Réponse publiée le 6 octobre 2026

La réforme de la facturation électronique qui se déploie progressivement depuis le 1er septembre 2026 est un système distribué et concurrentiel qui s'appuie sur près de 150 plateformes agréées. Le choix de ne pas concentrer l'ensemble des flux nationaux dans un point de passage unique participe également de la stratégie de sécurité. Un portail central aurait constitué une cible évidente et attractive pour une attaque d'ampleur, avec un risque systémique majeur en cas de défaillance. Le modèle distribué retenu réduit cette exposition : il évite la concentration de tous les flux dans une seule infrastructure et limite les effets de propagation en cas d'incident isolé. Les plateformes agréées sont soumises à un niveau élevé d'exigence de sécurité informatique. Elles doivent notamment être certifiées ISO 27001 sur le périmètre de leur activité de facturation électronique. Cette certification impose d'organiser la sécurité dans la durée : analyse des risques, maîtrise des accès, protection des systèmes, maîtrise des sous-traitants, sauvegardes, gestion des incidents et continuité d'activité. À cette certification s'ajoutent des exigences spécifiques au dispositif français : recours à une offre qualifiée SecNumCloud en cas de recours à un prestataire d'hébergement cloud tiers, localisation européenne des données et absence de transfert hors de l'Union européenne des données hébergées du service, authentification renforcée, sécurisation des échanges, traçabilité des opérations et audits réguliers. Les plateformes agréées sont auditées chaque année par un organisme auditeur indépendant et professionnel, avec pour objectif de vérifier systématiquement si la plateforme respecte l'encadrement juridique de la réforme. En cas de non-conformité, les plateformes peuvent se voir retirer leur immatriculation. La sécurisation du dispositif repose sur des obligations juridiques, techniques et organisationnelles, des certifications, des audits et des contrôles réguliers. Ces contrôles ont vocation à éprouver concrètement la sécurité des systèmes d'information, notamment via des tests d'intrusion. La cybersécurité implique une vigilance accrue des acteurs de la réforme. Les entreprises doivent continuer à appliquer les règles habituelles de sécurité : protéger leurs identifiants, vérifier les droits accordés aux personnes agissant pour leur compte, rester vigilantes face aux sollicitations inhabituelles et ne jamais transmettre d'informations confidentielles à la suite d'un courriel, d'un SMS ou d'un appel non sollicité. La facturation électronique apporte des protections supplémentaires et une meilleure traçabilité des échanges mais ne dispense pas de mettre en œuvre les bonnes pratiques indispensables à la protection des architectures et des données.