La certification RGS représente un défi réel pour les administrations françaises. Entre la complexité du référentiel, la préparation documentaire et les exigences des auditeurs, beaucoup d'organisations abordent ce processus sans méthode claire — et le payent cher en délais ou en échecs. Pourtant, avec une préparation rigoureuse, un audit de certification RGS se passe bien. L'ANSSI a conçu ce cadre pour renforcer la sécurité des systèmes d'information publics, pas pour décourager les candidats. Comprendre les attentes réelles des auditeurs, mobiliser les bons interlocuteurs en interne et anticiper les points de friction : voilà ce qui fait la différence entre une organisation qui obtient sa certification du premier coup et une autre qui repart avec une liste de non-conformités à corriger.
Comprendre le Référentiel Général de Sécurité
Le RGS (Référentiel Général de Sécurité) est un cadre normatif créé en 2010 pour encadrer la sécurité des systèmes d'information des autorités administratives françaises. Son objectif : garantir la confidentialité, l'intégrité et la disponibilité des données échangées entre administrations et usagers. Depuis sa mise en place, il a évolué pour intégrer les exigences issues de la loi de 2018 sur la protection des données personnelles.
Le RGS repose sur une logique de niveaux de sécurité. Chaque service numérique exposé au public doit être classé selon le risque qu'il représente, puis sécurisé en conséquence. Trois niveaux existent : étoile, deux étoiles et trois étoiles. Plus le niveau est élevé, plus les exigences sont strictes — en matière de chiffrement, d'authentification et de traçabilité des accès.
Beaucoup d'organisations confondent conformité RGPD et certification RGS. Ce sont deux obligations distinctes. Le RGPD s'applique à la gestion des données personnelles pour toutes les entités, publiques ou privées. Le RGS, lui, concerne spécifiquement les systèmes d'information des administrations et leurs prestataires. Les deux référentiels se complètent, mais leurs exigences techniques diffèrent sensiblement.
Environ 30 % des administrations publiques françaises ont engagé une démarche de certification RGS à ce jour. Ce chiffre reste modeste, ce qui s'explique en partie par la complexité perçue du processus. Mais cette proportion augmente régulièrement à mesure que les attaques informatiques contre les services publics se multiplient et que la pression réglementaire s'intensifie.
Les étapes clés de l'audit de certification RGS
Un audit de certification RGS ne s'improvise pas la semaine précédant la visite des auditeurs. La préparation commence plusieurs mois en amont, idéalement dès la décision de s'engager dans la démarche. Voici les étapes à respecter pour aborder l'audit dans les meilleures conditions :
- Cartographier les systèmes d'information concernés et identifier ceux soumis au RGS
- Réaliser une analyse de risques formalisée selon la méthode EBIOS Risk Manager ou équivalente
- Rédiger la Politique de Sécurité des Systèmes d'Information (PSSI) adaptée au niveau de certification visé
- Mettre en place les mesures techniques requises : chiffrement des communications, gestion des accès, journalisation
- Constituer le dossier de preuves documentaires à soumettre à l'organisme certificateur
- Réaliser un audit interne ou un pré-audit avec un prestataire qualifié avant la certification officielle
La phase de pré-audit mérite une attention particulière. Trop souvent négligée pour des raisons budgétaires, elle permet pourtant d'identifier les écarts résiduels avant que les auditeurs officiels ne les relèvent. Un prestataire qualifié PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) peut réaliser cette évaluation préparatoire.
Le dossier soumis à l'organisme certificateur doit être exhaustif et structuré. Les auditeurs vérifient la cohérence entre les mesures déclarées et les preuves fournies. Une PSSI bien rédigée mais non appliquée dans les faits sera immédiatement détectée. La documentation doit refléter la réalité opérationnelle, pas un état idéal théorique.
Les acteurs du processus de certification
L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) supervise l'ensemble du dispositif RGS. Elle publie les référentiels techniques, accrédite les organismes certificateurs et valide les qualifications des prestataires. Son site officiel, ssi.gouv.fr, centralise toute la documentation nécessaire à la préparation d'une certification.
