RGS — Référentiel Général de Sécurité

Vue d'ensemble

Le RGS (Référentiel Général de Sécurité) est le cadre réglementaire français pour la sécurisation des systèmes d'information de l'administration publique. Publié par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), il définit des niveaux et exigences de sécurité applicables aux échanges électroniques avec les services publics.

Le RGS impose l'utilisation de certificats qualifiés par l'ANSSI pour l'authentification, la signature électronique et le chiffrement, créant un besoin direct d'infrastructure PKI qualifiée et d'une gestion rigoureuse du cycle de vie des certificats. Les organisations interagissant avec les services publics français doivent s'assurer que leurs certificats respectent les profils définis par le RGS et sont émis par des autorités qualifiées.

Avec trois niveaux de sécurité (RGS *, **, ***), le référentiel propose une approche graduée des exigences sur les certificats, permettant aux organisations d'adapter leur posture de sécurité à la sensibilité de leurs échanges. Le niveau le plus élevé (***) requiert des clés protégées par matériel et les critères de qualification d'AC les plus stricts.

Exigences clés

Certificats qualifiés par l'ANSSI

Tous les certificats utilisés dans les échanges de l'administration publique doivent être émis par des autorités de certification qualifiées par l'ANSSI, répondant à des exigences strictes de sécurité et d'exploitation.

Exigences de signature électronique (RGS //)

Trois niveaux de sécurité définissent des exigences croissantes pour les signatures électroniques, du niveau de base () au niveau avancé () puis qualifié (), chacun assorti de contraintes spécifiques en matière de certificat et de gestion des clés.

Standards des certificats d'authentification

Les certificats d'authentification doivent respecter les profils définis par le RGS pour l'authentification serveur et client, avec des exigences spécifiques sur l'usage des clés, la robustesse des algorithmes et les durées de validité.

Exigences de chiffrement

Le chiffrement des données dans les systèmes de l'administration publique doit utiliser des algorithmes et longueurs de clé approuvés par l'ANSSI, avec des certificats gérés via une infrastructure qualifiée.

Qualification des autorités de certification

Les AC émettant des certificats conformes au RGS doivent se soumettre à des audits de qualification de l'ANSSI, démontrant leur conformité aux exigences opérationnelles de sécurité, de gestion des clés et de gouvernance.

Obligations d'audit et de conformité

Les organisations doivent conserver des pistes d'audit, faire l'objet d'évaluations de conformité périodiques et démontrer leur conformité continue aux exigences du RGS en matière de gestion des certificats.

Jalons clés

2010

Publication du RGS v1.0

La première version du Référentiel Général de Sécurité est publiée, posant les fondements du cadre de sécurité pour les systèmes d'information de l'administration publique française.

2014

Publication du RGS v2.0 en juin 2014

Révision majeure mettant à jour les exigences de sécurité, alignant le référentiel sur l'évolution des standards cryptographiques et renforçant les critères de qualification des certificats.

2018

Alignement avec eIDAS

Le cadre RGS est aligné avec le règlement européen eIDAS, garantissant la reconnaissance mutuelle des certificats qualifiés entre la France et les autres États membres de l'UE.

2024 Actuel

Application continue, mises à jour de l'ANSSI

L'ANSSI poursuit l'application des exigences du RGS et publie des recommandations actualisées sur les algorithmes cryptographiques, les longueurs de clé et les pratiques de gestion des certificats.

2025 Application

Alignement attendu du RGS v3.0 avec eIDAS 2.0

Une nouvelle version du RGS est attendue pour s'aligner sur eIDAS 2.0, intégrant les exigences relatives aux portefeuilles d'identité numérique et aux standards mis à jour des services de confiance.

Impact sur la PKI et les certificats

Le RGS génère des exigences spécifiques et contraignantes pour les infrastructures PKI au service de l'administration publique française. Voici les domaines critiques :

Autorités de certification qualifiées par l'ANSSI

Tous les certificats utilisés dans les échanges de l'administration publique doivent provenir d'AC qualifiées par l'ANSSI, ce qui implique des audits de qualification rigoureux et des évaluations de conformité continues.

