Aller au contenu principal
Quelle Signature

Statuts par prestataire

Certificat RGS (référentiel général de sécurité) : demandez qui l’exige et par quel écrit avant de l’acheter

Pour qui : Dirigeant ou juriste de PME à qui un éditeur vend un certificat RGS, ou qu’un téléservice public interroge sur ce référentiel, et qui ne sait pas si cela reste une exigence.

N’achetez pas un certificat RGS par réflexe : demandez qui l’exige et par quel écrit. L’article L212-3 du code des relations entre le public et l’administration (CRPA) rend valable la signature électronique d’une décision de l’administration par un procédé conforme au référentiel général de sécurité (RGS), et l’article 9 de l’ordonnance de 2005 laisse à l’autorité le soin de fixer le niveau de sécurité de son système. Ces textes parlent de l’administration, et non de vos contrats privés. Pour un contrat de la commande publique, c’est l’arrêté du 22 mars 2019 qui vise la signature. Le contenu du RGS en vigueur n’est pas traité ici : nous n’affirmons donc rien sur ses règles.

Notre avis

Ne prenez pas le RGS pour une exigence générale, ni pour une exigence éteinte. Dans une PME, demandez qui l’exige et par quel écrit. Si c’est une autorité, demandez-lui aussi le niveau de sécurité de son système et la version du référentiel qu’elle applique. Sans réponse, n’achetez pas sur ce seul mot.

Pourquoi

  • Les textes que nous avons lus n’étendent pas le RGS à vos contrats privés ; ils parlent des autorités administratives et de leurs décisions.
  • Pour un contrat de la commande publique, le texte qui vise la signature est l’arrêté de 2019.
  • Sur la liste française, notre décompte trouve 34 services dont le nom porte RGS, tous retirés : le mot ne vaut pas statut.

Ce qui change le choix

Si une administration vous fixe un niveau par écrit, cette position s’efface : l’article 9, II, lui laisse ce choix pour son système.

L’ordre à suivre

  1. Contrat privé : les textes que nous avons lus n’appellent pas le RGS ; suivez notre guide pour choisir le niveau de signature
  2. Contrat de la commande publique : l’arrêté du 22 mars 2019 décide
  3. Échange avec une autorité administrative ou téléservice : demander par écrit le niveau exigé

Quatre situations, trois familles de textes : le RGS ne répond qu’aux deux dernières

Commencez par situer votre démarche. Le mot RGS n’apparaît dans les textes lus que pour les deux dernières lignes.

Textes lus le 4 novembre 2026. Quand nous écrivons qu’aucun niveau n’est fixé, cela vaut seulement pour ces textes.
Votre situationTexte luCe qu’il ditVotre réaction
Contrat entre entreprises ou avec un salariéRèglement eIDAS, décret de 2017, articles 1366 et 1367 du Code civilLes textes lus sur ce terrain ne visent pas le RGSSuivre notre guide pour choisir le niveau de signature
Contrat de la commande publique, si la signature est requiseArrêté du 22 mars 2019Signature avancée reposant sur un certificat qualifié, prestataire qualifié ou autorité aux exigences équivalentesLire cet arrêté et le règlement de la consultation
Décision signée par une administrationCRPA, L212-3, cité par la cour administrative d’appel (CAA) de NantesProcédé conforme aux règles du référentiel général de sécuritéConcerne l’auteur de la décision ; le niveau n’y est pas chiffré
Système d’une autorité administrative, téléserviceOrdonnance n° 2005-1516, article 9 ; décret n° 2010-112Le RGS fixe des règles ; l’autorité fixe le niveau de sécurité de son systèmeDemander le niveau par écrit

34 services de la liste française portent RGS dans leur nom, et notre décompte les trouve tous retirés

Il s’agit de services comme MERCANTEO SIGN RGS 2E, Signitio RGS **, MJL Signature RGS ***, Pass’IN - Signature RGS ** ou les services régionaux de l’Ordre des Experts-Comptables. Nous n’en tirons aucune conclusion sur le référentiel, et notamment pas qu’il aurait disparu : l’article 9 de l’ordonnance reste affiché en vigueur. Nous en tirons une seule leçon d’achat : le mot RGS sur un nom ne remplace pas la lecture du statut.