Les organismes certificateurs accrédités réalisent les audits officiels. Ils sont mandatés par l'ANSSI et doivent respecter des critères stricts d'indépendance et de compétence. Choisir son organisme certificateur n'est pas anodin : leurs méthodologies d'audit, leurs délais de traitement et leur expérience sectorielle varient. Comparer plusieurs offres avant de s'engager est une pratique recommandée.
En interne, la certification mobilise plusieurs fonctions. Le RSSI (Responsable de la Sécurité des Systèmes d'Information) pilote la démarche. La direction générale doit s'impliquer pour valider la PSSI et allouer les ressources nécessaires. Les équipes techniques, elles, mettent en œuvre les mesures concrètes. Sans cette gouvernance transversale, la certification reste un exercice formel sans impact réel sur la sécurité.
Les ministères concernés par la sécurité numérique jouent également un rôle d'orientation. Certains secteurs — santé, justice, finances publiques — ont développé des guides sectoriels complémentaires au RGS. Vérifier l'existence de ces guides avant d'entamer la démarche peut éviter des surprises lors de l'audit.
Budget et calendrier : ce qu'il faut anticiper
Le coût d'un audit RGS varie selon la taille de l'organisation, la complexité du système d'information audité et le niveau de certification visé. Les tarifs pratiqués par les organismes certificateurs accrédités se situent généralement entre 5 000 et 15 000 euros, hors frais de préparation interne. Ce montant ne comprend pas les éventuels travaux de mise en conformité à réaliser avant l'audit.
La préparation interne représente souvent le poste de coût le plus significatif. Rédiger une PSSI solide, former les équipes, déployer des outils de chiffrement ou de gestion des identités : ces chantiers mobilisent du temps et des compétences. Faire appel à un prestataire externe spécialisé peut accélérer le processus, mais alourdit la facture totale.
Le calendrier est tout aussi structurant. Une fois le dossier soumis à l'organisme certificateur, il faut compter environ six mois pour obtenir la certification. Ce délai intègre l'analyse documentaire, les échanges avec les auditeurs et le traitement des éventuelles demandes de complément. Anticiper ce délai est indispensable si la certification conditionne l'ouverture d'un service public numérique ou la signature d'un marché.
La validité de la certification est limitée dans le temps. Une recertification périodique est nécessaire, ce qui implique de maintenir un niveau de sécurité constant entre deux audits. Les organisations qui traitent la certification comme un événement ponctuel plutôt que comme un processus continu se retrouvent souvent en difficulté lors du renouvellement.
Pièges fréquents qui font échouer les audits
Le premier écueil est la sous-estimation du périmètre. Certaines organisations ne déclarent que les systèmes qu'elles pensent soumis au RGS, en laissant de côté des composants interconnectés qui auraient dû être inclus. Les auditeurs vérifient systématiquement la cohérence du périmètre déclaré avec l'architecture réelle. Un périmètre mal défini entraîne des non-conformités en cascade.
La documentation incomplète ou obsolète figure parmi les causes d'échec les plus fréquentes. Une PSSI rédigée deux ans avant l'audit et jamais mise à jour ne reflète plus la réalité du système. Les procédures de gestion des incidents, les plans de continuité d'activité, les registres d'accès : tous ces documents doivent être à jour à la date de l'audit.
Négliger la sensibilisation des utilisateurs est une autre erreur classique. Le RGS exige que les personnels manipulant des données sensibles soient formés aux bonnes pratiques de sécurité. Un auditeur qui constate que les agents n'ont reçu aucune formation depuis plusieurs années pointera cette lacune comme une non-conformité.
Enfin, attendre le dernier moment pour solliciter un organisme certificateur accrédité est risqué. Leurs agendas sont souvent chargés, et les délais de planification d'un audit peuvent dépasser deux mois. Engager les discussions bien en amont permet de caler un calendrier compatible avec les contraintes du projet.
La certification RGS récompense les organisations qui traitent la sécurité comme une discipline vivante, pas comme une case à cocher. Les administrations qui maintiennent leur PSSI à jour, forment régulièrement leurs agents et réalisent des audits internes annuels obtiennent leur certification avec nettement moins de difficultés — et la conservent sans stress lors des renouvellements.
