À partir du 1er septembre 2026, près de dix millions d’acteurs économiques français entrent progressivement dans le nouveau système obligatoire de facturation électronique. L’objectif officiel est notamment d’améliorer la lutte contre la fraude, de simplifier les déclarations de taxe sur la valeur ajoutée et, formulation beaucoup plus lourde de conséquences qu’il n’y paraît, d’« améliorer la connaissance en temps réel de l’économie des entreprises ».
Mais à quelques semaines de l’échéance, la Direction générale des Finances publiques vient elle-même de reconnaître qu’une usurpation d’identité a permis la consultation et l’extraction de données concernant des particuliers et des professionnels dans son système d’information.
La question n’est donc plus théorique.
- Elle devient politique.
- Elle devient économique.
- Elle devient industrielle.
- Elle devient une question de souveraineté nationale.
Et elle peut se résumer ainsi :
UN ÉTAT PEUT-IL OBLIGER DES MILLIONS D’ENTREPRISES À FAIRE TRANSITER LEURS INFORMATIONS COMMERCIALES DANS UNE NOUVELLE ARCHITECTURE NUMÉRIQUE SANS DÉMONTRER PUBLIQUEMENT QUE LE RISQUE CRÉÉ EST MAÎTRISÉ À LA HAUTEUR DES CONSÉQUENCES POSSIBLES ?
LE 13 AOÛT 2026, BERCY NOUS A LUI-MÊME FOURNI LA QUESTION
Il faut commencer par le fait le plus récent.
- Pas par une hypothèse.
- Pas par une rumeur.
- Pas par les déclarations d'un opposant politique.
- Par un communiqué officiel du ministère de l’Économie et des Finances.
Selon la communication officielle datée du 13 août 2026 conservée dans le dossier auteur, le ministère a confirmé qu’un acteur malveillant avait revendiqué un accès illégitime au système d’information de la Direction générale des Finances publiques, ou DGFiP.
Selon Bercy, cet accès était intervenu fin juin 2026 après une usurpation d’identité.
Et les premières investigations ont confirmé que l’accès avait permis la consultation et l’extraction de données concernant des particuliers et des professionnels.
Au moment où ces lignes sont écrites, l’administration indique poursuivre ses investigations afin de déterminer précisément quelles données ont été compromises et combien d’usagers sont concernés.
Arrêtons-nous quelques secondes.
La DGFiP est précisément l’administration qui porte le projet de généralisation de la facturation électronique, tandis que l’Agence pour l’informatique financière de l’État, ou AIFE, réalise et opère les outils numériques publics de la réforme.
Et quelques semaines avant que des millions d’entreprises n'entrent dans cette nouvelle architecture, cette même administration reconnaît qu’une usurpation d’identité a permis d’accéder illégitimement à des données concernant aussi des professionnels.
Cela ne prouve évidemment pas que le futur système de facturation électronique sera piraté.
Mais cela détruit une autre idée :
PERSONNE NE PEUT PLUS DEMANDER AUX ENTREPRISES UNE CONFIANCE AVEUGLE.
ET CE N’ÉTAIT MÊME PAS LE PREMIER AVERTISSEMENT DE 2026
Quelques mois auparavant, la DGFiP avait déjà dû communiquer sur une autre compromission.
À compter de la fin janvier 2026, un acteur malveillant avait usurpé les identifiants d’un fonctionnaire disposant d’un droit d’accès dans le cadre d’échanges d’informations entre ministères.
Cette fois, la cible était FICOBA, le fichier national des comptes bancaires.
Le ministère a indiqué que l’attaquant avait pu consulter une partie du fichier et que les données consultées ou extraites concerneraient environ 1,2 million de comptes bancaires. [DGFiP, FICOBA]
Les informations concernées pouvaient comprendre des coordonnées bancaires, l’identité du titulaire et son adresse.
Deux événements différents.
Mais un élément mérite l’attention :
dans les deux cas, l’accès illégitime est associé à une compromission de l’identité ou des identifiants d’une personne autorisée.
Voilà précisément pourquoi la cybersécurité ne peut jamais être réduite à la seule question :
« Nos serveurs sont-ils correctement protégés ? »
Il faut également demander :
- Qui peut se connecter ?
- Avec quels droits ?
