Sécurité et pilotage de la réforme de la facturation électronique obligatoire

Mme Marie-Agnès Poussier-Winsback appelle l'attention de M. le ministre de l'action et des comptes publics sur les conditions de mise en œuvre de la réforme de la facturation électronique obligatoire. Cette réforme, dont la première échéance est entrée en vigueur le 1er septembre 2026, doit s'étendre à l'ensemble des très petites entreprises, des petites et moyennes entreprises, des micro-entreprises et des exploitations agricoles au 1er septembre 2027. Cette réforme engage l'ensemble des dix millions d'entreprises françaises. Or l'État délègue ce processus à 154 plateformes de dématérialisation partenaires privées, qui demandent toutes une copie de carte d'identité pour la création d'un compte. À la suite des nombreuses cyberattaques et en particulier celle contre le système d'information de la direction générale des finances publiques, révélée à la mi-août 2026, le risque de fuites de données et notamment des pièces d'identité est élevé. Des mises en garde émises par plusieurs organisations professionnelles ont d'ailleurs été diffusées, en particulier par le Syndicat des indépendants et des TPE (SDI) qui a demandé un moratoire assorti d'un audit de sécurité indépendant rendu public avant le 30 septembre 2026. Ainsi, elle lui demande si le Gouvernement prévoit d'évaluer les conditions dans lesquelles le portail public de facturation gratuit a été abandonné au profit des seules plateformes de dématérialisation partenaires privées et d'auditer, avec l'appui de l'ANSSI et de la Cour des comptes, le niveau de sécurité effectif du dispositif ainsi que les responsabilités engagées en cas de compromission.

Depuis le 1er septembre 2026, tous les assujettis à la TVA doivent être en mesure de recevoir les factures de leurs fournisseurs via une plateforme choisie parmi les 150 plateformes immatriculées par l'État, dont la liste est disponible sur le site impots.gouv.fr. Pour les TPE et PME, l'obligation d'émettre des factures électroniques et de transmettre leurs données de transaction et de paiement se fera dans un second temps, pour leur laisser le temps de s'approprier la réforme, au 1er septembre 2027. La réforme de la facturation électronique est un système distribué et concurrentiel qui s'appuie sur 150 plateformes agréées. Le choix de ne pas concentrer l'ensemble des flux nationaux dans un point de passage unique participe également de la stratégie de sécurité. Un portail central aurait constitué une cible évidente et attractive pour une attaque d'ampleur, avec un risque systémique majeur en cas de défaillance. Le modèle distribué retenu réduit cette exposition : il évite la concentration de tous les flux dans une seule infrastructure et limite les effets de propagation en cas d'incident isolé. Les plateformes agréées sont soumises à un niveau élevé d'exigence de sécurité informatique. Elles doivent notamment être certifiées ISO 27001 sur le périmètre de leur activité de facturation électronique. Cette certification impose d'organiser la sécurité dans la durée : analyse des risques, maîtrise des accès, protection des systèmes, maîtrise des sous-traitants, sauvegardes, gestion des incidents et continuité d'activité. À cette certification s'ajoutent des exigences spécifiques au dispositif français : recours à une offre qualifiée SecNumCloud (un label développé par l'Agence nationale de la sécurité des systèmes d'information - ANSSI), en cas de recours à un prestataire d'hébergement cloud tiers, localisation européenne des données et absence de transfert hors de l'Union européenne des données hébergées du service, authentification renforcée, sécurisation des échanges, traçabilité des opérations et audits réguliers. Les plateformes agréées sont auditées chaque année par un organisme auditeur indépendant et professionnel, avec pour objectif de vérifier systématiquement si la plateforme respecte l'encadrement juridique de la réforme. En cas de non-conformité, les plateformes peuvent se voir retirer leur immatriculation. En matière d'identification des utilisateurs, conformément aux textes réglementaires (article 242 nonies B I 7° a) et article 242 nonies F de l'annexe II au code général des impôts), les plateformes agréées doivent assurer un niveau de garantie substantiel des moyens d'identification électronique de la personne utilisatrice1. Toutefois, au plus tard jusqu'au 31 décembre 2029, elles peuvent recourir à un autre niveau de garantie à la double condition que le dispositif mis en œuvre repose sur : a) Une vérification fiable de l'identité de la personne utilisatrice et de sa qualité de représentant légal, mandataire ou délégataire de l'assujetti, au moment de la création d'un compte sur la plateforme ou de l'adhésion aux services proposés par celle-ci ; b) Un mécanisme d'authentification à deux facteurs, dont l'un dynamique. Ce mécanisme est essentiel puisqu'il permet de s'assurer que les personnes utilisant les services de la plateforme agréée sont légitimes à le faire. Pour lutter contre l'utilisation frauduleuse de documents et l'usurpation d'identité, le site filigranefacile proposé par l'État facilite l'ajout d'un filigrane numérique personnalisé pour protéger les documents sensibles (notamment les pièces d'identité des représentants légaux) avant de les transmettre. Par ailleurs, la CNIL a été saisie et a rendu un avis favorable le 23 juin 2022 qui est visé dans le décret n° 2022-1299 du 7 octobre 2022 relatif à la généralisation de la facturation électronique dans les transactions entre assujettis à la taxe sur la valeur ajoutée et à la transmission des données de transaction. La CNIL a également mis en ligne sur son site un article relatif aux enjeux pour la protection des données personnelles : https://www.cnil.fr/fr/facturation-electronique-quels-enjeux La sécurisation du dispositif repose sur des obligations juridiques, techniques et organisationnelles, des certifications, des audits et des contrôles réguliers. Ces contrôles ont vocation à éprouver concrètement la sécurité des systèmes d'information, notamment via des tests d'intrusion. Côté État, les traitements et outils sont soumis à une homologation de sécurité conforme au référentiel ANSSI, avec audits, tests de bout-en-bout, tests d'intrusion et une organisation de gestion des incidents, assortie de mécanismes de sauvegarde/restauration et de traçabilité des accès. La cybersécurité implique une vigilance accrue des acteurs de la réforme. Les entreprises doivent continuer à appliquer les règles habituelles de sécurité : protéger leurs identifiants, vérifier les droits accordés aux personnes agissant pour leur compte, rester vigilantes face aux sollicitations inhabituelles et ne jamais transmettre d'informations confidentielles à la suite d'un courriel, d'un SMS ou d'un appel non sollicité. La facturation électronique apporte des protections supplémentaires et une meilleure traçabilité des échanges mais ne dispense pas de mettre en œuvre les bonnes pratiques indispensables à la protection des architectures et des données. Enfin, la réforme s'inscrit dans une logique de transformation des processus au sein des entreprises et doit être envisagée globalement : les coûts d'adaptation doivent être mis en balance avec les gains à moyen et long terme. Ceux-ci compenseront largement le coût éventuel associé au choix d'une plateforme agréée. 1 Au sens des dispositions du règlement d'exécution 2015/1502 de la Commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d'identification électronique visés à l'article 8, paragraphe 3 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur.