Dans un environnement numérique de plus en plus réglementé, les certificats RGS occupent une place centrale pour toute organisation souhaitant sécuriser ses échanges électroniques avec l’administration française. Le Référentiel Général de Sécurité, défini par l’ANSSI, impose des standards précis que les entités publiques et privées doivent respecter pour garantir l’authenticité, la confidentialité et l’intégrité des données. Choisir le bon certificat ne s’improvise pas : le marché propose plusieurs niveaux de qualification, plusieurs organismes émetteurs, et des usages très différents selon les activités. Une mauvaise sélection expose l’organisation à des risques juridiques réels, voire à des rejets de dossiers administratifs. Ce guide pratique vous aide à naviguer dans cette réglementation pour faire le choix le plus adapté à votre contexte professionnel.
Ce que recouvrent réellement les certificats RGS
Un certificat RGS est un document électronique qui garantit l’identité d’un utilisateur, d’un serveur ou d’un service dans un environnement numérique. Techniquement, il associe une clé publique à l’identité de son titulaire, cette association étant validée par une autorité de certification accréditée. La confiance repose donc entièrement sur la chaîne de certification qui lie l’émetteur au bénéficiaire.
Le Référentiel Général de Sécurité distingue trois niveaux de qualification : le niveau étoile (), le niveau deux étoiles () et le niveau trois étoiles (). Plus le niveau est élevé, plus les exigences techniques et organisationnelles sont strictes. Un certificat une étoile convient pour des usages courants à faible sensibilité. Le niveau trois étoiles, lui, s’applique aux échanges impliquant des données très sensibles ou des actes à forte valeur juridique.
La distinction entre certificat de personne physique, certificat de personne morale et certificat de serveur est tout aussi structurante. Le premier identifie un individu nommément. Le deuxième authentifie une organisation. Le troisième sécurise les communications entre machines. Ces trois catégories répondent à des besoins distincts, et les confondre génère des problèmes d’interopérabilité avec les plateformes administratives.
Sur le plan juridique, le cadre de référence s’appuie sur le décret n°2010-112 du 2 février 2010 relatif à la sécurité des systèmes d’information de l’État, ainsi que sur les arrêtés successifs publiés sur Légifrance. L’ANSSI publie et maintient la liste des prestataires qualifiés sur son site officiel, ce qui constitue le point de départ indispensable pour toute démarche de sélection. Seul un professionnel du droit ou un expert en sécurité des systèmes d’information peut évaluer précisément les obligations qui s’appliquent à votre situation particulière.
Les critères déterminants pour sélectionner votre certificat
Avant de contacter un organisme de certification, il faut clarifier son besoin en répondant à quelques questions simples. Le type d’usage prévu conditionne tout le reste. Un avocat déposant des actes sur le Réseau Privé Virtuel des Avocats (RPVA) n’a pas les mêmes exigences qu’un prestataire informatique sécurisant ses serveurs d’échange avec une administration centrale.
Les éléments à examiner systématiquement avant tout choix :
- Le niveau RGS requis par la plateforme ou l’administration destinataire (, ou )
- La nature juridique du titulaire : personne physique, personne morale ou entité technique
- La durée de validité du certificat, généralement d’un à trois ans selon l’émetteur
- La compatibilité technique avec les logiciels et systèmes déjà en place
- Le mode de stockage de la clé privée : carte à puce physique, token USB ou solution logicielle
- Le budget disponible, les tarifs oscillant entre environ 100 et 600 euros selon le niveau et l’organisme
Le mode de stockage de la clé privée mérite une attention particulière. Un certificat stocké sur une carte à puce ou un token USB certifié offre une résistance bien supérieure aux attaques informatiques par rapport à un certificat purement logiciel. Pour les niveaux et *, ce stockage physique devient généralement obligatoire selon les spécifications du RGS.
La durée de validité influence directement le coût total sur plusieurs années. Un certificat valable trois ans revient souvent moins cher à l’usage qu’un certificat annuel renouvelé trois fois, mais il faut anticiper les procédures de renouvellement pour éviter toute interruption de service. Certaines organisations, notamment dans le secteur public, intègrent ce calendrier dans leur plan de continuité d’activité.
Les principaux organismes émetteurs sur le marché français
L’ANSSI ne délivre pas elle-même de certificats RGS : elle qualifie les prestataires autorisés à le faire. La liste officielle des Prestataires de Services de Confiance Qualifiés (PSCQ) est consultable directement sur le site ssi.gouv.fr. S’y fier est non négociable, car un certificat émis par un organisme non qualifié n’a aucune valeur dans les échanges avec l’administration française.
