Facturation électronique : l'État piraté veut vos factures

Toutes vos factures vont passer par l'État. Celui qui s'est fait pirater trois fois cet été.

Le 1er septembre 2026, toutes les entreprises françaises assujetties à la TVA doivent être en capacité de recevoir des factures électroniques via une plateforme agréée par l'administration fiscale. Sans exception, y compris les micro-entrepreneurs en franchise en base.

Le calendrier de cette réforme a été fixé il y a des années. Ce qui n'était pas prévu, c'est qu'elle entre en vigueur trois semaines après que la Direction générale des Finances publiques a reconnu s'être fait dérober les données fiscales de centaines de milliers de contribuables. Le télescopage est brutal, et il explique pourquoi une réforme technique est devenue un sujet de défiance.

Voici les faits, séparés des fantasmes.

Ce que la réforme impose exactement

Il faut distinguer deux obligations, que la plupart des articles confondent.

La première est l'obligation de réception. À partir du 1er septembre 2026, toute entreprise assujettie à la TVA doit avoir désigné une plateforme agréée capable de recevoir ses factures fournisseurs au format électronique. Cela concerne tout le monde, du groupe coté à l'indépendant en micro.

La seconde est l'obligation d'émission, qui arrive par vagues. Les grandes entreprises et les entreprises de taille intermédiaire doivent émettre au format électronique dès le 1er septembre 2026. Les PME, TPE et micro-entreprises ont jusqu'au 1er septembre 2027. L'e-reporting, c'est-à-dire la transmission des données de transaction pour les opérations hors du champ de la facturation entre assujettis français, suit le même calendrier.

La réforme repose sur l'ordonnance n° 2021-1190 du 15 septembre 2021, et son calendrier actuel a été fixé par l'article 91 de la loi de finances pour 2024, après un premier report.

Les sanctions ont été alourdies. L'article 123 de la loi de finances pour 2026, promulguée le 19 février 2026, a porté l'amende pour défaut d'émission électronique de 15 à 50 euros par facture, dans la limite de 15 000 euros par année civile. Le défaut de transmission des données de transaction passe de 250 à 500 euros. Attention à un piège documentaire : la FAQ de l'administration mentionnait encore le montant de 15 euros dans sa version de juin 2026. Ce sont les montants relevés qu'il faut retenir.

Ce que l'administration voit réellement

C'est le point le plus mal compris, et celui qui alimente le plus de fantasmes.

L'architecture initiale prévoyait un portail public de facturation par lequel tout aurait transité. Ce schéma a été abandonné. Dans un communiqué du 15 octobre 2024, le ministère chargé des Comptes publics a annoncé que le projet serait recentré sur deux briques : un annuaire des destinataires, indispensable pour que les plateformes s'adressent les factures entre elles, et un concentrateur permettant la transmission des données à l'administration fiscale.

Concrètement, la facture complète circule de plateforme à plateforme, entre le fournisseur et le client. C'est un jeu de données de facturation qui remonte vers la DGFiP, pas l'intégralité du document. La nuance est réelle, mais elle ne dissout pas la question de fond : l'administration disposera d'une vision agrégée et quasi temps réel des flux commerciaux entre entreprises françaises. C'est précisément l'objectif affiché de la réforme, qui est la lutte contre la fraude à la TVA.

Pourquoi la confiance s'est effondrée en trois semaines

La chronologie parle d'elle-même.

Le 26 juin 2026, selon le récit des cybercriminels eux-mêmes, une première intrusion a lieu dans le système d'information de la DGFiP via un accès VPN obtenu par usurpation d'identifiants, ceux d'un agent et ceux d'un tiers habilité. L'administration détecte une activité suspecte et coupe les accès, sans identifier à ce stade d'extraction de données.

Le 29 juillet, une seconde intrusion vise le serveur professionnel de données cadastrales.

Les 12 et 13 août, un groupe se faisant appeler ZeroBytes revendique publiquement l'opération. Le 14 août, la DGFiP publie un communiqué confirmant la cyberattaque. Le bilan officiel porte sur 678 000 particuliers et professionnels dont les données ont été consultées ou extraites, dont environ 285 570 professionnels et entreprises selon les décomptes publiés depuis. Pour les entreprises, les informations concernées portent notamment sur la raison sociale, le numéro SIREN et certaines adresses. Pour les particuliers, sur le nom, le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source.

