La sécurité des échanges numériques est devenue une priorité pour les entreprises françaises confrontées à des obligations légales croissantes. Les certificats RGS (Référentiel Général de Sécurité) s’inscrivent dans ce contexte comme des outils de confiance numérique encadrés par l’État. Environ 40 % des entreprises françaises y ont recours, que ce soit pour signer des documents administratifs, accéder à des plateformes gouvernementales ou sécuriser leurs communications. Pourtant, beaucoup d’organisations sous-exploitent ces certificats faute de connaître leur fonctionnement réel et les bonnes pratiques associées. Comprendre leur cadre juridique, leur processus d’obtention et les façons de les intégrer efficacement dans les processus internes permet de tirer pleinement parti de leur valeur. Voici ce qu’il faut savoir pour ne pas en rester à un usage minimal.
Ce que recouvre réellement le Référentiel Général de Sécurité
Le Référentiel Général de Sécurité, ou RGS, est un cadre normatif défini par l’État français pour garantir un niveau de confiance dans les échanges électroniques entre administrations et avec les usagers. Un certificat RGS est un document électronique qui authentifie une personne physique ou morale sur Internet, en s’appuyant sur une infrastructure à clé publique (PKI). Il garantit l’intégrité des données échangées et l’identité des parties impliquées.
Ce référentiel a été mis à jour en 2021 avec la version RGS 2.0, renforçant les exigences techniques et organisationnelles applicables aux prestataires de services de confiance. Cette évolution fait suite aux avancées du règlement européen eIDAS (Electronic IDentification, Authentication and trust Services), qui harmonise les signatures électroniques au niveau communautaire. Les certificats RGS s’inscrivent dans cette logique, mais restent spécifiques au contexte réglementaire français.
L’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) supervise ce référentiel. Elle qualifie les prestataires autorisés à délivrer des certificats conformes, parmi lesquels figurent des acteurs comme Certigna ou ChamberSign. Ces organismes doivent satisfaire à des audits réguliers pour conserver leur qualification. Les entreprises qui choisissent un prestataire qualifié bénéficient d’une garantie de conformité que n’offrent pas les solutions non certifiées.
Les certificats RGS se déclinent en plusieurs niveaux : RGS, RGS et RGS, correspondant à des degrés croissants d’assurance. Le niveau exigé dépend de la sensibilité de l’opération concernée. Une simple authentification pour accéder à un portail administratif peut se satisfaire d’un niveau RGS, tandis qu’une signature électronique engageant juridiquement l’entreprise requiert généralement un niveau RGS ou RGS. Seul un professionnel du droit ou un expert en sécurité informatique peut déterminer le niveau adapté à chaque situation.
Pourquoi les entreprises ont intérêt à adopter ces certificats
L’adoption des certificats RGS répond à des impératifs à la fois juridiques et opérationnels. Sur le plan légal, de nombreux services publics numériques exigent une authentification forte pour accéder à leurs plateformes : dépôts d’appels d’offres sur Chorus Pro, déclarations fiscales professionnelles, échanges avec les greffes des tribunaux de commerce. Sans certificat conforme, certaines démarches restent tout simplement inaccessibles.
Au-delà de la conformité, ces certificats renforcent la crédibilité juridique des documents signés. Une signature électronique reposant sur un certificat qualifié a la même valeur probante qu’une signature manuscrite devant les tribunaux, conformément à l’article 1367 du Code civil. Cette équivalence simplifie considérablement la gestion contractuelle : contrats fournisseurs, accords de confidentialité, avenants salariaux peuvent être signés à distance sans perdre leur force juridique.
Les gains opérationnels sont mesurables. Supprimer l’impression, la signature physique et l’archivage papier réduit les délais de traitement et les coûts administratifs. Une PME qui traite une centaine de contrats par an économise plusieurs dizaines d’heures de travail. La traçabilité numérique associée aux certificats facilite aussi les audits internes et les contrôles réglementaires, notamment dans des secteurs comme la finance ou la santé où la piste d’audit est obligatoire.
La sécurité des communications est un autre argument solide. Les certificats permettent le chiffrement des échanges, protégeant les données sensibles contre les interceptions. Dans un contexte où les cyberattaques visant les PME ont augmenté de façon significative ces dernières années, disposer d’une infrastructure de confiance certifiée par l’ANSSI constitue une protection tangible.
Les étapes pour obtenir un certificat RGS
Obtenir un certificat RGS demande une démarche structurée. Les délais oscillent généralement entre 5 et 15 jours ouvrés selon le prestataire et la charge de travail de l’organisme certificateur. Anticiper ce délai est indispensable pour ne pas bloquer une procédure administrative urgente.