- Comment son identité est-elle vérifiée ?
- Que se passe-t-il lorsqu’un compte légitime est détourné ?
- Combien de données peut-il consulter ?
- Combien peut-il extraire ?
- Pendant combien de temps ?
- Quels mécanismes détectent une utilisation anormale ?
- Et combien de temps faut-il avant que l’anomalie soit bloquée ?
LA FACTURATION ÉLECTRONIQUE N’EST ABSOLUMENT PAS UN SIMPLE CHANGEMENT DE FORMAT
Voilà le premier malentendu qu’il faut pulvériser.
La réforme ne consiste pas simplement à remplacer :
« facture papier »
par :
« facture PDF ».
À partir du 1er septembre 2026, toutes les entreprises concernées devront être capables de recevoir leurs factures électroniques.
À cette même date, les grandes entreprises et les entreprises de taille intermédiaire devront également les émettre électroniquement.
Les petites et moyennes entreprises, très petites entreprises et microentreprises basculeront dans l’obligation d’émission à compter du 1er septembre 2027.
La réforme concerne environ dix millions d’acteurs économiques.
Et, surtout, une véritable facture électronique au sens de cette réforme devra circuler par l’intermédiaire d’une plateforme agréée.
L’administration fiscale explique elle-même que ces plateformes auront pour fonction d’émettre, transmettre et recevoir les factures électroniques et d’en extraire les données devant être adressées à l’administration.
Une plateforme agréée n’est donc pas un simple carnet d’adresses.
ELLE EST UN INTERMÉDIAIRE TECHNIQUE DANS LE TRANSPORT DE LA FACTURE.
Et cette différence est fondamentale.
NON, BERCY NE RECEVRA PAS TOUTES NOS FACTURES INTÉGRALES
Il faut être absolument irréprochable sur ce point.
L’administration fiscale ne recevra pas automatiquement une reproduction intégrale de chacune des factures françaises.
La plateforme agréée chargée de la facture en extrait les données utiles à l’administration. [DGFiP — plateformes agréées]
Impots.gouv.fr donne notamment comme exemples l’identification du fournisseur et du client, le montant hors taxes, le montant de taxe sur la valeur ajoutée et le taux de taxe appliqué.
Selon les opérations interviennent également les obligations dites de e-reporting, expression anglaise désignant la transmission électronique de certaines données de transaction et, dans certains cas, de paiement.
Pour les opérations réalisées avec certaines entreprises étrangères, l’administration précise que les données de transaction transmises sont comparables à celles communiquées dans le cadre de la facturation électronique domestique. Pour certaines opérations avec des particuliers, des données peuvent au contraire être agrégées quotidiennement.
Voilà les faits.
Bercy ne dispose donc pas d’une gigantesque photocopieuse nationale recevant l’image complète de toutes les factures françaises.
Dire le contraire serait faux.
Mais s’arrêter à cette observation serait tout aussi trompeur.
CAR LA FACTURE COMPLÈTE, ELLE, DOIT BIEN CIRCULER
C’est ici que se trouve le véritable changement de dimension.
Pour que la plateforme puisse transmettre la facture au client et en extraire les données nécessaires à l’administration, elle intervient directement dans le circuit de la facture électronique.
Le Code prévoit notamment que les plateformes permettent le dépôt, l’émission et la transmission des factures et assurent leur transmission aux plateformes des destinataires.
Elles doivent également extraire les données destinées à l’administration.
Donc la véritable question n’est pas seulement :
« Quelles données arrivent à Bercy ? »
Elle est aussi :
« QUELLES DONNÉES CIRCULENT DANS L’ENSEMBLE DE L’ÉCOSYSTÈME ? »
Et cet écosystème comprend les entreprises, leurs logiciels de gestion, leurs logiciels comptables, leurs comptes utilisateurs, leurs solutions compatibles, les plateformes agréées, les interfaces de programmation, les infrastructures publiques, l’annuaire central, les prestataires techniques et les différents systèmes qui doivent dialoguer.
L’expression surface d’attaque désigne précisément l’ensemble des points techniques ou humains susceptibles d’être utilisés pour tenter de compromettre un système.
Plus une architecture devient riche, interconnectée et indispensable, plus l’étude de cette surface d’attaque devient cruciale.
