Le 1er septembre 2026, toutes les entreprises françaises soumises à la TVA devront être en mesure de recevoir des factures électroniques, et les grandes entreprises ainsi que les ETI devront commencer à en émettre. Les PME et micro-entreprises disposeront d’un an de plus, jusqu’au 1er septembre 2027, pour l’émission. Présentée depuis des mois comme une réforme comptable et fiscale, cette bascule est en réalité tout autant un sujet de cybersécurité : elle impose de choisir un prestataire tiers pour faire transiter les données financières les plus sensibles de l’entreprise, dans une période de transition que les fraudeurs ont déjà commencé à exploiter.
Cet article détaille ce que la réforme change concrètement, les critères de sécurité à vérifier avant de choisir une plateforme, les fraudes déjà recensées par l’administration fiscale, et les réflexes à adopter pour que cette transition obligatoire ne devienne pas une porte d’entrée pour les cybercriminels.
Pourquoi cette réforme est aussi un enjeu de cybersécurité ?
La facturation électronique obligatoire ne se résume pas à remplacer un PDF joint à un email par un fichier structuré. Elle impose de faire transiter chaque facture, avec l’ensemble des données qu’elle contient (identité du client, montants, coordonnées bancaires, numéro de TVA), par une plateforme tierce agréée par l’État. Autrement dit, une entreprise qui choisissait jusqu’ici librement comment envoyer ses factures doit désormais confier ce flux à un prestataire externe, choisi dans une liste de plus d’une centaine de plateformes aux niveaux de sécurité inégaux.
Cette bascule intervient de surcroît sur une période de transition, un contexte que les fraudeurs affectionnent particulièrement : notre article sur la fraude au président et les arnaques au virement détaille déjà pourquoi tout changement de processus financier constitue une fenêtre d’opportunité pour l’ingénierie sociale. La réforme de la facturation électronique concentre ce risque : elle touche l’intégralité des entreprises françaises, sur un calendrier resserré, avec un vocabulaire encore mal maîtrisé par beaucoup de dirigeants, un terrain idéal pour le phishing.
Le calendrier 2026-2027 selon la taille de votre entreprise
Le calendrier de la réforme distingue la réception, obligatoire pour tous à la même date, et l’émission, qui suit un calendrier progressif selon la taille de l’entreprise.
| Type d’entreprise | Réception obligatoire | Émission obligatoire |
|---|---|---|
| Grandes entreprises (plus de 5 000 salariés ou CA supérieur à 1,5 Md€) | 1er septembre 2026 | 1er septembre 2026 |
| ETI (250 à 4 999 salariés) | 1er septembre 2026 | 1er septembre 2026 |
| PME (10 à 249 salariés) | 1er septembre 2026 | 1er septembre 2027 |
| Micro-entreprises et auto-entrepreneurs (moins de 10 salariés) | 1er septembre 2026 | 1er septembre 2027 |
Même une PME ou un auto-entrepreneur qui n’émettra ses propres factures électroniques qu’en 2027 doit donc être en capacité de recevoir des factures électroniques dès septembre 2026, ce qui suppose d’avoir déjà choisi et paramétré une plateforme. Ce sujet concerne également les indépendants et auto-entrepreneurs présentés dans notre guide des bases essentielles de cybersécurité pour indépendants, qui entrent dans la catégorie des micro-entreprises concernées par cette échéance.
PPF, plateforme agréée : qui fait quoi depuis l’abandon du portail public ?
Le projet initial prévoyait que l’État mette à disposition un Portail Public de Facturation (PPF) gratuit, permettant à toute entreprise d’émettre et de recevoir ses factures sans passer par un prestataire privé. Ce volet du projet a été abandonné en octobre 2024, la direction générale des finances publiques ayant jugé irréaliste d’opérer directement des millions de flux B2B au vu de la diversité des cas d’usage. Le PPF n’a pas disparu pour autant : il conserve un rôle central d’annuaire, qui identifie la plateforme de chaque entreprise pour acheminer les factures au bon endroit, et de concentrateur des données transmises à l’administration fiscale.
En pratique, chaque entreprise doit donc obligatoirement choisir une Plateforme Agréée, un terme qui a remplacé celui de « Plateforme de Dématérialisation Partenaire » (PDP) depuis l’été 2025 pour mettre l’accent sur l’agrément délivré par la DGFiP. Plus d’une centaine de plateformes sont aujourd’hui immatriculées, allant de grands éditeurs comptables à des logiciels de gestion tout-en-un. C’est ce choix, souvent traité comme une simple case à cocher dans un projet de mise en conformité, qui détermine en réalité le niveau de sécurité de l’ensemble de vos flux de facturation.
