La date du 1er janvier 2026 approche, et avec elle une obligation de mise en conformité que beaucoup d’organisations sous-estiment encore. Les certificats RGS — ces outils de sécurité qui garantissent l’identité des signataires électroniques et la fiabilité des échanges numériques — vont devenir une exigence incontournable pour toute entité traitant avec les services de l’État. Comprendre ce que recouvre ce cadre, anticiper les étapes de transition et identifier les bons interlocuteurs : voilà ce que cette mise à jour réglementaire exige concrètement. Selon les estimations disponibles, environ 80 % des entreprises concernées devront adapter leurs systèmes d’information avant cette échéance. Mieux vaut commencer dès maintenant.
Ce que sont réellement les certificats RGS et pourquoi ils changent les règles
Le Référentiel Général de Sécurité, plus connu sous l’acronyme RGS, est un cadre juridique et technique élaboré par l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). Son objectif : définir les exigences minimales de sécurité pour les systèmes d’information des autorités administratives françaises. Les certificats qui en découlent attestent, de manière cryptographique, de l’identité d’un signataire ou d’un système et garantissent l’intégrité des données échangées.
Un certificat RGS n’est pas un simple document administratif. C’est une clé numérique émise par une autorité de certification qualifiée, qui lie une identité vérifiée à une paire de clés cryptographiques. Cette liaison est contrôlée selon des procédures strictes d’enregistrement et de vérification d’identité. Sans elle, une signature électronique peut être contestée devant les tribunaux, et un échange de données avec une administration peut être considéré comme non conforme.
Le RGS distingue plusieurs niveaux de qualification : RGS, RGS et RGS. Chaque étoile correspond à un degré croissant d’exigences en matière d’identification du porteur, de protection du secret de la clé privée et de robustesse des algorithmes utilisés. Une signature de niveau RGS** nécessite, par exemple, l’usage d’un support physique sécurisé (carte à puce ou token USB certifié).
Ce cadre s’applique aux autorités administratives au sens large : ministères, collectivités territoriales, établissements publics, mais aussi, par extension contractuelle, aux prestataires privés qui interagissent avec ces entités via des téléservices. C’est là que l’obligation touche le secteur privé : toute entreprise qui soumet des documents signés électroniquement à une administration doit utiliser un certificat conforme au niveau RGS exigé par cette administration.
La signature électronique qualifiée au sens du règlement européen eIDAS et la signature conforme RGS ne sont pas identiques, même si elles partagent des fondements techniques communs. Cette distinction a des conséquences pratiques directes sur le choix des outils et des prestataires. Seul un professionnel du droit spécialisé en droit du numérique peut conseiller une organisation sur l’articulation précise de ces deux référentiels dans son contexte spécifique.
Échéances et obligations légales à ne pas manquer
Le 1er janvier 2026 constitue la date butoir officielle pour la transition vers les nouveaux certificats RGS. Cette échéance n’est pas une simple recommandation : elle découle de décisions réglementaires publiées au Journal officiel et accessibles sur Légifrance (legifrance.gouv.fr). Les organisations qui n’auront pas mis à jour leurs systèmes de signature et d’authentification s’exposeront à des refus de traitement de leurs démarches électroniques par les administrations.
Les conséquences d’un non-respect peuvent être lourdes. Un dossier de réponse à un appel d’offres public signé avec un certificat non conforme peut être rejeté comme irrecevable. Une déclaration fiscale dématérialisée ou un acte juridique transmis sans la bonne certification peut être considéré comme non produit dans les délais. Ces situations génèrent des risques contentieux réels, en droit administratif notamment.
La mise en conformité n’est pas instantanée. L’obtention d’un certificat RGS implique un processus de vérification d’identité physique du porteur, des délais d’émission par l’autorité de certification, et parfois une formation des utilisateurs. Les organisations qui attendent le dernier trimestre 2025 prennent un risque sérieux de ne pas être prêtes à temps.
Le Ministère de la Transition Numérique a publié des orientations sur les calendriers de transition. Ces documents précisent les étapes intermédiaires recommandées : audit de l’existant, sélection des prestataires qualifiés, phase de test, déploiement progressif. Consulter régulièrement le site de l’ANSSI (ssi.gouv.fr) reste le meilleur moyen de suivre les évolutions de ces exigences, car les textes techniques peuvent être mis à jour.