UNE FACTURE EST UNE PETITE FICHE DE RENSEIGNEMENT ÉCONOMIQUE
Prenons une facture professionnelle ordinaire.
- le fournisseur
- le client
- une date
- un montant
- un prix
- une nature de produit ou de prestation
- parfois une quantité
- des modalités de règlement
- éventuellement une adresse de livraison
- d’autres références propres à l’opération
Une seule facture peut paraître banale.
Mais la valeur informationnelle change complètement lorsque l’on passe :
- d’une facture
- à cent factures
- puis dix mille
- puis un million
- puis à plusieurs années d’historique
UNE FACTURE RACONTE UNE TRANSACTION.
UN ENSEMBLE MASSIF DE FACTURES PEUT RACONTER UNE ENTREPRISE.
DES ENSEMBLES CROISÉS PEUVENT COMMENCER À RACONTER DES CHAÎNES ÉCONOMIQUES.
On peut alors, selon les informations obtenues et leur granularité, rechercher des fournisseurs récurrents, certains clients, des variations de prix, des rythmes de commande, des dépendances, des sous-traitants ou des évolutions d’activité.
Il ne s’agit plus seulement de données comptables.
Il peut s’agir de renseignement économique.
ET C’EST L’ÉTAT LUI-MÊME QUI NOUS DONNE LA PHRASE LA PLUS ACCABLANTE
Parmi les quatre objectifs officiels de la réforme, l’AIFE écrit :
« améliorer la connaissance en temps réel de l’économie des entreprises ».
Cette phrase mérite d’être affichée en très gros.
Parce qu’elle constitue presque à elle seule la démonstration de la valeur stratégique des données concernées.
Si des informations structurées peuvent contribuer à améliorer la connaissance de l’économie française pour l’administration française, alors il est raisonnable d’en déduire que certaines de ces informations auraient également de la valeur pour un acteur qui souhaiterait analyser cette économie sans y être autorisé.
C’est une déduction.
Ce n’est pas une affirmation selon laquelle les données ont déjà été volées.
Mais la valeur potentielle de l’information ne peut pas être niée puisque l’un des objectifs mêmes de la réforme consiste précisément à mieux connaître l’économie grâce à elle.
ET LA DGSI NOUS DIT QUI PEUT S’INTÉRESSER À NOTRE ÉCONOMIE
Il faut maintenant placer à côté de cette phrase une seconde phrase officielle.
Elle provient de la Direction générale de la sécurité intérieure, ou DGSI.
La DGSI explique que ses publications dites « Flash ingérence » présentent des actions d’ingérence économique dont des sociétés françaises sont régulièrement victimes.
En 2026 encore, elle publie des documents consacrés notamment aux transferts non maîtrisés vers l’étranger de savoirs et savoir-faire, aux audits étrangers susceptibles de servir de vecteurs d’ingérence, aux risques associés à certaines solutions étrangères ou aux manœuvres de captation lors de séjours à l’étranger.
Mettons maintenant les deux informations côte à côte.
AIFE : la réforme doit améliorer la connaissance en temps réel de l’économie des entreprises.
DGSI : les entreprises françaises sont régulièrement victimes d’actions d’ingérence économique.
Voilà le problème.
Voilà pourquoi il ne s’agit plus seulement d’une réforme comptable.
Voilà pourquoi cette infrastructure doit être considérée comme un sujet de sécurité économique nationale.
IMAGINONS UNE SECONDE CE QUE PERSONNE N’ACCEPTERAIT OUVERTEMENT
Imaginons qu’une loi dise demain aux entreprises françaises :
Vous devrez désormais remettre régulièrement à un intermédiaire les informations permettant de connaître une partie de vos clients, fournisseurs, transactions, montants et paiements afin qu’elles soient structurées et traitées informatiquement.
Naturellement, les chefs d’entreprise demanderaient :
- Qui aura accès à ces données ?
- Comment seront-elles protégées ?
- Qui surveillera les accès ?
- Que se passera-t-il si un compte est usurpé ?
- Quelles informations pourront être extraites ?
- Qui répondra financièrement si elles finissent chez un concurrent ?
- Que se passera-t-il si un service de renseignement étranger les obtient ?
Ces questions paraîtraient parfaitement légitimes.
