La transposición de la directiva NIS2 al derecho francés se concreta. La ANSSI (agencia nacional francesa de seguridad de los sistemas de información) ha publicado el ReCyF (referencial cíber de Francia) en su versión de trabajo 2.5, con fecha de 17 de marzo de 2026. Vinculado al artículo 14 del proyecto de ley sobre la resiliencia de las infraestructuras críticas y el refuerzo de la ciberseguridad, este documento define 20 objetivos de seguridad acompañados de medios aceptables de conformidad para las entidades reguladas.
Dos niveles de exigencia según el estatus de la entidad
El ReCyF aplica un principio de proporcionalidad. Las entidades importantes (EI) y las entidades esenciales (EE) están sujetas a los objetivos 1 a 15, que abarcan la gobernanza, la protección, la defensa y la resiliencia de los sistemas de información. Las entidades esenciales quedan además sujetas a los objetivos 16 a 20, que imponen en particular un enfoque basado en riesgos, auditorías de seguridad periódicas, el endurecimiento de las configuraciones y la supervisión continua.
Cada objetivo de seguridad constituye una obligación normativa. Para alcanzarlos, la ANSSI propone medios aceptables de conformidad: no son los únicos posibles, pero las entidades que los aplican pueden servirse de ellos para demostrar su conformidad ante un control.
Para saber si su organización está afectada por la medida, la ANSSI pone a disposición un simulador en línea: Simulador NIS2
Objetivos directamente ligados a la seguridad móvil y de aplicaciones
Entre los 20 objetivos del ReCyF, varios afectan directamente a la seguridad de los dispositivos móviles y a la seguridad de las aplicaciones, dos ámbitos en los que las soluciones francesas Pradeo et Yagaan, powered by Pradeo, aportan respuestas concretas.
Objetivo 3 — Control del ecosistema
El objetivo 3 obliga a las entidades a cartografiar su ecosistema de proveedores y prestadores informáticos y a verificar periódicamente la conformidad de sus servicios con las obligaciones de seguridad. Esta exigencia de control de la cadena de suministro de software está en el centro de la directiva NIS 2.
La solución Yagaan Mobile Application Security Testing (MAST) responde a esta exigencia auditando la seguridad y la conformidad de las aplicaciones móviles suministradas por prestadores, editores o subcontratistas, directamente a partir de su binario, sin acceso al código fuente.
Pradeo Mobile Threat Intelligence completa este control supervisando de forma continua el nivel de seguridad de las aplicaciones públicas utilizadas en la organización.
Objetivo 5 — Control de los sistemas de información
El objetivo 5 impone un proceso de mantenimiento en condiciones operativas y de seguridad, que incluye la actualización de las bases de conocimiento de las herramientas de protección y una vigilancia de las vulnerabilidades. Para las entidades esenciales, exige además un procedimiento formalizado de mantenimiento en condiciones de seguridad de los recursos de software.
Pradeo cubre esta exigencia en la parte móvil: la solución de protección del parque móvil actualiza automáticamente sus reglas de detección, y la plataforma Pradeo Mobile Threat Intelligence, con sus millones de informes de aplicaciones actualizados de forma continua, garantiza la vigilancia de las vulnerabilidades de las aplicaciones móviles.
En el plano de las aplicaciones, el Static Application Security Testing (SAST) de Yagaan se integra en las pipelines CI/CD para detectar y corregir las vulnerabilidades del código antes del paso a producción.
Objetivo 8 — Protección de los accesos remotos a los sistemas de información
El objetivo 8 regula los accesos a los SI desde sistemas de información de terceros (teletrabajo, movilidad, acceso desde un terminal móvil). Impone el cifrado de las comunicaciones (VPN, TLS, SSH…) a todas las entidades y añade, para las entidades esenciales, la obligación de una autenticación multifactor y el cifrado de los discos de los equipos móviles utilizados para el acceso remoto.
