La transformation numérique de l’État français impose de nouvelles obligations aux organisations qui interagissent avec les services publics. Les certificats RGS s’inscrivent dans ce mouvement réglementaire avec une échéance qui se rapproche : le 1er janvier 2026. Cette date représente un cap que les entreprises, collectivités et administrations ne peuvent plus ignorer. Définis par le Référentiel Général de Sécurité, ces documents numériques attestent que les systèmes d’information respectent des normes précises de sécurité. Comprendre leurs exigences, identifier les acteurs compétents et anticiper les démarches d’obtention : voilà ce que toute organisation concernée doit maîtriser avant que l’échéance ne soit dépassée.
Le Référentiel Général de Sécurité : un cadre juridique aux implications concrètes
Le RGS, ou Référentiel Général de Sécurité, est un dispositif réglementaire français qui fixe les exigences de sécurité applicables aux systèmes d’information de l’État. Son origine remonte à l’ordonnance du 8 décembre 2005 relative aux échanges électroniques entre usagers et autorités administratives, complétée par des arrêtés successifs qui ont précisé son périmètre d’application.
Ce cadre ne se limite pas aux ministères. Il s’étend aux opérateurs de services numériques qui traitent des données pour le compte d’entités publiques, aux collectivités territoriales, et à toute structure proposant des téléservices aux citoyens. Concrètement, si votre organisation gère des formulaires administratifs en ligne, des échanges de données avec des organismes publics ou des procédures dématérialisées, vous entrez dans le champ d’application du RGS.
La distinction entre les niveaux de certification mérite attention. Le RGS classe les exigences en trois niveaux : une étoile, deux étoiles et trois étoiles, selon le degré de sensibilité des informations traitées. Plus le niveau est élevé, plus les contrôles techniques et organisationnels sont stricts. Cette gradation permet d’adapter les obligations à la réalité des risques, sans imposer des contraintes uniformes à toutes les structures.
Sur le plan juridique, le non-respect du RGS peut engager la responsabilité administrative d’une organisation. Les textes applicables figurent sur Légifrance, notamment l’arrêté du 13 juin 2014 qui constitue la version actuellement en vigueur. Seul un professionnel du droit peut évaluer précisément les responsabilités encourues dans une situation donnée, car les implications varient selon le statut juridique de l’entité concernée.
Ce que les certificats RGS exigent concrètement pour 2026
La date du 1er janvier 2026 marque une étape réglementaire majeure. Les évolutions législatives récentes en matière de cybersécurité, notamment dans le sillage de la directive européenne NIS 2 transposée en droit français, ont renforcé les obligations pesant sur les entités qui traitent des données sensibles. Les certificats RGS s’inscrivent dans cette dynamique de mise à niveau généralisée.
Un certificat RGS est un document numérique délivré par un prestataire qualifié, attestant que les systèmes d’information d’une organisation respectent les normes du référentiel. Il peut couvrir différents usages : la signature électronique, l’authentification, le chiffrement des données ou l’horodatage. Chaque usage correspond à des exigences techniques spécifiques que l’organisation doit démontrer.
Les exigences portent sur plusieurs dimensions. La politique de sécurité des systèmes d’information doit être formalisée et documentée. Les procédures de gestion des incidents, les contrôles d’accès, la traçabilité des opérations : chaque élément fait l’objet d’une vérification lors de l’audit de certification. Une organisation qui n’a pas encore entamé ce travail documentaire se trouve dans une position délicate à moins d’un an de l’échéance.
Selon les estimations disponibles, environ 80 % des entreprises concernées devront adapter leurs systèmes pour atteindre la conformité requise d’ici 2026. Ce chiffre, à prendre avec prudence car les périmètres d’application varient, illustre l’ampleur du chantier collectif. Les organisations qui ont déjà engagé une démarche ISO 27001 ou qui disposent d’un RSSI structuré partent avec une longueur d’avance significative.
Les organismes qui encadrent et délivrent les certifications
Le pilotage du dispositif RGS repose sur plusieurs acteurs dont les rôles sont complémentaires. L’ANSSI, Agence nationale de la sécurité des systèmes d’information, occupe la position centrale. C’est elle qui définit le référentiel, qualifie les prestataires de certification et publie les listes d’organismes autorisés à délivrer des certificats conformes. Son site officiel, ssi.gouv.fr, constitue la source de référence pour toute organisation cherchant à s’orienter dans ce dispositif.