Le rôle d’annuaire conservé par le PPF mérite une attention particulière : c’est lui qui associe chaque entreprise, via son numéro SIRET, à sa plateforme agréée pour router correctement les factures. Une erreur ou une usurpation à ce niveau, par exemple si une entreprise malveillante parvenait à faire enregistrer une fausse association SIRET/plateforme, pourrait détourner des factures entières vers une destination frauduleuse. C’est un argument de plus pour vérifier régulièrement, une fois votre plateforme choisie, que l’annuaire reflète bien la bonne information vous concernant.
Les critères de sécurité pour choisir une plateforme agréée fiable
Toutes les plateformes agréées ne se valent pas sur le plan de la sécurité, même si elles figurent toutes sur la liste officielle de la DGFiP. L’immatriculation atteste d’une conformité technique et fonctionnelle à la réforme, pas d’un niveau de sécurité maximal. La certification ISO/IEC 27001, qui atteste d’un système de management de la sécurité de l’information audité, constitue un premier filtre à exiger systématiquement.
Un cran au-dessus, la qualification SecNumCloud de l’ANSSI reste la référence la plus exigeante pour un hébergement cloud en France, avec des critères renforcés sur la localisation des données, le contrôle des accès et l’immunité aux lois d’extraterritorialité étrangères. Peu de plateformes agréées disposent aujourd’hui de cette qualification, mais elle constitue un signal fort pour toute entreprise traitant des données financières sensibles ou travaillant avec le secteur public.
- Vérifiez la présence de la certification ISO 27001, un socle de sécurité minimal à exiger sans exception
- Privilégiez une localisation d’hébergement en France ou dans l’Union européenne, en particulier pour vos données de facturation
- Renseignez-vous sur la qualification SecNumCloud de l’ANSSI si elle est disponible, un niveau de garantie supérieur
- Vérifiez que la plateforme propose l’authentification multifacteur sur les comptes utilisateurs, sans option de désactivation
- Assurez-vous que le contrat précise clairement les engagements de conformité RGPD sur le traitement de vos données
Ces exigences rejoignent directement les obligations posées par l’article 32 du RGPD, qui impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles garantissant la confidentialité, l’intégrité et la disponibilité des données, un rappel utile détaillé dans notre article sur les obligations RGPD concrètes des PME. Choisir une plateforme agréée revient ainsi à choisir un sous-traitant au sens du RGPD, avec toute la vigilance que cela implique.
Les fraudes déjà observées : faux RIB et phishing
La fraude au faux fournisseur, qui consiste à se faire passer pour un fournisseur légitime en substituant son IBAN sur une facture, reste l’arnaque B2B la plus répandue en France. La généralisation de la facturation électronique ne fait pas disparaître ce risque, elle le déplace vers de nouveaux points d’interception, comme le confirment déjà plusieurs signalements de la DGFiP depuis la fin de l’année 2025.
Le faux RIB inséré dans une facture interceptée
La DGFiP a identifié des cas où des fraudeurs se faisaient passer pour des interlocuteurs liés à Chorus Pro, la plateforme historique de facturation vers le secteur public, afin de récupérer de véritables factures en circulation, d’y substituer un RIB frauduleux, puis de les retransmettre à leur destinataire final. Le document semble alors parfaitement authentique, puisqu’il s’agit bien d’une facture réelle, seul le compte bancaire ayant été modifié.
Le phishing à la fausse immatriculation PPF
Autre schéma observé : un email annonce que l’immatriculation de l’entreprise au Portail Public de Facturation doit être validée avant une date limite, sous peine de blocage de ses factures. Le message est d’autant plus crédible que le PPF existe réellement et que son rôle d’annuaire est peu compris du grand public. Le lien proposé conduit vers une interface qui imite l’original, où l’entreprise saisit ses identifiants, son numéro de SIRET, parfois même un RIB au prétexte de frais administratifs fictifs.
| Fraude | Comment elle se manifeste | Signal d’alerte | Réflexe |
|---|---|---|---|
| Faux RIB sur facture interceptée | Une facture authentique circule avec un IBAN substitué | Changement de coordonnées bancaires non annoncé au préalable | Confirmer tout changement de RIB par téléphone sur un numéro connu, jamais celui du message reçu |
| Phishing fausse immatriculation PPF | Email urgent demandant de valider son immatriculation avant une date limite | Lien vers un site imitant le PPF, demande d’identifiants ou de SIRET | Ne jamais cliquer, se rendre directement sur le site officiel via une recherche |
| Fausse plateforme agréée | Sollicitation commerciale pressante pour une plateforme non vérifiable | Absence sur la liste officielle DGFiP, promesses irréalistes | Vérifier systématiquement l’immatriculation sur la liste officielle avant tout engagement |
Comment vérifier qu’une plateforme est réellement immatriculée ?
