Je fais partie des dirigeants d’une entreprise française et, à quelques jours de l’entrée en vigueur de la réforme de la facturation électronique, je dois avouer une inquiétude grandissante.
Pas concernant la dématérialisation.
Pas concernant la lutte contre la fraude à la TVA.
Pas même concernant les contraintes supplémentaires que cette réforme va imposer aux entreprises.
Mon inquiétude concerne quelque chose de beaucoup plus sérieux :
la concentration d’une quantité considérable de données économiques françaises au sein d’une infrastructure devenue, de fait, extrêmement stratégique.
Et les événements du mois d’août 2026 rendent cette question difficile à éluder.
La DGFiP vient elle-même d’être victime d’une intrusion
Les 12 et 13 août 2026, un acteur malveillant a revendiqué des accès illégitimes au système d’information de la Direction générale des Finances publiques.
Après investigations, le ministère de l’Economie et des Finances a confirmé que des accès frauduleux avaient effectivement eu lieu en juin et juillet 2026.
Ils reposaient notamment sur l’usurpation d’identifiants d’un agent de la DGFiP et d’un tiers habilité.
Plus préoccupant encore : ces accès ont permis de consulter et d’extraire des données concernant 678 000 particuliers et professionnels.
La CNIL a été saisie.
Ce n’est donc pas un scénario théorique.
Le système d’information de l’administration fiscale française vient réellement de faire l’objet d’une intrusion ayant conduit à une extraction de données.
Et quasiment simultanément, la France s’apprête à lui confier une nouvelle mission particulièrement stratégique.
Ce qui va changer au 1er septembre 2026
La réforme impose progressivement aux entreprises françaises assujetties à la TVA de passer par des plateformes agréées pour transmettre et recevoir leurs factures électroniques.
Toutes les entreprises devront être capables de recevoir des factures électroniques dès le 1er septembre 2026.
Les grandes entreprises et ETI devront également les émettre électroniquement à cette date, les PME et TPE suivant au 1er septembre 2027.
Contrairement à ce que l’on entend parfois, cela ne signifie pas nécessairement que le PDF complet de chaque facture française sera stocké dans une gigantesque base de données de la DGFiP.
Mais cela ne doit pas masquer l’essentiel.
Les plateformes agréées devront extraire des informations structurées des factures et les transmettre à l’administration fiscale.
Parmi les exemples donnés par la DGFiP elle-même :
- identification du fournisseur ;
- identification du client ;
- montant hors taxes ;
- montant de TVA ;
- taux de TVA ;
- données relatives aux transactions ;
- données relatives aux paiements.
Le Portail Public de Facturation est par ailleurs présenté officiellement comme un concentrateur pour la transmission des données de facturation et de transaction à l’administration fiscale.
Nous sommes donc bien devant la constitution d’un ensemble de données économiques structurées d’une ampleur exceptionnelle.
Le problème n’est peut-être même pas le contenu des factures
Prenons une entreprise française travaillant dans la défense.
Imaginons que nous disposions pendant plusieurs années de ses relations commerciales :
Entreprise de défense A
-> fournisseur électronique B
-> fabricant de composants radiofréquence C
-> spécialiste en optique D
-> fabricant mécanique E
-> société de cybersécurité F
Ajoutons maintenant les montants et les dates.
Puis observons leur évolution.
Un fournisseur qui recevait habituellement 200 000 euros par trimestre reçoit soudainement 2 millions d’euros.
Un nouveau fournisseur spécialisé dans un composant particulier apparaît.
Les commandes auprès d’une entreprise d’électronique sont multipliées par dix pendant six mois.
Un nouveau sous-traitant industriel entre dans la chaîne.
Individuellement, aucune de ces informations n’est nécessairement classifiée.
Collectivement, elles peuvent devenir extrêmement intéressantes.
Avec suffisamment de données, il devient possible de reconstruire un graphe économique.
Clients.
Fournisseurs.
Sous-traitants.
Dépendances.
Montées en cadence.
Difficultés économiques.
Nouveaux programmes industriels.
Changements de technologies.
Ruptures d’approvisionnement.
Un service de renseignement étranger n’a pas nécessairement besoin de connaître le texte inscrit sur chaque ligne d’une facture.
Les métadonnées peuvent parfois suffire.
Ce risque n’a rien de fantaisiste
L’ANSSI rappelle régulièrement que la France est la cible d’opérations provenant aussi bien de groupes cybercriminels que d’acteurs liés à des puissances étrangères.
En 2024, l’ANSSI a traité 4 386 événements de sécurité, dont 1 361 incidents.
En 2025, elle en a encore traité 3 586.
Et parmi les secteurs particulièrement ciblés figurent les ministères, les collectivités, la recherche, les télécommunications et la santé.
Plus grave encore dans le contexte qui nous intéresse : les autorités françaises ont publiquement attribué certaines campagnes d’espionnage informatique à des services de renseignement étrangers.
En juillet 2026, l’ANSSI rappelait notamment des compromissions attribuées au mode opératoire Turla, associé au FSB russe.
Parmi les cibles françaises identifiées au fil des années figurent notamment des comptes de messagerie du ministère des Armées, le réseau du ministère de l’Europe et des Affaires étrangères à l’ambassade de France à Moscou, ainsi que des entités travaillant sur des technologies avancées.
Nous ne parlons donc pas uniquement de ransomware ou de hackers cherchant quelques bitcoins.
Nous parlons également d’espionnage étatique.
Et l’historique récent devrait nous rendre prudents
Les exemples français sont nombreux.
2024 – France Travail
Une intrusion a permis l’accès à une base susceptible de concerner 43 millions de personnes.
