↓ Aller au contenu
Comptaverse
Comptaverse
  1. Articles/

Facturation électronique : après le piratage du fisc, Bercy tente de rassurer les entreprises à 5 jours de l'échéance

·1284 mots·7 mins·
Sommaire

Dans cinq jours, le 1er septembre 2026, toutes les entreprises assujetties à la TVA devront être en mesure de recevoir des factures électroniques via une plateforme agréée. Une échéance qui devrait logiquement occuper le devant de la scène — sauf qu’elle se retrouve cette semaine percutée par un tout autre sujet : le piratage du système d’information de la DGFiP, révélé le 14 août 2026, dont nous détaillons les faits et les démarches à accomplir dans un article dédié. Entre le 24 et le 26 août, deux ministres sont montés au créneau pour tenter de dissocier les deux sujets et rassurer les dirigeants sur la sécurité du dispositif de facturation électronique. Voici ce qu’il faut en retenir.

Un climat de méfiance, à la mauvaise date
#

Confier la réception — puis, à terme, l’émission — de ses factures à un prestataire tiers suppose une confiance minimale dans la sécurité du dispositif. Or cette confiance a pris un coup cet été : la DGFiP a reconnu deux intrusions dans son système d’information, en juin et juillet 2026, ayant conduit à l’extraction de données concernant plus de 678 000 particuliers et professionnels, dont la raison sociale et le numéro SIREN de plus de 250 000 entreprises.

Comme nous l’écrivions déjà dans la mise à jour du 25 août de notre article sur cet incident, la foire aux questions officielle de la DGFiP est explicite : « ces incidents n’ont concerné ni les infrastructures de la facturation électronique ni les plateformes agréées » et sont « sans lien avec les échanges de factures électroniques entre entreprises ». Cette clarification n’a toutefois pas suffi à éteindre l’inquiétude, à en juger par le nombre de prises de parole gouvernementales consacrées au sujet ces derniers jours.

Roland Lescure reconnaît un retard, mais maintient la réforme
#

Interrogé le 24 août 2026 sur BFM TV, le ministre de l’Économie Roland Lescure a reconnu, sans détour, que la France « n’est pas encore au niveau » en matière de cybersécurité et qu’« il y a des investissements à faire », qualifiant l’accumulation récente de cyberattaques touchant les administrations de « choc majeur ». Une reconnaissance rare de la part d’un membre du gouvernement, à quelques jours d’une réforme qui repose précisément sur la confiance des entreprises dans la sécurité numérique de l’État et de ses partenaires agréés.

Le ministre a néanmoins maintenu le cap sur la facturation électronique, faisant valoir que la mesure ne représente pas de coût supplémentaire pour les petites structures et que les plateformes agréées reposent sur des architectures récentes, distinctes des systèmes d’information visés par le piratage.

David Amiel réunit les plateformes agréées et durcit les exigences
#

Le 26 août 2026, le ministre chargé des Comptes publics David Amiel a réuni les plateformes agréées pour leur rappeler — et, selon plusieurs comptes rendus de cette réunion, renforcer — leurs obligations de sécurité : le respect de standards qualifiés de « les plus élevés d’Europe », l’exigence d’en apporter la preuve « en continu » plutôt qu’une seule fois lors de l’agrément, et un signalement à l’administration « sans délai » de tout incident de sécurité. Des tests d’intrusion généralisés sont annoncés pour l’automne 2026, associés à des réunions de suivi régulières avec l’Agence pour l’informatique financière de l’État (AIFE).

Ces annonces viennent s’ajouter aux garanties structurelles déjà en vigueur pour toute plateforme agréée, rappelées par la FAQ professionnels de la DGFiP publiée le 24 août : qualification SecNumCloud de l’ANSSI en cas d’hébergement cloud externalisé, certification ISO 27001, absence de transfert de données hors Union européenne, authentification renforcée et traçabilité systématique des opérations. Autant d’éléments qu’un dirigeant peut — et devrait — vérifier concrètement auprès de la plateforme qu’il envisage de retenir, plutôt que de se contenter du seul fait qu’elle figure sur la liste officielle.

Pas de sanctions en 2026 : une doctrine confirmée, pas nouvelle
#

David Amiel a par ailleurs réaffirmé, dans les mêmes échanges du 24-25 août, la doctrine de tolérance déjà annoncée le 10 juillet 2026 et détaillée dans notre article dédié : « le 1er septembre, ce n’est pas une date couperet, c’est le coup d’envoi », et « d’ici à fin 2026, il n’y aura aucune sanction pour aucune entreprise » de bonne foi ayant engagé une démarche. Ce n’est donc pas une annonce nouvelle sur le fond — le principe et son périmètre restent ceux du 10 juillet — mais sa répétition, à cette date précise et dans ce contexte de méfiance renforcée par le piratage, vise clairement à éviter que l’inquiétude sur la sécurité ne se transforme en report de fait des raccordements.

Où en est l’adoption des plateformes agréées ?
#

Selon des chiffres de la DGFiP relayés le 26 août 2026, plus de 3,5 millions d’entreprises auraient déjà sélectionné une plateforme agréée pour la réception de leurs factures électroniques. C’est un signal encourageant de bascule à grande échelle, même si la mesure exacte de la date de collecte n’est pas précisée par la source — un point de prudence à garder à l’esprit avant de citer ce chiffre comme un instantané figé. Nous avions, de notre côté, vérifié en primaire le 22 août le nombre officiel de plateformes elles-mêmes immatriculées auprès de la DGFiP (148 définitivement immatriculées, 18 en attente de tests d’interopérabilité) dans notre guide pour choisir sa plateforme agréée, qui reste la référence à jour sur ce point précis.

Ce que cela change concrètement pour votre entreprise
#

Sur le fond, rien ne change au calendrier légal : l’obligation de réception entre en vigueur le 1er septembre 2026 pour toutes les entreprises assujetties à la TVA, sans report ni période blanche généralisée. Ce qui évolue, c’est la communication de crise du gouvernement autour de la sécurité du dispositif. Concrètement, trois réflexes pour un dirigeant de PME :

  1. Ne pas confondre les deux sujets. Le piratage du fisc a visé le système d’information interne de la DGFiP par usurpation d’identifiants d’agents — pas les plateformes agréées de facturation électronique, dont l’architecture et les exigences de sécurité sont distinctes.
  2. Vérifier, ne pas supposer. Le fait qu’une plateforme figure sur la liste officielle ne dispense pas de lui demander sa qualification SecNumCloud (si hébergement cloud externalisé) ou sa certification ISO 27001, en particulier si elle traite des données financières sensibles pour votre entreprise.
  3. Continuer à avancer, sans céder à l’attentisme. La tolérance sur les sanctions jusqu’à fin 2026 ne bénéficie qu’aux entreprises pouvant démontrer une démarche déjà engagée — pas à celles qui attendraient d’être totalement rassurées sur la cybersécurité de l’État avant de s’y mettre.

Sources
#

Articles connexes