Comment protéger ces informations et empêcher un accès ou une signature non autorisée ? Le Référentiel Général de Sécurité (RGS) apporte aux administrations ce cadre de sécurité.
Qu’est-ce que le RGS (Référentiel Général de Sécurité) ?
Le RGS (Référentiel Général de Sécurité) est le cadre réglementaire français consacré à la sécurité des échanges électroniques des administrations. Il s’applique aux services numériques utilisés dans leurs relations avec les usagers, mais aussi aux échanges entre autorités administratives.
Le RGS est obligatoire pour les administrations concernées. Sa version 2.0, toujours en vigueur, a été approuvée par l’arrêté du 13 juin 2014. Elle s’applique aujourd’hui aux côtés du règlement européen eIDAS, modifié en 2024.
Le référentiel est maintenu à jour par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), avec la Direction interministérielle du numérique (DINUM). L’ANSSI publie également des guides d’application, qualifie les produits de sécurité et habilite les organismes chargés de qualifier les services de confiance.
Quelles administrations, quels services sont concernés par le RGS ?
Le RGS concerne :
- les administrations de l’État ;
- les collectivités territoriales ;
- les établissements publics administratifs ;
- les organismes de protection sociale ;
- et les organismes chargés d’un service public administratif.
Il s’applique à leurs téléservices, c’est-à-dire aux systèmes d’information qui permettent d’effectuer une démarche ou un échange à distance.
Par exemple :
- une inscription scolaire ;
- une demande de prestation sociale ;
- le paiement d’une facture publique ;
- une plateforme de marchés publics ;
- la transmission de données à une préfecture.
Le référentiel RGS s’adresse aussi aux organismes publics ou privés qui fournissent des produits ou des services de confiance. Les administrations peuvent notamment recourir à des prestataires qualifiés pour les certificats électroniques, l’horodatage ou les audits de sécurité.. Les administrations peuvent notamment recourir à des prestataires qualifiés pour les certificats électroniques, l’horodatage ou les audits de sécurité.
Comment une administration applique-t-elle le RGS ?
Le processus d’ouverture d’un téléservice dans le cadre du RGS peut se résumer à 5 grandes étapes.
L’analyse des risques
L’administration commence par identifier les événements susceptibles d’affecter le service : accès frauduleux, usurpation d’identité, modification d’un document, divulgation de données ou interruption du service.
Elle évalue ensuite leurs conséquences. Les protections demandées ne seront pas les mêmes pour un formulaire d’information générale et pour une démarche donnant accès à des données personnelles ou permettant de signer un acte administratif.
Cette analyse détermine le niveau de sécurité à atteindre.
Les protections à mettre en place
Selon les risques identifiés, les mesures peuvent porter sur :
- l’identification électronique, qui permet de connaître l’identité déclarée d’un utilisateur ;
- l’authentification, qui vérifie cette identité ;
- la gestion des droits d’accès ;
- la confidentialité et le chiffrement des échanges ;
- l’horodatage, qui associe une date et une heure à une opération ou à un document ;
- la journalisation des opérations ;
- la sauvegarde et la continuité du service ;
- la signature électronique, qui permet d’identifier le signataire et de vérifier que le document n’a pas été modifié ;
- le cachet électronique, qui atteste l’origine d’un document émis par une personne morale ;
- l’audit de sécurité, qui contrôle le niveau de protection du système.
Lorsque l’analyse fait apparaître un besoin cryptographique, le RGS prévoit des recommandations sur le choix des mécanismes de chiffrement et d’authentification.
L’homologation RGS du téléservice
L’ANSSI présente l’homologation comme la première obligation du RGS. Elle commence par l’analyse des risques et conduit à définir les mesures nécessaires pour le système étudié.
Elle ne garantit donc pas l’absence totale de risque. Elle oblige l’administration à connaître les vulnérabilités du service, à justifier ses choix et à prendre formellement la responsabilité de son ouverture.
Le suivi après la mise en ligne
Après l’ouverture du service dans les règles, l’administration doit traiter les incidents et réévaluer les protections lorsque le système, les usages ou les risques évoluent.
Une nouvelle fonctionnalité, un changement d’hébergement ou l’ajout de données sensibles peuvent ainsi conduire à revoir l’analyse des risques et la décision d’homologation.
Comment le RGS s’articule avec eIDAS ?
Le Référentiel général de sécurité (RGS) fixe les règles applicables aux services numériques des administrations françaises.
Le règlement européen eIDAS encadre, à l’échelle de l’Union européenne, l’identification électronique, la signature électronique et les autres services de confiance.
Les deux textes se complètent, mais ils ne couvrent pas exactement les mêmes usages.
Pour une administration française, le RGS encadre la sécurité du service numérique. Le règlement européen eIDAS intervient surtout lorsqu’il faut reconnaître une identification, une signature ou un cachet électronique provenant d’un autre État membre.
Indexware accompagne les administrations et les organismes publics dans la dématérialisation de leurs processus, notamment avec des solutions de signature électronique, d’e-parapheur et de workflow adaptées à leurs besoins de sécurité. Contactez notre équipe pour en savoir plus.
Sources :
(1) Sénat, Faciliter l’accès aux services publics : restaurer le lien de confiance entre les administrations et les administrés, rapport d’information n° 895, 16 septembre 2025, d’après le Baromètre du numérique 2025 du Crédoc.
