Certificats RGS vs eIDAS : quelles différences ?
L’essentiel : eIDAS est un règlement européen qui harmonise les règles de confiance numérique à l’échelle de l’UE (signature, cachet, horodatage). Le RGS (Référentiel Général de Sécurité) est un cadre spécifiquement français, instauré par l’ANSSI, pour sécuriser les échanges entre les administrations et les usagers.
RGS et eIDAS : deux cadres différents
Le RGS et le règlement eIDAS partagent une ambition commune : instaurer un climat de confiance dans les échanges numériques. Mais leur portée et leur nature juridique diffèrent sensiblement.
Qu’est-ce que le RGS ?
Le Référentiel Général de Sécurité (RGS) est un cadre réglementaire français défini par l’ANSSI(Agence Nationale de la Sécurité des Systèmes d’Information).
Il fixe les règles de sécurité que les administrations publiques françaises doivent appliquer pour sécuriser leurs systèmes d’information et leurs échanges électroniques.
Il vise à instaurer un climat de confiance numérique entre l’administration et les citoyens.
Le RGS concerne notamment :
- Les administrations de l’État
- Les collectivités territoriales
- Les établissements publics à caractère administratif
- Les organismes publics ou privés qui fournissent des produits ou services de confiance
Les niveaux de sécurité du RGS
En pratique, le niveau RGS** est aujourd’hui le standard de référence pour les usages professionnels et administratifs : réponses aux appels d’offres publics, démarches auprès de l’INPI, etc.
Qu’est-ce que le règlement eIDAS ?
Adopté par l’Union européenne en 2014, le règlement eIDAS (Electronic IDentification, Authentication and trust Services) établit un cadre commun pour les services de confiance numériques dans l’ensemble des États membres.
L’objectif : permettre aux citoyens, entreprises et administrations d’utiliser des services numériques reconnus juridiquement partout en Europe.
eIDAS couvre plusieurs types de services de confiance :
- la signature électronique
- le cachet électronique
- l’horodatage électronique
- les services d’envoi de recommandé électronique
- les certificats d’authentification de site web
- les services de conservation de signatures et cachets électroniques (validation/conservation à long terme).
Les niveaux de sécurité eIDAS
Le règlement eIDAS définit quatre niveaux de signature et de cachet électronique :
La signature électronique qualifiée possède une valeur juridique équivalente à une signature manuscrite dans toute l’Union européenne. C’est le niveau exigé pour les actes les plus engageants.
RGS vs eIDAS : des certificats compatibles ?
Foire Aux Questions
Oui. Le règlement eIDAS s’applique directement dans tous les États membres de l’Union européenne, y compris la France.
Une signature électronique conforme eIDAS bénéficie donc d’une reconnaissance juridique sur l’ensemble du territoire européen. En particulier, la signature électronique qualifiée possède une valeur juridique équivalente à une signature manuscrite.
Les administrations françaises, les tribunaux et les acteurs publics reconnaissent ainsi les signatures électroniques conformes eIDAS.
Dans certains contextes administratifs français spécifiques (marchés publics, démarches réglementées, etc.), des exigences complémentaires liées au RGS peuvent toutefois s’appliquer.
Pas nécessairement.
Le RGS est un référentiel français défini par l’ANSSI. Il encadre les échanges électroniques entre les administrations françaises, les usagers et certains prestataires de confiance.
Un certificat uniquement conforme RGS n’a donc pas automatiquement de reconnaissance réglementaire dans les autres pays européens.
En revanche, un certificat conforme à la fois au RGS et au règlement eIDAS permet de bénéficier :
- d’une conformité aux exigences françaises ;
- d’une reconnaissance juridique dans toute l’Union européenne.
C’est pourquoi de nombreux professionnels privilégient aujourd’hui des certificats compatibles avec les deux référentiels.
Tout dépend de votre usage.
Le règlement eIDAS constitue aujourd’hui le cadre de référence européen pour les signatures électroniques et les services de confiance numériques. Il est particulièrement adapté aux échanges transfrontaliers et aux usages privés ou professionnels à l’échelle européenne.
Le RGS reste quant à lui utilisé dans certains contextes administratifs français, notamment pour les échanges avec des plateformes publiques ou certains appels d’offres.
Dans la pratique, il n’est généralement pas nécessaire d’opposer les deux référentiels. De nombreux certificats sont compatibles à la fois eIDAS et RGS, ce qui permet :
- de répondre aux exigences françaises ;
- de bénéficier d’une reconnaissance européenne ;
- de sécuriser ses usages professionnels sur le long terme.
Pour la plupart des entreprises et professionnels, un certificat compatible eIDAS et RGS représente aujourd’hui la solution la plus polyvalente. Oui, tout à fait. Nos certificats Eiducio et Eiducio+ sont qualifiés eIDAS et conformes RGS**, ce qui les rend valables aussi bien pour les administrations françaises que pour les plateformes européennes.
Le RGS (Référentiel Général de Sécurité) est un référentiel français. Depuis 2016, elle a été largement supplantée par le règlement européen eIDAS.
Au niveau européen, le niveau RGS*** n’a pas d’équivalent, le marché s’est donc stabilisé sur le standard RGS** et eIDAS Qualifié.
Dans 99,9 % des cas d’usage (réponses aux appels d’offres publics, SIV, signature de factures, INPI, etc.), l’administration française et les plateformes européennes n’exigent que du RGS** ou du eIDAS Qualifié.