Brief — « Aucune sanction en 2026 » : David Amiel lance la facturation électronique pour 4 millions d'entreprises, et impose des tests d'intrusion à ses plateformes dès cet automne

Thème : droit du numérique et cybersécurité — entrée en vigueur de la facturation électronique obligatoire, régime de sanctions du CGI neutralisé par une tolérance annoncée, et exigences de sécurité imposées aux plateformes agréées par la voie de l'immatriculation

Mots-clés : #cyber #dgfip #anssi #sanction #facturation-electronique #tests-intrusion

Le 1er septembre 2026, la généralisation de la facturation électronique entre entreprises est entrée en vigueur en France. Depuis cette date, toutes les entreprises assujetties doivent être en capacité de recevoir une facture électronique par l'intermédiaire d'une plateforme agréée ; seules les grandes entreprises et les entreprises de taille intermédiaire doivent déjà en émettre, les PME, TPE et micro-entreprises basculant le 1er septembre 2027. Le communiqué de presse n° 980 du ministère de l'Action et des Comptes publics, publié le jour même, avance trois chiffres : plus de 4 millions d'entreprises ont désigné leur adresse de réception, 66 % du cœur de cible ont choisi leur plateforme, et plus de 4 milliards d'euros par an de gains sont attendus à terme. Le socle juridique est l'article 289 bis du code général des impôts, qui impose le recours à une plateforme agréée et prévoit la mise à disposition d'un annuaire central d'adressage, complété par les articles 290 et 290 A pour la transmission à l'administration des données de facturation, de transaction et de paiement — l'*e-reporting*.

Le fait marquant n'est pas la date, connue de longue date : c'est ce que le ministre David Amiel en a fait. « *La facturation électronique démarre ce 1er septembre pour des millions d'entreprises : c'est un coup d'envoi, et non une date couperet* », déclare-t-il, en annonçant « aucune sanction pour aucune entreprise en 2026 ». La loi, pourtant, chiffre tout. L'article 123 de la loi n° 2026-103 du 19 février 2026 de finances pour 2026 a porté de 15 à 50 euros par facture l'amende de l'article 1737 du CGI pour défaut d'émission électronique — plafond de 15 000 euros par année civile — et organisé, pour le défaut de plateforme de réception, une mise en demeure de trois mois, puis 500 euros, puis 1 000 euros par nouvelle période de trois mois de manquement persistant. L'article 1788 D porte à 500 euros par transmission l'amende de l'assujetti défaillant en *e-reporting*. Ce dispositif n'est pas abrogé : il est mis en réserve par une tolérance annoncée, doctrine administrative opposable à l'administration mais qui ne protège d'aucun litige commercial entre partenaires. La DGFiP a publié un guide pratique de démarrage qui traite les blocages concrets — au premier rang, la facture bloquée parce que le client n'a pas encore désigné de plateforme, cas dans lequel un canal alternatif reste admis à condition de conserver la trace de la démarche engagée.

La contrainte réelle a changé de destinataire. Le 26 août 2026, David Amiel a réuni à Bercy les plateformes agréées pour leur rappeler des exigences de cybersécurité présentées comme « les plus élevées d'Europe ». Trois obligations en sortent : remettre à l'administration avant fin septembre un point de suivi sur leur cybersécurité, signaler sans délai tout incident cyber, et généraliser les tests d'intrusion dès cet automne. La sanction n'est pas fiscale : « *si la preuve du plus haut niveau de sécurité n'est pas assurée, les opérations d'une plateforme seront suspendues* ». C'est un régime adossé à l'immatriculation de l'article 290 B — délivrée pour trois ans renouvelables, sur dossier démontrant conformité fiscale, sécurité des infrastructures et interopérabilité technique — et non aux amendes du CGI. Il est plus rapide et commercialement plus létal que les 750 euros par transmission encourus par une plateforme au titre de l'article 1788 D, ou que le retrait du numéro d'immatriculation de l'article 1788 E, qui suppose au moins trois sanctions sur deux années consécutives pour un cumul d'au moins 60 000 euros, ne prend effet qu'à l'expiration d'un délai de trois mois et oblige la plateforme à informer ses clients sous un mois.

Pour un praticien de la sécurité, la lecture est directe. Une infrastructure critique vient d'être mise en service sans porter ce nom : plus de cent quarante opérateurs privés immatriculés acheminent les flux de facturation de l'essentiel du tissu économique français et en extraient, vers la DGFiP, l'identité des parties, les montants hors taxes, la TVA et les données de paiement — le graphe des relations commerciales du pays, adressé par un annuaire central qui sait qui facture chez qui. Le décret n° 2026-677 du 27 juillet 2026 et l'arrêté du même jour ont achevé la partie réglementaire, rebaptisé les anciennes PDP en « plateformes agréées », acté le recentrage du portail public de facturation sur l'annuaire, et ajouté au dossier d'immatriculation l'engagement de produire un rapport d'audit de surveillance dans les deux ans. L'automne 2026 ouvre donc, de fait, une campagne de tests d'intrusion à l'échelle d'un secteur entier, sur des systèmes neufs, interconnectés par des tests d'interopérabilité en conditions réelles, et dont l'indisponibilité bloque la trésorerie de leurs clients. La surface qui compte n'est pas chaque plateforme prise isolément : c'est l'interopérabilité elle-même, l'annuaire d'adressage, les conversions de format entre systèmes qui ne partagent pas les mêmes hypothèses, et la confiance transitive entre opérateurs agréés.

Brief — « Aucune sanction en 2026 » : David Amiel lance la facturation électronique pour 4 millions d'entreprises, et impose des tests d'intrusion à ses plateformes dès cet automne

Sources