Eh bien, elles le sont exactement autant lorsque le dispositif s’appelle facturation électronique.
NON, L’ÉTAT N’ENVOIE PAS NOS FICHIERS CLIENTS À L’ÉTRANGER
Il faut également couper court à une caricature.
Non, l’État français n’envoie pas volontairement les fichiers clients des entreprises françaises aux puissances étrangères.
Aucun élément ne permet de l’affirmer.
Non, la réforme n’équivaut pas juridiquement ou techniquement à mettre tous nos concurrents étrangers en copie de nos factures.
Ce serait faux.
Mais posons maintenant la véritable question.
QUEL SERAIT LE RÉSULTAT D’UNE COMPROMISSION MAJEURE ?
Si un attaquant suffisamment puissant réussissait un jour à compromettre profondément une plateforme, plusieurs plateformes, des comptes disposant de droits importants ou certains éléments critiques de l’écosystème, il pourrait chercher à obtenir des informations qu’aucune entreprise ne remettrait volontairement à ses concurrents.
Dans le pire scénario, le résultat économique pourrait donc se rapprocher de quelque chose qu’aucun gouvernement n’oserait évidemment imposer directement :
rendre accessibles à un tiers hostile des informations permettant de reconstruire tout ou partie d’une cartographie commerciale.
- Clients.
- Fournisseurs.
- Relations commerciales.
- Montants.
- Évolutions.
- Dépendances.
- Flux.
Voilà l’analogie pertinente.
Ce n’est pas :
« l’État donne les données aux étrangers ».
C’est :
« L’ÉTAT NOUS OBLIGE À UTILISER UNE INFRASTRUCTURE DONT LA COMPROMISSION POURRAIT PRODUIRE UN RÉSULTAT ÉCONOMIQUE QUE PERSONNE N’ACCEPTERAIT SI ON LE PRÉSENTAIT OUVERTEMENT. »
La différence est immense.
Et elle rend l’argument beaucoup plus difficile à réfuter.
LE DANGER N’EST PAS IMAGINAIRE : LES VIOLATIONS DE DONNÉES EXPLOSENT
Cybermalveillance.gouv.fr constate pour l’année 2025 une augmentation de 107 % des demandes d’assistance concernant les violations de données, tous publics confondus. [Cybermalveillance.gouv.fr]
L’organisme public indique également que le piratage de compte est devenu la première menace observée dans ses parcours d’assistance pour les entreprises et associations, avec une progression de 52 %. [Cybermalveillance.gouv.fr]
La fraude au virement y progresse également fortement.
Ce détail est extraordinairement important.
Car les événements récents de la DGFiP montrent précisément qu’une infrastructure peut être attaquée non seulement en « cassant » techniquement un serveur, mais en détournant une identité ou des identifiants autorisés.
La sécurité informatique moderne ne consiste donc plus seulement à construire une forteresse.
Elle consiste à empêcher qu’un attaquant puisse entrer par la porte avec un badge volé.
LES PRÉCÉDENTS SONT DÉSORMAIS TROP NOMBREUX POUR ÊTRE BALAYÉS D’UN REVERS DE MAIN
France Travail a été victime en 2024 d’une cyberattaque susceptible d’avoir permis l’extraction de données concernant 43 millions d’usagers. [CNIL]
Les opérateurs de tiers payant Viamedis et Almerys ont subi une violation concernant plus de 33 millions de personnes. [CNIL]
Chez Free et Free Mobile, la CNIL a indiqué qu’un attaquant avait accédé en 2024 à des données concernant 24 millions de contrats d’abonnés, avec des coordonnées bancaires dans certains cas. En janvier 2026, la CNIL a infligé au total 42 millions d’euros d’amendes aux deux sociétés, relevant notamment des insuffisances de sécurité. [CNIL]
En février 2026, FICOBA a fait l’objet d’accès illégitimes concernant environ 1,2 million de comptes. [DGFiP, FICOBA]
Selon une communication de la DGCCRF datée du 12 août 2026 et conservée dans le dossier auteur, un accès frauduleux à un compte professionnel aurait permis à un cybercriminel de récupérer des fichiers comprenant trois millions de numéros de téléphone, dont environ 600 000 inscrits sur Bloctel. La communication précise que la base Bloctel elle-même n’aurait pas été compromise et qu’aucun nom ni aucune adresse n’aurait été exposé. La version publique officielle stable de cette communication n’a pas été retrouvée dans les index consultables lors de la mise en ligne.
