección que ha añadido el proveedor, no una exigencia de la ANSSI. Útil para priorizar un plan de acción, pero que nunca debe presentarse a un cliente como una nota emitida por la ANSSI.

¿Cómo lleva un MSP una evaluación ReCyF en la práctica?#

Primero, calificar al cliente a efectos de NIS2: sector de actividad (anexos I y II de la directiva) y plantilla, para determinar si queda fuera del perímetro, si es entidad importante o entidad esencial — y, por tanto, qué objetivos se aplican. Después, empezar sistemáticamente por el objetivo 1, el inventario de los sistemas de información: sin ese inventario, todos los objetivos siguientes descansan sobre suposiciones en lugar de sobre hechos comprobados.

Luego, recorrer los objetivos aplicables uno a uno, recogiendo las pruebas que acreditan — o no — el cumplimiento de los medios de conformidad: política documentada, configuración técnica verificable, registro de incidentes, resultado de una prueba de restauración. Es un ejercicio de recogida de pruebas, no un cuestionario declarativo: un cliente que responde «sí» sin una prueba asociada no ha hecho avanzar su expediente NIS2 ni un paso.

¿Es el ReCyF ya una norma definitiva?#

No. La portada del documento publicado el 17 de marzo de 2026 lleva, bajo el número de versión, la mención «VERSION DE TRAVAIL» (versión de trabajo). El referencial se inscribe expresamente en el marco de la transposición nacional de NIS2 — es el propio título del documento — y su contenido puede, por tanto, seguir evolucionando.

Esto tiene una consecuencia comercial directa: el objetivo se conoce, la fecha del examen no. Un MSP puede desde ya ayudar a sus clientes a organizarse en torno a los 20 objetivos — inventario, gobernanza, gestión de identidades, plan de continuidad — sin poder prometer una fecha de puesta en conformidad ni un estatuto certificado. Ante un cliente que pregunta en qué punto está, la formulación más honesta sigue siendo «preparación para el ReCyF», no «conformidad con el ReCyF»: el referencial para el que se prepara todavía puede cambiar antes de su versión final.

---

Vigicap construye su diagnóstico directamente sobre el ReCyF oficial — los 20 objetivos, la distinción EI/EE, la correspondencia con la ISO 27001 — y muestra esa reserva de «versión de trabajo» en lugar de vender una conformidad que todavía no existe.