Les acteurs qui structurent cette transition
L’ANSSI est l’autorité de référence. Elle qualifie les prestataires de services de certification électronique (PSCE) autorisés à émettre des certificats RGS. La liste de ces prestataires qualifiés est publiée sur son site officiel. Faire appel à un PSCE non référencé par l’ANSSI revient à obtenir un certificat sans valeur juridique dans le cadre des échanges avec l’administration française.
Les fournisseurs de solutions de signature électronique jouent un rôle opérationnel direct. Certains proposent des offres intégrées couvrant à la fois l’émission du certificat, la plateforme de signature et l’archivage des preuves. D’autres se concentrent sur la fourniture du certificat seul. Le choix entre ces modèles dépend de la volumétrie de signatures, du niveau de sécurité requis et de la capacité interne à gérer les aspects techniques.
Les directions juridiques et DSI des organisations doivent travailler de concert sur ce sujet. La conformité RGS n’est pas uniquement une question informatique : elle engage la valeur probante des actes signés, ce qui relève du droit de la preuve et, dans certains cas, du droit des contrats. Une mauvaise configuration technique peut invalider une signature pourtant émise par un certificat valide.
Les cabinets d’avocats spécialisés en droit du numérique accompagnent de plus en plus d’organisations dans l’analyse de leurs obligations spécifiques. Chaque secteur d’activité peut avoir des exigences particulières : la santé, avec le traitement des données médicales, ou le secteur bancaire, soumis à des réglementations croisées entre RGS et directives européennes. Un accompagnement personnalisé reste la voie la plus sûre pour éviter les erreurs d’interprétation.
Mettre en place sa transition : un plan d’action concret
Anticiper cette transition nécessite une démarche structurée. La première erreur des organisations est de considérer ce chantier comme purement technique. La mise en conformité touche les processus métiers, les contrats avec les prestataires, la formation des collaborateurs et parfois la révision des procédures internes de signature et de validation.
Voici les actions à engager sans attendre :
- Réaliser un audit de l’existant : recenser tous les certificats électroniques actuellement utilisés, leur date d’expiration, leur niveau de qualification et les usages associés.
- Identifier les téléservices concernés : lister les démarches administratives dématérialisées qui exigent une signature ou une authentification certifiée, et vérifier le niveau RGS requis pour chacune.
- Sélectionner un prestataire de services de certification qualifié par l’ANSSI, en comparant les offres sur les critères de délai d’émission, de support technique et de compatibilité avec les outils existants.
- Planifier la phase de déploiement en tenant compte des contraintes opérationnelles : renouvellement progressif, gestion des certificats en cours de validité, mise à jour des systèmes de signature.
- Former les utilisateurs concernés à l’utilisation des nouveaux supports cryptographiques et aux procédures de signature conformes.
- Mettre en place un suivi des échéances : les certificats RGS ont une durée de validité limitée et doivent être renouvelés avant expiration pour éviter toute interruption de service.
La gestion documentaire liée à cette transition mérite une attention particulière. Les preuves de conformité — attestations d’émission, journaux de signature, politiques de certification — doivent être conservées de manière à pouvoir être produites en cas de litige ou de contrôle. Le droit de la preuve électronique impose une traçabilité rigoureuse.
Une organisation qui commence son audit dès aujourd’hui dispose d’un horizon confortable pour corriger les écarts, tester les nouvelles solutions et former ses équipes sans précipitation. Celle qui attend mi-2025 devra gérer simultanément la sélection du prestataire, les délais d’obtention des certificats et la formation des utilisateurs, dans un contexte où la demande sera probablement forte. Le calendrier parle de lui-même.
Les PME et TPE qui interagissent régulièrement avec des marchés publics ou des administrations ont tout intérêt à se rapprocher de leurs organisations professionnelles ou de leurs chambres de commerce, qui proposent souvent des ressources et des accompagnements collectifs sur ces sujets de conformité numérique. Les ressources disponibles sur Service-Public.fr peuvent également constituer un point de départ utile pour identifier les démarches concernées.