RGS (référentiel général de sécurité) : ce qu'il impose

Le RGS, ou référentiel général de sécurité, fixe les règles que les autorités administratives françaises doivent suivre pour sécuriser leurs systèmes d'information, en particulier les téléservices et les échanges électroniques avec les usagers. Issu d'une ordonnance de 2005 et d'un décret de 2010, il est aujourd'hui en version 2.0, en vigueur depuis le 1er juillet 2014. Sa première obligation est l'homologation de sécurité : une décision formelle, prise avant la mise en service, qui accepte les risques résiduels d'un système.

Le sigle RGS a plusieurs sens ; en cybersécurité, il désigne le référentiel général de sécurité publié par l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information. Son objectif est d'établir la confiance dans les échanges électroniques entre l'administration et les usagers, et entre administrations.

Selon l'ANSSI, il réunit trois choses :

• une méthode pour sécuriser un système d'information, de l'analyse de risques à l'homologation ;
• un état de l'art pour les fonctions de sécurité : identification, signature électronique, confidentialité, horodatage, mécanismes cryptographiques ;
• un dispositif de qualification des produits de sécurité et des prestataires de services de confiance.

Le RGS n'est pas une liste de cases à cocher. Il demande à chaque administration de partir de ses propres risques et de décider, en connaissance de cause, des mesures adaptées. En ce sens, il est plus proche d'une démarche de gestion des risques que d'un catalogue de contrôles.

Le RGS s'impose aux autorités administratives, que l'ANSSI répartit en six catégories :

• les administrations de l'État ;
• les collectivités territoriales ;
• les établissements publics à caractère administratif ;
• les organismes gérant des régimes de protection sociale ;
• les autres organismes chargés de la gestion d'un service public administratif ;
• les commissions de prévention des expulsions locatives.

Une mairie qui ouvre un portail de démarches en ligne, un conseil départemental qui gère des aides sociales par voie électronique ou une caisse de sécurité sociale sont donc concernés au premier chef. Le RGS vise aussi les prestataires, publics ou privés, qui fournissent des produits ou des services de confiance à ces autorités : il fixe les normes qu'ils doivent respecter pour être qualifiés. Pour toutes les autres organisations, l'ANSSI le présente comme un recueil de bonnes pratiques conforme à l'état de l'art.

Le RGS repose sur l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques avec et entre les autorités administratives, et sur le décret n° 2010-112 du 2 février 2010, qui en applique les articles 9, 10 et 12. Le référentiel lui-même est approuvé par arrêté.

La version en vigueur est le RGS 2.0, approuvé par l'arrêté du 13 juin 2014, publié au Journal officiel le 24 juin et applicable depuis le 1er juillet 2014. Il se compose d'un corps de texte et d'annexes, dont certaines ont été révisées depuis. La page des documents de l'ANSSI indique par exemple la version 2.04 de l'annexe B1 sur le choix et le dimensionnement des mécanismes cryptographiques, datée du 1er janvier 2020, et un erratum de 2016 sur l'annexe A3. L'ANSSI et la direction interministérielle du numérique (DINUM) sont chargées de maintenir le référentiel à jour, et l'ANSSI signale des travaux de mise à jour pour simplifier son articulation avec le règlement européen eIDAS.

Le décret de 2010 et le chapitre 2 du RGS décrivent une démarche en cinq temps : analyse de risques, objectifs de sécurité, mesures, homologation, puis suivi opérationnel. Pour un système déjà en service, le RGS prévoit une démarche simplifiée qui commence par un audit. Basculez de l'une à l'autre.

Les objectifs de sécurité s'expriment dans les termes familiers des critères DICP : disponibilité, intégrité, confidentialité, auxquels le RGS ajoute l'authentification et la traçabilité. Le texte ne prescrit pas de méthode d'analyse de risques particulière ; dans la pratique, les administrations s'appuient largement sur EBIOS Risk Manager, la méthode de l'ANSSI, ou sur ISO 27005.

L'ANSSI le dit clairement sur sa page consacrée au RGS : la première obligation, et la plus importante, est de conduire une homologation de sécurité. Le RGS la définit aussi comme une « attestation formelle ». Elle est prononcée par une autorité d'homologation désignée par l'autorité administrative, qui atteste que le système est protégé conformément aux objectifs fixés et que les risques résiduels sont acceptés. Pour un téléservice, la décision est rendue accessible aux usagers.

Ce que précise le guide de 2025

En 2025, l'ANSSI et la DINUM ont publié un guide de l'homologation de sécurité, présenté par Next comme un ensemble de quatre documents. Il rappelle que l'homologation est un acte formel qui engage l'autorité qui la prononce, et il organise la démarche :

• trois niveaux, simplifié, intermédiaire et renforcé, choisis selon la criticité et l'exposition du système ;
• un comité d'homologation, souvent présidé par le RSSI, qui instruit le dossier et rend un avis, et une commission, obligatoire au niveau renforcé, où le système est présenté à l'autorité ;
• un dossier proportionné : un document d'accompagnement de une à deux pages, complété selon le niveau par l'analyse de risques, une matrice de conformité, les résultats d'audit et un plan d'action ;
• une durée limitée : trois ans au maximum dans de nombreux cadres réglementaires, et l'ANSSI recommande fortement de ne pas dépasser trois ans ailleurs.

Pour les petites structures, l'ANSSI propose aussi un service en ligne gratuit, MonServiceSécurisé, qui guide la démarche. Le RGS recommande enfin une revue périodique des systèmes homologués : une homologation n'est pas un diplôme définitif, mais une décision à reprendre quand le système, la menace ou le contexte évoluent. Notre guide de l'homologation de sécurité détaille chaque étape de la démarche, avec un exemple suivi de bout en bout.

Le décret de 2010 incite les autorités administratives à recourir à des produits de sécurité et à des prestataires de services de confiance qualifiés. L'ANSSI le formule ainsi : recourir à un service qualifié au titre du RGS vaut présomption de conformité. Lorsqu'aucun produit ou service qualifié n'existe, l'administration doit s'assurer elle-même de la conformité et en attester.

• Produits de sécurité : c'est l'ANSSI qui délivre les qualifications, aux niveaux élémentaire, standard ou renforcé.
• Services de confiance (certification électronique, horodatage, audit) : la qualification est délivrée par un organisme accrédité par le COFRAC et habilité par l'ANSSI, pour trois ans.
• Audits : le RGS recommande de faire appel, chaque fois que possible, à des prestataires d'audit qualifiés, les PASSI. Voir notre article sur l'audit de cybersécurité.

Ce même réflexe vaut pour l'hébergement : pour leurs données les plus sensibles confiées à un cloud commercial, l'État et ses opérateurs doivent désormais recourir à une offre qualifiée SecNumCloud, et la question se pose souvent au moment de l'homologation.