Le 18 août, l'échelle change. La DGFiP confirme que la compromission du serveur cadastral concernerait jusqu'à 1,8 million de comptes. Le même jour, une troisième faille est reconnue, sur le portail des successions vacantes, qui permettait d'accéder à certaines données sans authentification préalable. Le ministre des Comptes publics David Amiel présente ses excuses aux personnes concernées. La directrice générale Amélie Verdier précise qu'aucun des trois incidents n'a permis d'entrer dans un compte fiscal ni de récupérer un mot de passe.

Le 24 août, plusieurs centaines de victimes se regroupent dans une action collective contre l'État, fondée sur l'article 82 du RGPD.

Détail politiquement embarrassant : près de deux ans après l'échéance fixée par Bruxelles, la France n'avait toujours pas transposé la directive NIS 2, destinée précisément à relever le niveau de sécurité informatique des administrations et des acteurs essentiels.

La réponse de Bercy

Elle tient en deux arguments.

Le premier est la dissociation technique. Lors d'une conférence de presse le 18 août, Amélie Verdier a affirmé que le vol de données n'avait « aucun lien, aucun, avec la réforme de la facturation électronique », insistant sur l'absence de relation entre l'accès utilisé par le pirate et les circuits dédiés à la facturation. Un responsable cybersécurité cité par franceinfo a défendu le même argument en soulignant que le logiciel des services fiscaux avait été développé sur des socles techniques récents.

Le second est le durcissement des exigences. David Amiel a réuni les opérateurs de plateformes agréées à Bercy fin août pour leur rappeler leurs obligations. Le ministère met en avant un cahier des charges qu'il présente comme « le plus élevé d'Europe », aligné sur les principes de la directive NIS 2, et une surveillance continue assortie d'une menace explicite de suspension d'agrément pour toute plateforme défaillante.

Bercy a par ailleurs confirmé qu'aucune sanction ne serait appliquée aux entreprises de bonne foi en 2026, et que les factures classiques resteraient valables pendant la phase de démarrage.

Ce que cette réponse ne règle pas

Trois objections tiennent debout.

La première porte sur la concentration. Un dirigeant interrogé par franceinfo résume l'inquiétude en des termes qui n'ont rien d'irrationnel : avec une telle quantité de données réunies au même endroit, il devient possible de reconstituer très précisément les habitudes d'achat, les fournisseurs, les clients et les marges des entreprises françaises. Ce n'est plus une question de vie privée, c'est une question d'intelligence économique.

La deuxième porte sur le déplacement du risque. Le système repose sur environ 147 plateformes agréées, opérateurs privés de tailles très inégales. La surface d'attaque n'est pas centralisée dans un bunker de Bercy, elle est éclatée entre des dizaines d'acteurs commerciaux. Le chercheur en cybersécurité Clément Domingo a publiquement relevé le manque de garanties concrètes affichées par ces plateformes, qui vont pourtant traiter des données commerciales et financières hautement sensibles.

La troisième est la plus simple. Une promesse de sécurité est invérifiable de l'extérieur, et l'administration qui la formule vient de démontrer, trois fois en deux mois, que ses propres défenses étaient franchissables par usurpation d'identifiants. On peut trouver l'argument injuste sur le plan technique. Il reste imparable sur le plan de la confiance.

Ajoutons un problème purement opérationnel. En juillet, le directeur du projet à la DGFiP reconnaissait devant BFMTV que « une partie des gens ne seront pas à l'heure ». Selon les chiffres communiqués par le gouvernement fin août, moins de six entreprises sur dix étaient en mesure d'adopter le dispositif.

Ce que vous devez faire, concrètement

Le débat sur la légitimité de la réforme est un débat public. Votre obligation, elle, est déjà là.

Vérifiez d'abord que vous avez désigné une plateforme agréée pour la réception, et que votre entreprise est correctement référencée dans l'annuaire. C'est la seule obligation qui vous concerne au 1er septembre 2026 si vous êtes une TPE, une PME ou un indépendant. Beaucoup de dirigeants croient être en règle parce que leur logiciel de facturation leur a envoyé un email : ce n'est pas la même chose qu'une inscription effective.

