Sécurisation & certificat numérique :
les points clés pour accéder au SIV
Dans le cadre des démarches d’immatriculation, l’accès au système et aux téléprocédures repose sur une logique de confiance et de sécurité : authentifier le professionnel, tracer les opérations, et protéger les données traitées. Cette logique s’inscrit dans le cadre plus large de la confiance numérique des échanges avec l’administration, notamment via le Référentiel Général de Sécurité (RGS) publié par ANSSI.
1) Le certificat numérique, à quoi ça sert concrètement ?
Un certificat numérique joue le rôle de “carte d’identité” électronique : il permet d’identifier l’entreprise lors des connexions et d’authentifier l’accès au SIV. Dans la documentation officielle APD/ANTS, il est présenté comme un moyen d’authentification sécurisé ; les opérations effectuées dans le système sont associées au certificat.
Autre point important : la documentation APD rappelle l’usage d’un support matériel (ex. clé USB/carte à puce) pour certains modes d’accès, et insiste sur le fait qu’un certificat doit être valide, à jour et déclaré pour pouvoir accéder au système.
2) À quel moment le certificat intervient ?
Dans le parcours “pro”, le certificat intervient généralement à deux niveaux :
Pour la demande / pré-demande d’habilitation, via l’APD : la procédure officielle indique que la candidature se fait en ligne en s’authentifiant avec un certificat numérique (RGS **).
Pour l’accès aux systèmes sécurisés (SIV, et selon les cas SIT) : le portail officiel d’habilitation explique que la démarche d’habilitation/agrément ouvre l’accès aux systèmes sécurisés, selon le périmètre accordé.
3) Les étapes-clés (vision simple, “pro terrain”)
Selon la documentation APD/ANTS, le cheminement type se déroule ainsi :
Acquérir un certificat auprès d’un prestataire habilité / référencé
Installer le certificat (selon les instructions du fournisseur)
Déclarer le certificat dans l’APD (export de la clé publique, puis dépôt)
Se connecter au SIV/SIT selon votre convention
Renouveler / changer le certificat avant expiration
4) Obligations & points de conformité à connaître
Le cadre “pro” ne se limite pas à “avoir un certificat” : il s’inscrit dans une convention et des obligations de sécurité.
Dans le chapitre relatif à l’habilitation (arrêté du 9 février 2009), il est précisé notamment que :
la convention d’habilitation fixe des obligations et conditions de télétransmission (conclue par le préfet compétent) ;
des exigences de sécurité des systèmes d’information sont attendues ;
et les certificats numériques utilisés ainsi que leur nombre exact sont déclarés à la signature de la convention.
Le texte indique aussi que le professionnel informe le préfet dans un délai de trois jours de toute acquisition ou résiliation de certificats numériques pendant la durée de la convention.
5) Bonnes pratiques de sécurisation (recommandations)
Au-delà des obligations “noires sur blanc”, voici les bonnes pratiques que les professionnels mettent en place pour réduire les risques (perte de temps, blocage, fraude, accès non autorisé). Elles sont cohérentes avec l’esprit du RGS : renforcer la confiance numérique via l’authentification, la traçabilité et la sécurisation des échanges.
Accès & organisation
- Associer les accès au bon niveau de responsabilité (principe du “besoin d’en connaître”).
- Formaliser : qui peut faire quoi, sur quels types d’opérations, selon quel process interne.
Postes & supports
Associer les accès au bon niveau de responsabilité (principe du “besoin d’en connaître”).
Formaliser : qui peut faire quoi, sur quels types d’opérations, selon quel process interne.
Traçabilité & continuité
Mettre en place une procédure interne “incident” : perte/vol, soupçon d’accès non autorisé, départ d’un salarié, changement de prestataire, etc.
Anticiper l’expiration : calendrier de renouvellement + tests de connexion.
6) Que faire en cas d’incident ou de changement ?
En cas de changement (nouveau certificat, résiliation, etc.), le cadre réglementaire rappelle l’obligation d’information du préfet dans certains délais.
Côté opérationnel, le réflexe est généralement :
Faire suspendre / révoquer le certificat auprès du prestataire (selon sa procédure)
Mettre à jour l’APD / votre organisation d’accès
Notifier selon la convention (et, si nécessaire, formaliser le changement dans vos dossiers internes)
Un certificat est-il indispensable ?
La documentation APD/ANTS indique qu’un certificat est indispensable pour certains modes d’accès (notamment via formulaire web) et qu’il doit être déclaré et valide pour accéder au système.
Pourquoi parle-t-on de RGS ** ?
Parce que l’authentification et la confiance dans les échanges électroniques sont structurées par le RGS, cadre de référence de sécurité pour l’administration.