Facturation électronique : après le piratage du Fisc, le gouvernement veut rassurer les entreprises sur les standards de sécurité

C’est une date potentiellement source d’inquiétude, voire d’angoisse, pour des millions d’entreprises, après deux intrusions dans les fichiers de l’administration fiscale cet été. Le 1^er septembre, la réforme de la facturation électronique entrera en vigueur. Quelle que soit leur taille, les entreprises devront avoir la capacité de recevoir des factures sous format électronique. C’est également à cette date que les grandes entreprises et les entreprises de taille intermédiaire (ETI) seront dans l’obligation d’envoyer leurs factures sous cette forme dématérialisée, via plus d’une centaine de plateformes agréées par l’État, et de transmettre ainsi les données à l’administration fiscale. Cette obligation sera étendue aux petites et moyennes entreprises (PME), aux très petites entreprises (TPE) et aux micro-entreprises dans un an, à compter du 1^er septembre 2027.

Pour le ministère des Comptes publics, en charge de la réforme, ce chantier est une mesure de « simplification » qui poursuit plusieurs objectifs. Elle vise à réduire les délais de paiement – un problème récurrent qui handicape les plus petites entreprises – mais aussi gagner du temps administratif pour les entreprises, en particulier les plus petites, dans les opérations de contrôle fiscal. Elle améliorera également la lutte contre la fraude, et permettra à l’administration de cibler les contrôles.

Exigences sécuritaires les « plus élevées d’Europe »

Deux semaines après les révélations d’un piratage massif de données sur le système d’information de la Direction générale des finances publiques, de nombreux dirigeants en France craignent le pire pour leurs données économiques, dont la compromission pourrait être dangereuse. À l’approche du jour J de la réforme, le ministre des Comptes publics a réuni les plateformes agréées et a tenu à leur rappeler ses exigences de sécurité informatique.

Les équipes du ministre précisent que les standards de sécurité dans cette réforme de la facturation électronique sont les « plus élevés d’Europe » et que les plateformes devront en « faire la preuve en continu ». Bercy affirme que sur de nombreux points, les attendus en matière de sécurité dans le cadre de la facturation électronique s’inscrivent dans les principes de la directive européenne NIS 2, dont la transposition se fait encore attendre.

Lundi, sur RTL, David Amiel avait indiqué que le gouvernement en ferait la preuve au cours des prochains mois, avec une « transparence totale » sur les tests d’intrusion. « Le ministre et son administration n’auront pas la main qui tremble pour suspendre les opérations d’une plateforme, dont le niveau de sécurité serait insatisfaisant », a fait savoir ce mercredi son entourage. L’État requiert également des plateformes qu’elles informent l’administration sans délai en cas d’incident de sécurité.

Un audit de sécurité qui sera régulièrement renouvelé

Les tests d’intrusion seront généralisés à l’automne pour bien s’assurer que ce niveau d’exigence élevé sera respecté. Des réunions régulières au niveau de l’Agence pour l’Informatique financière de l’État (AIFE) sont annoncées.

Du côté de l’architecture du système opéré par le Fisc pour recevoir les facturations, Bercy affirme que là aussi le nécessaire a été fait pour assurer un haut degré de protection. Exercices d’intrusion, appel des hackeurs éthiques, systèmes répondant aux « meilleures normes », quotas de consultations avec système de coupe-circuit ou d’alerte en cas d’action inhabituelle : le ministère des Comptes publics souligne que le versant public a lui aussi pris les devants. L’entourage de David Amiel précise que contrairement aux attaques ayant visé le système des impôts en juin et juillet, il n’existe pas dans le cas de l’architecture de la facturation électronique de « passerelles externes ». L’accès reste « exclusivement » dédié à la DGFip et à ses agents.

Le 18 août, la Directrice générale des Finances publiques Amélie Verdier avait indiqué que le vol de données n’avait « aucun lien, aucun, avec la réforme de la facturation électronique », puisqu’il n’y avait aucune relation « entre l’accès » utilisé par le hackeur et « les circuits qui sont en place pour la facturation électronique ». « On est techniquement prêts pour cette réforme, on l’est depuis avant l’été », avait-elle ensuite assuré au cours de la même conférence de presse.

Pas de sanctions à l’encontre des entreprises cette année

D’autres sujets d’appréhensions étaient palpables dans les entreprises. Le sénateur LR Daniel Laurent, lui-même chef d’entreprise, avait interrogé le gouvernement le 7 juillet à l’occasion de questions orales. Outre la sécurité, le parlementaire avait pointé du doigt les craintes en matière de complexité du dispositif et de coût. En réponse, le ministre chargé de l’Industrie Sébastien Martin avait indiqué qu’il existait des solutions adaptées à chaque taille d’entreprise, y compris des offres « simples, parfois gratuites ou à faible coût, notamment au travers de logiciels de gestion ou d’offres bancaires pour les professionnels ».

Le ministre avait aussi rappelé les réunions d’échanges régulières entre la Direction générale des finances publiques et les fédérations professionnelles, ainsi que l’appui des chambres consulaires, banques ou des experts-comptables, autrement dit les « interlocuteurs habituels » des entrepreneurs.

Autre assurance adressée aux entreprises : le 1^er septembre marquera le début d’une « mise en route progressive ». Aucune sanction ne sera infligée à une entreprise en 2026. « L’administration se place dans une posture d’accompagnement de la réforme », insiste-t-on dans le cabinet de David Amiel. Actuellement, 58 % des entreprises ont choisi leur plateforme.