Le certificat RGS est un certificat numérique encadré par le Référentiel Général de Sécurité français, délivré par une autorité accréditée par l'ANSSI. Il garantit l'identité du signataire et la sécurité des échanges électroniques avec les administrations publiques.
Résumé en bref :
- Définition : Le certificat RGS est un fichier numérique qui associe l'identité d'une personne physique à une clé cryptographique, utilisé pour signer électroniquement en toute conformité.
- Trois niveaux : Le RGS se décline en 1 étoile (), 2 étoiles () et 3 étoiles (), du plus courant au plus sécurisé.
- Standard marchés publics : Le RGS 2 étoiles est le niveau le plus fréquemment utilisé dans les procédures dématérialisées et les appels d'offres publics, car compatible avec les exigences eIDAS.
- Complémentarité eIDAS : Les niveaux RGS et eIDAS s'articulent étroitement, offrant une reconnaissance juridique à l'échelle européenne pour les certificats conformes aux deux référentiels.
- Obtention : L'acquisition d'un certificat RGS passe obligatoirement par un prestataire de services de certification électronique qualifié par l'ANSSI.
Qu'est-ce qu'un certificat RGS pour la signature électronique ?
Dans les échanges avec les administrations publiques françaises, la signature électronique ne peut reposer sur n'importe quel certificat numérique. Elle doit s'appuyer sur un certificat conforme au Référentiel Général de Sécurité (RGS), le cadre réglementaire qui définit les exigences de sécurité applicables aux systèmes d'information des autorités administratives.
Un certificat RGS est, concrètement, un fichier numérique qui associe l'identité d'une personne physique à une clé cryptographique. Lors d'une signature électronique, il permet de garantir deux choses essentielles : que le signataire est bien la personne qu'il prétend être, et que le document n'a pas été modifié après la signature.
Il existe plusieurs types de certificats RGS, adaptés à des niveaux de sécurité et à des contextes d'usage différents. Le choix du bon type dépend à la fois des exigences de votre interlocuteur et de la sensibilité des échanges concernés.
Le Référentiel Général de Sécurité (RGS), un cadre national de confiance
Créé par ordonnance, le RGS a pour mission d'harmoniser les pratiques de sécurité des systèmes d'information des administrations françaises. Il couvre plusieurs domaines : authentification, signature électronique, chiffrement et horodatage.
C'est l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) qui définit le cadre du RGS, qualifie les produits de sécurité et habilite les organismes de qualification. Pour les services de certification électronique, les audits de qualification sont conduits par l'organisme LSTI, accrédité par le COFRAC et habilité par l'ANSSI. Ces prestataires sont régulièrement contrôlés pour s'assurer du maintien de leur conformité au référentiel de sécurité RGS.
Bon à savoir
Le RGS s'impose principalement aux administrations publiques et à leurs interlocuteurs directs. Pour les échanges strictement privés, il n'est pas obligatoire — mais il peut être exigé contractuellement, notamment dans les marchés publics.
Les trois niveaux de certificats RGS : caractéristiques et usages
Le RGS organise ses exigences autour de trois niveaux de certification, symbolisés par des étoiles. Chaque niveau impose des contraintes techniques et procédurales différentes, adaptées à la sensibilité des échanges concernés.
RGS 1 étoile (*) : pour les signatures courantes
Le premier niveau correspond à un usage standard. Il est adapté à la signature de documents courants : devis, factures internes, correspondances administratives simples.
Ses caractéristiques techniques :
- Le certificat peut être stocké sur un logiciel ou sur le poste de travail, sans support matériel obligatoire.
- L'obtention ne nécessite pas de vérification physique du demandeur.
- L'authentification repose sur un mécanisme simplifié.
Ce niveau offre une protection de base suffisante pour des contextes à faible enjeu. Il n'est en revanche pas adapté aux procédures exigeant une identification robuste du signataire.
RGS 2 étoiles (**) : le standard des marchés publics
Le niveau 2 étoiles constitue la référence pour les échanges avec les administrations et les procédures dématérialisées à enjeux juridiques. C'est le niveau le plus fréquemment utilisé dans les appels d'offres publics, car il satisfait les exigences de certification qualifiée imposées par le règlement eIDAS.
Ses caractéristiques techniques :
- La clé de certification doit être stockée sur un support cryptographique matériel (clé USB sécurisée ou carte à puce), ce qui empêche toute duplication ou export non autorisé.
- Une vérification physique de l'identité du demandeur est obligatoire auprès de l'autorité de certification.
- Il est reconnu par les principales plateformes administratives françaises : Banque de France, CERBERE, Synapse.
Ce niveau s'articule, au sens du règlement eIDAS, avec la signature électronique avancée reposant sur un certificat qualifié.
RGS 3 étoiles (***) : le niveau institutionnel
Le niveau 3 étoiles est réservé aux usages nécessitant le plus haut degré de sécurité et de traçabilité. Il est principalement mis en œuvre par des autorités de contrôle étatiques et des agences réglementaires aux exigences de sécurité très strictes.
