En 2026, les organismes publics et privés qui utilisent des certificats RGS dans leurs échanges électroniques sécurisés font face à une pression réglementaire accrue. Le Référentiel Général de Sécurité, cadre défini et supervisé par l'ANSSI, impose des exigences précises que beaucoup d'acteurs négligent jusqu'à la dernière minute. Résultat : des renouvellements ratés, des procédures bloquées, des sanctions administratives évitables. Selon les données disponibles, près de 80 % des certificats RGS sont renouvelés hors délai. Ce chiffre révèle un problème systémique, pas une série d'accidents isolés. Comprendre les mécanismes de ces certificats, anticiper les pièges courants et suivre l'évolution du cadre légal permet d'éviter des situations qui coûtent du temps, de l'argent et de la crédibilité.
Ce que recouvre réellement un certificat RGS
Un certificat RGS est un document électronique qui atteste l'identité d'un utilisateur ou d'un système informatique dans le cadre de transactions dématérialisées sécurisées. Il s'appuie sur une infrastructure à clé publique (PKI), qui garantit l'intégrité et la confidentialité des échanges. Ces certificats sont délivrés par des prestataires de services de certification qualifiés, eux-mêmes soumis à une liste de conformité publiée par l'ANSSI.
Le Référentiel Général de Sécurité distingue plusieurs niveaux de qualification : étoile une, deux ou trois, selon le degré de sensibilité des opérations concernées. Un certificat de niveau une étoile convient à des usages courants de faible risque. Un certificat trois étoiles, en revanche, s'impose pour des transactions à fort enjeu juridique ou financier. Cette gradation est souvent mal comprise, ce qui génère des erreurs de sélection dès la demande initiale.
Les certificats RGS sont utilisés dans de nombreux contextes : marchés publics dématérialisés, envois de courriers recommandés électroniques, signatures de documents officiels, accès aux plateformes administratives. La CNIL veille par ailleurs à ce que les données personnelles traitées dans ce cadre respectent le RGPD. Ces deux référentiels — RGS et RGPD — coexistent et doivent être gérés de façon cohérente au sein des systèmes d'information.
Beaucoup d'entreprises confondent le certificat RGS avec une simple signature électronique qualifiée au sens du règlement eIDAS. Ce sont deux dispositifs distincts, même s'ils peuvent se recouper. Le certificat RGS répond à un cadre spécifiquement français, défini par l'ordonnance n° 2005-1516 relative aux échanges électroniques entre usagers et autorités administratives. Ignorer cette distinction entraîne des erreurs de conformité qui peuvent invalider des actes juridiques entiers.
Les erreurs qui reviennent le plus souvent
L'erreur la plus répandue reste le renouvellement tardif. Le délai moyen de traitement d'une demande de certificat RGS est d'environ 10 jours, selon les prestataires. Or, de nombreux responsables informatiques ou juridiques attendent l'expiration du certificat pour lancer la procédure. Ce comportement génère des interruptions de service, parfois dans des contextes critiques comme la réponse à un appel d'offres public.
Voici les erreurs les plus fréquemment observées lors de la gestion des certificats RGS :
- Choisir un niveau de certification inadapté à l'usage réel (niveau une étoile pour des opérations nécessitant deux ou trois étoiles)
- Soumettre un dossier incomplet, avec des justificatifs d'identité ou des habilitations manquants
- Ne pas désigner de responsable de la gestion des certificats au sein de l'organisation
- Oublier de révoquer les certificats des collaborateurs ayant quitté l'entreprise
- Ignorer les notifications d'expiration envoyées par le prestataire de certification
- Confier la gestion des certificats à une seule personne sans plan de continuité
La non-révocation des certificats d'anciens employés mérite une attention particulière. Un certificat actif au nom d'une personne qui n'est plus habilitée représente une faille de sécurité réelle, susceptible d'engager la responsabilité de l'organisation en cas d'incident. L'ANSSI recommande explicitement d'intégrer la révocation dans les procédures de départ des collaborateurs.
Autre erreur fréquente : négliger la vérification du statut de qualification du prestataire. Un certificat délivré par un organisme dont la qualification a expiré ou a été suspendue n'a aucune valeur juridique. La liste des prestataires qualifiés est publiée sur le site ssi.gouv.fr et mise à jour régulièrement. La consulter avant toute demande prend cinq minutes et évite des complications majeures.
Anticiper les délais pour ne pas se retrouver bloqué
La gestion des délais est le point sur lequel la majorité des organisations échouent. Le traitement d'une demande prend en moyenne 10 jours ouvrés, mais ce chiffre peut varier selon la charge du prestataire, la complétude du dossier et le niveau de certification demandé. Pour un certificat de niveau trois étoiles, les vérifications d'identité sont plus poussées et allongent mécaniquement le délai.