Et le lendemain, le ministère annonçait officiellement la compromission du système d’information de la DGFiP évoquée au début de cet article.
À partir de combien d’avertissements considère-t-on qu’un risque mérite autre chose qu’une formule rassurante ?
OUI, DES GARANTIES EXISTENT ET IL FAUT LE DIRE
Une critique sérieuse doit reconnaître les protections déjà prévues.
Les plateformes agréées ne sont pas autorisées à fonctionner sans aucune contrainte.
La réglementation prévoit notamment des exigences relatives à la sécurité des données, une certification ISO/IEC 27001 couvrant leur système d’information, des conditions particulières lorsqu’un prestataire d’hébergement en nuage est utilisé, avec la qualification SecNumCloud dans les cas prévus, ainsi qu’un engagement d’exploitation du système depuis le territoire d’un État membre de l’Union européenne.
Les textes prévoient également que les données hébergées du service ne puissent pas être transférées en dehors de l’Union européenne dans les conditions définies par la réglementation.
Des exigences portent également sur l’identification électronique et l’authentification à deux facteurs.
Enfin, l’administration indique que l’immatriculation définitive n’est accordée qu’après réussite des tests d’interopérabilité en conditions réelles.
Très bien.
Ces dispositions sont importantes.
Elles sont nécessaires.
MAIS ELLES NE RÉPONDENT PAS À TOUT.
- Une certification n’est pas une garantie d’inviolabilité.
- Un hébergement souverain ou qualifié n’empêche pas l’usurpation d’un compte.
- Une authentification renforcée ne supprime pas toutes les attaques d’ingénierie sociale.
- Une architecture conforme peut présenter des erreurs de configuration.
- Un prestataire certifié peut subir un incident.
- Un utilisateur autorisé peut être compromis.
Et surtout :
LES DEUX INCIDENTS DGFiP DE 2026 NOUS RAPPELLENT QUE L’IDENTITÉ NUMÉRIQUE EST ELLE-MÊME UNE CIBLE.
LE MOT « AGRÉÉ » NE DOIT JAMAIS DEVENIR UN SOMNIFÈRE
Une plateforme agréée est une plateforme qui répond à un ensemble d’exigences réglementaires.
Très bien.
Mais :
- « agréé » ne signifie pas impossible à pirater
- ISO 27001 ne signifie pas impossible à pirater
- SecNumCloud ne signifie pas impossible à pirater
- l’authentification à deux facteurs ne signifie pas impossible à pirater
Aucun professionnel sérieux de la cybersécurité ne promettrait une telle chose.
La question n’est donc jamais de savoir si le risque est exactement égal à zéro.
Il ne le sera pas.
La véritable question est :
LE RISQUE RÉSIDUEL EST-IL ACCEPTABLE AU REGARD DE LA QUANTITÉ, DE LA VALEUR ET DU CARACTÈRE OBLIGATOIRE DES INFORMATIONS CONCERNÉES ?
Le risque résiduel désigne le risque qui subsiste après la mise en place des mesures de protection.
Et c’est précisément ce risque-là que les entreprises ont le droit d’exiger de voir évalué avec la plus grande transparence compatible avec la sécurité nationale.
CETTE FOIS, LES ENTREPRISES N’ONT PLUS LE CHOIX
Voilà ce qui transforme entièrement la responsabilité politique.
Une entreprise qui décide volontairement d’utiliser un service informatique accepte un risque qu’elle peut comparer à d’autres solutions.
- Elle peut changer de fournisseur.
- Elle peut décider de ne pas externaliser certaines informations.
- Elle peut conserver un circuit séparé pour certaines données extrêmement sensibles.
Mais ici, le principe même de l’échange électronique devient obligatoire.
L’administration rappelle que l’émission, la transmission et la réception des factures entrant dans le champ de la réforme doivent passer par une plateforme agréée selon le calendrier légal.
Autrement dit :
LE RISQUE N’EST PLUS SEULEMENT CHOISI PAR L’ENTREPRISE.
Une partie de ce risque découle désormais d’une architecture rendue obligatoire par la loi.