Ses caractéristiques techniques :
- Les critères d'authentification, de validation et de conservation sont les plus rigoureux du référentiel.
- Une vérification physique d'identité est également obligatoire.
- Il est réservé aux usages institutionnels nécessitant le niveau de confiance le plus élevé.
Ce niveau s'articule avec le plus haut niveau de signature reconnu dans l'Union Européenne au sens du règlement eIDAS.
RGS et eIDAS : complémentaires, pas concurrents
L'un des points de confusion les plus fréquents concerne la relation entre le RGS et le règlement eIDAS. Ces deux référentiels ne s'opposent pas : ils opèrent à des échelles différentes et se renforcent mutuellement.
Le règlement eIDAS (n°910/2014 du Parlement européen et du Conseil) définit un cadre juridique commun pour les services de confiance au sein de l'Union Européenne. Il fixe trois niveaux de signature électronique — simple, avancée et qualifiée — reconnus dans tous les États membres.
Le RGS, lui, est un cadre national qui décline ces exigences pour le contexte spécifique des administrations françaises. Un certificat RGS correctement qualifié est conçu pour être compatible avec eIDAS.
Niveau RGS | Articulation eIDAS | Type de signature | Stockage du certificat |
|---|---|---|---|
RGS 1 étoile (*) | Proche de la signature simple | Électronique simple | Logiciel |
RGS 2 étoiles (**) | Proche de la signature avancée avec certificat qualifié | Avancée | Support cryptographique matériel |
RGS 3 étoiles (***) | Proche de la signature qualifiée | Qualifiée | Support cryptographique sécurisé |
Ces correspondances sont indicatives. L'ANSSI précise expressément qu'il n'existe pas d'équivalence parfaite entre les niveaux RGS et eIDAS, les critères de distinction n'étant pas identiques (Guide ANSSI — sélection du niveau de signature, p. 26).
Cette complémentarité est un avantage concret pour les entreprises françaises opérant à l'international : un certificat RGS conforme à eIDAS est reconnu non seulement en France, mais dans l'ensemble des États membres de l'Union Européenne.
« Les prestataires de services de confiance qualifiés font l'objet, au moins tous les vingt-quatre mois, d'un audit effectué à leurs frais par un organisme d'évaluation de la conformité. »
En France, ces évaluations de conformité sont conduites par l'organisme LSTI, habilité par l'ANSSI, pour les prestataires de certification RGS.
Comment obtenir un certificat RGS ?
Passer par un prestataire accrédité ANSSI
L'obtention d'un certificat RGS ne peut se faire qu'auprès d'un prestataire de services de certification électronique (PSCE) qualifié par l'ANSSI. Cette qualification garantit que le prestataire respecte les exigences techniques et organisationnelles du référentiel de sécurité RGS.
L'ANSSI publie et maintient une liste de référence des prestataires qualifiés, accessible sur son site officiel (cyber.gouv.fr). Il est recommandé de consulter cette liste avant tout choix, car tous les fournisseurs de certificats numériques ne sont pas habilités à délivrer des certificats RGS conformes au référentiel.
Bon à savoir
Youtrust figure dans la liste de confiance officielle de la Commission européenne (eSignature Trusted List). En tant qu'autorité de certification, Youtrust émet des certificats conformes au règlement eIDAS.
Passez à la vitesse supérieure
Tester gratuitement Youtrust pendant 14 jours
Les étapes clés de l'obtention
Comment obtenir un certificat RGS en 5 étapes
1 Identifiez votre besoin
Déterminez le niveau de certificat requis (1, 2 ou 3 étoiles) selon votre activité ou les exigences de votre interlocuteur.
2 Sélectionnez un prestataire accrédité ANSSI
Vérifiez sa présence sur la liste officielle publiée sur cyber.gouv.fr avant de vous engager.
3 Constituez votre dossier
Rassemblez vos pièces justificatives d'identité et, si nécessaire, les documents de représentation légale.
4 Procédez à la vérification d'identité
Obligatoire en présentiel auprès du prestataire pour les niveaux 2 et 3 étoiles.
5 Recevez votre certificat
Sous forme de support cryptographique matériel (clé USB sécurisée ou carte à puce) pour les niveaux 2 et 3 étoiles.
La durée de validité d'un certificat RGS est généralement de 1 à 2 ans selon le prestataire et le niveau choisi (la durée maximale de 3 ans n'est plus commercialisée chez les principaux émetteurs depuis 2025). Un renouvellement est nécessaire à l'expiration.
Dans quels contextes utiliser un certificat RGS ?
Les marchés publics et appels d'offres
C'est le cas d'usage le plus courant. L'arrêté du 12 avril 2018 relatif à la signature électronique dans la commande publique impose aux acheteurs publics qui exigent la signature électronique de recourir à une signature avancée basée sur un certificat qualifié conforme à eIDAS — niveau que satisfait notamment un certificat RGS 2 étoiles compatible eIDAS, pour les candidats qui en disposent encore.
