Facturation électronique et souveraineté numérique

M. Julien Gabarron attire l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur les enjeux de souveraineté et de cybersécurité liés à la réforme de la facturation électronique, dont l'entrée en vigueur est fixée au 1er septembre 2026 et qui imposera aux entreprises assujetties à la TVA de recourir à une plateforme agréée par la DGFiP, laquelle en recensait 146 au 16 août 2026. Il souligne que ces plateformes seront amenées à centraliser des données économiques particulièrement sensibles et constitueront, de ce fait, des cibles privilégiées pour les cyberattaques, alors même que les garanties apportées par l'État quant à la protection et à la résilience de ces données apparaissent insuffisamment explicitées. Il relève par ailleurs que l'agrément repose sur des critères techniques et de sécurité, sans garantir ni la nationalité du capital des opérateurs ni celle de leur maison mère, alors que plusieurs analyses estiment à plus de 40 % la part des plateformes détenues par des capitaux étrangers, sans publication officielle de cette information. Il lui demande donc quelles garanties sont prévues contre les cyberattaques et les accès extraterritoriaux aux données économiques françaises, si le Gouvernement entend publier la structure capitalistique des plateformes agréées et s'il envisage de favoriser les opérateurs à capitaux français.

La protection des données personnelles et la cybersécurité des outils constituent deux préoccupations majeures du Gouvernement, qui veille à les prendre en compte dans chacune de ses réformes. La réforme de la facturation électronique ne fait pas exception à cette exigence. Les plateformes agréées sont soumises à un niveau élevé d'exigences de sécurité et doivent démontrer régulièrement qu'elles maintiennent le niveau attendu. Elles doivent notamment être certifiées ISO 27001 sur le périmètre de leur activité de facturation électronique. Cette certification impose d'organiser et de mettre en œuvre une démarche d'analyse des risques, de maîtrise des accès, de protection des systèmes, de maîtrise des sous-traitants, de sauvegardes, de gestion des incidents et de continuité d'activité. À cette certification s'ajoutent des exigences spécifiques au dispositif français : recours à une offre qualifiée SecNumCloud en cas d'utilisation d'un cloud, localisation européenne des données et absence de transfert hors de l'Union européenne des données hébergées du service, authentification renforcée, sécurisation des échanges, traçabilité des opérations et audits réguliers. Les plateformes agréées sont auditées chaque année par un organisme auditeur indépendant et professionnel, avec pour objectif de vérifier systématiquement si la plateforme respecte l'encadrement juridique de la réforme en matière de cybersécurité. En cas de non-conformité, le retrait de l'immatriculation est possible. La sécurité des infrastructures et des données ne repose donc pas sur une simple déclaration de la plateforme. Elle repose sur des obligations techniques et organisationnelles, des certifications, des audits et des contrôles réguliers permettant d'en vérifier la mise en œuvre dans la durée. Ces contrôles ont vocation à éprouver concrètement la sécurité des systèmes, notamment par des tests d'intrusion. Enfin pour obtenir son immatriculation, la plateforme doit produire à l'administration « l'identité des personnes qui la contrôlent au sens de l'article L. 233-3 du code de commerce » (I 8° de l'article 242 nonies B de l'annexe II au CGI). La structure capitalistique des entreprises est disponible sur les sites officiels, tels que Infogreffe.