Les principales étapes à suivre sont les suivantes :
- Identifier le niveau de certification requis (RGS, RGS ou RGS) en fonction des usages prévus et des exigences des plateformes concernées.
- Choisir un prestataire qualifié par l’ANSSI, comme Certigna ou ChamberSign, en comparant les tarifs et les services associés (support, renouvellement automatique, formation).
- Constituer le dossier d’identification : pièce d’identité du porteur du certificat, extrait Kbis de moins de trois mois, justificatif de délégation de pouvoir si le signataire n’est pas le représentant légal.
- Procéder à la vérification d’identité en face-à-face ou par voie de vidéo-identification selon les modalités du prestataire, étape obligatoire pour les niveaux RGS et RGS*.
- Réceptionner le certificat sur un support cryptographique sécurisé (carte à puce ou token USB) et procéder à son installation sur les postes concernés.
- Former les utilisateurs aux bonnes pratiques d’utilisation : protection du code PIN, signalement en cas de perte ou de compromission, procédure de révocation.
Les tarifs varient selon les prestataires et les niveaux de service. Comptez environ 300 à 600 euros par certificat, hors coûts de support et de renouvellement. Certains fournisseurs proposent des offres multi-certificats adaptées aux entreprises avec plusieurs signataires, ce qui peut réduire le coût unitaire de façon notable.
Bonnes pratiques pour une gestion rigoureuse en interne
Disposer d’un certificat RGS ne suffit pas. Sa valeur dépend entièrement de la rigueur avec laquelle il est géré au quotidien. La première règle est de désigner un référent certificats au sein de l’entreprise, chargé de suivre les dates d’expiration, de coordonner les renouvellements et de centraliser les demandes de révocation. Sans cette responsabilité clairement attribuée, les certificats expirent sans que personne ne s’en aperçoive, bloquant des procédures au mauvais moment.
La politique de sécurité interne doit encadrer l’usage des certificats. Cela implique de définir qui peut être titulaire d’un certificat, dans quels cas une délégation est autorisée et comment les supports cryptographiques (tokens, cartes à puce) sont stockés et protégés. Ces règles doivent figurer dans la charte informatique ou dans un document de politique de sécurité signé par les collaborateurs concernés.
Le renouvellement doit être anticipé. La plupart des certificats RGS ont une durée de validité de un à trois ans. Lancer la procédure de renouvellement au moins six semaines avant l’expiration permet d’absorber les délais de traitement sans rupture de service. Certains prestataires proposent des alertes automatiques par email, un service à activer systématiquement.
En cas de perte ou de compromission d’un certificat, la révocation doit être demandée sans délai auprès du prestataire. Un certificat compromis non révoqué peut être utilisé frauduleusement pour signer des documents au nom de l’entreprise. La procédure de révocation est généralement accessible en ligne et prend effet rapidement, mais elle suppose que le référent interne soit joignable et réactif.
Intégrer les certificats dans une stratégie de confiance numérique durable
Les certificats RGS ne sont pas un outil isolé. Ils s’inscrivent dans une architecture plus large de confiance numérique que les entreprises ont intérêt à construire de façon cohérente. Cela passe par l’articulation entre les certificats, les solutions de signature électronique déployées en interne (DocuSign, Yousign, ou des solutions souveraines) et les exigences des partenaires commerciaux et institutionnels.
Une entreprise qui travaille régulièrement avec des collectivités territoriales ou des administrations centrales doit s’assurer que ses certificats sont reconnus sur les plateformes utilisées par ces partenaires. Certaines plateformes de marchés publics, comme PLACE (Plateforme des Achats de l’État), imposent des niveaux de certification précis. Vérifier la compatibilité en amont évite des blocages lors des soumissions.
La veille réglementaire est indissociable d’une bonne gestion des certificats. Le cadre évolue : le règlement eIDAS 2.0, en cours de déploiement au niveau européen, va modifier les exigences applicables aux prestataires de services de confiance. Les entreprises qui anticipent ces évolutions pourront adapter leur infrastructure sans rupture, là où celles qui attendent devront se mettre en conformité dans l’urgence.
Enfin, il faut rappeler que la gestion des certificats RGS touche à des questions juridiques et techniques qui peuvent avoir des conséquences significatives en cas d’erreur. Seul un professionnel du droit ou un expert en sécurité des systèmes d’information est en mesure de donner un conseil personnalisé adapté à la situation spécifique de chaque entreprise. Les textes de référence restent accessibles sur Légifrance et sur le site de l’ANSSI pour quiconque souhaite consulter les sources primaires.