Afficher le sommaire Masquer le sommaire
Dix millions d’entreprises assujetties à la TVA confieront leurs factures à des opérateurs privés à partir du 1er septembre. La Direction générale des finances publiques a confirmé, quinze jours avant cette échéance, trois intrusions distinctes dans ses serveurs. Des données d’entreprises figuraient parmi celles qui en sont sorties.
David Amiel a réuni mercredi 26 août au matin les sociétés privées chargées d’acheminer, à partir de lundi, les factures électroniques des entreprises françaises vers le fisc. Le ministre de l’action et des comptes publics leur a demandé d’obtenir le label SecNumCloud, délivré par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Ces opérateurs répondent déjà à la certification ISO 27001, une norme de sécurité informatique attribuée par des organismes privés. Le label réclamé par le ministre, lui, est décerné par l’État.
A LIRE AUSSI
Indépendants : la facturation électronique va tout changer pour vous
Trois obligations complètent cette exigence. Les plateformes devront prouver leur niveau de sécurité « en continu », avec un premier point de suivi attendu d’ici à la fin du mois de septembre. « Dès la fin du mois de septembre, les plateformes feront remonter aux services de l’État un retour sur les dispositifs de cybersécurité », a indiqué David Amiel, cité par La Nouvelle République. Le ministre a également demandé que « pendant l’automne, toutes les plateformes agréées généralisent » les tests d’intrusion, ces attaques simulées par des spécialistes pour repérer les failles d’un réseau avant qu’un pirate ne les trouve. Tout incident devra être signalé sans délai à l’administration.
En cas de manquement, l’activité d’un opérateur pourra être suspendue, a précisé le ministre. Cinq jours séparaient cette réunion de l’entrée en vigueur de la réforme.
Ce qu’une facture dit d’une entreprise
Au 1er septembre, toute entreprise assujettie à la TVA doit être en mesure de recevoir une facture au format électronique. Les grandes entreprises et les entreprises de taille intermédiaire devront en outre émettre les leurs sous cette forme dès cette date. Les TPE et les PME disposent d’un an supplémentaire pour cette seconde obligation.
Aucune de ces factures ne partira directement vers la DGFiP. Elles transiteront par des plateformes agréées par l’État, chargées d’en extraire les données requises et de les transmettre au fisc. Cent quarante-huit opérateurs détiennent cet agrément. Chaque entreprise désigne le sien, sans que l’administration intervienne dans ce choix.
Un fichier de factures indique qui travaille avec qui, à quel prix, à quelle fréquence et pour quels volumes. Le numéro SIREN, la raison sociale, l’identité des clients et celle des fournisseurs y figurent. Ces informations quitteront les serveurs de l’entreprise pour ceux d’un prestataire tiers, à chaque transaction.
Des SIREN d’entreprises dans les fichiers dérobés
La DGFiP a chiffré à 678 000 le nombre de comptes touchés par la première de ces intrusions, dans un communiqué publié le 14 août. Les intrus sont entrés fin juin. Ils ont utilisé les identifiants d’un agent de l’administration, combinés à ceux d’un tiers habilité, c’est-à-dire d’un professionnel, expert-comptable ou mandataire, autorisé à consulter les données fiscales de ses clients. Environ 350 000 particuliers sont concernés selon le ministère ; le solde, soit plus de 320 000 comptes, relève de professionnels. Parmi les données extraites figurent la raison sociale et le numéro SIREN des entreprises, aux côtés du revenu fiscal de référence, du quotient familial et du taux de prélèvement à la source.
Le même communiqué précise que « les espaces Finances publiques des usagers particuliers et professionnels n’ont pas été compromis » et que « les identifiants et les mots de passe (…) n’ont pas été compromis ». Interrogé sur RTL le 24 août, David Amiel a déclaré qu’« aucun impôt » et « aucun avis d’imposition » n’avait été détourné ou modifié.
Un deuxième accès, daté du 29 juillet, a visé le Serveur professionnel de données cadastrales, la base qui recense les propriétés bâties et non bâties et leurs propriétaires. Un groupe se présentant sous le nom de ZeroBytes l’a revendiqué. La DGFiP n’a publié aucun chiffrage de cet épisode et les estimations des médias spécialisés vont de plusieurs centaines de milliers à plus de deux millions de comptes selon les sources, sans confirmation officielle. L’administration a confirmé le 18 août un troisième accès frauduleux, distinct des deux premiers. Elle a saisi la Commission nationale de l’informatique et des libertés et déposé plainte, et la section cyber du parquet de Paris a ouvert une enquête. Le Premier ministre Sébastien Lecornu a réuni une cellule interministérielle de crise.
Les fichiers sortis des serveurs de la DGFiP contenaient donc les mêmes identifiants d’entreprises que ceux qui alimenteront le nouveau dispositif.
Un identifiant volé suffit
Aucune faille logicielle n’a été mise en cause par l’administration dans les intrusions de cet été. Les attaquants se sont connectés avec des identifiants valides, ceux d’un agent et d’un tiers habilité, comme l’auraient fait leurs propriétaires légitimes.
Le ministère indique de son côté que la nouvelle architecture informatique de la facturation électronique ne comporte aucune passerelle d’accès externe comparable à celle par laquelle les intrus sont entrés en juin. Elle a été conçue plus récemment que les systèmes de la DGFiP. C’est l’argument que Bercy oppose aux acteurs du secteur depuis la mi-août. Un salarié d’opérateur privé peut néanmoins se faire dérober ses identifiants aussi bien qu’un agent public, et les 148 plateformes emploieront chacune des équipes techniques disposant d’un accès aux flux de facturation de leurs clients.