Parmi les acteurs historiques du marché, CertEurope propose une gamme étendue couvrant les trois niveaux RGS, avec des offres adaptées aux professions réglementées. Atos, via sa filiale dédiée à la confiance numérique, s’adresse davantage aux grandes organisations et aux administrations publiques. D’autres acteurs comme Certigna ou Chambersign ont développé des offres spécialisées pour les chambres consulaires et les professions libérales.
Chaque émetteur propose des niveaux de service différents : assistance téléphonique, délais de traitement, modalités de vérification d’identité en face à face ou à distance. Le délai d’obtention varie généralement entre deux et quatre semaines, une donnée à intégrer dans tout calendrier projet. Certains organismes proposent des procédures accélérées moyennant un surcoût.
Comparer les offres sur le seul critère du prix est une erreur fréquente. La qualité du support technique, la réputation de l’autorité de certification et la clarté des conditions de renouvellement pèsent autant dans la décision finale que le tarif affiché. Pour une organisation traitant régulièrement des actes juridiques ou des marchés publics, une défaillance du prestataire peut avoir des conséquences opérationnelles et juridiques sérieuses.
De la demande à la remise du certificat : le déroulement concret
L’obtention d’un certificat RGS suit un processus balisé, dont la rigueur varie selon le niveau demandé. Pour un certificat de niveau , la procédure reste relativement simple. Pour les niveaux et , les vérifications d’identité sont plus approfondies et impliquent souvent une comparution physique devant un mandataire de l’autorité de certification.
La première étape consiste à constituer un dossier de demande comprenant les pièces justificatives d’identité, les documents attestant de la qualité du demandeur (extrait Kbis pour une personne morale, justificatif de profession pour une personne physique exerçant une activité réglementée) et le formulaire propre à l’organisme choisi. Toute erreur ou pièce manquante allonge mécaniquement le délai de traitement.
Une fois le dossier validé, l’autorité de certification procède à la vérification d’identité. Cette étape peut se dérouler en agence, via un notaire ou un mandataire désigné, ou par vidéo selon les procédures admises par l’organisme. La remise du certificat intervient ensuite sous forme d’un support physique sécurisé ou d’un lien de téléchargement selon le niveau et le type de certificat.
L’installation du certificat sur le poste de travail ou le serveur concerné requiert parfois l’intervention d’un technicien, notamment lorsque des paramètres de proxy ou de pare-feu compliquent la configuration. Prévoir cette phase dans le planning est préférable pour éviter les blocages de dernière minute avant une échéance administrative.
Les évolutions réglementaires qui redessinent les obligations
La mise à jour du cadre réglementaire en 2021 a renforcé les exigences pesant sur les prestataires de services de confiance. Ces évolutions s’inscrivent dans le prolongement du règlement européen eIDAS (Electronic Identification, Authentication and Trust Services), qui harmonise les conditions de reconnaissance des signatures électroniques et des certificats au sein de l’Union européenne.
L’articulation entre le RGS et le règlement eIDAS est un point de vigilance pour les organisations opérant dans plusieurs États membres. Un certificat qualifié au sens d’eIDAS bénéficie d’une présomption de fiabilité dans toute l’Union, ce qui n’est pas nécessairement le cas d’un certificat RGS de niveau inférieur. Pour les entreprises ayant des relations contractuelles ou administratives transfrontalières, cette distinction a des conséquences pratiques directes.
L’ANSSI a également renforcé ses exigences relatives à la cryptographie post-quantique, anticipant les risques que ferait peser l’informatique quantique sur les algorithmes de chiffrement actuels. Les certificats émis à partir de 2022 doivent progressivement intégrer des mécanismes compatibles avec ces nouveaux standards, ce qui influe sur le choix des algorithmes supportés par les prestataires.
Pour les collectivités territoriales et les établissements publics, la directive NIS 2, transposée en droit français, impose des obligations de sécurité renforcées qui touchent directement la gestion des certificats numériques. Les entités concernées ont intérêt à faire auditer leur politique de gestion des certificats par un professionnel compétent, afin de s’assurer que leurs pratiques actuelles restent conformes aux textes en vigueur publiés sur Légifrance. La réglementation évolue vite dans ce domaine, et ce qui était suffisant il y a deux ans peut ne plus l’être aujourd’hui.