Les certificats RGS suscitent de nombreuses interrogations, tant chez les agents publics que chez les prestataires privés qui interagissent avec l'administration française. Qui doit en disposer ? Comment en obtenir un ? Combien cela coûte-t-il ? Ces questions méritent des réponses précises, car une mauvaise compréhension du cadre réglementaire peut exposer des organismes à des risques juridiques et techniques sérieux. Le Référentiel Général de Sécurité s'applique à un périmètre large, et ses exigences ne sont pas toujours faciles à appréhender sans accompagnement. Cet article fait le point sur les éléments concrets à connaître, sans jargon superflu, pour naviguer sereinement dans ce dispositif.
Comprendre les certificats RGS et leur rôle dans le droit administratif numérique
Le Référentiel Général de Sécurité (RGS) est un cadre réglementaire instauré par l'ordonnance n°2005-1516 relative aux échanges électroniques entre les usagers et les autorités administratives. Mis en œuvre à partir de 2010, il définit les exigences de sécurité applicables aux systèmes d'information de l'État et aux services en ligne proposés aux citoyens. Un certificat RGS est, concrètement, un certificat électronique qui atteste de l'identité d'une personne ou d'un organisme dans le cadre d'échanges dématérialisés avec l'administration.
La distinction entre les niveaux de certification mérite d'être clarifiée. Le RGS prévoit trois niveaux d'assurance : RGS, RGS et RGS. Plus le nombre d'étoiles est élevé, plus les exigences de vérification d'identité et de sécurité cryptographique sont strictes. Un certificat RGS suffit pour des usages courants à faible sensibilité, tandis qu'un certificat RGS** est requis pour des actes juridiques à fort enjeu ou des accès à des systèmes sensibles.
Ces certificats servent à plusieurs usages pratiques : signer électroniquement des documents officiels, s'authentifier sur des portails administratifs sécurisés, chiffrer des échanges confidentiels entre services publics. Sans ce type de certification, un organisme ne peut pas légalement participer à certains marchés publics dématérialisés ni accéder à des plateformes gouvernementales réservées. La valeur juridique de la signature électronique qualifiée dépend directement du niveau de certification utilisé.
Le RGS a connu une évolution significative en 2020, avec l'intégration de nouvelles exigences liées à l'évolution des menaces informatiques et à l'alignement avec le règlement européen eIDAS. Ce règlement européen encadre les services de confiance numérique et les identités électroniques à l'échelle de l'Union. Les certificats RGS s'inscrivent dans cette architecture plus large, tout en conservant leurs spécificités propres au droit administratif français. Seul un professionnel du droit ou de la sécurité des systèmes d'information peut évaluer précisément quel niveau de certification correspond à une situation donnée.
Les étapes concrètes pour obtenir votre certification
Obtenir un certificat RGS suit un processus structuré, encadré par des autorités de certification accréditées. La première démarche consiste à identifier le niveau de certification requis pour l'usage envisagé. Cette étape préalable conditionne toute la suite du processus, car les pièces justificatives et les vérifications diffèrent selon le niveau visé.
Voici les principales étapes à suivre pour obtenir un certificat RGS :
- Identifier le niveau RGS requis (, ou ) en fonction de l'usage prévu et des exigences du service destinataire
- Choisir un prestataire de services de certification électronique (PSCE) référencé par l'ANSSI parmi les organismes accrédités
- Constituer le dossier de demande avec les justificatifs d'identité, les documents relatifs à la structure (Kbis, délégation de pouvoir, etc.) et les formulaires propres au prestataire
- Se soumettre à la vérification d'identité, qui peut se faire en face-à-face, par vidéo ou via un processus dématérialisé selon le niveau de certification
- Recevoir et installer le certificat sur le support prévu (carte à puce, token USB ou logiciel selon les cas)
- Renouveler le certificat avant son expiration, généralement fixée à un ou trois ans selon le contrat souscrit
La vérification d'identité représente l'étape la plus variable selon les prestataires. Pour un certificat RGS*, la comparution physique devant un agent de l'autorité d'enregistrement est souvent requise. Cette contrainte logistique doit être anticipée, notamment pour les structures dont les représentants légaux sont peu disponibles ou localisés loin des points de vérification.