Le ministre a comparé le niveau d’exigence français à celui de ses voisins, sur RTL, le 24 août : « Les exigences de sécurité qu’on a demandées aux plateformes agréées sont supérieures à ce qui existe en Italie et en Espagne. » Le ministère n’a pas publié la comparaison technique qui fonde cette affirmation.
L’agrément est délivré par l’État. Une fuite survenue chez l’un des opérateurs mettrait en cause un prestataire que l’administration a elle-même validé. Ni la réunion du 26 août ni les déclarations du ministre n’ont abordé la répartition des responsabilités entre la plateforme, l’entreprise cliente et l’administration dans une telle hypothèse.
Neuf prestataires détiennent le label exigé
Neuf prestataires seulement disposaient effectivement de la qualification SecNumCloud à l’été 2026. Y figurent OVHcloud, Orange Business, Cegedim.cloud, Worldline et S3NS, la coentreprise de Thales et de Google.
L’ANSSI impose aux prestataires qualifiés d’héberger les données sur le sol européen, hors d’atteinte du Cloud Act, cette loi américaine qui permet aux autorités des États-Unis de réclamer à une entreprise américaine des données stockées à l’étranger. L’agence a fait approuver la version la plus récente du référentiel, SecNumCloud 3.2, par un arrêté du 12 août 2026 publié au Journal officiel du 14 août. Le texte s’appuie sur l’article 31 de la loi visant à sécuriser et réguler l’espace numérique du 21 mai 2024 et sur son décret d’application n° 2026-272, qui rend la qualification obligatoire pour l’hébergement des données étatiques les plus sensibles.
Cent quarante-huit plateformes agréées, neuf détenteurs du label. David Amiel n’a pas indiqué mercredi sous quel délai les opérateurs devront combler cet écart, ni si une période transitoire leur serait accordée. Il n’a pas davantage précisé ce qu’il adviendrait des entreprises clientes d’une plateforme qui n’obtiendrait pas la qualification. Une société qui s’inscrit cette semaine ignore si son prestataire figurera encore sur la liste des agréés dans six mois.
Un sénateur de la Meuse demande le report
Franck Menonville, sénateur de la Meuse, réclame le report de la réforme tant que l’État ne peut garantir « la parfaite sécurisation des données collectées des 10 millions d’entreprises assujetties à la TVA ». Plusieurs responsables politiques ont demandé sa suspension depuis la publication du communiqué du 14 août. Bercy a répondu par la réunion du 26 août et par de nouvelles obligations.
Les indicateurs de préparation divergent fortement d’une source à l’autre. Une étude relayée par L’Indépendant estimait au 22 août que 66 % des entreprises concernées étaient prêtes et que 92 % avaient au moins entamé leurs démarches. Le Monde évoquait trois jours plus tard environ une entreprise sur deux effectivement inscrite sur l’une des plateformes agréées. Trois jours séparent les deux mesures, qui ne retiennent pas le même critère, l’inscription effective d’un côté, la préparation déclarée de l’autre.
Dans les deux hypothèses, plusieurs centaines de milliers de dirigeants désigneront leur opérateur dans les jours qui viennent, sans connaître le calendrier de mise à niveau des plateformes. La date du 1er septembre n’a pas bougé.
Aucune amende prévue pour une fuite de données
Les plateformes agréées encourent 750 euros par transmission manquante ou erronée, sous un plafond annuel relevé de 45 000 à 100 000 euros par la loi de finances pour 2026, promulguée le 19 février. Ce barème vise l’acheminement des données vers le fisc. Aucune amende chiffrée ne sanctionne un défaut de protection de ces mêmes données. Pour ce cas de figure, l’administration dispose d’un seul instrument annoncé par le ministre le 26 août, la suspension de l’agrément, une mesure qui intervient après l’incident et qui laisse les clients de l’opérateur sans plateforme.
Les entreprises assujetties relèvent d’un barème distinct, également alourdi en février. L’amende pour une facture non émise au format électronique passe de 15 à 50 euros par facture, dans la limite de 15 000 euros par an. Celle qui frappe un manquement dans l’e-reporting monte de 250 à 500 euros par transmission. Cette obligation d’e-reporting oblige les entreprises à déclarer au fisc leurs opérations que la facturation électronique ne couvre pas, ventes aux particuliers et échanges avec l’étranger notamment.
Ces amendes-là resteront suspendues jusqu’au 31 décembre. « D’ici à la fin de l’année 2026, il n’y aura aucune sanction pour aucune entreprise. On sera extrêmement pragmatiques », a déclaré David Amiel sur RTL le 24 août. Son cabinet emploie une autre formule : « Le 1er septembre n’est pas un atterrissage, c’est le décollage de la réforme. » Le ministre n’a pas indiqué si ce moratoire s’étendait aux plateformes elles-mêmes. L’administration met en avant, en contrepartie de ces contraintes, une gestion simplifiée pour les entreprises et un meilleur ciblage de la fraude fiscale.
Fin septembre, les 148 opérateurs remettront leur premier point de suivi aux services de l’État. Ce document indiquera combien d’entre eux ont engagé une démarche de qualification auprès de l’ANSSI.
