La transformation numérique de l'État accélère depuis plusieurs années, et avec elle s'impose une exigence de sécurité que les administrations ne peuvent plus différer. Les certificats RGS (Référentiel Général de Sécurité) sont au cœur de cette dynamique : ils garantissent l'authenticité et la confidentialité des échanges électroniques entre les services publics et les citoyens. À l'horizon 2026, la mise en conformité avec ces certificats n'est plus une option pour les organismes publics. C'est une obligation réglementaire encadrée par des textes précis, pilotée par des institutions comme l'ANSSI, et dont le non-respect expose les administrations à des risques juridiques et opérationnels sérieux. Comprendre les enjeux de cette mise en conformité, c'est anticiper plutôt que subir.
Pourquoi les certificats RGS sont devenus indispensables aux administrations
Les certificats RGS ne sont pas de simples formalités administratives. Ils constituent le socle technique et juridique sur lequel repose la confiance dans les échanges numériques entre l'État, ses démembrements et les usagers. Délivrés conformément au Référentiel Général de Sécurité, ces certificats attestent qu'un système d'information répond à des exigences précises en matière d'authentification, d'intégrité des données et de confidentialité.
La dématérialisation des procédures administratives a radicalement changé la nature des risques. Un formulaire signé électroniquement, un acte notifié par voie numérique, une délibération transmise en ligne : chacun de ces actes engage la responsabilité de l'administration émettrice. Sans certification conforme au RGS, la valeur juridique de ces échanges peut être contestée devant les juridictions administratives.
Les cyberattaques ciblant les collectivités territoriales et les établissements publics se sont multipliées depuis 2020. Plusieurs communes françaises ont subi des incidents graves faute de systèmes suffisamment sécurisés. Les certificats RGS réduisent la surface d'attaque en garantissant que les communications ne peuvent être ni interceptées ni falsifiées. Ce n'est pas une garantie absolue, mais c'est un niveau de protection que le droit impose désormais.
L'ANSSI rappelle régulièrement que la sécurité des systèmes d'information publics conditionne directement la continuité des services aux citoyens. Une administration dont les échanges numériques ne sont pas certifiés s'expose à des interruptions de service, à des fuites de données personnelles, et à des mises en cause devant la Commission nationale de l'informatique et des libertés (CNIL). Les enjeux dépassent donc largement la simple conformité technique.
Le cadre légal qui encadre ces obligations
Le Référentiel Général de Sécurité a été institué par le décret n° 2010-112 du 2 février 2010, pris en application de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives. Ces textes, consultables sur Légifrance, posent les bases légales de l'obligation de certification.
Le RGS définit plusieurs niveaux de certification, notés de une à trois étoiles selon le degré de sensibilité des informations traitées. Les autorités administratives doivent choisir le niveau adapté à leurs activités. Un service de gestion des données fiscales ne présente pas les mêmes exigences qu'un portail de demande d'acte d'état civil, mais les deux sont soumis au cadre général du RGS.
Le Ministère de la Transformation et de la Fonction publiques a progressivement renforcé ces obligations dans le cadre de la politique de dématérialisation des services publics. La loi n° 2018-1317 du 28 décembre 2018 de finances pour 2019 a notamment accéléré le calendrier de mise en conformité pour les collectivités. Des circulaires interministérielles précisent les modalités d'application selon la taille et la nature des organismes concernés.
Seul un professionnel du droit spécialisé en droit public numérique peut donner un conseil personnalisé sur les obligations applicables à un organisme précis. Les textes évoluent, et l'interprétation des exigences varie selon la catégorie juridique de l'entité concernée — établissement public, collectivité territoriale, groupement d'intérêt public ou service déconcentré de l'État.
Les acteurs qui pilotent la mise en conformité
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) est l'autorité nationale en matière de cybersécurité. Elle publie les référentiels techniques, qualifie les prestataires autorisés à délivrer des certificats conformes au RGS, et accompagne les administrations dans leur démarche de mise en conformité. Son site officiel, ssi.gouv.fr, centralise l'ensemble des ressources réglementaires et techniques disponibles.
Les prestataires de services de confiance qualifiés jouent un rôle opérationnel décisif. Ce sont eux qui délivrent concrètement les certificats RGS après vérification de l'identité de l'organisme demandeur et de la conformité de son infrastructure. La liste des prestataires qualifiés par l'ANSSI est publique et régulièrement mise à jour.
