RGS : le socle de la confiance numérique en France
À l'ère du numérique, la confiance dans les échanges électroniques entre citoyens, entreprises et administrations est essentielle. Pour y répondre, la France a instauré le Référentiel général de sécurité (RGS).
Élaboré par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), ce cadre de référence fixe les règles et les bonnes pratiques permettant de garantir la sécurité des systèmes d’information publics et de renforcer la conformité réglementaire dans le domaine de la cybersécurité et d'assurer la protection des données sensibles
Origine et définition du RGS
Le RGS s'appuie sur l’ordonnance n°2005-1516 relative à la dématérialisation des procédures administratives. Publié en 2010 puis révisé en 2014 (version 2.0), il a simplifié son application et élargi son champ d'action, notamment pour la qualification des prestataires d’audit.
Selon la définition officielle de l'ANSSI :: « Le Référentiel Général de Sécurité est le cadre réglementaire permettant d’instaurer la confiance dans les échanges au sein de l’administration et avec les citoyens. »
Les objectifs du RGS
Le RGS poursuit un objectif central : assurer la confiance numérique.
Ses missions principales :
Protéger les données sensibles : garantir leur confidentialité, intégrité, disponibilité.
Authentifier les utilisateurs avec des moyens proportionnés aux risques.
Assurer la traçabilité des accès et actions pour prévenir les abus.
Encadrer la signature électronique pour garantir l’authenticité des documents.
Maintenir la continuité des services publics numériques.
Ces principes fondamentaux traduisent la volonté stratégique d’allier sécurité technique et conformité réglementaire pour protéger efficacement citoyens et administrations.
Qui est concerné par le RGS ?
Le RGS s’applique de manière obligatoire aux acteurs suivants :
Les administrations publiques (ministères, collectivités territoriales, établissements publics).
Les opérateurs de services publics (secteurs de la santé, de l'énergie, des transports, de l'éducation).
Les prestataires numériques du secteur public (éditeurs de logiciels, hébergeurs de données, intégrateurs de systèmes).
Les prestataires de confiance (organismes de certification, services d'horodatage, auditeurs de sécurité).
Les entreprises privées, bien que non soumises obligatoirement au RGS, peuvent s’appuyer sur le RGS comme référentiel de conformité réglementaire et comme guide de bonnes pratiques en cybersécurité.
L’homologation RGS
Depuis le décret n°2010-112, toute administration procédant à des échanges électroniques doit obtenir une homologation de sécurité.
La démarche d'homologation repose sur trois étapes :
Identifier les menaces et vulnérabilités potentielles.
Analyser les risques selon la criticité des données traitées.
Mettre en œuvre un plan d’action conforme aux exigences duRGS.
Cette homologation garantit que le système est sécurisé et conforme au niveau de risque identifié.
Certificats et niveaux de sécurité du RGS
Le RGS définit des certificats électroniques et des niveaux de sécurité proportionnés au degré de sensibilité des données traitées.
Certificats RGS
RGS* : Niveau élémentaire – authentification et signature basique.
RGS** : Niveau standard – délivré sur clé cryptographique remise en main propre ; utilisé pour les marchés publics et portails sensibles.
RGS*** : Niveau renforcé – attribué après vérification stricte, destiné aux usages critiques (santé, défense, infrastructures).
Niveaux de sécurité (étoiles)
★ : niveau de base, risques modérés.
★★ : niveau renforcé, données sensibles.
★★★ : niveau maximal, systèmes stratégiques.
Chaque niveau découle d’une analyse de risques, garantissant une protection proportionnée et conforme aux exigences réglementaires.
RGS et eIDAS : une convergence européenne
Le règlement eIDAS (Electronic Identification, Authentication and Trust Services), en vigueur depuis 2014, établit un cadre européen pour l’identification électronique et les services de confiance.
RGS** correspond à la signature avancée eIDAS.
RGS*** équivaut à la signature qualifiée eIDAS.
La double conformité RGS + eIDAS est fortement conseillée pour faciliter les échanges transfrontaliers. La future version 3 du RGS devrait encore simplifier cette compatibilité européenne.
Bien choisir son certificat RGS
Le choix d’un certificat repose sur l'analyse de plusieurs critères techniques et réglementaires :
Niveau de sécurité requis (★ à ★★★ selon la sensibilité des données).
Usage principal déterminant : signature électronique, authentification forte, chiffrement, sécurisation de serveurs
Compatibilité eIDAS essentielle pour les transactions européennes.
Durée de validité adaptée au projet (1 à 3 ans).
Autorité de certification reconnue par l’ANSSI.
Un certificat adapté garantit la sécurité optimale des données sensibles et la conformité réglementaire de l’organisation et l'interopérabilité avec les systèmes partenaires.
Conclusion
Le Référentiel Général de Sécurité (RGS) est un socle de conformité réglementaire pour la cybersécurité publique en France. En protégeant les données sensibles et en garantissant la continuité des services numériques, il s’impose comme un cadre essentiel face aux cybermenaces.