C’est là que la responsabilité publique change de nature.
L’État ne peut pas à la fois dire :
« Vous êtes obligés d’entrer dans ce système. »
et considérer ensuite que la seule réponse acceptable serait :
« Aucun système informatique n’est inviolable. »
Bien sûr qu’aucun système n’est inviolable.
C’est précisément pour cette raison que l’obligation impose un niveau d’exigence supplémentaire.
POSONS LA QUESTION QUE PERSONNE NE SEMBLE VOULOIR POSER : QUI PAIERA ?
Imaginons qu’un jour des données commerciales soient effectivement exfiltrées.
- Imaginons qu’une entreprise découvre que ses prix négociés ont été révélés.
- Que ses fournisseurs sont identifiés.
- Que sa dépendance envers l’un d’entre eux peut être mesurée.
- Que certains contrats deviennent déductibles.
- Qu’un concurrent adapte ses offres grâce aux informations obtenues.
- Que des criminels exploitent des données de facturation pour fabriquer des fraudes extrêmement crédibles.
Qui supportera le préjudice ?
- L’entreprise ?
- La plateforme ?
- Le sous-traitant ?
- L’assureur ?
- L’État ?
Et comment une PME pourra-t-elle seulement prouver qu’un marché perdu trois mois plus tard est la conséquence de données précédemment exfiltrées ?
La question de la responsabilité et de l’indemnisation ne doit pas être examinée après la catastrophe.
Elle doit l’être avant.
LE SCÉNARIO DU FAUX FOURNISSEUR DEVIENT LUI AUSSI BEAUCOUP PLUS INQUIÉTANT
Il existe une autre dimension qui mérite d’être examinée.
Plus un attaquant connaît précisément les relations commerciales réelles d’une entreprise, plus il peut fabriquer une fraude crédible.
- Connaître le vrai fournisseur.
- Le bon interlocuteur.
- Le type de prestation.
- Le rythme habituel de facturation.
- Un montant vraisemblable.
- Le moment auquel une facture doit arriver.
Ces informations peuvent transformer un hameçonnage grossier en message presque indiscernable d’une communication authentique.
Or Cybermalveillance.gouv.fr constate justement une forte progression des fraudes au virement et du piratage de comptes dans les entreprises.
La question de la confidentialité économique rejoint donc directement celle de la criminalité financière.
ET L’INTELLIGENCE ARTIFICIELLE CHANGE ENCORE L’ÉCHELLE DU RISQUE
Autrefois, voler des millions de documents pouvait également poser un problème à l’attaquant :
- il fallait les lire
- les trier
- les classer
- les rapprocher
- trouver ce qui avait de la valeur
Ce goulot d’étranglement disparaît progressivement.
Des données structurées et lisibles par machine peuvent être agrégées, recherchées et rapprochées automatiquement.
L’intelligence artificielle et les outils modernes d’analyse rendent possible l’étude de volumes d’informations qu’une équipe humaine n’aurait jamais pu examiner individuellement.
Cela ne crée pas la fuite.
Mais cela peut multiplier la valeur d’une fuite.
Le problème du XXIe siècle n’est donc plus seulement :
« Quelqu’un a-t-il volé le document ? »
Il devient :
« QUE PEUT-IL DÉDUIRE DE DIX MILLIONS DE DOCUMENTS ? »
CE QUE L’ÉTAT DEVRAIT DÉMONTRER AVANT D’EXIGER LA CONFIANCE
Avant qu’une obligation de cette ampleur ne devienne pleinement opérationnelle, les pouvoirs publics devraient être capables de démontrer, autant que la sécurité des systèmes permet de le rendre public, que l’architecture a été pensée non seulement contre la panne ordinaire, mais contre des attaquants déterminés.
Les entreprises devraient notamment pouvoir obtenir des réponses précises sur :
- l’authentification des comptes sensibles
- la gestion des droits d’accès
- le principe du moindre privilège, c’est-à-dire ne donner à chaque utilisateur que les droits strictement nécessaires
- la segmentation des systèmes
- le chiffrement
- la détection des extractions anormales
- la journalisation des accès
- les mécanismes de révocation immédiate d’un compte compromis
- la surveillance des sous-traitants
- les audits de sécurité
- les simulations d’attaque
- les scénarios de compromission simultanée
- les plans de continuité
Il faudrait également savoir comment est évalué ce que les spécialistes appellent le périmètre d’impact : autrement dit, combien de données un attaquant pourrait théoriquement atteindre si un élément donné était compromis.