La signature électronique dans les marchés publics concerne aussi bien les candidatures et les offres que les notifications de décisions et les échanges lors des négociations.
Attention
Vérifiez systématiquement les exigences spécifiques du cahier des charges avant de soumettre votre offre. Certains acheteurs précisent le niveau de certificat attendu ou la plateforme de dématérialisation à utiliser.
L'administration électronique
De nombreuses plateformes publiques françaises conditionnent leur accès à la détention d'un certificat RGS dans le cadre des échanges électroniques sécurisés avec l'administration :
- CERBERE : portail d'accès à certains services de santé publique
- Synapse : plateforme d'échanges entre organismes publics
- Portails fiscaux spécialisés : pour des démarches à fort enjeu juridique
Dans ces contextes, le niveau RGS 2 étoiles est généralement le minimum requis.
Les secteurs privés réglementés
Certains acteurs du secteur privé — banques, assurances, industries pharmaceutiques — utilisent également des certificats RGS lorsqu'ils répondent à des appels d'offres publics ou entretiennent des relations contractuelles avec des administrations. C'est une garantie de sécurité et de confiance reconnue, qui renforce la crédibilité auprès des partenaires institutionnels.
Comment choisir le bon niveau de certificat RGS ?
Le choix du niveau dépend avant tout du contexte de signature et des exigences de votre interlocuteur. Voici un tableau synthétique pour vous aider :
Situation | Niveau RGS recommandé |
|---|---|
Signature d'un devis ou d'une facture courante | RGS 1 étoile (*) |
Réponse à un marché public | RGS 2 étoiles (**) |
Accès à des plateformes administratives sécurisées (CERBERE, Synapse) | RGS 2 étoiles (**) |
Signature d'actes officiels à très haute valeur juridique | RGS 3 étoiles (***) |
Échanges avec des organismes institutionnels sensibles | RGS 3 étoiles (***) |
La règle est simple : plus les enjeux juridiques et sécuritaires sont élevés, plus le niveau de sécurité requis pour le certificat doit être élevé. En cas de doute, optez pour un niveau supérieur — vous serez toujours en conformité.
Avant de demander votre certificat RGS
Vérifiez le niveau requis
Consultez le cahier des charges ou les exigences de votre plateforme administrative (CERBERE, Synapse, appel d'offres…).
Choisissez un prestataire accrédité ANSSI
Consultez la liste officielle sur cyber.gouv.fr avant tout engagement.
Préparez vos justificatifs d'identité
Une vérification physique est obligatoire pour les niveaux 2 et 3 étoiles.
Anticipez le support matériel
Les niveaux 2 et 3 étoiles nécessitent une clé USB cryptographique ou une carte à puce.
Notez la date d'expiration
Programmez le renouvellement avant l'expiration (validité : 1 à 2 ans selon le prestataire).
FAQ — Vos questions sur le certificat RGS et la signature électronique
Qu'est-ce qu'un certificat RGS ? C
C'est un certificat numérique délivré par une autorité de certification qualifiée par l'ANSSI. Il atteste l'identité d'un signataire et garantit la sécurité des échanges électroniques dans le cadre du Référentiel Général de Sécurité français. Il est indispensable pour interagir avec les administrations publiques françaises dans de nombreux contextes.
Quelle est la différence entre RGS et eIDAS ?
Le RGS est un référentiel national français qui encadre la sécurité des systèmes d'information publics. eIDAS est le règlement européen qui définit les niveaux de signature reconnus dans toute l'UE. Les deux sont complémentaires, bien que leurs niveaux ne se superposent pas parfaitement : RGS 2 étoiles s'articule approximativement avec une signature avancée à certificat qualifié eIDAS ; RGS 3 étoiles, avec une signature qualifiée eIDAS.
Un certificat RGS est-il obligatoire pour signer électroniquement ?
Pas dans tous les cas. Il est nécessaire dès lors que vous interagissez avec des administrations publiques françaises ou que vous répondez à des marchés publics qui l'exigent. Pour les échanges privés, une signature conforme à eIDAS peut suffire.
Combien de temps dure un certificat RGS ?
La validité est généralement de 1 à 2 ans selon le prestataire de services de certification électronique choisi (la durée maximale de 3 ans n'est plus commercialisée depuis 2025 chez les principaux émetteurs). Un renouvellement est requis à l'expiration, ce qui implique de répéter la procédure d'obtention.
Peut-on utiliser un certificat RGS hors de France ?
Oui, dès lors que le certificat est également conforme au règlement eIDAS. Un RGS 2 ou 3 étoiles conforme à eIDAS est reconnu dans tous les États membres de l'Union Européenne.
Passez à la vitesse supérieure
Tester gratuitement Youtrust pendant 14 jours
