• Accueil
• Actualités
• Facturation électronique : faut-il craindre une cyberattaque sur vos données ?

Facturation électronique : faut-il craindre une cyberattaque sur vos données ?

L’essentiel

• Depuis le 1er septembre 2026, toutes les entreprises françaises doivent pouvoir recevoir leurs factures via une plateforme agréée.
• Les entreprises de taille intermédiaire et les grandes entreprises doivent déjà émettre leurs factures sous ce format électronique.
• Aucune amende ne sera infligée en 2026 aux entreprises en cas de non-conformité.
• Le piratage de la DGFiP survenu cet été a ravivé les craintes des dirigeants sur leurs données.
• Bercy impose aux plateformes des tests d’intrusion, un signalement immédiat des incidents et des contrôles réguliers.

Une réforme maintenue, mais un calendrier assoupli

Depuis ce 1er septembre 2026, la réception des factures doit transiter par une plateforme agréée par l’État, qui transmet ensuite les données à l’administration fiscale. Plus de 4 millions d’entreprises ont déjà désigné leur adresse de réception et les deux tiers d’entre elles, soit 66 %, ont arrêté le choix de leur plateforme parmi plus de 130 opérateurs. Au-delà de la simplification promise, l’État attend plus de 4 milliards € de gains annuels pour les entreprises, tandis que la DGFiP chiffre entre 6 et 10 milliards € par an les pertes liées aux erreurs et omissions déclaratives, volontaires ou non.

Face à la fronde suscitée par le piratage du fisc cet été, Bercy n’a pas cédé aux demandes de report : le calendrier est tenu. Le ministre des Comptes publics a néanmoins choisi de faire de 2026 une année d’accompagnement plutôt que de contrôle, une souplesse bienvenue pour les plus petites structures, souvent les moins avancées dans leur mise en conformité.

Un régime de sanctions différé

En cas de manquement, la loi prévoit une amende de 500 €, portée à 1 000 € en cas de récidive et renouvelable, mais elle ne s’applique qu’après une mise en demeure restée sans effet. Le ministre de l’Action et des Comptes publics a toutefois été explicite : ce 1er septembre est un coup d’envoi et non une date couperet et aucune sanction ne sera appliquée en 2026.

Échéance	Obligation
1er septembre 2026	Toutes les entreprises doivent pouvoir recevoir des factures électroniques
1er septembre 2026	Les entreprises de taille intermédiaire et les grandes entreprises doivent également les émettre
Fin 2026	Aucune sanction appliquée aux entreprises pendant la phase de démarrage
1er septembre 2027	Obligation d’émission généralisée à toutes les entreprises

Le spectre du piratage plane sur le dispositif

La circulation de milliards de données de facturation au sein d’un nouvel écosystème de plateformes privées agréées fait néanmoins naître une crainte chez certains dirigeants : celle qu’une faille chez l’un de ces intermédiaires expose de fait des informations commerciales sensibles. Prix, quantités, nature des biens ou services, fournisseurs, clients, montants et rythme des transactions : une facture est un condensé de secrets d’affaires.

L’organisation patronale Les Entrepreneurs, ex-CPME, se veut plus rassurante et souligne que le système dédié à la facturation repose sur des normes et des socles techniques récents, sans commune mesure avec les outils visés par les violations précédentes. Les services fiscaux affirment de leur côté qu’aucun lien n’existe entre le système piraté fin juin et les circuits de la facturation électronique. 

La riposte de Bercy

Le ministère a réuni les plateformes agréées pour leur rappeler des exigences de cybersécurité présentées comme les plus élevées d’Europe. Elles devront signaler sans délai tout incident, se soumettre à de nouveaux tests d’intrusion généralisés dès l’automne et remettre un point de suivi avant la fin septembre. En cas de manquement, leurs opérations seront suspendues. La directrice générale des finances publiques, Amélie Verdier, a de son côté indiqué que l’ensemble des plateformes agréées avait fait l’objet d’un audit de sécurité préalable à leur immatriculation et resteraient soumises à des contrôles réguliers, tout en reconnaissant que le risque zéro n’existe pas. Des garanties jugées insuffisantes par certains experts en cybersécurité, qui pointent l’absence d’engagements précis sur la protection effective des données.

Comment limiter votre exposition ?

L’expérience belge montre toutefois qu’un déploiement rapide reste possible. Depuis l’entrée en vigueur de la facturation électronique obligatoire en janvier 2026, 83 % des entreprises utilisaient déjà le réseau Peppol au 10 mars. La Belgique n’a pas pour autant écarté les sanctions : une entreprise qui ne dispose pas des moyens techniques nécessaires pour émettre et recevoir des factures électroniques structurées s’expose à une amende de 1 500 € dès la première infraction.

La conformité ne règle cependant pas à elle seule la question de la sécurité. Avant de choisir votre plateforme, examinez notamment le coût réel de l’offre, les éventuels quotas, les possibilités de récupération de vos données ainsi que les garanties apportées en matière d’hébergement et de conservation. Activez l’authentification multifacteur lorsqu’elle est proposée et limitez les accès aux seuls collaborateurs qui en ont besoin. Enfin, conservez des sauvegardes régulières de vos données de facturation, dont au moins une copie isolée du système principal, afin de pouvoir poursuivre ou rétablir votre activité en cas d’incident chez votre prestataire.