La CNIL a depuis sanctionné France Travail à hauteur de 5 millions d’euros et relevé des insuffisances dans les mesures de sécurité mises en oeuvre.
2024 – Viamedis et Almerys
Les deux opérateurs de tiers payant ont subi une violation concernant plus de 33 millions de personnes.
2024
La CNIL a reçu 5 629 notifications de violations de données.
Elle constate elle-même une multiplication des violations touchant de très grandes bases de données.
2025
L’ANSSI indique que les systèmes d’information des ministères et établissements sous leur tutelle ont été affectés par de multiples incidents et fuites de données.
2026 – DGFiP
Et nous arrivons maintenant au cas qui devrait directement nous interpeller concernant la facturation électronique.
Le système d’information de la DGFiP a fait l’objet d’accès illégitimes.
Des données concernant 678 000 particuliers et professionnels ont été consultées et extraites.
Quelques semaines plus tard doit commencer la généralisation d’un système destiné à transmettre massivement des données de facturation à cette même administration.
Comment ne pas poser la question ?
Le cas des entreprises de défense est particulièrement préoccupant
Le législateur a d’ailleurs lui-même identifié le problème.
Le Code général des impôts prévoit des exclusions concernant certaines opérations faisant l’objet de mesures de classification.
C’est parfaitement logique.
Mais est-ce suffisant ?
Car il existe une différence fondamentale entre :
une information classifiée
et
une information non classifiée qui devient sensible lorsqu’elle est corrélée à des millions d’autres informations.
C’est précisément l’un des principes fondamentaux du renseignement par la donnée.
Une facture anodine ne révèle presque rien.
Dix millions de relations fournisseur-client structurées, datées et historisées peuvent raconter une tout autre histoire.
La question n’est pas « l’Etat est-il compétent ? »
Aucun système informatique n’est inviolable.
Ni celui d’une PME.
Ni celui d’une banque.
Ni celui d’une multinationale.
Ni celui d’un ministère.
Ni celui de la DGFiP.
La bonne question est donc plutôt :
que se passe-t-il le jour où cette infrastructure est compromise ?
En cybersécurité, nous raisonnons normalement en fonction de deux paramètres :
la probabilité d’un incident et son impact.
Lorsqu’on concentre des données, on augmente potentiellement l’impact d’une compromission.
C’est exactement pour cette raison que les grandes bases de données constituent des cibles particulièrement attractives.
Les entreprises françaises sont en droit de demander des garanties
Je ne remets pas ici en question l’objectif fiscal de la réforme.
Je pose une question de cybersécurité et de souveraineté économique.
Avant d’obliger des millions d’entreprises françaises à alimenter un tel système, il me semblerait légitime d’obtenir des réponses précises et publiques.
Où sont physiquement stockées les données ?
Combien de temps sont-elles conservées ?
Quelles personnes peuvent y accéder ?
Comment les accès administrateurs sont-ils protégés ?
Les données sont-elles segmentées ?
Sont-elles chiffrées de manière à empêcher une extraction massive ?
Comment les clés sont-elles gérées ?
Existe-t-il une architecture réellement « zero trust » ?
Une compromission d’un compte habilité permet-elle d’effectuer des requêtes massives ?
Quels mécanismes empêchent techniquement la reconstruction du graphe économique d’une entreprise ?
Quels audits offensifs indépendants ont été réalisés ?
Quelles recommandations l’ANSSI a-t-elle formulées ?
Quels scénarios impliquant un acteur étatique ont été testés ?
Et surtout :
quelle est l’étendue maximale des informations qu’un attaquant pourrait extraire si le système était compromis demain ?
C’est cette dernière question qui devrait probablement être rendue publique.
La cybersécurité consiste aussi à limiter ce que l’on centralise
Nous avons passé vingt ans à expliquer aux entreprises qu’elles devaient appliquer le principe du moindre privilège, segmenter leurs systèmes, réduire leurs surfaces d’attaque et ne collecter que les informations nécessaires.
Nous devons appliquer exactement la même exigence à l’Etat.
La question n’est donc pas de savoir si la facturation électronique est une bonne ou une mauvaise idée.
La question est de savoir si nous avons correctement évalué la valeur stratégique de la base de données économique que nous sommes en train de constituer.
Parce qu’une telle infrastructure n’intéressera pas uniquement la Direction générale des Finances publiques.
Elle pourrait également intéresser énormément les services de renseignement étrangers.
Et depuis août 2026, nous ne pouvons même plus prétendre que la compromission du système d’information de la DGFiP serait un scénario purement hypothétique.
Elle vient d’avoir lieu.
La réforme peut avoir des objectifs légitimes.
Mais les entreprises françaises sont tout aussi légitimes à demander une démonstration extrêmement solide de la sécurité, de la résilience et de la souveraineté du dispositif avant de lui confier une cartographie sans précédent de leur activité économique.
Ce débat mérite, à mon sens, d’avoir lieu publiquement.
Sources
- Direction générale des Finances publiques – Facturation électronique et plateformes agréées
- Agence pour l’Informatique Financière de l’Etat – Facturation électronique B2B et Portail Public de Facturation
- Ministère de l’Economie et des Finances – Accès illégitimes au système d’information de la DGFiP, août 2026
- CNIL – Piratage du système d’information des impôts, août 2026
- CNIL – Violation de données France Travail
- CNIL – Violations Viamedis et Almerys
- CNIL – Violations massives de données en 2024
- ANSSI – Panorama de la cybermenace 2024
- ANSSI – Panorama de la cybermenace 2025
- ANSSI – Ciblage et compromission d’entités françaises par le FSB
- Code général des impôts – dispositions relatives à la facturation électronique
