Cyberattaques et facture électronique : pourquoi la PME devient la cible parfaite en 2026

Le 1ᵉʳ septembre 2026, toute PME française devra transmettre l’intégralité de ses factures B2B via une plateforme agréée privée. Cette obligation crée trois vulnérabilités cyber concrètes pour les petites structures : la concentration de données fiscales, bancaires et clients chez un tiers, la dépendance opérationnelle à un éditeur SaaS, et l’exposition aux attaques par chaîne d’approvisionnement déjà documentées en France.

La DGFiP communique sur des plateformes certifiées ISO 27001, agréées et auditables. Cette présentation oublie une réalité documentée par notre critique de la réforme : aucune certification publique n’a empêché l’hébergeur comptable Coaxis de tomber en décembre 2023, paralysant 1 200 cabinets d’expertise comptable et environ 350 000 entreprises clientes pendant près d’un mois. :antCitation[]{citations= »5a472c34-943f-4d2b-a675-98689b8e9381″ injected= »space »} La certification protège contre la négligence, pas contre l’attaquant déterminé.

L’ANSSI elle-même classe les PME en première ligne face aux rançongiciels. Son panorama 2025, publié le 11 mars 2026, chiffre cette réalité : 48 % des victimes de ransomware sont de petites structures, PME, TPE et ETI. :antCitation[]{citations= »e99cf551-fdd8-4551-9d2f-993c7eaa70eb » injected= »space »} La réforme va y ajouter une porte d’entrée supplémentaire, agrégée et juridiquement protégée pour celui qui la fournit.

I — Le mythe officielUne plateforme agréée certifiée protégerait vos données.

L’argument revient dans chaque présentation institutionnelle. Les plateformes agréées seraient certifiées, supervisées et conformes au décret n° 2022-1299. La présentation est techniquement exacte. Elle est opérationnellement trompeuse. Une certification ISO 27001 atteste d’un système de management de la sécurité ; elle n’a jamais empêché une attaque ciblée d’aboutir.

Ce que l’agrément DGFiP couvre réellement

L’immatriculation d’une plateforme agréée repose sur un corpus normatif issu de la loi de finances rectificative 2022, du décret du 7 octobre 2022 et de l’arrêté associé. Elle est valable 3 ans, renouvelable, et instruite par le SIM basé à Lille. :antCitation[]{citations= »7c46a6e5-7158-45c1-a61c-0a170a152e24″ injected= »space »} L’agrément vérifie l’interopérabilité avec le PPF, la traçabilité des flux et l’existence d’un système de management de la sécurité de l’information. Concrètement, la DGFiP contrôle des procédures, pas la solidité réelle face à un attaquant motivé.

Le glissement sémantique en dit long. Le terme « plateforme de dématérialisation partenaire » a été abandonné début 2025 au profit de « plateforme agréée ». Notre dossier sur la dépendance aux PDP éditeurs privés détaille ce que ce renommage cache : l’État ne se porte plus partenaire, il certifie. Le risque opérationnel, lui, reste intégralement chez l’opérateur agréé, donc chez son client final.

115 plateformes agréées, autant de chaînes d’approvisionnement

La première liste officielle a été publiée le 16 janvier 2026. Au 26 mars 2026, 112 plateformes étaient immatriculées définitivement, et la liste publiée mi-avril en compte 115. :antCitation[]{citations= »72864e38-581c-493d-a565-e5c653071992″ injected= »space »} Le marché reste pourtant ultra-concentré autour de quelques acteurs dominants : Pennylane, Cegid, Docaposte, Qonto, Sage. Une PME française ne choisit donc pas entre 115 risques indépendants. Elle choisit entre quelques noyaux d’infrastructure qui mutualisent des centaines de milliers de comptes.

Ce schéma reproduit la concentration observée chez les hébergeurs comptables historiques. Coaxis hébergeait 1 200 cabinets et indirectement 350 000 entreprises. In Extenso fédère 5 000 collaborateurs et 250 bureaux en France, gérant ou contrôlant la comptabilité de plus de 100 000 clients. :antCitation[]{citations= »7fbdce5d-39b8-4e52-94bf-d846c5c4befc » injected= »space »} Ces deux acteurs ont été frappés par rançongiciel, en décembre 2023 et début 2024. Aucune certification n’a évité l’incident.

