// analyse
Le grand péage de la facture, 5/5 : le jour où le tuyau casse
Garanties de lectureDatée, sourcée, sans tracker
Niveaux de preuveProfondeur 3 : source liée · 4 niveaux détectés
Sommaire et notions12 étapes · 2 notions
Analyse complète
Le 1er septembre 2026, chaque entreprise assujettie à la TVA doit pouvoir recevoir ses factures électroniques par une plateforme agréée. La sécurité du système ne se mesurera plus seulement à la qualité de ses règles. Elle se mesurera au premier rejet massif, à la première identité compromise, à la première panne croisée et à la capacité de revenir à un état comptable exact.
La France a construit des défenses sérieuses. Elle n’a pas encore publié toutes les preuves qui permettraient au Parlement, aux entreprises et aux chercheurs d’en mesurer la résistance réelle.
Cette enquête a suivi le retrait du guichet public direct, la multiplication des plateformes, les frontières du gratuit et les lecteurs de la facture. Ce cinquième volet pose la question qui subsiste lorsque tout est branché : que se passe-t-il lorsque le circuit se dégrade ?
À retenir
- Le cadre exige notamment une certification ISO/IEC 27001, l’exploitation du système dans l’Union européenne, l’absence de transfert hors UE des données hébergées du service et la qualification SecNumCloud lorsqu’un prestataire cloud est utilisé.
- Les tests d’interopérabilité conditionnent l’immatriculation définitive. Le rapport initial d’audit de conformité peut toutefois être remis jusqu’à un an après la notification de l’immatriculation et doit examiner au moins un mois d’activité postérieur à celle-ci.
- Le registre DGFiP modifié le 19 août contient 148 plateformes dans sa liste principale et 18 dossiers en attente des tests. Mais la liste publiée ne permet pas de savoir, pour chaque plateforme, quand l’agrément expire ni si l’audit initial a été remis.
- Le pilote national a débuté le 26 février 2026. Les pages officielles consultées décrivent ses objectifs, mais l0g n’y a pas retrouvé de bilan quantifié au 22 août.
- Le guide de démarrage protège la continuité des paiements. Il demande aussi aux entreprises de documenter l’incident, maîtriser un canal alternatif, empêcher les doublons et régulariser.
- Les incidents DGFiP de février et d’août 2026 montrent la réalité du risque lié aux identités et aux accès habilités. Aucun élément public consulté ne les relie à la facturation électronique, au PPF, à son annuaire, à son concentrateur ou à une plateforme agréée.
- Il reste à publier des résultats agrégés, le calendrier des audits, les tests de reprise, les dépendances critiques, les conditions de sortie et le partage des responsabilités.
Ce que l’agrément impose déjà
L’agrément ne repose pas sur une simple déclaration commerciale.
L’article 242 nonies B de l’annexe II au CGI impose un dossier de sécurité, une certification ISO/IEC 27001 couvrant le service, des engagements sur l’exploitation dans l’Union européenne et les transferts, une documentation technique, des mécanismes d’authentification et des tests d’interopérabilité. Lorsqu’un prestataire cloud intervient, la plateforme doit fournir la référence ou la copie de sa qualification SecNumCloud. Si la qualification est encore en cours, la pièce peut être transmise avec le rapport initial d’audit.
Dans leurs réponses écrites publiées le 4 août 2026, les pouvoirs publics défendent le modèle distribué comme une protection contre un point de défaillance unique. Ils citent aussi l’homologation de sécurité des outils de l’État, les tests de bout en bout et d’intrusion, la gestion des incidents, la sauvegarde, la restauration et la traçabilité des accès.
Le cadre est donc exigeant sur le papier. Il ne dit toutefois pas quelle charge a réellement été tenue, combien de temps prend une reprise, quelles données pourraient être perdues ou comment un client changerait de plateforme en urgence.
L’audit arrive selon plusieurs horloges
Le mot « agréée » regroupe des contrôles distincts qui ne se produisent pas tous le même jour.
Le cadre en vigueur depuis le 29 juillet 2026 autorise la remise du rapport initial de conformité dans l’année suivant la notification de l’immatriculation. L’article 41 septies A de l’annexe IV précise que cet audit porte sur une période minimale d’un mois d’activité postérieure à cette notification. Lorsqu’il constate une non-conformité, le délai de correction annoncé ne peut dépasser trois mois après la remise du rapport.
Un audit de surveillance doit ensuite être remis au plus tard à la fin de la deuxième année. Le renouvellement, demandé avant la fin de la validité de trois ans, comporte un nouvel audit de conformité, puis deux audits de surveillance pendant les deux premières années du cycle renouvelé.
En clair, une plateforme peut obtenir son immatriculation définitive avant la remise de son rapport initial complet. Cela ne signifie ni qu’elle est non conforme, ni qu’elle n’a subi aucun contrôle, ni que son rapport n’a pas déjà été remis. Le registre devrait simplement permettre de connaître la situation de chaque dossier.
148 plateformes, mais des contrôles difficiles à suivre
La page DGFiP modifiée le 19 août 2026 publie deux listes. Leur décompte donne :
- 148 plateformes dans la liste des opérateurs ayant satisfait aux conditions, tests d’interopérabilité compris ;
- 18 opérateurs ayant un dossier complet et conforme, encore en attente de ces tests.
