Dans le domaine de la sécurité numérique de l’État français, les certificats RGS occupent une place centrale que tout professionnel du secteur public ou privé doit comprendre. Le Référentiel Général de Sécurité définit un cadre exigeant pour les échanges électroniques entre administrations et usagers. Obtenir un certificat conforme à ce référentiel n’est pas une simple formalité : c’est une obligation légale pour de nombreuses entités, et une démarche qui engage la responsabilité juridique de ceux qui la conduisent. Ce guide s’adresse aux professionnels qui cherchent à comprendre le fonctionnement concret de ce dispositif, les acteurs impliqués, les coûts à anticiper et les évolutions réglementaires récentes. Seul un professionnel du droit ou de la sécurité informatique peut formuler un conseil adapté à votre situation spécifique.
Le Référentiel Général de Sécurité : ce que la loi impose
Le RGS, acronyme de Référentiel Général de Sécurité, a été institué par l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives. Sa mise en application effective date de 2010, avec des révisions substantielles en 2017 et 2020 pour tenir compte des évolutions technologiques et des nouvelles menaces. Ce texte impose aux autorités administratives de sécuriser leurs systèmes d’information selon des niveaux définis.
Le RGS s’articule autour de plusieurs niveaux de sécurité, notés RGS, RGS et RGS, correspondant à des degrés croissants d’exigence. Un certificat de niveau une étoile convient aux échanges courants à faible risque. Le niveau trois étoiles, lui, s’applique aux transactions sensibles impliquant des données personnelles critiques ou des actes à forte valeur juridique. Cette gradation permet aux entités d’adapter leur niveau de conformité à leur exposition réelle aux risques.
Concrètement, le RGS couvre plusieurs fonctions de sécurité : l’authentification, la signature électronique, le chiffrement et l’horodatage. Chacune de ces fonctions peut nécessiter un certificat spécifique. Une autorité administrative qui met en place un téléservice doit déterminer quelles fonctions sont requises, puis obtenir les certificats correspondants auprès d’un prestataire qualifié. L’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) publie la liste des prestataires qualifiés sur son site officiel ssi.gouv.fr.
Les organismes privés qui interagissent avec des services publics numériques sont également concernés. Un prestataire qui signe électroniquement des documents destinés à une administration doit disposer d’un certificat conforme au niveau exigé par cette administration. Ignorer cette exigence expose à des risques juridiques réels, notamment la nullité des actes transmis ou des sanctions administratives.
Comment obtenir des certificats RGS : la démarche pas à pas
L’obtention d’un certificat RGS suit un processus structuré, encadré par des règles précises. La première étape consiste à identifier le niveau de certification requis pour votre usage, en vous référant aux exigences de l’administration avec laquelle vous interagissez ou aux obligations légales applicables à votre activité.
Voici les étapes principales de la démarche :
- Identifier le niveau RGS requis (, ou ) selon l’usage prévu et les obligations réglementaires applicables
- Sélectionner un prestataire de services de certification électronique (PSCE) qualifié par l’ANSSI
- Constituer le dossier d’enregistrement : justificatifs d’identité, documents juridiques de l’entité, formulaires spécifiques au prestataire
- Procéder à la vérification d’identité, parfois en face à face auprès d’une autorité d’enregistrement locale
- Recevoir et activer le certificat sur le support prévu (carte à puce, token USB ou certificat logiciel)
La vérification d’identité mérite une attention particulière. Pour les certificats de niveau et *, une présentation physique devant une autorité d’enregistrement est souvent obligatoire. Cette contrainte logistique doit être anticipée, surtout pour les structures dont les représentants légaux sont éloignés géographiquement des points d’enregistrement. Certains prestataires comme Certigna ou ITrust proposent des réseaux d’enregistrement décentralisés pour faciliter cette étape.
Le délai de traitement varie selon le niveau de certification et le prestataire choisi. Il faut généralement compter entre 2 et 4 semaines entre le dépôt du dossier complet et la remise du certificat actif. Ce délai peut s’allonger en cas de dossier incomplet ou de vérification d’identité différée. Anticiper cette contrainte temporelle est indispensable pour les projets soumis à des délais réglementaires.
Les acteurs qui délivrent et supervisent ces certifications
L’écosystème des certificats RGS repose sur une architecture à plusieurs niveaux. Au sommet, l’ANSSI joue le rôle d’autorité de qualification : elle évalue, qualifie et publie la liste des prestataires autorisés à délivrer des certificats conformes au RGS. Sans cette qualification, un certificat ne peut pas être reconnu comme conforme au référentiel, quelle que soit sa qualité technique intrinsèque.
