La sécurité numérique est devenue une préoccupation centrale pour les administrations et les professionnels du droit. Les certificats RGS — acronyme du Référentiel Général de Sécurité — constituent aujourd’hui un dispositif réglementaire que nul acteur du secteur public ne peut ignorer. Depuis leur mise en place en 2010 par l’État français, ces certifications encadrent la manière dont les systèmes d’information traitent, transmettent et protègent des données sensibles. Dans un contexte juridique où la dématérialisation des procédures s’accélère, où les échanges entre justiciables, avocats et administrations passent massivement par des canaux numériques, comprendre ce cadre de sécurité devient une nécessité pratique et une obligation légale pour de nombreux acteurs.
Ce que recouvre réellement le Référentiel Général de Sécurité
Le Référentiel Général de Sécurité est un cadre normatif établi par décret, dont la gestion relève de l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Son objectif premier : définir les exigences minimales de sécurité que doivent respecter les systèmes d’information des autorités administratives. Concrètement, il s’applique à toute entité qui gère des téléservices publics, c’est-à-dire des services en ligne accessibles aux citoyens ou aux entreprises.
Le RGS distingue plusieurs niveaux de certification, notés une étoile (), deux étoiles () ou trois étoiles (). Plus le niveau est élevé, plus les exigences de sécurité sont strictes. Un service de simple consultation de données ne sera pas soumis aux mêmes contraintes qu’une plateforme permettant de signer des actes authentiques ou de déposer des pièces judiciaires.
La dernière mise à jour du référentiel date de 2021. Cette révision a tenu compte des évolutions technologiques et des nouvelles menaces pesant sur les infrastructures numériques de l’État. Elle a notamment renforcé les exigences relatives à la gestion des identités numériques et à l’authentification des utilisateurs, deux points particulièrement sensibles dans le domaine juridique où la traçabilité des actions est une exigence procédurale.
Il faut distinguer le RGS d’autres référentiels qui lui sont proches mais distincts. Le RGPD, par exemple, porte sur la protection des données personnelles, tandis que le RGS se concentre sur la sécurité des systèmes eux-mêmes. Les deux se complètent sans se confondre, et une organisation peut être conforme à l’un sans l’être à l’autre.
Les organismes qui délivrent et supervisent ces certifications
La chaîne de certification RGS repose sur plusieurs acteurs aux rôles bien définis. Au sommet, l’ANSSI fixe les règles du jeu : elle publie le référentiel, accrédite les organismes de certification et supervise l’ensemble du dispositif. Son site officiel, ssi.gouv.fr, centralise les textes de référence et la liste des prestataires qualifiés.
Les organismes de certification accrédités jouent un rôle d’évaluateurs indépendants. Ils analysent les systèmes d’information des demandeurs, vérifient leur conformité aux exigences du RGS et délivrent les certificats correspondants. Ces organismes sont eux-mêmes soumis à des audits réguliers pour maintenir leur accréditation. La rigueur de ce système pyramidal garantit une certaine homogénéité des certifications délivrées sur le territoire.
Le Ministère de l’Intérieur figure parmi les acteurs institutionnels directement concernés, notamment pour les téléservices liés à l’état civil, aux titres d’identité ou aux procédures préfectorales. Dans le domaine judiciaire, le Ministère de la Justice supervise des plateformes comme le Portail du justiciable ou les systèmes d’échange entre juridictions, tous soumis aux exigences du RGS.
Pour les professionnels du droit — avocats, notaires, huissiers — la question de la certification RGS se pose différemment. Ils n’obtiennent pas eux-mêmes un certificat RGS au sens propre, mais ils utilisent des outils et des plateformes qui doivent en être pourvus. Le Réseau Privé Virtuel des Avocats (RPVA), par exemple, repose sur une infrastructure de sécurité conforme aux exigences du référentiel.
Comment obtenir un certificat RGS : les étapes concrètes
L’obtention d’un certificat RGS suit un processus structuré qui demande anticipation et méthode. Le délai moyen oscille entre trois et six mois selon la complexité du système à certifier et la disponibilité de l’organisme évaluateur. Ce calendrier doit absolument être intégré dans les projets de dématérialisation dès leur phase de conception.
La démarche se décompose en plusieurs étapes successives :
- Analyse préalable du système : cartographier les composants du système d’information, identifier les données traitées et déterminer le niveau RGS requis (, ou ).