Cette mise à jour corrige le décompte de 147 et 16 publié dans le deuxième volet à partir d’une version antérieure de la liste.
L’article 41 septies B de l’annexe IV prévoit que la liste publique indique la fin de validité de l’agrément, son statut et, le cas échéant, l’obligation de remettre le rapport initial. Or ces informations ne sont pas clairement accessibles pour chaque plateforme dans la liste publiée. Un dirigeant peut vérifier qu’un nom y figure, mais pas savoir quand son agrément expire ni où en est son audit initial.
La DGFiP peut répondre simplement à cette question en publiant ces trois informations pour chaque acteur.
Le pilote public manque encore de résultats mesurables
L’AIFE indique que le pilote a débuté le 26 février 2026. Sa page consacrée à la facturation B2B en expose les objectifs : tester les échanges en conditions réelles, sécuriser la montée en charge et préparer les acteurs.
Au 22 août 2026, l0g n’a retrouvé sur ces pages, sur la page DGFiP annonçant le pilote et dans les documents officiels liés aucun bilan public donnant les volumes échangés, les taux de succès, les délais, les rejets, les doublons, les incidents, les temps de résolution ou les résultats de restauration.
Cela ne signifie pas que ces mesures n’existent pas, qu’aucun test n’a été réalisé ou qu’aucune entreprise ne participe. Cela signifie que les entreprises et le Parlement ne peuvent pas en prendre connaissance. Un bilan agrégé permettrait d’y répondre sans exposer de détail sensible.
Une infrastructure obligatoire mérite au minimum des résultats sur :
- les plateformes et entreprises effectivement actives ;
- les factures et événements de cycle de vie échangés ;
- la charge soutenue et les pointes testées ;
- les taux de réussite, de rejet et de retransmission ;
- les temps de résolution ;
- les exercices de restauration, bascule et panne croisée ;
- les écarts ouverts, corrigés ou acceptés avant le démarrage.
Deux intrusions récentes changent le niveau d’exigence
Le 18 février 2026, le ministère des Finances a annoncé des accès illégitimes à FICOBA à partir des identifiants usurpés d’un fonctionnaire. Le communiqué estimait alors que 1,2 million de comptes avaient pu être concernés.
Le 14 août, le même ministère a documenté une autre intrusion reposant sur les identifiants usurpés d’un agent de la DGFiP et d’un tiers habilité. Les investigations avaient établi la consultation ou l’extraction de données concernant 678 000 particuliers et professionnels. La CNIL, saisie de la violation, indiquait le 18 août que ses vérifications étaient en cours.
Ces affaires concernent des systèmes et accès de la DGFiP. Aucun élément public consulté ne les relie à la facturation électronique, au PPF, à l’annuaire, au concentrateur ou à une plateforme agréée. Les utiliser comme preuve d’une compromission de la réforme serait faux.
Le lien avec cette enquête est ailleurs : ces deux intrusions sont passées par des identifiants légitimes compromis. La sécurité dépend donc aussi de la maîtrise des comptes habilités et des accès de prestataires. L’ANSSI relevait déjà dans son Panorama de la cybermenace 2024, dans la section consacrée aux attaques par la chaîne d’approvisionnement, la progression des compromissions de prestataires utilisées pour atteindre leurs clients.
Le modèle distribué réduit la concentration dans un guichet unique. Il peut aussi partager des dépendances : cloud, identité, logiciel support, réseau d’échange, bibliothèque ou prestataire d’administration. Le nombre de marques ne mesure donc pas automatiquement le nombre de points de défaillance réellement indépendants.
Quand la panne devient le travail de l’entreprise
Le guide pratique de démarrage de la DGFiP apporte une protection économique importante. Une panne temporaire ne doit pas bloquer l’activité, le traitement d’une opération réelle ou le paiement. Un canal alternatif peut assurer la continuité lorsque le circuit attendu est indisponible.
En contrepartie, l’entreprise doit conserver les statuts et erreurs, contacter les parties, rattacher la copie à la facture initiale, empêcher tout double paiement, toute double comptabilisation, déduction ou déclaration, puis transmettre ou régulariser la même facture dès le retour du circuit.
Pour rendre cette discipline utilisable par une petite structure, l0g a transformé le guide en journal local. L’outil ne demande aucune facture et ne transmet rien. Il génère un fichier texte que l’entreprise peut classer dans son propre système documentaire.
La version autonome du journal peut rester ouverte pendant un incident.
Ce qu’une entreprise ne peut pas comparer
Le registre dit quelles plateformes sont autorisées. Il ne dit pas :
- combien de temps le service peut rester indisponible ;
- combien de temps la remise en route doit prendre et quelles données peuvent être perdues ;
- quand les clients doivent être avertis ;
- quand une restauration ou une bascule a été testée pour la dernière fois ;
- quelles dépendances sont communes à plusieurs marques ;
- comment récupérer ses données et changer d’opérateur pendant une panne ;
- qui supporte les pertes de trésorerie, les doubles traitements et les coûts de régularisation.
