Principe-clé : une obligation légale peut entrer en vigueur sans que la sanction soit appliquée — le calendrier de l'article 289 bis du code général des impôts est maintenu au 1er septembre 2026, mais l'administration annonce publiquement qu'elle n'infligera aucune amende en 2026 et déplace l'exigence effective vers la sécurité informatique des intermédiaires qu'elle a elle-même immatriculés.
CGI, art. 289 bis — émission, transmission et réception des factures électroniques entre assujettis établis en France, obligatoirement via une plateforme agréée ; mise à disposition d'un annuaire central d'adressage.CGI, art. 290 et art. 290 A — transmission à l'administration des données de facturation, de transaction et de paiement (e-reporting).CGI, art. 290 B — immatriculation des plateformes agréées, délivrée pour trois ans renouvelables.CGI, art. 1737 — 50 € par facture non émise sous forme électronique (plafond 15 000 €/an) ; pour le défaut de plateforme de réception, mise en demeure de 3 mois, puis 500 €, puis 1 000 € par nouvelle période de trois mois.CGI, art. 1788 D — 500 € par transmission manquante pour l'assujetti (plafond 15 000 €/an) ; 750 € par transmission pour la plateforme agréée (plafond 100 000 €/an).CGI, art. 1788 E — retrait du numéro d'immatriculation après au moins trois sanctions sur deux années consécutives pour un cumul d'au moins 60 000 € ; effectif à l'expiration d'un délai de trois mois, la plateforme devant informer ses clients sous un mois.LOI n° 2026-103 du 19 février 2026 de finances pour 2026, article 123 — refonte du régime de sanctions et du vocabulaire de la réforme.Décret n° 2026-677 du 27 juillet 2026 et arrêté du 27 juillet 2026 — partie réglementaire, dossier d'immatriculation, formats admis, changement de plateforme, contrôle.Le 1er septembre 2026, la généralisation de la facturation électronique entre entreprises est entrée en vigueur. Communiqué de presse n° 980 du ministère de l'Action et des Comptes publics : plus de 4 millions d'entreprises ont désigné leur adresse de réception, 66 % du cœur de cible ont choisi leur plateforme, et plus de 4 milliards d'euros par an de gains sont attendus à terme.
Depuis cette date, toutes les entreprises doivent pouvoir recevoir une facture électronique ; seules les grandes entreprises et les ETI doivent déjà en émettre. Les PME, TPE et micro-entreprises basculeront le 1er septembre 2027.
Le ministre David Amiel annonce « aucune sanction pour aucune entreprise en 2026 » et qualifie la date de « coup d'envoi, et non date couperet » — la DGFiP ayant publié un guide pratique de démarrage traitant les blocages du quotidien, notamment la facture bloquée faute de plateforme chez le client.
La contrepartie est ailleurs. Le 26 août 2026, le ministre a réuni à Bercy les plateformes agréées pour leur rappeler des exigences de cybersécurité présentées comme « les plus élevées d'Europe ». Ces plateformes devront remettre un point de suivi cyber avant fin septembre, signaler sans délai tout incident, et généraliser les tests d'intrusion dès cet automne. À défaut de preuve continue du plus haut niveau de sécurité, « les opérations d'une plateforme seront suspendues ».
Une infrastructure critique vient de naître en une nuit, sans porter ce nom. Plus de cent quarante opérateurs privés immatriculés par l'État acheminent désormais les flux de facturation d'à peu près toutes les entreprises françaises, et extraient au passage, vers la DGFiP, l'identité des parties, les montants hors taxes, la TVA due et les données de paiement. Le graphe complet des relations commerciales du pays passe par une poignée d'intermédiaires — et par un annuaire central d'adressage qui, par construction, sait qui facture chez qui.
Le point juridiquement intéressant est le décalage entre les deux régimes. Côté entreprises, la loi prévoit des amendes chiffrées, mais l'exécutif annonce publiquement qu'il ne les appliquera pas cette année : la contrainte reste dans le texte, la pression sort du barème pour entrer dans la doctrine administrative — une tolérance annoncée, non une abrogation, et qui ne s'oppose pas à un tiers dans un litige commercial. Côté plateformes, à l'inverse, la contrainte la plus lourde ne figure dans aucun article du CGI : ni le point de suivi de fin septembre, ni le signalement sans délai, ni la généralisation des tests d'intrusion ne sont des sanctions fiscales. Ce sont des conditions d'exercice adossées à l'immatriculation de l'article 290 B — et la sanction, la suspension des opérations, est bien plus rapide et plus létale commercialement que les 750 € par transmission de l'article 1788 D ou que le retrait organisé de l'article 1788 E, qui suppose 60 000 € de cumul et un préavis de trois mois.
Pour qui fait de la sécurité offensive, la conséquence est très concrète : l'automne 2026 ouvre une campagne de tests d'intrusion à l'échelle d'un secteur entier, sur des systèmes neufs, interconnectés par des tests d'interopérabilité en conditions réelles, et dont l'indisponibilité bloque la facturation — donc la trésorerie — de leurs clients. La surface d'attaque intéressante n'est pas seulement chaque plateforme prise isolément : c'est l'interopérabilité elle-même, l'annuaire d'adressage, les conversions de format entre systèmes qui ne partagent pas les mêmes hypothèses, et la confiance transitive entre opérateurs agréés.