Interrogez ensuite votre plateforme sur ses engagements de sécurité : localisation des serveurs, chiffrement, durée de conservation, sous-traitants, procédure en cas d'incident. Vous êtes responsable du traitement de vos données commerciales, la plateforme est votre sous-traitant. Le contrat doit le refléter.

Renforcez enfin vos procédures anti-fraude, et c'est probablement le point le plus urgent. Les données déjà dérobées à la DGFiP, raisons sociales, numéros SIREN, adresses, sont exactement le carburant d'une campagne de faux fournisseurs crédible. Une facture électronique parfaitement conforme au format n'est pas pour autant une facture légitime. Instaurez une règle simple : aucun changement de coordonnées bancaires d'un fournisseur n'est appliqué sans un appel de vérification sur un numéro connu, jamais sur celui figurant dans le message.

Notre lecture

La réforme est utile sur le principe. La dématérialisation réduit les délais de paiement, supprime de la saisie et facilite le contrôle de la TVA, dont la fraude est massive. Le problème n'est pas l'objectif, il est le séquencement : imposer la centralisation des flux commerciaux de onze millions d'entreprises au moment précis où l'administration démontre publiquement ses failles, c'est une faute de communication politique dont le coût en adhésion sera durable.

Pour un chef d'entreprise, la conclusion pratique est prosaïque. Vous n'avez pas le choix sur l'obligation, vous avez le choix sur votre prestataire et sur vos procédures internes. C'est là que se joue votre exposition réelle.

Si vous souhaitez faire le point sur l'organisation de votre société et la protection de vos données financières, prenons rendez-vous. Vous pouvez aussi consulter notre approche de la gestion de société.

Questions fréquentes

Suis-je concerné si je suis micro-entrepreneur en franchise en base de TVA ?

Oui pour la réception, dès le 1er septembre 2026. Vous devez avoir désigné une plateforme agréée. L'obligation d'émettre vos propres factures au format électronique s'applique à compter du 1er septembre 2027.

L'administration fiscale va-t-elle voir le détail de toutes mes factures ?

Non. La facture complète circule entre plateformes. C'est un jeu de données de facturation qui remonte à la DGFiP via un concentrateur. L'administration disposera néanmoins d'une vision agrégée et quasi continue des flux entre entreprises.

Que se passe-t-il si je ne suis pas prêt au 1er septembre ?

Bercy a annoncé qu'aucune sanction ne serait appliquée aux entreprises de bonne foi en 2026, et que les factures classiques restent valables pendant la phase de démarrage. Cette tolérance est une annonce ministérielle, pas une suppression des sanctions prévues par la loi.

Mes données ont-elles été touchées par le piratage de la DGFiP ?

Les professionnels concernés ont été informés individuellement par l'administration à partir de fin août. En l'absence de notification, vous n'êtes a priori pas dans le périmètre identifié, ce qui ne dispense pas de renforcer votre vigilance sur les tentatives d'hameçonnage.

Sources

• Ordonnance n° 2021-1190 du 15 septembre 2021 et article 91 de la loi de finances pour 2024, cadre et calendrier de la réforme
• Article 123 de la loi de finances pour 2026, promulguée le 19 février 2026, relèvement des amendes
• Communiqué du ministère chargé des Comptes publics du 15 octobre 2024, recentrage du projet sur l'annuaire et le concentrateur
• Communiqué de la DGFiP du 14 août 2026 sur la cyberattaque, et conférence de presse du 18 août 2026
• Reportage franceinfo sur les craintes des dirigeants, août 2026
• Déclarations de David Amiel et de la DGFiP relayées par la presse économique, fin août 2026
• Données relayées par BFMTV sur l'état de préparation des entreprises, juillet 2026

Article publié le 31 août 2026. Analyse d'actualité réglementaire, ne constituant pas un conseil juridique ou informatique personnalisé.

Rédigé par Nicolas Casal, conseiller en gestion de patrimoine, SD Patrimoine & Finance.