Le Ministère de la Transition Numérique joue un rôle de coordination entre les différentes administrations et veille à la cohérence de la politique nationale de cybersécurité. C’est à ce niveau que se définissent les orientations stratégiques qui se traduisent ensuite dans les textes réglementaires applicables aux opérateurs privés.
Du côté des prestataires de certification, plusieurs entreprises sont qualifiées par l’ANSSI pour émettre des certificats RGS. CertEurope et Afnor Certification figurent parmi les acteurs reconnus sur ce marché. Leur rôle consiste à vérifier que les systèmes d’information de leurs clients respectent les exigences du référentiel, puis à émettre le certificat correspondant après un audit documentaire et technique.
Le choix du prestataire mérite une attention particulière. Tous les organismes de certification ne couvrent pas les mêmes niveaux ou les mêmes usages. Avant d’engager une procédure, il convient de vérifier que le prestataire figure bien sur la liste des prestataires qualifiés ANSSI et qu’il dispose d’une expérience dans le secteur d’activité concerné. Une erreur de périmètre peut conduire à obtenir un certificat inadapté aux obligations réelles de l’organisation.
Les risques réels pour les organisations non conformes
Ignorer l’échéance du 1er janvier 2026 n’est pas sans conséquences. Sur le plan administratif, une organisation non conforme peut se voir interdire de proposer des téléservices aux usagers ou d’accéder à certains marchés publics numériques. Cette exclusion fonctionnelle peut avoir des répercussions immédiates sur l’activité, notamment pour les prestataires du secteur public.
La responsabilité juridique est une autre dimension à ne pas négliger. En cas d’incident de sécurité touchant des données personnelles ou des informations sensibles, l’absence de certification RGS peut aggraver la situation de l’organisation face à la CNIL ou devant les juridictions administratives. La non-conformité devient alors un facteur aggravant qui complique toute défense.
Les risques opérationnels sont souvent sous-estimés. Une organisation qui n’a pas structuré sa sécurité informatique selon les exigences du RGS expose ses systèmes à des vulnérabilités qui auraient pu être détectées lors du processus de certification. L’audit préalable à l’obtention du certificat fonctionne aussi comme un diagnostic de sécurité qui révèle les failles existantes.
Les partenaires commerciaux et institutionnels prennent de plus en plus en compte le niveau de conformité de leurs cocontractants. Un défaut de certification peut fragiliser des relations contractuelles existantes ou bloquer l’accès à de nouveaux marchés. La réputation numérique d’une organisation devient un actif qui se construit aussi à travers ses certifications.
Obtenir son certificat RGS : le chemin concret vers la conformité
Le processus d’obtention d’un certificat RGS suit une séquence logique que toute organisation peut anticiper. Le coût moyen d’obtention se situe aux alentours de 500 euros selon les estimations disponibles, bien que ce montant varie sensiblement en fonction du niveau de certification visé, de la taille de l’organisation et du prestataire retenu. Cette donnée est à vérifier directement auprès des organismes qualifiés, car les tarifs évoluent régulièrement.
La démarche commence par un état des lieux interne. Avant tout contact avec un prestataire, l’organisation doit cartographier ses systèmes d’information, identifier les usages soumis au RGS et évaluer le niveau de certification requis. Cette phase préparatoire peut mobiliser plusieurs semaines selon la complexité du système d’information.
Les étapes suivantes structurent la procédure complète :
- Réaliser un audit interne de la politique de sécurité des systèmes d’information existante
- Identifier le niveau RGS requis (une, deux ou trois étoiles) selon la sensibilité des données traitées
- Sélectionner un prestataire qualifié ANSSI adapté au périmètre et au secteur d’activité
- Constituer le dossier de conformité : politiques, procédures, preuves techniques
- Passer l’audit de certification conduit par le prestataire qualifié
- Recevoir le certificat et planifier son renouvellement périodique
La durée totale du processus varie entre deux et six mois selon l’état de maturité de l’organisation. Les structures qui disposent déjà d’une documentation de sécurité structurée réduisent significativement ce délai. Avec une échéance fixée au 1er janvier 2026, les organisations qui n’ont pas encore initié la démarche doivent agir sans attendre pour éviter de se retrouver dans l’impossibilité de respecter le calendrier réglementaire.
Une recommandation s’impose : faire appel à un conseil juridique spécialisé en droit du numérique pour évaluer précisément les obligations applicables à votre structure. Les textes réglementaires sont disponibles sur Légifrance et les ressources techniques sur ssi.gouv.fr, mais leur interprétation dans un contexte organisationnel spécifique nécessite une expertise professionnelle que seul un praticien qualifié peut apporter.