La sécurité des échanges numériques entre administrations et usagers repose sur un dispositif technique précis : les certificats RGS. Ces certificats électroniques, encadrés par le Référentiel Général de Sécurité, garantissent à la fois l’identité du signataire et l’intégrité des données transmises. Pourtant, depuis 2020, les fraudes liées à ces certificats ont augmenté de 50 %, selon les données compilées par l’ANSSI. En 2023, près de 10 % des certificats contrôlés présentaient des anomalies suspectes. Face à des mises à jour réglementaires prévues pour 2026, comprendre les mécanismes de fraude et les moyens de s’en prémunir devient une nécessité concrète pour toute organisation manipulant des données sensibles. Seul un professionnel du droit ou de la cybersécurité peut fournir un conseil adapté à votre situation spécifique.
Ce que sont réellement les certificats RGS et pourquoi ils comptent
Un certificat RGS est un certificat électronique délivré par une autorité de certification qualifiée, conforme aux exigences du Référentiel Général de Sécurité défini par l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Il atteste l’identité d’une personne physique ou morale lors d’une transaction numérique, et garantit que les données échangées n’ont pas été altérées en transit.
Ces certificats s’appliquent principalement aux échanges avec les services publics : dépôt de marchés publics, déclarations fiscales dématérialisées, accès aux plateformes gouvernementales. Leur validité est limitée à deux ans, après quoi un renouvellement est obligatoire. Cette contrainte temporelle est précisément l’une des failles exploitées par les fraudeurs.
Le RGS distingue plusieurs niveaux de certification, notés de une à trois étoiles, selon le degré de sécurité requis. Un certificat RGS* (deux étoiles) exige une vérification d’identité en face à face, tandis qu’un certificat RGS (une étoile) tolère une vérification à distance. Cette hiérarchie détermine directement les usages autorisés et le niveau de confiance accordé par les systèmes destinataires.
La CNIL surveille par ailleurs le traitement des données personnelles associées à la délivrance de ces certificats. Toute violation de données dans ce contexte peut déclencher une procédure administrative distincte, indépendante des poursuites pénales éventuelles. Le cadre juridique est donc doublement contraignant : d’un côté le droit pénal pour les actes frauduleux, de l’autre le droit administratif pour les manquements aux obligations de sécurité.
État des lieux : les fraudes détectées en 2023
Les chiffres publiés par l’ANSSI pour l’année 2023 dessinent un tableau préoccupant. Sur l’ensemble des certificats contrôlés, 10 % présentaient des irrégularités : usurpation d’identité lors de la demande, falsification de pièces justificatives, ou utilisation d’un certificat périmé comme s’il était encore valide. Ces trois catégories concentrent l’essentiel des incidents signalés.
L’usurpation d’identité lors de la demande de certificat représente la fraude la plus sophistiquée. Le fraudeur se présente — ou envoie un complice — auprès d’un fournisseur de services de certification avec de faux documents d’identité. Une fois le certificat obtenu, il peut signer des documents au nom de la victime, accéder à des marchés publics ou valider des transactions administratives sans que la personne concernée en soit informée.
La falsification de pièces justificatives touche davantage les personnes morales. Des extraits Kbis modifiés, des délégations de pouvoir contrefaites ou des statuts d’entreprise altérés permettent d’obtenir un certificat au nom d’une société sans l’accord de ses dirigeants légitimes. Le Ministère de la Justice a recensé plusieurs affaires de ce type impliquant des PME dont les certificats avaient été détournés pour signer des contrats fictifs.
La hausse de 50 % des fraudes depuis 2020 s’explique en partie par la généralisation des démarches dématérialisées accélérée par la crise sanitaire. Davantage d’organisations ont adopté rapidement ces outils sans former suffisamment leurs équipes aux risques associés. Une adoption rapide sans acculturation aux bonnes pratiques crée mécaniquement des vulnérabilités.
Le cadre légal applicable et ses évolutions prévues pour 2026
Le Référentiel Général de Sécurité, institué par l’ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives, constitue le texte fondateur. Il a été complété par plusieurs arrêtés et circulaires, consultables sur Légifrance. Le RGS s’inscrit par ailleurs dans le cadre européen du règlement eIDAS (règlement UE n°910/2014), qui harmonise les signatures électroniques au niveau communautaire.
La fraude liée aux certificats RGS relève principalement du droit pénal. L’article 441-1 du Code pénal réprime le faux et l’usage de faux, passible de trois ans d’emprisonnement et 45 000 euros d’amende. Lorsque la fraude implique un accès non autorisé à un système informatique, l’article 323-1 du même code s’applique, portant les peines à cinq ans d’emprisonnement et 150 000 euros d’amende.
