Facturation électronique : après le piratage du fisc, Bercy impose un audit cyber express aux plateformes agréées

Le 1er septembre 2026 devait être une histoire à un seul chapitre : la généralisation de la réforme de facturation électronique, les grandes entreprises et ETI qui commencent à émettre au format électronique, toute entreprise assujettie à la TVA tenue de pouvoir recevoir ses factures. Mais à côté de cette échéance de conformité, une deuxième inquiétude, bien distincte, est montée chez les dirigeants de PME dans les jours qui ont précédé : les données qui transitent par ces plateformes agréées (PA) sont-elles vraiment en sécurité ? La crainte n’a rien d’abstrait — elle découle directement du piratage de l’administration fiscale, la DGFiP, révélé en août 2026, qui a exposé des données fiscales appartenant à 285 570 entreprises. La réponse de Bercy, livrée dix jours avant le jour J, prend la forme d’un nouveau régime d’audit cyber pour les plateformes elles-mêmes.

Un rendez-vous à Bercy, dix jours avant l’échéance

Le 26 août 2026, le ministère de l’Économie et des Finances confirme que le ministre David Amiel a réuni à Bercy les quelque 150 plateformes agréées pour leur rappeler que les exigences de sécurité françaises en matière de facturation électronique sont, selon les mots du ministère, « les plus élevées d’Europe » — et qu’il leur faut désormais en apporter la preuve en continu, et non plus une simple certification ponctuelle. Cette réunion intervient alors que plusieurs médias, dont Génération-NT, rapportent que des chefs d’entreprise expriment de plus en plus leurs craintes : une réforme qui concentre les données commerciales et financières de millions d’entreprises entre les mains d’une poignée d’intermédiaires privés pourrait faire de ces plateformes une cible de choix pour les pirates.

Ce que Bercy exige désormais de chaque plateforme agréée

• →Un rapport de veille cyber transmis à l’administration avant la fin septembre 2026.
• →Le signalement de tout incident de sécurité aux services de l’État sans délai — aucune tolérance.
• →Des tests d’intrusion généralisés, dès l’automne.
• →La suspension immédiate de l’activité d’une plateforme qui ne démontre pas le niveau de sécurité requis.

Pourquoi cette inquiétude n’a rien d’excessif

Le piratage de la DGFiP à l’origine de cette réponse a lui-même été confirmé par le ministère de l’Économie et des Finances le 13 août 2026 : un pirate affirmait avoir extrait 678 438 lignes de données fiscales, dont 285 570 appartenant à des entreprises. Une plateforme agréée de facturation électronique, par construction, détient une catégorie de données tout aussi sensible — montants facturés, identités des clients et fournisseurs, conditions de paiement — pour chaque entreprise qui l’utilise, et ce, concentré entre bien moins de mains que les systèmes de l’administration fiscale elle-même. Cette concentration explique précisément pourquoi Bercy traite désormais la sécurité des plateformes comme une obligation vivante et continue, et non plus comme une case cochée une fois pour toutes lors de l’agrément.

Ce que ça change concrètement pour votre PME

• →Vous n’êtes pas tenu d’émettre vos factures au format électronique avant septembre 2027, mais vous devez déjà les recevoir via une plateforme agréée dès aujourd’hui — le choix de cette plateforme (ou du logiciel comptable qui s’y connecte) n’est plus une simple question de prix, c’est une décision de sécurité des données.
• →Demandez à votre plateforme, ou à votre éditeur de logiciel comptable, si elle publiera son rapport de veille cyber avant le 30 septembre 2026. Un prestataire qui esquive la question est en lui-même le signal d’alerte.
• →Privilégiez une plateforme capable de faire état de certifications de sécurité réelles (SecNumCloud, ISO 27001, hébergement en France ou dans l’UE) plutôt que l’offre la moins chère parmi la centaine et demie de plateformes agréées.
• →Anticipez un plan de secours : si votre plateforme venait à être suspendue pour non-conformité, vos factures fournisseurs et clients doivent continuer de circuler — ne faites pas reposer tous vos flux critiques sur un seul prestataire sans visibilité sur sa propre conformité.

Une étude qualitative menée en 2023 auprès de 34 PME britanniques, publiée dans l’International Journal of Information Management Data Insights par Rawindaran, Jayal, Prakash et Hewage, montre que la confiance des petites structures dans les dispositifs publics de cybersécurité dépend moins de l’existence du dispositif que d’un suivi visible et continu de la part des pouvoirs publics — une garantie donnée une seule fois change peu le sentiment d’exposition réel d’une petite entreprise. Le passage de Bercy d’un agrément ponctuel à un audit récurrent assorti d’une clause de suspension correspond précisément au type de suivi que cette étude identifiait comme manquant dans des dispositifs comparables ailleurs.

Une exigence à échéances mouvantes comme celle-ci — un rapport à remettre à une date précise, une campagne de contrôle qui démarre à l’automne, une clause de suspension qui pourrait retirer une plateforme de la liste agréée sans prévenir ses utilisateurs — est précisément le type de sujet qu’un agent de veille réglementaire est conçu pour suivre en continu, plutôt que de découvrir le problème le jour où une facture ne passe plus. Avant le prochain renouvellement de votre plateforme, mieux vaut poser la question directement plutôt que supposer qu’un agrément obtenu aujourd’hui vaudra encore en octobre.