View source for Référentiel général de sécurité

= Référentiel général de sécurité =

Le '''Référentiel général de sécurité''' (RGS) est un cadre réglementaire français visant à garantir la sécurité, l'intégrité et la confidentialité des systèmes d'information utilisés par l’[[Administration|administration]] et la [[Fonction publique|fonction publique]]. Il s’applique à l’ensemble des échanges électroniques fiabilisant les démarches administratives à destination des citoyens, collectivités et entreprises. Promulgué initialement par l’[[Agence nationale de la sécurité des systèmes d'information|ANSSI]], il impose des obligations précises aux autorités administratives, en matière de sécurité des systèmes et de confiance dans les échanges électroniques.

== Historique et fondements ==
Le RGS a été introduit par l’[[Ordonnance n° 2005-1516|ordonnance n°2005-1516]] du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. Entre 2007 et 2010, il a été conçu et mis en œuvre par l’[[Agence nationale de la sécurité des systèmes d'information|ANSSI]], alors dénommée DCSSI. Le référentiel est entré en vigueur le 19 mai 2010, remplaçant certains dispositifs plus anciens comme le [[Référentiel intersectoriel de sécurité|RIS]].

La philosophie du RGS s’articule autour des principes édictés par la [[Loi n° 78-17|Loi Informatique et Libertés]], l’[[article 9 du Code civil]] (protection de la vie privée) et l’alignement avec les recommandations européennes, telles que la [[Directive eIDAS|directive eIDAS]].

== Objectifs et périmètre ==
Le but fondamental du RGS est de définir le niveau de sécurité des [[services numériques|services en ligne]] et des échanges impliquant des [[données à caractère personnel|données personnelles]] ou sensibles dans la fonction publique. Les principaux objectifs sont :

* Garantir l'[[authentification]] des utilisateurs, agents et partenaires.
* Assurer la [[confidentialité]] des échanges électroniques.
* Protéger l’[[intégrité]] des données transmises.
* Offrir la [[traçabilité]] des actions.
* Gérer et assurer la [[non-répudiation]] des opérations.

Le RGS concerne l’ensemble des autorités administratives françaises, notamment les [[ministères]], [[préfectures]], [[collectivités territoriales]], [[établissements publics|établissements publics administratifs]], ainsi que les prestataires de confiance opérant pour leur compte, tels que les [[fournisseurs de certificats électroniques|PSCE]], [[hébergeurs de données de santé]] et [[tiers de télétransmission]].

== Structure et exigences ==
=== Niveaux de sécurité ===
Le RGS prévoit plusieurs niveaux de sécurité adaptés à la criticité des échanges :

{| class="wikitable"
! Niveau de sécurité !! Usage typique
|-
| Bas || Information publique, actions à faible enjeu.
|-
| Moyen || Données personnelles, procédures administratives classiques.
|-
| Élevé || Informations sensibles, procédures critiques.
|-
| Très élevé || Données classifiées, domaines régalien ou secret.
|}

=== Principaux axes du référentiel ===
Le cadre du RGS repose sur quatre axes majeurs :

# '''Identification et authentification''': Gestion des identités grâce à des protocoles forts (certificats, mots de passe complexes, [[authentification multifactorielle]]).
# '''Confidentialité et intégrité''': Chiffrement des données à l'aide d'[[algorithmes cryptographiques]] homologués par l’[[Agence nationale de la sécurité des systèmes d'information|ANSSI]].
# '''Signature électronique''': Mise en œuvre de la [[signature électronique]] pour garantir l’intégrité et la traçabilité des actes administratifs.
# '''Horodatage et journalisation''': Enregistrement des événements liés aux accès et modifications.

== Mise en œuvre technique ==
Le RGS impose l’utilisation de composants informatiques, logiciels et matériels, certifiés ou qualifiés. Les solutions techniques doivent être conformes aux recommandations de l’[[Agence nationale de la sécurité des systèmes d'information|ANSSI]], notamment via les documents [[Référentiel général d'interopérabilité|RGI]] et [[Politique de sécurité des systèmes d'information|PSSI]].

Les entités sont tenues d'auditer régulièrement la conformité de leurs systèmes et de recourir à des [[Prestataires de services de confiance qualifiés|prestataires qualifiés]], pour la délivrance de [[certificats électroniques|certificats numériques]] ou pour l’archivage sécurisé.