Face à la multiplication des offres et des sollicitations commerciales autour de cette réforme, un réflexe simple permet d’éviter l’essentiel des arnaques : la DGFiP publie et met à jour la liste officielle des plateformes agréées immatriculées, consultable librement sur impots.gouv.fr. Avant tout engagement contractuel, vérifiez que le prestataire y figure bien, sous son nom exact et avec un numéro d’immatriculation valide.
Cette vérification ne doit pas se substituer à un examen plus large du prestataire : ancienneté, références clients dans votre secteur, transparence sur l’hébergement des données et réactivité du support en cas d’incident restent des critères tout aussi déterminants qu’une simple présence sur une liste officielle.
Un point de vigilance supplémentaire, souvent source de confusion : de nombreux logiciels de facturation ou de gestion commerciale ne sont pas eux-mêmes des plateformes agréées, mais se connectent à une plateforme tierce immatriculée pour le compte de leurs clients. Cette configuration n’est pas problématique en soi, à condition qu’elle soit clairement annoncée et que la plateforme réellement immatriculée en bout de chaîne réponde aux mêmes critères de sécurité. Demandez explicitement à votre éditeur logiciel le nom et le numéro d’immatriculation de la plateforme agréée qu’il utilise réellement, plutôt que de vous fier à sa seule communication commerciale.
Sécuriser vos flux de facturation au quotidien
Au-delà du choix de la plateforme, la sécurité de vos flux de facturation dépend largement des habitudes de votre équipe. L’authentification multifacteur (MFA) sur l’accès à votre plateforme agréée neutralise l’immense majorité des tentatives de compromission de compte reposant sur un simple mot de passe volé ou deviné, un sujet détaillé dans notre guide de déploiement du MFA en PME.
Un mot de passe unique et robuste sur chaque compte lié à la facturation, géré via un gestionnaire dédié plutôt que mémorisé ou réutilisé, complète cette protection. Notre comparatif des gestionnaires de mots de passe pour PME reste pertinent pour équiper rapidement une petite équipe comptable ou administrative.
NordPass : sécurisez les accès à votre plateforme de facturation
Génération et partage sécurisé des mots de passe de votre équipe comptable et administrative, avec un scanner de fuites de données intégré pour détecter tout identifiant compromis avant qu’il ne soit exploité.
Dernier réflexe, le plus simple et pourtant le plus souvent négligé : toute demande de changement de coordonnées bancaires reçue par email, quelle que soit sa provenance apparente, doit être confirmée par un appel téléphonique vers un numéro déjà connu de votre entreprise, jamais celui indiqué dans le message reçu. Cette règle unique aurait suffi à bloquer la quasi-totalité des cas de fraude au faux RIB documentés à ce jour.
Souveraineté numérique : un choix aussi stratégique que technique
Une plateforme agréée traite par nature l’une des catégories de données les plus sensibles d’une entreprise : ses flux financiers avec l’ensemble de ses clients et fournisseurs. Confier ce flux à un prestataire soumis au droit américain expose, en théorie, ces données au CLOUD Act, cette loi de 2018 qui autorise la justice des États-Unis à réquisitionner des données hébergées par une entreprise américaine, y compris sur des serveurs situés en Europe. Notre guide sur la cybersécurité souveraine pour PME détaille ce risque et les alternatives disponibles poste par poste.
La bonne nouvelle est que cette réforme, contrairement à d’autres virages technologiques, favorise structurellement les éditeurs français : une plateforme agréée doit être immatriculée par la DGFiP, ce qui pousse mécaniquement une grande partie de l’offre vers des acteurs hébergés en France. C’est le cas d’Axonaut, éditeur français basé à Labège, officiellement immatriculé Plateforme Agréée sous le numéro 0110 depuis le 8 janvier 2026.
Axonaut : plateforme agréée française, facturation électronique incluse
Émettez, recevez et transmettez vos factures aux formats réglementaires Factur-X, UBL et CII directement depuis votre outil de gestion, hébergé en France et certifié ISO 27001, sans surcoût sur les offres existantes.