Côté offres, CertEurope vend un certificat RGS* à 60 € HT pour un an et un certificat RGS**/eIDAS à 119 € HT pour un an, et écrit que ses solutions sont « certifiées RGS, eIDAS ». Sa grille cite les marchés publics pour le second. Ces mentions restent les siennes : demandez quelle ligne de la liste correspond à votre produit.

Une phrase à envoyer à l’autorité qui vous parle de RGS

« Pour la démarche [nom], pouvez-vous me préciser le texte applicable, le niveau de sécurité attendu, la version du référentiel appliquée et les certificats acceptés ? En particulier, un certificat qualifié émis par un service inscrit sur la liste de confiance d’un État membre de l’Union européenne convient-il ? » La réponse écrite tranche pour votre démarche et devient une pièce de votre dossier.

La jurisprudence lue reste très limitée. La CAA de Nantes, le 14 janvier 2022, a écarté un argument fondé sur L212-3 en jugeant que l’avis d’un collège de médecins n’était pas une décision : cet article ne couvre donc pas tous les actes, à en juger par cette seule affaire, et l’arrêt ne fixe aucun niveau. L’arrêté du 10 juin 2015 proroge des mesures transitoires de mise en œuvre du RGS en vue de la transition vers eIDAS, avec une date limite au 1er juillet 2016 ; nous n’y voyons pas une abrogation du référentiel, et les textes lus n’en montrent pas.

Limites de cette page

Nous n’avons pas lu le contenu du RGS en vigueur, sa version ni ses annexes : les pages de l’ANSSI et de ssi.gouv.fr sont restées vides dans notre outil de lecture. L’arrêté du 13 juin 2014 n’a pas été lu, et l’arrêté du 6 mai 2010 seulement dans sa version initiale, qui n’établit pas son état en vigueur. Les articles L112-9 et L112-10 du CRPA et les textes réglementaires associés n’ont pas été lus, et aucune décision du Conseil d’État sur le niveau RGS n’a été lue. L’article L212-3 a été lu sur Légifrance et dans sa citation par la CAA de Nantes, arrêt inédit au Lebon. Le décompte des 34 services est confirmé par logiciel sur le fichier. Ce constat ne dit rien du référentiel.

Prochaine action

Si un fournisseur vous propose un certificat RGS, demandez-lui qui l’exige dans votre cas. Si c’est une autorité, envoyez-lui la phrase ci-dessus avant de commander.

Preuves et sources

CRPA, articles L212-1 à L212-3, ordonnance n° 2005-1516, décret n° 2010-112, arrêté du 6 mai 2010 dans sa version initiale, arrêté du 10 juin 2015, arrêt de la CAA de Nantes du 14 janvier 2022, arrêté du 22 mars 2019, lus sur Légifrance le 4 novembre 2026. Liste de France n° 182 lue par logiciel, signature du fichier non vérifiée. Le contenu du RGS en vigueur et les pages de l’ANSSI sur ce référentiel n’ont pas pu être lus.

Chaque élément ci-dessous indique s’il s’agit d’un fait lu dans une source, d’une déclaration de son auteur, de notre calcul, de notre méthode ou de notre avis. Vérifiez sur le document toute source marquée à vérifier ou non tranchée avant de vous y fier. Notre méthode

  • Fait lu. L’article L212-3 du CRPA prévoit que les décisions de l’administration peuvent faire l’objet d’une signature électronique, valablement apposée par l’usage d’un procédé conforme aux règles du référentiel général de sécurité.

    Périmètre : Décisions de l’administration

    Réserve : Le texte ne fixe pas de niveau.

