La facturation électronique entre en vigueur le 1er septembre 2026 et Bercy annonce un dispositif de contrôle resserré autour des plateformes agréées par l’État. Le ministre de l’Action et des comptes publics, David Amiel, les a réunies mercredi 26 août pour leur rappeler deux obligations non négociables : la norme ISO 27001 et l’hébergement des données sous label SecNumCloud de l’ANSSI. Au 23 août, 58 % des entreprises avaient choisi leur plateforme, et aucune sanction ne sera prononcée avant la fin de l’année.
Au 23 août, 58 % des entreprises avaient choisi leur plateforme. À six jours du lancement, cela laisse plus de quatre entreprises sur dix sans opérateur désigné. Le chiffre a été communiqué par Bercy, qui juge la dynamique positive. Il donne la mesure du chantier qui attend les très petites entreprises et les PME.
Le contexte n’a rien d’apaisé. La cyberattaque subie par le fisc a nourri une inquiétude parmi les chefs d’entreprise, qui redoutent de voir le nouveau système devenir une cible. C’est à cette inquiétude que le ministre de l’Action et des comptes publics, David Amiel, a voulu répondre mercredi matin en réunissant les plateformes agréées par l’État, désignées par l’administration sous le sigle PA. Ces opérateurs privés, longtemps évoqués sous l’appellation de plateformes de dématérialisation partenaires, sont l’infrastructure sur laquelle repose toute la réforme : ce sont eux qui émettront, recevront et transmettront les factures des entreprises.
ISO 27001 et SecNumCloud, les deux tickets d’entrée
Pour rester agréées, les plateformes doivent remplir deux conditions cumulatives. La première est la norme ISO 27001, référentiel international de management de la sécurité de l’information. La seconde est l’hébergement des données sous le label SecNumCloud, délivré par l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
Ce second critère n’est pas seulement technique. Le label SecNumCloud impose des standards de sécurisation élevés, mais il couvre aussi le risque juridique lié à l’extraterritorialité. Concrètement, les données de facturation doivent être situées sur le sol européen et ne peuvent pas être soumises à des lois étrangères, en particulier américaines. Les exigences françaises figurent, selon Bercy, parmi les plus élevées d’Europe. Le cabinet du ministre a précisé que les plateformes devront apporter des preuves en continu du respect de ces obligations, et non une attestation prise une fois pour toutes.
Le calendrier serré de septembre
La suite est datée. Les plateformes agréées seront réunies régulièrement sous l’égide de l’Agence pour l’informatique financière de l’État (AIFE), et la première de ces réunions est fixée au 3 septembre. L’objet en est précis : vérifier que les plateformes fonctionnent correctement en univers de production, c’est-à-dire en conditions réelles et non en environnement de test. Elles devront en faire la démonstration sans attendre les audits prévus par ailleurs.
Fin septembre, chaque plateforme devra transmettre à l’administration un rapport de suivi postproduction. À l’automne, les tests d’intrusion, déjà pratiqués par certaines d’entre elles, seront généralisés : Bercy y voit « un moyen de preuve par excellence ». En cas d’incident, la remontée à l’AIFE devra être immédiate, avant même que la plateforme ait achevé ses propres investigations. La sanction est claire pour les opérateurs défaillants : les échanges entre la plateforme concernée et l’administration seront suspendus, ce qui revient à couper le lien avec le système fiscal.
Trois briques publiques et aucune passerelle
Les mêmes exigences s’appliquent au versant public du dispositif, qui repose sur trois briques. Chorus Pro d’abord, plateforme agréée pour la sphère publique, chargée de recevoir les factures destinées aux administrations. Le concentrateur ensuite, opéré par l’AIFE et connu sous le nom de plateforme publique de facturation, ou PPF : c’est là que les plateformes envoient les données extraites des factures nécessaires à l’administration fiscale. Le système interne à la Direction générale des finances publiques enfin, qui collecte ces informations pour les besoins du fisc.
Des tests d’intrusion et des opérations de piratage éthique ont déjà été menés sur cet ensemble et se poursuivent en continu. Le cabinet du ministre insiste sur la conception même de l’architecture : « Le système est conçu pour être robuste et résilient en cas d’intrusion. » La partie interne à la DGFiP a été bâtie récemment, exclusivement pour cet usage, et sans passerelle externe. C’est la différence revendiquée avec la configuration qui prévalait lors de la cyberattaque du fisc.
Le contrôle porte aussi sur les agents. Des quotas de consultation seront appliqués aux fonctionnaires de la DGFiP accédant au système, avec des coupe-circuits ou des alertes déclenchés au-delà d’un certain seuil. Le journal des accès sera analysé en direct dès qu’un problème est détecté. Un deuxième filtre, hiérarchique celui-là, doit permettre de vérifier l’absence de consultations abusives des fichiers.
Une date qui n’est pas un couperet
Reste le point qui intéresse le plus directement les dirigeants de TPE et de PME, celui du sort réservé aux entreprises qui ne seront pas prêtes le 1er septembre. En début de semaine, David Amiel avait indiqué que « la date du 1er septembre n’était pas une date couperet », mais qu’elle marquait l’atterrissage de la réforme et sa mise en route progressive. La conséquence est concrète : aucune sanction ne sera prise à l’égard des entreprises jusqu’à la fin de l’année, et l’administration adoptera une posture d’accompagnement.
Cette tolérance ne dispense pas du choix d’une plateforme, qui reste le premier acte à accomplir. Une entreprise qui n’a pas d’opérateur désigné ne peut ni transmettre ses factures dans le format attendu, ni recevoir celles de ses fournisseurs si ces derniers ont, eux, basculé. Le décalage entre les 58 % d’entreprises équipées au 23 août et l’échéance du 1er septembre dessine le principal point de friction des prochaines semaines.
Le 3 septembre, l’AIFE saura ce que vaut le système en production.
Source : Le Figaro – lefigaro.fr