II — Les chiffres brutsCe que l’ANSSI documente sur les PME en 2025.

Le panorama de la cybermenace 2025 a été publié le 11 mars 2026 par l’agence nationale. Il porte sur 3 586 événements de sécurité traités, dont 2 209 signalements et 1 366 incidents avérés. :antCitation[]{citations= »12eb0e96-99d4-4406-ae73-16d298843273″ injected= »space »} Cette baisse apparente vis-à-vis de 2024 s’explique par le pic des Jeux Olympiques. La pression effective ne diminue pas. Elle se déplace.

PME : 48 % des victimes de rançongiciels en France

L’ANSSI recense 128 compromissions par rançongiciel en 2025, contre 141 en 2024. :antCitation[]{citations= »63c46380-731b-46fd-a118-92bb6310cac3″ injected= »space »} Léger recul, menace toujours majeure. Les PME, TPE et ETI restent les premières cibles avec 48 % des victimes, devant les collectivités à 11 % et les établissements de santé à 8 %. Cybermalveillance.gouv.fr confirme la tendance : plus de 500 000 victimes assistées en 2025, en hausse de 20 %, avec une augmentation de 73 % des demandes émanant d’entreprises, principalement des TPE et PME.

:antCitation[]{citations= »961d241d-dc88-4191-bf16-55fcc010cce5″ injected= »space »}

Le constat sur la posture défensive est plus dur encore. Le baromètre Docaposte/Cyblex 2025 documente que 74 % des PME interrogées se situent en dessous du niveau « Essentiel » défini par l’ANSSI, :antCitation[]{citations= »86cdac1f-2e20-43ed-a05a-d09d67a31a87″ injected= »space »} alors qu’elles s’estiment au même niveau adéquatement protégées. La part d’organisations sans aucune ressource dédiée à la cybersécurité a progressé de 8 points sur un an, atteignant 12 %.

Coaxis, In Extenso, Anozr Way : les précédents enterrés

Le 8 décembre 2023, Coaxis devient injoignable. L’hébergeur perd ses accès pour près de 1 200 cabinets et 350 000 entreprises pendant un mois. :antCitation[]{citations= »33fb8ec9-4912-4c1b-aa01-9ee94b9d0dd3″ injected= »space »} L’URSSAF et la DGFiP doivent organiser des dérogations exceptionnelles. Le délai du 15 décembre 2023 pour les déclarations sociales et fiscales est manqué, l’administration acceptant un report individuel au cas par cas. :antCitation[]{citations= »395178fc-c060-4fcc-a479-907491eadd2e » injected= »space »} Trois mois plus tard, In Extenso, 5 000 collaborateurs et 250 bureaux, est paralysé à son tour par un rançongiciel touchant la comptabilité de 100 000 clients.

:antCitation[]{citations= »38db7d09-ef8d-40b4-8b01-8397b3321e74″ injected= »space »}

Aucun de ces incidents n’a entraîné de remise en cause du modèle centralisé. La réforme de la facturation électronique reproduit le même schéma à l’échelle de toute l’économie française. Soyons clairs : la même attaque, demain, sur une plateforme agréée majeure, bloquerait l’émission légale de factures pour des dizaines de milliers d’entreprises simultanément.

III — La nouvelle surfaceCe que la plateforme agréée va centraliser dans vos données.

Avant la réforme, les factures restaient dans le système d’information de l’entreprise. Après septembre 2026, elles transitent par un tiers privé, sont historisées chez ce tiers, et alimentent en parallèle le portail public de facturation. La surface attaquable triple. La probabilité d’un incident grave pour une PME, elle, double mécaniquement.

La triple agrégation : fiscal, bancaire, client

Une facture électronique transmise au format Factur-X ou EN16931 contient des données fiscales (SIREN, TVA collectée, taux), des coordonnées bancaires (IBAN du fournisseur), et la totalité du carnet clients. Notre enquête sur la perte de souveraineté des données entreprise détaille le mécanisme. La plateforme agréée concentre, pour chacun de ses clients, l’équivalent d’un dossier comptable complet renouvelé chaque mois.

Cette concentration est inédite. Avant la réforme, un attaquant qui visait une PME devait obtenir un accès direct à ses serveurs ou à son logiciel local. Après septembre 2026, compromettre un seul opérateur agréé donne accès aux factures de toute sa base installée. En réalité, le ratio bénéfice/effort de l’attaque s’inverse complètement.