    Relevé du 4 novembre 2026.

  • Fait lu. L’article 9 de l’ordonnance n° 2005-1516 prévoit qu’un référentiel général de sécurité fixe les règles que doivent respecter les fonctions des systèmes d’information, et son II fait fixer par l’autorité le niveau de sécurité de son système ; cet article est affiché en vigueur.

    Périmètre : Version consolidée au 4 novembre 2026

    Réserve : Contenu du RGS non lu.

    Relevé du 4 novembre 2026.

  • Fait lu. Le décret n° 2010-112 rend le RGS applicable aux systèmes d’information des autorités administratives et ne détaille aucune règle propre à la signature.

    Périmètre : En vigueur au 3 novembre 2026

    Réserve : Aucune liste de téléservices soumis n’y a été relevée ; constat borné aux textes lus.

    Relevé du 4 novembre 2026.

  • Fait lu. La CAA de Nantes, le 14 janvier 2022, n° 21NT00060, a écarté un moyen tiré de L212-3 au motif que l’avis d’un collège de médecins n’était pas une décision.

    Périmètre : Arrêt inédit au Lebon, une espèce

    Réserve : Ne fixe pas le niveau RGS requis.

    Relevé du 4 novembre 2026.

  • Fait lu. L’arrêté du 10 juin 2015 proroge d’un an des mesures transitoires de l’arrêté du 13 juin 2014, en vue de la transition vers eIDAS, et porte une date limite au 1er juillet 2016.

    Périmètre : Mise en œuvre du RGS

    Réserve : Arrêté de 2014 et texte du RGS non lus.

    Relevé du 4 novembre 2026.

  • Fait lu. Lorsque la signature électronique est requise pour un contrat de la commande publique, l’arrêté du 22 mars 2019 vise les exigences de la signature avancée reposant sur un certificat qualifié, délivré par un prestataire qualifié ou une autorité aux exigences équivalentes.

    Périmètre : Commande publique

    Réserve : Historique complet non consulté.

    Relevé du 4 novembre 2026.

  • Notre calcul ou déduction. Les articles 1366 et 1367 du Code civil, le décret de 2017 et l’article 25 du règlement eIDAS, tels que lus, ne visent pas le RGS pour un contrat de droit privé.

    Périmètre : Contrats privés, textes lus

    Réserve : Borné à ces textes. Un texte sectoriel non lu peut prévoir autre chose.

    Relevé du 4 novembre 2026.

  • Notre calcul ou déduction. Sur la liste de France n° 182, notre décompte trouve 34 services dont le nom porte RGS, tous retirés : trois de Click and Trust, deux de ChamberSign France, un du Ministère de la Justice, vingt-six de l’Ordre National des Experts-Comptables et deux de l’Imprimerie Nationale.

    Périmètre : 3 + 2 + 1 + 26 + 2 = 34 ; nom du service courant

    Réserve : Décompte confirmé par logiciel sur le fichier de la liste. Ne dit rien du référentiel RGS lui-même.

    Relevé du 4 novembre 2026.

  • Déclaration de l’émetteur. CertEurope affiche un certificat RGS* à 60 € HT pour un an et un certificat RGS**/eIDAS à 119 € HT pour un an, cite les marchés publics pour le second et écrit que ses solutions sont certifiées RGS, eIDAS.

    Périmètre : Grille et page d’accueil

    Réserve : Déclarations de l’éditeur, non vérifiées.

    Relevé du 4 novembre 2026.

  • Notre avis. Un certificat RGS ne doit s’acheter que sur une exigence écrite d’une autorité.

    Périmètre : PME

    Réserve : Avis assumé, borné : contenu du RGS non lu.

    Relevé du 4 novembre 2026.

  • Repère de méthode. La phrase à envoyer à l’autorité.

    Périmètre : Démarche auprès d’une autorité administrative

    Réserve : La réponse vaut pour cette démarche.

    Daté du 4 novembre 2026.