Pradeo Mobile Threat Defense contribuye a este requisito en el vector móvil detectando los ataques de red dirigidos a los terminales: conexiones Wi-Fi no seguras, ataques man-in-the-middle, interceptaciones de datos, puntos de acceso fraudulentos. La solución verifica igualmente la integridad del terminal (rooteo, jailbreak, configuraciones de riesgo) antes y durante el acceso al SI.
El módulo Yagaan Runtime Application Self-Protection (RASP) completa este dispositivo protegiendo las aplicaciones de negocio directamente en el terminal y neutralizando los ataques en tiempo real, incluso sin conexión.
Objetivo 9 — Protección de los sistemas de información frente a los códigos maliciosos
El objetivo 9 impone la implantación de mecanismos de protección frente a los códigos maliciosos en los recursos de los SI, y cita explícitamente los equipos móviles. Exige que los terminales dispongan de protecciones frente a la ejecución de código malicioso y que los datos procedentes de fuentes externas se analicen en su recepción.
Las entidades importantes pueden autorizar el BYOD a condición de definir los terminales autorizados e impedir la conexión de los demás. Las entidades esenciales deben prohibir el BYOD: solo los terminales gestionados por la entidad o por su prestador designado pueden conectarse al SI.
Pradeo Mobile Threat Defense responde directamente a este objetivo detectando en tiempo real el malware, los intentos de phishing, las aplicaciones intrusivas y los ataques de red en los terminales Android e iOS. La solución permite enrolar y retirar con facilidad los terminales autorizados.
Para las entidades importantes que mantienen una política BYOD, el Secure Private Store va más allá: solo los terminales que disponen de la aplicación acceden a los recursos de la empresa
Objetivo 12 — Identificación y respuesta a los incidentes de seguridad
El objetivo 12 exige implantar mecanismos que permitan analizar y calificar los eventos de seguridad detectados, con el fin de identificar los incidentes potenciales o confirmados. Impone también la conservación de los registros técnicos, incluidas las alertas generadas por las herramientas de protección frente a códigos maliciosos, que pueden servir como elementos de prueba.
Pradeo Mobile Threat Defense alimenta directamente esta capacidad generando y centralizando los eventos de seguridad del perímetro móvil: detección de malware, intentos de phishing, conexiones sospechosas, aplicaciones de riesgo. Estos datos contribuyen a la calificación de los incidentes y pueden trasladarse a las herramientas de supervisión existentes mediante las integraciones UEM o SIEM.
Objetivo 17 — Auditoría de la seguridad de los sistemas de información
Aplicable únicamente a las entidades esenciales, el objetivo 17 impone la realización de auditorías de seguridad a intervalos regulares. El ReCyF menciona explícitamente la auditoría de código como una de las actividades posibles, junto a las pruebas de intrusión y las auditorías de configuración, de arquitectura y organizativas.
Las soluciones Yagaan responden directamente a este objetivo. La solución Static Application Security Testing (SAST) permite auditar el código fuente de las aplicaciones web y móviles, con priorización de los fallos, reducción de los falsos positivos y ayuda contextual a la corrección.
Yagaan Mobile Application Security Testing (MAST ) completa este dispositivo auditando las aplicaciones móviles a partir de su código binario (Android e iOS), sin acceso al código fuente, y cubre tanto las aplicaciones internas como las de proveedores externos.
El momento de anticiparse
Le ReCyF v2.5 est encore une version de travail, des ajustements restent possibles. Mais les grandes orientations sont posées y las organisations ont tout intérêt à anticiper dès maintenant leur mise en conformité.
El referencial impone un enfoque global articulado en torno a cuatro pilares: gobernanza, protección, defensa y resiliencia. La seguridad móvil y la seguridad de las aplicaciones son componentes esenciales de ese enfoque. Pradeo, único actor europeo reconocido como líder mundial en protección de terminales móviles, y Yagaan, powered by Pradeo, experto en seguridad de aplicaciones. Dos bloques complementarios dentro de la estrategia global que impone el ReCyF.