- Sélection d’un organisme de certification accrédité par l’ANSSI, dont la liste est disponible sur le site officiel de l’agence.
- Audit de conformité : l’organisme évaluateur examine la documentation technique, les politiques de sécurité et réalise des tests sur le système.
- Traitement des écarts : si des non-conformités sont détectées, le demandeur dispose d’un délai pour mettre son système en conformité avant un nouvel examen.
- Délivrance du certificat : une fois toutes les exigences satisfaites, l’organisme émet le certificat pour une durée déterminée, assortie d’obligations de surveillance continue.
Le coût de la démarche varie selon les prestataires et la complexité du périmètre audité. Les tarifs pratiqués se situent entre 200 et 500 euros pour les certifications les plus simples, mais cette fourchette peut être largement dépassée pour des systèmes d’information complexes nécessitant des audits approfondis. Ces chiffres sont donnés à titre indicatif et peuvent évoluer selon les prestataires et les mises à jour réglementaires.
Une erreur fréquente consiste à traiter la certification comme un événement ponctuel. C’est un processus continu. Le certificat obtenu doit être maintenu, ce qui implique des audits de suivi réguliers et une veille permanente sur les évolutions du référentiel.
Ce que la certification change pour les acteurs du droit
Pour les structures juridiques et judiciaires, la certification RGS n’est pas qu’une formalité administrative. Elle conditionne concrètement la capacité à proposer des téléservices aux citoyens et aux professionnels. Une juridiction ou une administration qui n’a pas mis son système en conformité ne peut pas légalement proposer certaines procédures dématérialisées.
Du côté des avantages opérationnels, la certification apporte une crédibilité mesurable. Les partenaires institutionnels, les justiciables et les prestataires techniques savent que le système audité répond à des exigences vérifiées par un tiers indépendant. Cette transparence réduit les risques contractuels et facilite les partenariats entre entités publiques.
Environ 30 % des entreprises du secteur public en France seraient certifiées RGS selon les estimations disponibles. Ce chiffre révèle un écart significatif entre l’obligation réglementaire et la réalité du terrain. Beaucoup de structures, notamment les plus petites, peinent à mobiliser les ressources techniques et financières nécessaires pour engager une démarche de certification.
Les obligations de conformité ne s’arrêtent pas à la porte des administrations. Les prestataires privés qui développent ou hébergent des systèmes d’information pour le compte d’autorités administratives sont eux aussi concernés. Un éditeur de logiciel qui fournit un outil de gestion documentaire à un tribunal doit s’assurer que sa solution est compatible avec les exigences du niveau RGS applicable.
Seul un professionnel du droit ou de la sécurité des systèmes d’information peut évaluer précisément les obligations applicables à une situation donnée. Les textes de référence sont consultables sur Légifrance et sur le site de l’ANSSI, mais leur interprétation dans un contexte particulier requiert une expertise spécialisée.
Quand la sécurité numérique devient une question de droit
La convergence entre droit et sécurité informatique s’accélère. Les incidents de sécurité touchant des systèmes non certifiés exposent leurs responsables à des sanctions administratives, mais aussi à des mises en cause civiles ou pénales si des données personnelles ou des informations protégées par le secret professionnel sont compromises.
Le droit administratif encadre directement les obligations liées au RGS via le décret n° 2010-112 du 2 février 2010, modifié depuis. Ce texte, accessible sur Légifrance, pose les bases légales de l’obligation de conformité pour les autorités administratives. Son articulation avec le RGPD, la directive NIS2 transposée en droit français, et les règles propres à certaines professions réglementées crée un maillage juridique dense que les acteurs du droit doivent maîtriser.
La signature électronique qualifiée, par exemple, repose sur des certificats dont le niveau de sécurité doit correspondre aux exigences RGS applicables. Dans les procédures judiciaires dématérialisées, une signature réalisée avec un certificat non conforme peut être contestée et entraîner la nullité d’un acte. Les conséquences procédurales d’une défaillance technique peuvent donc être directement préjudiciables aux justiciables.
Les juridictions administratives commencent à être saisies de litiges portant sur la conformité des systèmes utilisés par des administrations. Ce contentieux émergent confirme que la certification RGS n’est plus un sujet réservé aux informaticiens : elle intéresse désormais pleinement les juristes, les magistrats et les praticiens du droit public comme du droit privé.