Ce choix d’une plateforme française ou européenne ne relève pas seulement d’une préférence idéologique : il simplifie aussi la conformité RGPD, réduit les risques juridiques liés aux transferts de données hors Union européenne, et s’inscrit dans la même logique que le panorama des solutions présenté dans notre panorama complet des technologies IA en cybersécurité pour PME, où de plus en plus de plateformes agréées intègrent désormais des mécanismes de détection automatique d’anomalies sur les factures (montants inhabituels, changements de RIB suspects) directement inspirés de l’intelligence artificielle utilisée en cybersécurité.
Les ressources gratuites et l’accompagnement
La messagerie professionnelle reste le principal point d’entrée des tentatives de phishing exploitant la réforme, qu’il s’agisse de faux RIB ou de fausses relances d’immatriculation. Un filtrage anti-phishing robuste sur votre messagerie constitue donc une ligne de défense complémentaire à la vigilance de vos équipes.
Plusieurs ressources publiques gratuites permettent par ailleurs de monter en compétence sur ces sujets sans attendre un incident. Cybermalveillance.gouv.fr propose SensCyber, un parcours d’e-sensibilisation gratuit, ainsi qu’une mise en relation avec des prestataires de proximité labellisés ExpertCyber, utile pour un accompagnement ponctuel sur le paramétrage sécurisé de votre nouvelle plateforme de facturation.
Partenaire affilié
Infomaniak : une messagerie professionnelle souveraine pour filtrer le phishing
Messagerie professionnelle hébergée exclusivement en Suisse et en France, avec un filtrage anti-spam et anti-phishing intégré, une protection utile face aux campagnes exploitant la confusion autour de la réforme de la facturation électronique.
Un premier état des lieux gratuit de votre exposition globale reste toujours utile avant d’engager un projet de mise en conformité : l’outil Audit Cyber PME de SIAC Media permet d’obtenir un diagnostic rapide en quelques minutes. Si votre future plateforme agréée intègre des fonctionnalités de détection d’anomalies basées sur l’intelligence artificielle et que plusieurs collaborateurs interagissent avec ces outils, le générateur de charte IA de SIAC Media permet de cadrer gratuitement cet usage en interne.
Pour les entreprises qui doivent par ailleurs se mettre en conformité avec la directive NIS2, notre guide de mise en conformité NIS2 détaille les mesures obligatoires, dont plusieurs recoupent directement les bonnes pratiques présentées dans cet article sur le choix d’un prestataire tiers de confiance.
Ressource recommandée
Guide Cybersécurité PME & IA 2026
Choisir un prestataire tiers de confiance, sécuriser ses accès et protéger ses flux financiers : les principes détaillés dans ce guide s’appliquent directement au choix d’une plateforme agréée. 41 pages, 6 chapitres, un plan d’action 90 jours, sans jargon technique.
La checklist complète
Avant de refermer cet article, vérifiez que chacun des points suivants est bien en place dans votre projet de mise en conformité.
- Vous connaissez la date qui s’applique à votre entreprise pour l’obligation de réception et d’émission
- Votre plateforme agréée figure bien sur la liste officielle immatriculée par la DGFiP
- Elle dispose au minimum de la certification ISO 27001 et héberge vos données en France ou dans l’Union européenne
- L’authentification multifacteur est activée sur tous les comptes ayant accès à la plateforme
- Vos mots de passe de facturation sont uniques et gérés via un gestionnaire dédié
- Toute demande de changement de RIB reçue par email est systématiquement confirmée par téléphone
- Votre équipe sait reconnaître un email de phishing usurpant le Portail Public de Facturation ou Chorus Pro
- Le contrat avec votre plateforme précise clairement ses engagements RGPD en tant que sous-traitant
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre entreprise.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
Conclusion
La facturation électronique obligatoire n’est pas qu’une réforme comptable de plus : elle oblige chaque entreprise française à confier une partie de ses flux financiers à un tiers, dans une fenêtre de transition que les fraudeurs exploitent déjà activement. Choisir une plateforme agréée immatriculée, certifiée ISO 27001 et hébergée en France ou en Europe, activer l’authentification multifacteur et vérifier systématiquement par téléphone toute demande de changement de RIB couvrent l’essentiel du risque, pour un effort largement compatible avec le projet de mise en conformité que vous menez de toute façon d’ici 2027.
Pour objectiver votre niveau de sécurité actuel avant d’engager ce projet, l’outil gratuit Audit Cyber PME de SIAC Media permet d’obtenir un diagnostic en quelques minutes, et notre guide complet de la cybersécurité pour PME en 2026 approfondit chacun des sujets abordés ici pour qui souhaite structurer durablement sa démarche.
