Facturation électronique : Bercy impose un audit cybersécurité aux plateformes agréées après le piratage du fisc — ce qu’il faut vérifier avant le 1er septembre

Le 26 août 2026, David Amiel, ministre de l’Action et des Comptes publics, a convoqué à Bercy les dirigeants de toutes les plateformes agréées (PA) de facturation électronique pour leur rappeler leurs obligations de sécurité informatique, selon Public Sénat. Le contexte n’est pas anodin : cette réunion intervient après le piratage des données de la DGFiP — que nous avions couvert ici lors de sa confirmation le 13 août 2026 — et des intrusions répétées dans les systèmes du fisc tout au long de l’été — six jours avant le 1er septembre 2026, date à laquelle toute entreprise assujettie à la TVA, quelle que soit sa taille, doit pouvoir recevoir ses factures électroniquement via l’une de ces plateformes agréées.

Ce qu’a réellement annoncé Bercy le 26 août

• →Chaque opérateur privé de plateforme agréée doit remettre à l’administration fiscale un rapport de suivi cybersécurité avant la fin septembre 2026.
• →Les opérateurs ont désormais l’obligation de signaler tout incident de sécurité aux services de l’État sans délai, et non après coup.
• →Des tests d’intrusion généralisés seront imposés aux plateformes agréées dès cet automne.
• →Une plateforme incapable de démontrer le plus haut niveau de sécurité peut voir ses opérations suspendues.
• →L’entourage du ministre présente le cahier des charges imposé à ces plateformes comme « les standards les plus élevés d’Europe », alignés sur les principes de la directive NIS2.

Pour les entreprises elles-mêmes, le ministre a tenu un discours rassurant : les prochains mois sont décrits comme une phase de « déploiement progressif et d’accompagnement », sans aucune sanction appliquée à une entreprise en 2026 — une position cohérente avec l’approche de tolérance annoncée le 10 juillet. Ce qui change le 26 août, ce n’est ni l’échéance ni le barème de sanctions pour les entreprises — c’est une nouvelle couche de responsabilité imposée aux quelque 130 plateformes entre lesquelles votre entreprise choisit peut-être encore.

Pourquoi ça concerne votre PME, pas seulement les opérateurs

Il est tentant de lire cette annonce comme une histoire de prestataires informatiques, pas comme une affaire qui vous concerne. Ce n’est pas le cas. À partir du 1er septembre, vos données comptables et de facturation transitent par une entreprise privée que vous avez sélectionnée, souvent sur des critères de prix et de facilité d’intégration, rarement sur sa posture de sécurité. L’annonce de Bercy dit, en creux, ce qu’un chercheur en sécurité dirait : une plateforme agréée est désormais un maillon critique de votre propre chaîne de données financières, et ses obligations de signalement d’incident ne s’activent qu’une fois qu’un problème est déjà survenu — le rapport et l’obligation de test d’intrusion ne valident pas rétroactivement la plateforme que vous avez déjà choisie.

Ce que montre la recherche sur conformité et cybersécurité des PME

Une étude de synthèse systématique de 2025 portant sur 73 articles académiques, Cybersecurity Threats and Defensive Strategies for Small and Medium Firms: A Systematic Mapping Study, signée Awan Mujtaba et Abu Alam, place la visibilité sur la chaîne de sous-traitance — connaître la posture de sécurité des prestataires dont dépend l’entreprise — parmi les pratiques défensives que les PME ont le moins souvent les moyens de mettre en œuvre. Une autre étude de 2026 publiée dans SAGE Open, Strengthening Cybersecurity in Small and Medium-Sized Enterprises: Balancing Technology, Costs, Compliance, and Employee Awareness, portant sur 847 PME, montre que la pression de conformité réglementaire a un effet positif mesurable sur l’efficacité de la gestion de la cybersécurité (β = .234, p < .001) — exactement le mécanisme à l’œuvre ici : une obligation d’État imposée à votre prestataire de plateforme a plus de chances de produire une vraie amélioration de sécurité qu’une autorégulation attendue du marché.

Ce qu’il faut vérifier concrètement avant le 1er septembre

• →Confirmer que la plateforme à laquelle vous êtes raccordé (ou allez vous raccorder) figure toujours sur la liste officielle des plateformes agréées publiée par l’administration fiscale — une suspension en retirerait le nom.
• →Demander directement à votre prestataire de plateforme s’il a remis, ou prévoit de remettre, son rapport de suivi cybersécurité, et si un test d’intrusion est programmé cet automne — un prestataire sérieux aura une réponse simple à donner.
• →Ne pas confondre « pas de sanction en 2026 » avec « rien à faire » — l’obligation de réception au 1er septembre elle-même reste inchangée, seule la tolérance envers un accroc technique de bonne foi est confirmée.
• →Ajouter une question de sécurité à toute grille de comparaison de prestataires encore ouverte, comme vous le feriez pour n’importe quel logiciel SaaS traitant des données financières ou clients — pas seulement pour la facturation électronique.

C’est exactement le type d’évolution réglementaire qu’un agent de veille réglementaire dédié est fait pour suivre en continu — la liste officielle des plateformes agréées, les communiqués de Bercy, les avis de suspension — plutôt qu’une découverte tardive parce qu’un paiement ou une facture n’est plus arrivé sans que personne ne le remarque. À six jours de l’échéance, le bon réflexe n’est pas de se relâcher parce que les sanctions sont suspendues : c’est d’utiliser ces six jours pour vérifier réellement le prestataire que vous avez choisi.