Die Umsetzung der NIS2-Richtlinie in französisches Recht nimmt Gestalt an. Die ANSSI (französische Nationale Agentur für die Sicherheit der Informationssysteme) hat das ReCyF (Référentiel Cyber France) in der Arbeitsversion 2.5 vom 17. März 2026 veröffentlicht. Das Dokument ist an Artikel 14 des Gesetzentwurfs über die Resilienz kritischer Infrastrukturen und die Stärkung der Cybersicherheit geknüpft und definiert 20 Sicherheitsziele mit zulässigen Mitteln zur Erfüllung für die regulierten Einrichtungen.
Zwei Anforderungsstufen je nach Status der Einrichtung
Das ReCyF wendet ein Verhältnismäßigkeitsprinzip an. Wichtige Einrichtungen (EI) und wesentliche Einrichtungen (EE) unterliegen alle den Zielen 1 bis 15, die Governance, Schutz, Abwehr und Resilienz der Informationssysteme abdecken. Wesentliche Einrichtungen unterliegen zusätzlich den Zielen 16 bis 20, die insbesondere einen risikobasierten Ansatz, regelmäßige Sicherheitsaudits, die Härtung von Konfigurationen und eine kontinuierliche Überwachung vorschreiben.
Jedes Sicherheitsziel stellt eine regulatorische Verpflichtung dar. Um sie zu erreichen, schlägt die ANSSI zulässige Mittel zur Erfüllung vor: Diese sind nicht die einzig möglichen, doch Einrichtungen, die sie anwenden, können damit bei einer Prüfung ihre Konformität nachweisen.
Um herauszufinden, ob Ihre Organisation von der Maßnahme betroffen ist, stellt die ANSSI einen Online-Simulator bereit: NIS2-Simulator
Ziele mit direktem Bezug zur mobilen und Anwendungssicherheit
Von den 20 Zielen des ReCyF betreffen mehrere direkt die Sicherheit mobiler Endgeräte und die Anwendungssicherheit, zwei Bereiche, in denen die französischen Lösungen Pradeo und Yagaan, powered by Pradeo, konkrete Antworten liefern.
Ziel 3 – Beherrschung des Ökosystems
Ziel 3 verpflichtet die Einrichtungen, ihr Ökosystem aus IT-Dienstleistern und -Lieferanten zu kartieren und regelmäßig zu überprüfen, ob deren Leistungen den Sicherheitsverpflichtungen entsprechen. Diese Anforderung zur Kontrolle der Software-Lieferkette steht im Mittelpunkt der NIS-2-Richtlinie.
Die Lösung Yagaan Mobile Application Security Testing (MAST) erfüllt diese Anforderung, indem sie die Sicherheit und Konformität mobiler Anwendungen von Dienstleistern, Herausgebern oder Subunternehmern direkt anhand ihres Binärcodes prüft, ohne Zugriff auf den Quellcode.
Pradeo Mobile Threat Intelligence ergänzt diese Kontrolle, indem es das Sicherheitsniveau der in der Organisation genutzten öffentlichen Anwendungen kontinuierlich überwacht.
Ziel 5 – Beherrschung der Informationssysteme
Ziel 5 schreibt einen Prozess zur Aufrechterhaltung des Betriebs- und Sicherheitszustands vor, einschließlich der Aktualisierung der Wissensdatenbanken von Schutzwerkzeugen und einer Überwachung von Schwachstellen. Für wesentliche Einrichtungen verlangt es zudem ein formalisiertes Verfahren zur Aufrechterhaltung des Sicherheitszustands der Softwareressourcen.
Pradeo deckt diese Anforderung für den mobilen Bereich ab: Die Lösung zum Schutz mobiler Flotten aktualisiert ihre Erkennungsregeln automatisch, und die Plattform Pradeo Mobile Threat Intelligence mit ihren Millionen fortlaufend aktualisierter App-Berichte übernimmt die Überwachung von Schwachstellen in mobilen Anwendungen.
Auf Anwendungsseite lässt sich das Static Application Security Testing (SAST) von Yagaan in CI/CD-Pipelines integrieren, um Schwachstellen im Code vor der Inbetriebnahme zu erkennen und zu beheben.
Ziel 8 – Absicherung von Fernzugriffen auf Informationssysteme
Ziel 8 regelt den Zugriff auf Informationssysteme aus Informationssystemen Dritter (Telearbeit, mobiles Arbeiten, Zugriff von einem Mobilgerät). Es schreibt für alle Einrichtungen die Verschlüsselung der Kommunikation vor (VPN, TLS, SSH…) und ergänzt für wesentliche Einrichtungen die Pflicht zur Multi-Faktor-Authentifizierung sowie zur Festplattenverschlüsselung der für den Fernzugriff genutzten mobilen Geräte.
Pradeo Mobile Threat Defense trägt zu dieser Anforderung für den mobilen Vektor bei, indem es Netzwerkangriffe auf Endgeräte erkennt: ungesicherte WLAN-Verbindungen, Man-in-the-Middle-Angriffe, Abfangen von Daten, betrügerische Zugangspunkte. Die Lösung prüft außerdem die Integrität des Geräts (Rooting, Jailbreak, riskante Konfigurationen) vor und während des Zugriffs auf das Informationssystem.
Das Modul Yagaan Runtime Application Self-Protection (RASP) ergänzt diesen Schutz, indem es Geschäftsanwendungen direkt auf dem Gerät absichert und Angriffe in Echtzeit abwehrt, auch offline.
Ziel 9 – Schutz der Informationssysteme vor Schadcode
Ziel 9 schreibt die Einführung von Schutzmechanismen gegen Schadcode auf den Ressourcen der Informationssysteme vor und nennt ausdrücklich mobile Geräte. Es verlangt, dass Endgeräte über Schutz gegen die Ausführung von Schadcode verfügen und Daten aus externen Quellen beim Empfang analysiert werden.
Wichtige Einrichtungen dürfen BYOD zulassen, sofern sie die zugelassenen Geräte festlegen und die Verbindung anderer Geräte verhindern. Wesentliche Einrichtungen müssen BYOD untersagen: Nur von der Einrichtung oder ihrem beauftragten Dienstleister verwaltete Geräte dürfen sich mit dem Informationssystem verbinden.
Pradeo Mobile Threat Defense erfüllt dieses Ziel direkt, indem es Malware, Phishing-Versuche, aufdringliche Anwendungen und Netzwerkangriffe auf Android- und iOS-Geräten in Echtzeit erkennt. Die Lösung ermöglicht es, zugelassene Geräte einfach zu registrieren und zu entfernen.
Für wichtige Einrichtungen, die eine BYOD-Richtlinie beibehalten, geht der Secure Private Store noch weiter: Nur Geräte, auf denen die Anwendung installiert ist, erhalten Zugriff auf die Unternehmensressourcen.
Ziel 12 – Erkennung von und Reaktion auf Sicherheitsvorfälle
Ziel 12 verlangt die Einführung von Mechanismen, mit denen gemeldete Sicherheitsereignisse analysiert und eingestuft werden, um potenzielle oder bestätigte Vorfälle zu erkennen. Es schreibt außerdem die Aufbewahrung technischer Aufzeichnungen vor, einschließlich der Warnungen von Schutzwerkzeugen gegen Schadcode, die als Beweismittel dienen können.
Pradeo Mobile Threat Defense speist diese Fähigkeit direkt, indem es die Sicherheitsereignisse des mobilen Perimeters erzeugt und zentralisiert: Malware-Erkennung, Phishing-Versuche, verdächtige Verbindungen, riskante Anwendungen. Diese Daten tragen zur Einstufung von Vorfällen bei und können über UEM- oder SIEM-Integrationen an bestehende Überwachungswerkzeuge weitergeleitet werden.
Ziel 17 – Audit der Sicherheit der Informationssysteme
Ziel 17 gilt nur für wesentliche Einrichtungen und schreibt Sicherheitsaudits in regelmäßigen Abständen vor. Das ReCyF nennt das Code-Audit ausdrücklich als eine der möglichen Maßnahmen, neben Penetrationstests, Konfigurations-, Architektur- und Organisationsaudits.
Die Lösungen von Yagaan erfüllen dieses Ziel direkt. Die Lösung Static Application Security Testing (SAST) ermöglicht das Audit des Quellcodes von Web- und mobilen Anwendungen, mit Priorisierung der Schwachstellen, weniger Fehlalarmen und kontextbezogener Hilfe bei der Behebung.
Yagaan Mobile Application Security Testing (MAST) ergänzt diesen Ansatz, indem es mobile Anwendungen anhand ihres Binärcodes (Android und iOS) prüft, ohne Zugriff auf den Quellcode, und dabei sowohl interne Anwendungen als auch solche von Drittanbietern abdeckt.
Jetzt vorausplanen
Das ReCyF v2.5 ist noch eine Arbeitsversion, Anpassungen bleiben möglich. Doch die großen Leitlinien stehen fest, und Organisationen sollten ihre Konformität schon jetzt vorbereiten.
Das Rahmenwerk verlangt einen ganzheitlichen Ansatz, der sich auf vier Säulen stützt: Governance, Schutz, Abwehr, Resilienz. Mobile Sicherheit und Anwendungssicherheit sind wesentliche Bestandteile davon. Pradeo, einziger europäischer Akteur, der als weltweit führend anerkannt ist, für den Schutz mobiler Endgeräte, und Yagaan, powered by Pradeo, Experte für Anwendungssicherheit. Zwei sich ergänzende Bausteine innerhalb der ganzheitlichen Strategie, die das ReCyF vorschreibt.