Des réponses peuvent exister dans les contrats, les dossiers d’audit, les plans internes ou les assurances. Elles restent dispersées et difficiles à comparer alors que le recours à une plateforme devient obligatoire.
Publier des niveaux de service, des dates d’exercice et des attestations ne suppose pas de révéler l’architecture des systèmes, leurs vulnérabilités ou des secrets industriels.
Douze questions à poser au Gouvernement
Deux questions écrites, n° 16415 et n° 16666, ont reçu une réponse le 4 août. Le Gouvernement y décrit les protections prévues. Les questions suivantes restent ouvertes.
- Combien de plateformes ont remis leur rapport initial d’audit au 1er septembre 2026, et combien restent dans leur fenêtre réglementaire ?
- Pour chaque plateforme, quelles dates de remise, réserves, corrections et clôtures peuvent être publiées ?
- Pourquoi la liste publique ne permet-elle pas de connaître, pour chaque plateforme, la fin de validité et le statut prévus par l’article 41 septies B ?
- Quels volumes, taux de réussite, délais, rejets et incidents le pilote a-t-il mesurés ?
- Quels tests de charge, de restauration, de corruption, de bascule et de panne croisée ont été menés ?
- Quels délais communs de disponibilité, de reprise et de récupération des données s’appliquent aux plateformes et aux outils de l’État ?
- Combien de plateformes partagent un même moteur, cloud, fournisseur d’identité ou sous-traitant critique ?
- Quel protocole accéléré s’applique lorsqu’une plateforme ou son support devient durablement indisponible ?
- Quels incidents doivent être signalés aux entreprises, à la DGFiP, à la CNIL et à l’ANSSI, et sous quels délais ?
- Quel export d’urgence est garanti au client pour poursuivre, rapprocher et changer d’opérateur ?
- Quelles assurances et responsabilités couvrent les pertes de trésorerie, les doubles traitements et les coûts de régularisation ?
- Quels avis, analyses d’impact et bilans de sécurité peuvent être publiés avant la généralisation ?
Ces questions ne présument aucune défaillance. Elles demandent seulement que les garanties annoncées puissent être vérifiées.
Dix jours pour montrer que le système est prêt
Il reste dix jours avant la première échéance générale de réception.
Il ne s’agit pas de retarder la réforme sur la foi d’un scénario hypothétique. Il s’agit de demander, avant le basculement, les informations que l’État exigerait de tout opérateur essentiel : les résultats des tests, l’état des audits, les délais de reprise, la solution de secours et le partage des responsabilités.
Ces éléments peuvent encore être publiés : le bilan du pilote, le statut des audits, les engagements de reprise et la procédure permettant à une entreprise de récupérer ses données ou de changer d’opérateur en urgence.
Le Parlement dispose des outils pour l’obtenir : questions écrites, auditions, mission d’information, contrôle budgétaire et demande de documents. Chaque dirigeant, comptable, informaticien ou citoyen peut retrouver son député sur le site de l’Assemblée nationale et lui transmettre ces douze questions.
La confiance ne naît pas du logo « plateforme agréée ». Elle naît de la capacité à vérifier ce que ce logo couvre, ce qu’il reste à contrôler et ce qui se produit le jour où le tuyau casse.
Méthode, limites et sources principales
Date de coupe : 22 août 2026. Les décomptes de 148 et 18 proviennent des deux listes de la DGFiP modifiées le 19 août et consultées le 22 août.
La recherche du bilan du pilote a porté sur les pages AIFE et DGFiP citées et leurs documents accessibles. Elle ne couvre ni les documents internes, ni les échanges confidentiels avec les plateformes. L’analyse du registre s’appuie sur la version publiée le 22 août ; la liste peut être corrigée après publication. Les incidents cyber sont utilisés comme contexte de risque lié aux accès, jamais comme preuve d’une atteinte à la facturation électronique.
- Légifrance, conditions d’immatriculation et calendrier des audits
- Légifrance, contenu et périodes des audits
- Légifrance, champs du registre public
- DGFiP, liste des plateformes agréées, modifiée le 19 août 2026
- AIFE, accompagnement des plateformes et lancement du pilote
- AIFE, objectifs du pilote de facturation B2B
- DGFiP, guide pratique de démarrage au 1er septembre 2026
- Assemblée nationale, question n° 16415 et réponse du 4 août 2026
- Assemblée nationale, question n° 16666 et réponse du 4 août 2026
- Ministère des Finances, incident FICOBA du 18 février 2026
- Ministère des Finances, accès illégitimes annoncés le 14 août 2026
- CNIL, vérifications sur la violation DGFiP, 18 août 2026
- ANSSI, Panorama de la cybermenace 2024, chaîne d’approvisionnement
- Assemblée nationale, rechercher son député
Texte, analyse du registre, infographies et contenus de l’outil : CC BY 4.0. Code de l’outil : licence du dépôt l0g.
Cet article ne constitue en aucun cas un conseil en investissement.
// historique des révisions
- publication
- révision
Les corrections substantielles suivent la politique de correction et sont consignées dans le changelog éditorial.
$ cd ..