Les prestataires de services de certification électronique qualifiés constituent le deuxième niveau. Parmi les acteurs établis en France, on trouve Certigna (filiale de la Banque Postale, spécialisée dans le secteur public), ITrust et d’autres opérateurs accrédités. Ces prestataires gèrent l’ensemble du cycle de vie des certificats : émission, renouvellement, révocation. Chacun propose des offres tarifaires et des niveaux de service différents, ce qui justifie une comparaison attentive avant tout engagement.
Le Ministère de l’Économie et le Ministère de l’Intérieur figurent parmi les principaux donneurs d’ordre institutionnels. Ces ministères imposent des exigences RGS à leurs prestataires et partenaires, ce qui crée un effet de diffusion des obligations dans les chaînes de sous-traitance. Une entreprise privée qui répond à un marché public dans ces secteurs doit souvent démontrer sa conformité RGS dès la phase de candidature.
Les autorités d’enregistrement locales (AEL) complètent ce dispositif. Elles assurent la vérification physique de l’identité des demandeurs pour le compte des PSCE. Leur rôle est discret mais déterminant pour la robustesse juridique du certificat délivré, notamment en cas de contestation ultérieure.
Budget et délais : les réalités financières à anticiper
Le coût d’un certificat RGS varie sensiblement selon le niveau de sécurité et le prestataire sélectionné. À titre indicatif, les tarifs pratiqués se situent entre 100 et 300 euros par certificat, selon les données disponibles sur le marché. Un certificat de niveau destiné à l’authentification simple se situe en bas de cette fourchette. Un certificat de niveau ** pour la signature électronique qualifiée approche ou dépasse le seuil supérieur.
Ces tarifs s’entendent généralement pour une durée de validité de un à trois ans. Le renouvellement génère des coûts récurrents à intégrer dans les budgets informatiques et juridiques. Pour les structures qui déploient plusieurs certificats (par exemple, un certificat par agent habilité à signer), la facture annuelle peut rapidement atteindre plusieurs milliers d’euros.
À ces coûts directs s’ajoutent des coûts indirects souvent sous-estimés : le temps consacré à la constitution des dossiers, les déplacements pour la vérification d’identité, la gestion des renouvellements et la formation des utilisateurs. Une politique de gestion des certificats formalisée permet de maîtriser ces coûts cachés et d’éviter les interruptions de service liées à des certificats expirés non renouvelés à temps.
Environ 30 % des entreprises du secteur public et privé seraient certifiées RGS selon les estimations disponibles. Ce chiffre, à prendre avec prudence, suggère qu’une majorité d’organisations concernées n’a pas encore pleinement intégré ces obligations. Pour les professionnels du droit et de la conformité, ce constat représente un terrain d’accompagnement significatif.
Ce que les évolutions de 2020 changent concrètement pour votre activité
La révision du RGS en 2020 a introduit des alignements importants avec le règlement européen eIDAS (electronic IDentification, Authentication and trust Services), entré en vigueur dès 2016. Cette convergence n’est pas anodine : elle signifie que les certificats qualifiés au sens d’eIDAS peuvent, dans certaines conditions, être reconnus comme conformes au RGS, et inversement. Pour les entreprises opérant dans plusieurs États membres de l’Union européenne, cette harmonisation simplifie la gestion des obligations de certification.
La révision a également renforcé les exigences en matière de gestion des clés cryptographiques et de traçabilité des opérations. Les prestataires qualifiés doivent désormais documenter plus rigoureusement leurs processus internes, ce qui se traduit par des audits plus fréquents et des obligations de reporting accrues. Pour les utilisateurs finaux, cela se traduit par une meilleure garantie de la solidité juridique des certificats délivrés.
Une tendance de fond mérite d’être signalée : la dématérialisation croissante des procédures administratives accélère mécaniquement la demande de certificats RGS. La loi pour un État au service d’une société de confiance (loi ESSOC de 2018) et les plans de transformation numérique des administrations poussent de nombreuses entités à se doter de capacités de signature et d’authentification conformes. Les professionnels du droit qui conseillent des collectivités territoriales ou des établissements publics doivent intégrer cette dimension dans leurs recommandations.
Enfin, le règlement eIDAS 2, en cours de déploiement au niveau européen, annonce une nouvelle évolution du cadre. Le portefeuille européen d’identité numérique (EUDI Wallet) modifiera les modalités d’authentification et de signature à l’horizon 2026-2027. Les professionnels avisés suivent ces évolutions via les publications de l’ANSSI et les textes accessibles sur Legifrance, pour anticiper les adaptations nécessaires avant que les échéances réglementaires ne les imposent.