Les portails dédiés des prestataires permettent aujourd'hui de suivre l'avancement du dossier en temps réel. Certains organismes proposent un accompagnement téléphonique ou en ligne pour faciliter la constitution du dossier. La qualité de cet accompagnement varie sensiblement d'un prestataire à l'autre, ce qui justifie de comparer les offres avant de s'engager.
Tarifs pratiqués et délais réels à anticiper
Le coût d'un certificat RGS dépend principalement du niveau d'assurance requis et du prestataire choisi. À titre indicatif, les tarifs oscillent entre 200 et 600 euros selon la complexité de la vérification et les services associés. Un certificat RGS pour un usage basique sera naturellement moins onéreux qu'un certificat RGS** destiné à signer des actes administratifs à haute valeur juridique.
Ces montants peuvent surprendre. Pourtant, ils reflètent la réalité des coûts opérationnels supportés par les prestataires : infrastructure cryptographique, processus de vérification d'identité, support technique, conformité aux audits de l'ANSSI. Certains organismes publics bénéficient de tarifs négociés dans le cadre de marchés mutualisés passés par des centrales d'achat comme l'UGAP.
Les délais d'obtention s'établissent en moyenne entre quatre et six semaines après le dépôt d'un dossier complet. Ce délai peut s'allonger si le dossier est incomplet à la première soumission, si la vérification d'identité tarde à être planifiée, ou si le prestataire fait face à une forte charge de travail. Anticiper ces délais est donc indispensable, notamment dans le cadre d'une réponse à un appel d'offres avec une date butoir.
Le renouvellement du certificat génère également un coût récurrent à intégrer dans les budgets. Certains prestataires proposent des abonnements pluriannuels à tarif dégressif. La vigilance s'impose sur les dates d'expiration : un certificat expiré rend impossible toute signature électronique valide, ce qui peut bloquer des procédures administratives en cours. Un suivi rigoureux du cycle de vie des certificats s'avère donc nécessaire, en particulier dans les structures qui en gèrent plusieurs simultanément.
Les organismes qui pilotent et délivrent les certifications
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) occupe la position centrale dans le dispositif RGS. Placée sous l'autorité du Premier ministre, elle définit les exigences techniques et juridiques du référentiel, accrédite les prestataires de certification et publie la liste des organismes autorisés à délivrer des certificats conformes. Son site officiel, ssi.gouv.fr, constitue la référence pour vérifier la validité d'un prestataire avant tout engagement.
Les autorités de certification accréditées sont les acteurs de terrain qui délivrent concrètement les certificats. La France compte plus de 500 organismes certifiés dans des domaines variés, bien que le nombre de prestataires spécifiquement accrédités pour émettre des certificats RGS soit plus restreint. Parmi les acteurs établis figurent des entreprises spécialisées en sécurité numérique, des opérateurs télécoms et des prestataires issus du secteur bancaire.
Les ministères concernés jouent un rôle prescripteur dans le dispositif. Chaque ministère peut imposer des exigences spécifiques pour l'accès à ses systèmes d'information, en précisant le niveau RGS requis dans ses appels d'offres ou ses conventions de partenariat. Les directions des systèmes d'information (DSI) ministérielles sont les interlocuteurs à solliciter pour obtenir des précisions sur les exigences applicables à un contexte donné.
Le texte de référence consolidé est accessible sur Légifrance, qui publie l'ensemble des arrêtés et décrets relatifs au RGS. La lecture de ces textes reste technique, et leur interprétation dans un contexte opérationnel précis nécessite souvent l'intervention d'un juriste spécialisé en droit public numérique ou d'un expert en sécurité des systèmes d'information. Rappelons-le : aucun contenu généraliste ne peut remplacer un conseil personnalisé adapté à la situation spécifique d'un organisme.
La structuration du marché de la certification RGS évolue progressivement sous l'effet du règlement eIDAS 2, dont la transposition influencera les exigences nationales dans les années à venir. Les organismes qui s'équipent aujourd'hui ont donc intérêt à choisir des prestataires qui anticipent ces évolutions réglementaires, afin d'éviter des migrations coûteuses à court terme.