La bonne pratique consiste à anticiper le renouvellement avec six semaines d'avance minimum. Ce délai permet d'absorber les allers-retours en cas de dossier incomplet, les délais de validation interne et les éventuels problèmes techniques de transmission. Mettre en place une alerte automatique à J-60 avant l'expiration du certificat est une mesure simple que trop peu d'organisations ont adoptée.
Les marchés publics imposent une vigilance supplémentaire. Les plateformes de dématérialisation comme Chorus Pro ou les profils d'acheteurs régionaux vérifient la validité du certificat au moment du dépôt de l'offre. Un certificat expiré le jour du dépôt entraîne le rejet automatique de la candidature, sans recours possible. Cette situation, évitable, se produit pourtant régulièrement.
Pour les organisations gérant plusieurs certificats simultanément — ce qui est courant dans les collectivités territoriales ou les grandes entreprises — un registre centralisé des certificats actifs, avec leurs dates d'expiration et les responsables associés, est indispensable. Ce registre peut être aussi simple qu'un tableur partagé, à condition qu'il soit maintenu à jour et consulté régulièrement.
Ce que les nouvelles exigences de 2026 changent concrètement
2026 marque une échéance réglementaire significative pour les certificats RGS. Les autorités françaises, en cohérence avec les évolutions du règlement européen eIDAS 2.0, ont engagé une révision des niveaux d'exigence applicables aux certificats utilisés dans les échanges avec les administrations. Cette mise à jour touche notamment les algorithmes cryptographiques acceptés et les modalités de vérification de l'identité des porteurs.
Les certificats émis avant certaines dates butoirs avec des algorithmes désormais considérés comme insuffisamment robustes — notamment certaines implémentations RSA 1024 bits — ne seront plus acceptés. Les organisations qui n'ont pas migré vers des algorithmes conformes aux recommandations actuelles de l'ANSSI devront le faire avant cette échéance, sous peine de voir leurs échanges électroniques rejetés par les systèmes administratifs.
La révision de 2026 renforce aussi les exigences autour de la traçabilité des opérations réalisées avec un certificat RGS. Les journaux d'audit doivent être conservés selon des modalités précises, et les organisations doivent être en mesure de démontrer que leurs processus internes respectent ces obligations. La CNIL peut intervenir en cas de manquements liés au traitement des données personnelles dans ce contexte.
Les prestataires de certification eux-mêmes sont concernés par ces évolutions. Certains ont d'ores et déjà adapté leurs offres, d'autres sont en cours de requalification. Avant de renouveler un certificat existant, vérifier que le prestataire est bien qualifié pour les nouvelles exigences 2026 est une étape que peu d'organisations pensent à effectuer. Seul un professionnel du droit ou de la sécurité des systèmes d'information peut donner un conseil personnalisé adapté à la situation de chaque structure.
Construire une gestion durable des certificats dans votre organisation
Au-delà de la correction des erreurs ponctuelles, la vraie question est celle de la gouvernance. Une organisation qui gère ses certificats RGS de façon réactive — en agissant uniquement sous la pression de l'expiration — sera toujours vulnérable. La mise en place d'une politique de gestion des certificats formalisée, validée par la direction et connue des équipes concernées, change radicalement la situation.
Cette politique doit définir qui est responsable de chaque certificat, selon quel calendrier les renouvellements sont initiés, et comment les départs de collaborateurs sont gérés. Elle doit aussi préciser les procédures en cas de perte ou de compromission d'un certificat. La révocation d'urgence est une procédure que beaucoup d'organisations n'ont jamais testée, alors qu'elle peut s'avérer nécessaire dans des délais très courts.
Former les équipes reste un levier sous-exploité. Les personnes qui utilisent quotidiennement des certificats RGS — juristes, acheteurs, responsables informatiques — n'ont pas toujours conscience des implications légales de ces outils. Une session de sensibilisation d'une demi-journée, appuyée sur les ressources disponibles sur Service-Public.fr et ssi.gouv.fr, suffit souvent à corriger des comportements à risque ancrés depuis des années.
La gestion des certificats RGS n'est pas une contrainte administrative parmi d'autres. C'est un élément de la sécurité juridique des échanges dématérialisés. Les organisations qui l'intègrent dans leur fonctionnement ordinaire, avec des processus clairs et des responsabilités bien définies, abordent 2026 sans stress. Les autres découvriront les conséquences de leur improvisation au pire moment possible.