=== Conformité des certificats électroniques ===
Les certificats numériques acceptés dans le cadre du RGS doivent :

* Avoir été émis par une [[autorité de certification]] accréditée par l’[[Agence nationale de la sécurité des systèmes d'information|ANSSI]].
* Satisfaire aux exigences de [[durée de validité]], [[révocation]], [[stockage sécurisé]] et contrôle périodique.
* Être utilisés pour la [[signature électronique|signature]] ou l’[[authentification forte]] des usagers, agents ou machines.

== Gouvernance et évolutions ==
=== Principaux acteurs ===

{| class="wikitable"
! Entité !! Rôle dans le RGS
|-
| [[Agence nationale de la sécurité des systèmes d'information|ANSSI]] || Élaboration, mise à jour, homologation et contrôle du référentiel.
|-
| [[Ministère de la Transformation et de la Fonction publiques]] || Pilotage stratégique en liaison avec les administrations.
|-
| [[Direction interministérielle du numérique|DINUM]] || Accompagnement à la transformation numérique et au respect du RGS.
|-
| [[Autorité administrative indépendante|AAI]] (ex : [[Commission nationale de l'informatique et des libertés|CNIL]]) || Veille à la conformité relative aux [[données personnelles]].
|}

=== Évolutions réglementaires ===
Depuis la première version de 2010, le RGS a fait l’objet de plusieurs actualisations majeures, s’adaptant notamment :

* À la [[Règlementation européenne]] et à la [[Directive eIDAS]].
* À l’émergence des [[Open data|données ouvertes]], [[cloud computing]], [[dé-matérialisation des archives|archivage électronique]].
* À l’évolution des [[cybermenaces]].

Des guides pratiques et fiches techniques actualisés sont mis à disposition par l’[[Agence nationale de la sécurité des systèmes d'information|ANSSI]].

== Cas d'application et exemples ==
Le RGS est obligatoire dans de nombreux contextes de la fonction publique, notamment :

* Pour l’[[État civil|état civil]] : échanges de documents dématérialisés entre communes et préfectures.
* Lors des procédures de [[marché public|marchés publics]] via la [[plateforme Chorus Pro]].
* Pour l’[[e-santé]] via la gestion des [[dossiers médicaux partagés]], prestations de [[téléservice]] médical, transmission sécurisée de documents entre établissements liés à l’[[Assurance maladie]].
* Dans le cadre du [[système d'information RH|SIRH]], gestion administrative du personnel public.
* Pour l’envoi d’[[avis d’imposition]] et de documents fiscaux via le portail [[impots.gouv.fr]].

== Critiques et limites ==
Des critiques récurrentes concernent :

* La complexité de mise en œuvre technique.
* L'adaptation difficile pour les [[collectivités territoriales]] disposant de moyens limités.
* L’exigence de veille constante vis-à-vis des mises à jour de sécurité.
* Les chevauchements ou redondances avec le [[Règlement général sur la protection des données|RGPD]] ou d’autres documents comme la [[Politique de sécurité des systèmes d'information|PSSI]].

Néanmoins, le RGS est un outil central dans la consolidation de la sécurité numérique de l’[[Administration française|administration française]] et vis-à-vis des obligations envers les [[usagers|citoyens]].

== Voir aussi ==
* [[Agence nationale de la sécurité des systèmes d'information|ANSSI]]
* [[Direction interministérielle du numérique|DINUM]]
* [[Signature électronique]]
* [[Protection des données personnelles]]
* [[Référentiel général d'interopérabilité|RGI]]
* [[Loi Informatique et Libertés|Loi Informatique et Libertés]]
* [[Directive eIDAS]]
* [[Règlement général sur la protection des données|RGPD]]
* [[Marché public]]

== Références ==
* [[Agence nationale de la sécurité des systèmes d'information|ANSSI]], “Référentiel général de sécurité”
* Ordonnance n° 2005-1516 du 8 décembre 2005
* “Guide d’application du RGS”, [[Agence nationale de la sécurité des systèmes d'information|ANSSI]]
* [[Commission nationale de l'informatique et des libertés|CNIL]], “Sécurité des échanges électroniques”

[[Catégorie:]]