L’effet supply chain : viser une plateforme, atteindre 50 000 PME

L’ANSSI documente cette logique depuis 2023. Les attaques visent désormais les sous-traitants critiques des grands donneurs d’ordres, souvent mieux protégés que les structures qu’elles servent. :antCitation[]{citations= »8391844d-6090-40e8-9243-29c03c19c9e7″ injected= »space »} Le rançongiciel n’attaque plus la PME directement. Il attaque l’éditeur SaaS dont la PME dépend. La logique opérationnelle de la facturation électronique en fait exactement ce type de cible.

Sur la même période, 196 incidents de vol de données ont été rapportés en 2025 contre 130 en 2024, soit une hausse de 51 %, sans chiffrement systématique du système. :antCitation[]{citations= »9cfb19fc-d90d-4eaa-b0a3-1172fd302878″ injected= »space »} Les attaquants ne cherchent plus uniquement à bloquer. Ils exfiltrent silencieusement, revendent ou font chanter. Une plateforme agréée représente un gisement d’exfiltration sans équivalent dans l’écosystème français.

Le tableau parle de lui-même. La réforme ne se contente pas d’imposer un nouveau canal. Elle restructure intégralement la matrice de risque d’une PME française, sans que cette restructuration n’ait été débattue publiquement.

Une plateforme agréée majeure compromise, c’est l’équivalent fiscal d’une fuite simultanée de dizaines de milliers de dossiers comptables. Aucun précédent français ne s’en approche. — L’observatoire, analyse interne

IV — Les angles mortsCe que les contrats des plateformes agréées ne disent pas.

Les conditions générales des plateformes agréées sont publiques. Leur lecture méthodique révèle deux angles morts juridiques majeurs. D’une part, l’absence d’indemnisation automatique en cas de cyberattaque. D’autre part, une responsabilité contractuelle plafonnée qui renvoie le risque résiduel sur l’entreprise utilisatrice.

Pas d’indemnisation automatique en cas de paralysie

Aucun texte réglementaire n’oblige une plateforme agréée à indemniser une PME paralysée par un incident cyber côté opérateur. Les CGV plafonnent généralement la responsabilité à quelques mois d’abonnement, soit quelques centaines d’euros. En cas de fuite, c’est l’entreprise utilisatrice qui notifie la CNIL. L’article 33 du RGPD impose au responsable de traitement de notifier la CNIL dans un délai de 72 heures, et d’informer les personnes concernées si le risque est élevé.

:antCitation[]{citations= »225e1fe5-023c-48da-931b-505b2455b505″ injected= »space »}

Concrètement, une PME dont la plateforme se fait pirater hérite de la charge déclarative, du risque de sanction CNIL pour mesures techniques insuffisantes au sens de l’article 32 du RGPD, et de la communication de crise auprès de ses clients. Le coût juridique et réputationnel ne se transfère pas à l’opérateur, malgré l’origine de la faille.

Italie 2019-2021 : le phishing massif sur le SdI

L’expérience italienne mérite l’attention. Notre dossier sur l’échec de la facture électronique italienne et portugaise revient sur les conséquences. Dès la mise en place du Sistema di Interscambio, des vagues de phishing ont ciblé les entreprises italiennes en usurpant les messages officiels. L’Agenzia delle Entrate a alerté sur des emails portant l’objet « Invio File », reprenant le texte d’une communication légitime du SdI, conçus pour frauder les destinataires.

:antCitation[]{citations= »34a6e3f6-95f3-4b27-94c8-90441da5af29″ injected= »space »}

Le mécanisme est implacable. Quand un système devient indispensable au quotidien, il devient le terrain idéal de l’ingénierie sociale. Les attaquants ne piratent plus l’infrastructure centrale, ils imitent ses messages. En France, la DGFiP a déjà alerté en 2024 sur une campagne de phishing usurpant l’adresse « ne-pas-repondre@no-reply.gouv.fr ». La généralisation aux plateformes agréées va décupler ces vecteurs.

V — La parade pratiqueCe qu’une PME peut exiger avant le 1ᵉʳ septembre 2026.

Choisir une plateforme agréée sans en auditer la posture cyber revient à signer un chèque en blanc à un sous-traitant critique. Trois critères opérationnels permettent de filtrer rapidement les candidats sérieux des candidats commerciaux.