Au sein des administrations, la mise en conformité repose sur les responsables de la sécurité des systèmes d'information (RSSI), dont le rôle a été formalisé par plusieurs textes réglementaires. Ces professionnels coordonnent les actions techniques, supervisent les renouvellements de certificats et assurent la veille sur les évolutions du cadre réglementaire.
Le Ministère de la Transformation et de la Fonction publiques apporte un soutien méthodologique aux collectivités de petite taille qui ne disposent pas toujours des ressources internes nécessaires. Des guides pratiques, des formations et des accompagnements spécifiques ont été déployés pour réduire les inégalités de capacité entre grandes métropoles et petites communes rurales.
Délais et échéances à respecter
L'échéance de 2026 structure l'ensemble du calendrier de mise en conformité. Les organismes publics qui n'ont pas encore entamé leur démarche doivent agir sans tarder : les délais d'instruction, de qualification des prestataires et de déploiement technique rendent impossible toute mise en conformité réalisée dans l'urgence. Environ 70 % des organismes publics seraient encore en phase de transition selon les estimations disponibles, ce qui représente un effort collectif considérable à accomplir.
Les étapes d'une mise en conformité structurée suivent généralement le schéma suivant :
- Audit préalable des systèmes d'information existants et identification des échanges soumis au RGS
- Sélection du niveau de certification adapté (une, deux ou trois étoiles) en fonction de la sensibilité des données traitées
- Choix d'un prestataire qualifié figurant sur la liste publiée par l'ANSSI
- Déploiement technique des certificats sur les infrastructures concernées
- Formation des agents chargés de la gestion quotidienne des certificats
- Mise en place d'un suivi pour anticiper les renouvellements et les évolutions réglementaires
Les certificats RGS ont une durée de validité limitée, généralement d'un à trois ans selon le type de certificat. Le renouvellement doit être anticipé : un certificat expiré interrompt la validité juridique des échanges numériques concernés. Les RSSI doivent intégrer ces échéances dans leurs plans de gestion opérationnelle.
Les collectivités ayant initié leur démarche dès 2023 disposent d'un avantage réel : elles peuvent procéder par étapes, tester leurs infrastructures et corriger les éventuelles non-conformités sans pression temporelle. Celles qui attendent 2025 pour agir s'exposent à des délais incompressibles qui pourraient les placer en situation de défaillance au moment de l'échéance.
Risques juridiques et opérationnels en cas de manquement
La non-conformité aux exigences du RGS expose les administrations à plusieurs types de conséquences. Sur le plan juridique, les actes administratifs transmis par voie électronique sans certification conforme peuvent être contestés devant les juridictions administratives. Un justiciable qui reçoit une décision notifiée via un système non certifié dispose d'arguments sérieux pour en contester la validité formelle.
La CNIL dispose de pouvoirs de sanction étendus depuis l'entrée en vigueur du RGPD. Une administration qui traite des données personnelles via des systèmes non sécurisés selon les standards du RGS s'expose à des mises en demeure, voire à des sanctions financières. Plusieurs collectivités ont déjà fait l'objet de rappels à l'ordre formels pour des manquements à la sécurité des données.
Les conséquences opérationnelles sont parfois plus immédiates que les sanctions juridiques. Un incident de sécurité sur un système non certifié peut paralyser un service pendant plusieurs jours, voire plusieurs semaines. La restauration des données, la communication de crise auprès des usagers et la remise en état des systèmes représentent des coûts bien supérieurs à ceux d'une mise en conformité préventive.
La responsabilité personnelle des élus et des dirigeants d'organismes publics peut être engagée en cas de négligence caractérisée. Le droit administratif français prévoit des mécanismes de mise en cause de la responsabilité des ordonnateurs lorsque des dépenses ou des décisions ont été prises en violation de règles impératives. La non-conformité aux exigences du RGS entre dans cette catégorie dès lors que l'obligation est clairement établie par les textes applicables.
Anticiper la mise en conformité, c'est donc protéger à la fois les citoyens dont les données sont traitées, les agents qui utilisent les systèmes au quotidien, et les responsables institutionnels qui en assument la charge. Le calendrier est connu, les ressources existent, et les prestataires qualifiés sont accessibles : il ne reste qu'à engager la démarche.
