Francuska ustawa NIS2 nadchodzi: co oznacza framework ReCyF ANSSI dla dostawców IT i MSP

Francja jest gotowa włączyć przełącznik NIS2 — a harmonogram jest napięty.

Francuski parlament ma głosować nad ustawą o odporności infrastruktury krytycznej i wzmocnieniu cyberbezpieczeństwa w lipcu 2026 roku. Po uchwaleniu ustawa obejmie formalnymi obowiązkami NIS2 około 15 000 podmiotów — dziesięciokrotny wzrost w stosunku do ~500 organizacji regulowanych na podstawie poprzedniego francuskiego frameworku NIS1. Dla konsultantów IT, MSP i vCISO obsługujących francuskich klientów lub dostarczających do organizacji regulowanych we Francji, okno na wyprzedzające działania szybko się zamyka.

Oto co się zmieniło, co opublikował ANSSI i co oznacza to dla Twojej pracy.

Francja Była Spóźniona — Ale Teraz Działa Szybko

Francja nie dotrzymała terminu UE z października 2024 roku na transpozycję NIS2, dołączając do 18 innych państw członkowskich formalnie ostrzeżonych przez Komisję Europejską. Proces legislacyjny przebiegał wolniej niż oczekiwano, częściowo z powodu niestabilności politycznej i złożoności istniejącego francuskiego frameworku dla infrastruktury krytycznej, znanego jako reżim SAIV.

To opóźnienie nie jest już powodem do czekania. W marcu 2026 roku ANSSI — Agence Nationale de la Sécurité des Systèmes d'Information, krajowy organ cyberbezpieczeństwa Francji — opublikował Référentiel Cyber France (ReCyF v2.5). To framework 152 środków bezpieczeństwa, który definiuje, jak wygląda zgodność NIS2 w praktyce na mocy prawa francuskiego. Podmioty nie potrzebują ostatecznej ustawy, aby zacząć go używać. ReCyF jest aktywny, ANSSI już kieruje organizacje w jego stronę, a audytorzy będą go używać jako punktu odniesienia.

Co Faktycznie Obejmuje ReCyF

ReCyF organizuje 152 środki bezpieczeństwa w 20 celach bezpieczeństwa. Zarówno Ważne Podmioty (EI), jak i Kluczowe Podmioty (EE) podlegają celom od 1 do 15, obejmującym podstawy cyberbezpieczeństwa:

• Inwentaryzacja i klasyfikacja zasobów
• Zarządzanie, odpowiedzialność i polityka bezpieczeństwa na poziomie zarządu
• Kontrola dostępu, zarządzanie tożsamością i zarządzanie uprawnieniami
• Ochrona techniczna — rytm łatania, wzmacnianie konfiguracji, kontrole punktów końcowych
• Zarządzanie kryzysowe, reagowanie na incydenty i ciągłość działania

Kluczowe podmioty muszą dodatkowo spełniać wymagania celów 16–20. Jeśli doradzasz francuskiemu podmiotowi w zakresie gotowości NIS2, ReCyF jest Twoim dokumentem roboczym.

Kto Jest Objęty Zakresem

Francuska ustawa podzieli podmioty na dwie kategorie — Kluczowe Podmioty (EE) i Ważne Podmioty (EI). W Załączniku II (Ważne Podmioty) znalazły się m.in.:

• Dostawcy usług zarządzanych i zarządzanych usług bezpieczeństwa IT
• Usługi pocztowe i kurierskie
• Gospodarka odpadami
• Produkcja wyrobów medycznych, elektroniki, maszyn i pojazdów silnikowych
• Platformy cyfrowe i wyszukiwarki

Dla MSP i konsultantów IT działających we Francji lub obsługujących regulowanych klientów francuskich: Twoi klienci są objęci zakresem. Jesteś krytycznym węzłem w ich łańcuchu zgodności.

Francja przechodzi od ok. 500 regulowanych podmiotów do ok. 15 000. Zdecydowana większość to Ważne Podmioty w sektorach, które nigdy wcześniej nie stykały się z obowiązkowymi audytami cyberbezpieczeństwa.

Harmonogram Egzekwowania

• Lipiec 2026: Ustawa uchwalona, wchodzi w życie
• IV kwartał 2026: ANSSI rozpoczyna formalne nadzorowanie i rejestrację podmiotów za pośrednictwem platformy MesServicesCyber
• 2027: Regularne cykle audytowe zaczynają się dla kluczowych podmiotów; 24-godzinne okno wstępnego zgłaszania incydentów i 72-godzinne okno pełnej oceny stają się ściśle egzekwowalne
• Od 2027: Obowiązują kary — do €10 mln lub 2% globalnych rocznych obrotów dla kluczowych podmiotów, €7 mln lub 1,4% dla ważnych podmiotów

Co Zrobić Teraz

Zmapuj swoją bazę klientów według Załączników I i II NIS2. Zidentyfikuj, którzy klienci prawdopodobnie wpadają w zakres.

Pobierz ReCyF. Przejrzyj 152 środki w porównaniu z aktualną ofertą usług i zidentyfikuj luki.

Przeprowadź analizę luk teraz. ReCyF jest operacyjnym frameworkiem, którego ANSSI użyje do oceny zgodności. Nie czekaj na ustawę. Zobacz też nasz przewodnik krok po kroku dotyczący analizy luk NIS2.

Przejrzyj własne obowiązki. Jako MSP możesz bezpośrednio podlegać kategorii Ważnych Podmiotów — nie tylko pośrednio przez klientów.

Wyprzedź język umów. Francuscy klienci podlegający NIS2 będą musieli przekazywać wymagania cyberbezpieczeństwa swoim dostawcom.

Aby szybko ocenić postawę zgodności klientów, użyj szybkiego skanu NIS2 na NIS2Certify.

Podsumowanie

Francuska ustawa NIS2 jest o tygodnie od uchwalenia. ANSSI opublikował już swój operacyjny framework składający się ze 152 środków i zbudował infrastrukturę rejestracyjną. Dla konsultantów IT i MSP kierunek jest jasny: zmapować zakres, przeprowadzić analizy luk na podstawie ReCyF i wyprzedzić wymagania łańcucha dostaw, zanim francuscy klienci zaczną prosić o dowody.

Czekanie na ostateczną ustawę przed rozpoczęciem pracy to zła decyzja. Framework jest aktywny. Harmonogram jest ustalony. Praca zaczyna się teraz.