Trois niveaux de sécurité (, , )

Chaque niveau de sécurité impose des exigences PKI croissantes, du stockage logiciel des clés (*) aux modules matériels qualifiés (***), avec des contraintes correspondantes sur les profils de certificats.

Cycle de vie des certificats pour les services publics

Les administrations doivent maintenir des processus rigoureux de gestion du cycle de vie des certificats, incluant le renouvellement en temps voulu, la gestion des révocations et des pistes d'audit complètes pour tous les certificats conformes au RGS.

Reconnaissance mutuelle avec les certificats qualifiés eIDAS

Les certificats qualifiés par le RGS doivent s'aligner sur les standards eIDAS pour la reconnaissance transfrontalière, ce qui exige une infrastructure PKI satisfaisant à la fois les cadres réglementaires nationaux et européens.

Evertrust & RGS

Stream est certifiée par l'ANSSI et émet directement des certificats conformes au RGS — Notre plateforme PKI souveraine est certifiée par l'ANSSI, ce qui lui permet de fonctionner en tant qu'autorité de certification qualifiée pour l'émission de certificats RGS de niveaux , et .

Horizon gère l'inventaire des certificats au sein des administrations — Découvrez et centralisez tous les certificats déployés dans les systèmes de l'administration publique, offrant une visibilité et une gouvernance complètes pour la conformité au RGS.

Gestion automatisée du cycle de vie pour les niveaux RGS *, **, *** — Automatisez les flux d'émission, de renouvellement et de révocation des certificats adaptés à chaque niveau de sécurité du RGS, garantissant une conformité continue sans intervention manuelle.

Rapports prêts pour audit pour les évaluations de conformité de l'ANSSI — Générez des rapports de conformité détaillés et des pistes d'audit démontrant le respect des exigences du RGS, simplifiant les processus de qualification et d'évaluation de conformité de l'ANSSI.

PKI

CLM

Cas d'usage

Secteurs

Conformité

Apprendre

Outils & Analyses

Événements & Communauté

RGS Réglementation

En bref

Vue d'ensemble

Exigences clés

Certificats qualifiés par l'ANSSI

Exigences de signature électronique (RGS //)

Standards des certificats d'authentification

Exigences de chiffrement

Qualification des autorités de certification

Obligations d'audit et de conformité

Jalons clés

Publication du RGS v1.0

Publication du RGS v2.0 en juin 2014

Alignement avec eIDAS

Application continue, mises à jour de l'ANSSI

Alignement attendu du RGS v3.0 avec eIDAS 2.0

Impact sur la PKI et les certificats

Autorités de certification qualifiées par l'ANSSI

Trois niveaux de sécurité (, , )

Cycle de vie des certificats pour les services publics

Reconnaissance mutuelle avec les certificats qualifiés eIDAS

Evertrust & RGS

RGS Réglementation

En bref

Vue d'ensemble

Exigences clés

Certificats qualifiés par l'ANSSI

Exigences de signature électronique (RGS */**/***)

Standards des certificats d'authentification

Exigences de chiffrement

Qualification des autorités de certification

Obligations d'audit et de conformité

Jalons clés

Publication du RGS v1.0

Publication du RGS v2.0 en juin 2014

Alignement avec eIDAS

Application continue, mises à jour de l'ANSSI

Alignement attendu du RGS v3.0 avec eIDAS 2.0

Impact sur la PKI et les certificats

Autorités de certification qualifiées par l'ANSSI

Trois niveaux de sécurité (*, **, ***)

Cycle de vie des certificats pour les services publics

Reconnaissance mutuelle avec les certificats qualifiés eIDAS

Evertrust & RGS

Exigences de signature électronique (RGS //)

Trois niveaux de sécurité (, , )