Exiger un cycle de pen-testing public et un SOC 24/7

Une plateforme agréée sérieuse publie le rythme de ses tests d’intrusion, l’identité des cabinets qui les conduisent et la nature des correctifs déployés. L’ANSSI signale que près de 50 000 CVE ont été identifiées en 2025, et que plus de 6 000 équipements connectés en France présentent encore les vulnérabilités exploitées en 2023 et 2024. :antCitation[]{citations= »f8541f0b-00d1-4312-b9cd-f81575965620″ injected= »space »} Le délai entre apparition d’une faille et son exploitation se réduit. Un SOC opérationnel en continu n’est plus un luxe, c’est un prérequis. Notre enquête sur la surveillance fiscale massive détaille ce que la centralisation rend impossible à ignorer.

MFA, sauvegardes externes, plan de continuité documenté

Côté PME, trois mesures réduisent l’exposition résiduelle. L’authentification multi-facteur sur tous les accès à la plateforme agréée bloque l’essentiel des compromissions de credentials. Les sauvegardes externes hebdomadaires, hors du périmètre PA, permettent de reconstituer la base si l’opérateur tombe. Un plan de continuité écrit, testé deux fois par an, garantit la capacité à émettre via un canal de secours dans les 48 heures. Aucun de ces points n’est imposé par la réforme. Tous relèvent de la diligence du dirigeant.

Questions fréquentes

Mon expert-comptable est-il responsable si la plateforme agréée qu’il utilise est piratée ?

Pas directement. L’expert-comptable engage sa responsabilité contractuelle vis-à-vis de ses obligations de moyens, notamment le choix d’un prestataire conforme. Si la plateforme agréée subit une attaque, la responsabilité primaire revient à l’opérateur. En revanche, le cabinet doit pouvoir démontrer une diligence raisonnable : audit du prestataire, vérification des certifications, plan de continuité documenté. À défaut, sa responsabilité civile professionnelle peut être engagée pour défaut de conseil.

La DGFiP peut-elle sanctionner une entreprise qui n’a pas pu transmettre ses factures à cause d’une cyberattaque ?

Le cadre actuel ne prévoit pas d’exonération automatique en cas d’incident chez la plateforme agréée. L’administration accepte traditionnellement des dérogations individuelles, comme lors de l’incident Coaxis en décembre 2023. Cette tolérance reste discrétionnaire. Aucun texte ne garantit qu’elle sera reconduite après la généralisation de septembre 2026. Une PME paralysée par un incident tiers devra documenter sa bonne foi auprès de son SIE pour obtenir un report.

PPF et plateforme agréée : laquelle concentre le plus de risque cyber ?

Les deux concentrent un risque différent. Le portail public de facturation centralise les données d’e-reporting de toutes les entreprises françaises, donc le volume global. Une plateforme agréée concentre les factures complètes de ses seuls clients, donc la profondeur des informations. Pour une PME individuelle, la plateforme représente la menace la plus immédiate : c’est elle qui détient le carnet clients, les IBAN et l’historique commercial détaillé. Le PPF en agrège la métadonnée fiscale.

Faut-il une assurance cyber spécifique pour la facturation électronique ?

Une police cyber dédiée n’est pas obligatoire mais devient pertinente. Elle couvre typiquement les frais de notification CNIL, les pertes d’exploitation liées à l’indisponibilité d’un sous-traitant critique, et les frais juridiques en cas de litige avec la plateforme agréée. Les primes annuelles pour une PME se situent entre 500 et 3 000 euros selon le chiffre d’affaires. Vérifier impérativement que la garantie couvre les défaillances de prestataires SaaS externes, pas seulement les incidents internes.

Que faire concrètement si ma plateforme agréée est paralysée le 1ᵉʳ septembre 2026 ?

Documenter immédiatement l’incident : capture des messages d’indisponibilité, échanges écrits avec l’opérateur, plainte si vol de données. Notifier le SIE pour demander un délai de transmission. Notifier la CNIL sous 72 heures si des données personnelles ont fuité. Activer le plan de continuité en émettant des factures au format Factur-X local archivé, prêtes à être versées dès rétablissement. Communiquer aux clients que les factures sont émises mais que la transmission officielle interviendra ultérieurement. Ces étapes ne sont efficaces que si elles ont été testées avant l’incident.