Question
Facture électronique : les données sont-elles en sécurité ?
Ce que répond la DGFiP aux clients inquiets : plateformes certifiées ISO 27001, factures non centralisées, données dans l'Union européenne.
Mis à jour le
Selon la foire aux questions « Tout savoir sur la facturation électronique » de la Direction générale des Finances publiques (DGFiP), les factures électroniques ne sont pas centralisées par l'administration : elles circulent entre les plateformes agréées choisies par les entreprises, et seules les données prévues par la loi sont transmises au fisc. Ces plateformes doivent notamment être certifiées ISO 27001 sur leur activité de facturation électronique et respecter des exigences propres au dispositif français, dont la localisation des données dans l'Union européenne. La même foire aux questions rappelle que la vigilance des utilisateurs reste indispensable.
Depuis le 01/09/2026, les clients du cabinet reçoivent des factures électroniques, et certains s'inquiètent : « l'État va-t-il voir toutes mes factures ? », « mes données sont-elles protégées ? ». Voici ce que disent les sources officielles, pour que l'équipe et l'assistant répondent la même chose.
Ce que répond la DGFiP
| Question du client | Réponse de la foire aux questions |
|---|---|
| « Toutes mes factures vont-elles à l'administration ? » | Non : elles sont échangées entre plateformes agréées, sans point de passage unique ; seules les données prévues par la loi sont transmises |
| « Est-ce de la surveillance ? » | Non : la réforme porte sur les modalités de transmission des factures et ne crée pas de nouvelles obligations déclaratives ; aucune donnée relative à des particuliers n'est transmise, les remontées étant agrégées |
| « Les incidents récents touchent-ils la facture électronique ? » | Non : les accès illégitimes constatés dans le système d'information de la DGFiP n'ont concerné ni les infrastructures de la facture électronique ni les plateformes agréées |
| « Pourquoi pas de plateforme publique gratuite ? » | Pour éviter de concentrer les risques sur un point de passage unique, limiter les coûts publics et rester cohérent avec les pratiques des entreprises |
Les exigences imposées aux plateformes agréées
La foire aux questions cite :
- la certification ISO 27001 sur le périmètre de facturation électronique (analyse des risques, maîtrise des accès, sauvegardes, gestion des incidents, continuité d'activité) ;
- le recours à une offre qualifiée SecNumCloud quand un service d'informatique en nuage externalisé est utilisé, dans les conditions prévues par la réglementation ;
- la localisation européenne des données et l'absence de transfert hors de l'Union européenne des données hébergées ;
- l'authentification renforcée, la sécurisation des échanges, la traçabilité des opérations et des audits réguliers ;
- des contrôles sur les factures : informations obligatoires, validité des identifiants, cohérence entre montants hors taxes, taux et taxe, doublons, adressage.
Elle ajoute que les plateformes interviennent sous agrément de l'administration et sous son contrôle permanent, avec des audits annuels et un renouvellement de l'agrément.
Ce qui reste à la charge du client
La DGFiP est claire : la cybersécurité repose aussi sur l'organisation et la vigilance des utilisateurs. Les entreprises doivent protéger leurs identifiants, vérifier les droits accordés aux personnes qui agissent pour leur compte, se méfier des sollicitations inhabituelles et ne jamais transmettre d'informations confidentielles à la suite d'un courriel, d'un SMS ou d'un appel non sollicité.
Ce qu'un assistant d'équipe peut faire
Avec la foire aux questions téléchargée et datée dans sa base, l'assistant peut proposer au collaborateur une réponse sourcée, à relire :
Selon la DGFiP, vos factures électroniques ne sont pas centralisées par l'administration : elles passent par les plateformes agréées, qui doivent être certifiées ISO 27001 et garder les données dans l'Union européenne. La sécurité dépend aussi de vous : protégez vos identifiants et méfiez-vous des sollicitations inhabituelles, par exemple une demande de changement de coordonnées bancaires reçue par mail.
Il ne doit pas : se prononcer sur la sécurité d'une plateforme précise, ni en recommander une. La liste des plateformes agréées est publiée sur impots.gouv.fr, et le choix appartient au client, accompagné par l'expert-comptable.
Pour les autres questions de réception, voir le client sans plateforme agréée ; pour les données à faire figurer sur les factures, voir les quatre nouvelles mentions.
Questions fréquentes
L'administration fiscale reçoit-elle toutes mes factures ?
Non, selon la foire aux questions de la DGFiP : les factures sont échangées entre les plateformes agréées choisies par les entreprises et ne sont pas centralisées par l'administration ; seules les données prévues par la loi lui sont transmises.
Quelles garanties de sécurité doivent offrir les plateformes agréées ?
La même foire aux questions indique qu'elles doivent notamment être certifiées ISO 27001 sur leur activité de facturation électronique, recourir à une offre qualifiée SecNumCloud quand elles utilisent un service d'informatique en nuage externalisé dans les cas prévus, et garder les données dans l'Union européenne.
La facture électronique supprime-t-elle le risque de fraude ?
Non. La DGFiP précise qu'elle ne supprime pas tout risque, notamment si le système d'information de l'entreprise est compromis, et que les règles habituelles de sécurité restent indispensables.
Sources
Pages consultées pour écrire cet article :