Pour 2026, l’ANSSI prépare une révision du RGS intégrant des exigences renforcées sur la vérification d’identité à distance, notamment via des technologies de vérification biométrique. Le règlement eIDAS 2.0, adopté au niveau européen, impose également aux États membres d’aligner leurs référentiels nationaux sur de nouveaux standards de sécurité. Ces évolutions auront un impact direct sur les procédures de délivrance et de renouvellement des certificats.
Les fournisseurs de services de certification agréés par l’ANSSI devront adapter leurs processus d’ici à l’entrée en vigueur des nouvelles dispositions. Les organisations qui utilisent des certificats RGS devront anticiper ces changements pour éviter toute interruption de service lors du renouvellement de leurs certificats. Consulter régulièrement le site officiel ssi.gouv.fr reste le moyen le plus fiable de suivre ces évolutions.
Stratégies concrètes pour prévenir les fraudes liées aux certificats RGS
La prévention des fraudes repose sur des mesures organisationnelles autant que techniques. Aucun outil seul ne suffit : c’est la combinaison de procédures rigoureuses, de formation des équipes et de surveillance active qui réduit réellement l’exposition au risque.
La première ligne de défense consiste à sécuriser le processus de demande du certificat. Cela implique de désigner un référent interne chargé de superviser toutes les démarches de certification, de vérifier systématiquement les pièces justificatives avant toute soumission, et de ne jamais déléguer cette démarche à un prestataire externe sans contrat de responsabilité explicite.
La gestion du cycle de vie des certificats mérite une attention particulière. Un certificat non renouvelé à temps peut pousser un collaborateur à utiliser des solutions de contournement non sécurisées. À l’inverse, un certificat périmé conservé dans un système sans être révoqué formellement crée une vulnérabilité exploitable.
- Mettre en place un registre interne recensant tous les certificats détenus par l’organisation, avec leurs dates d’expiration et les personnes responsables de leur renouvellement.
- Configurer des alertes automatiques au moins trois mois avant l’expiration de chaque certificat pour éviter toute rupture de service ou recours à des solutions non conformes.
- Former les équipes aux tentatives de phishing ciblé visant à récupérer des identifiants liés aux certificats, une technique en forte hausse depuis 2022.
- Vérifier l’accréditation de tout fournisseur de certification sur la liste officielle publiée par l’ANSSI avant toute contractualisation.
- Signaler immédiatement toute anomalie à l’autorité de certification émettrice et demander la révocation du certificat compromis sans attendre.
La journalisation des usages des certificats constitue une mesure souvent négligée. Conserver des traces horodatées de chaque utilisation permet, en cas de litige, de prouver qu’un certificat a été utilisé sans autorisation. Ce type de preuve est directement recevable dans le cadre d’une procédure pénale pour faux et usage de faux.
Agir avant que la fraude ne survienne : les réflexes à adopter dès maintenant
Attendre 2026 et les nouvelles obligations réglementaires pour revoir ses pratiques serait une erreur de calendrier. Les fraudeurs n’attendent pas les réformes. Les organisations qui auditent leurs processus dès aujourd’hui disposent d’un avantage concret : elles identifient leurs vulnérabilités avant qu’elles ne soient exploitées.
Un audit de sécurité ciblé sur la gestion des certificats RGS peut être conduit en interne ou confié à un prestataire spécialisé référencé par l’ANSSI. Cet audit examine la chaîne complète : demande initiale, stockage des certificats, droits d’accès, procédures de révocation. Chaque maillon faible identifié est une fraude potentielle évitée.
La sensibilisation des dirigeants reste un levier sous-exploité. Dans de nombreuses organisations, les décisions relatives aux certificats RGS sont déléguées à des équipes techniques sans que la direction mesure les implications juridiques d’une compromission. Or, en droit pénal français, la responsabilité du dirigeant peut être engagée si la négligence dans la gestion des outils de signature électronique facilite une fraude.
Rapprochez-vous d’un avocat spécialisé en droit du numérique ou d’un expert en cybersécurité pour obtenir une analyse adaptée à votre structure. Les textes de référence — ordonnance de 2005, règlement eIDAS, Code pénal — posent un cadre général que seul un professionnel peut traduire en obligations concrètes pour votre organisation. Les ressources publiées sur Légifrance et ssi.gouv.fr constituent un point de départ solide, mais ne remplacent pas un conseil individualisé.
La fraude aux certificats RGS n’est pas une menace abstraite. Elle a des conséquences financières, juridiques et réputationnelles mesurables. Les organisations qui traitent cette question avec la même rigueur qu’elles appliquent à leurs obligations comptables ou fiscales sont celles qui traversent les crises de sécurité avec le moins de dommages.