Cette question est fondamentale.
Parce qu’une architecture réellement résiliente ne se contente pas d’essayer d’empêcher toute intrusion.
Elle part également du principe qu’une intrusion peut arriver et cherche alors à empêcher qu’elle devienne une catastrophe.
NOUS DEVONS EXIGER DES TESTS QUI PARTENT DU PRINCIPE QUE L’ATTAQUANT EST DÉJÀ ENTRÉ
Tester une serrure est nécessaire.
Mais cela ne suffit pas.
Il faut aussi demander :
que se passe-t-il si quelqu’un possède déjà la clé ?
C’est exactement la leçon des incidents d’usurpation d’identité.
Les tests devraient donc intégrer des scénarios dans lesquels un attaquant dispose déjà d’un compte valide.
- Peut-il télécharger cent factures ?
- Dix mille ?
- Un million ?
- Une alerte apparaît-elle ?
- Au bout de combien de secondes ?
- La connexion est-elle automatiquement interrompue ?
- Une validation humaine supplémentaire est-elle exigée ?
- Peut-on identifier exactement les données consultées ?
- Peut-on déterminer quelles données ont quitté le système ?
- Peut-on révoquer immédiatement toutes les sessions liées à l’identité compromise ?
C’est sur ce genre de questions que se mesure la différence entre une conformité administrative et une résilience opérationnelle.
IL FAUT POSER LA QUESTION D’UN MORATOIRE DE SÉCURITÉ
Il ne s’agit pas nécessairement d’abandonner définitivement toute facturation électronique.
- La numérisation peut simplifier certaines tâches.
- Elle peut automatiser la comptabilité.
- Elle peut réduire les ressaisies.
- Elle peut faciliter certaines déclarations.
- Elle peut contribuer à lutter contre la fraude à la taxe sur la valeur ajoutée.
Mais aucune de ces finalités ne justifie une marche forcée si des doutes substantiels subsistent sur la sécurité économique.
- Après FICOBA.
- Après France Travail.
- Après Viamedis et Almerys.
- Après Free.
- Après Bloctel.
- Et surtout après la reconnaissance, le 13 août 2026, d’un nouvel accès illégitime au système d’information de la DGFiP ayant permis l’extraction de données concernant également des professionnels.
Il n’est ni extravagant ni technophobe de demander :
FAUT-IL CONDITIONNER LA GÉNÉRALISATION OBLIGATOIRE À UNE DÉMONSTRATION PUBLIQUE SUPPLÉMENTAIRE DE RÉSILIENCE ?
La charge de la preuve ne devrait pas reposer sur les entreprises.
C’EST CELUI QUI IMPOSE LE SYSTÈME QUI DOIT DÉMONTRER QUE LE RISQUE IMPOSÉ EST PROPORTIONNÉ ET MAÎTRISÉ.
CE N’EST PAS UNE GUERRE CONTRE LE NUMÉRIQUE
Cet argument sera probablement utilisé.
- Les opposants seraient « contre la modernité ».
- Contre la dématérialisation.
- Contre la simplification.
- Contre la lutte contre la fraude.
C’est une caricature.
On peut être favorable à la numérisation tout en refusant l’imprudence.
On peut soutenir la lutte contre la fraude tout en exigeant la souveraineté numérique.
On peut vouloir simplifier la comptabilité sans considérer qu’une entreprise doit accepter n’importe quel risque pour y parvenir.
On peut reconnaître les protections déjà prévues et demander si elles sont suffisantes.
LA CYBERSÉCURITÉ N’EST PAS LE CONTRAIRE DE LA MODERNITÉ.
ELLE EST UNE CONDITION DE LA MODERNITÉ.
LA QUESTION FINALE EST TERRIBLEMENT SIMPLE
Imaginons que demain un gouvernement propose le texte suivant :
« Toutes les entreprises françaises devront obligatoirement faire transiter leurs informations commerciales par une infrastructure numérique interconnectée permettant de structurer une partie importante de leurs échanges. »
La première réaction de n’importe quel dirigeant serait :
« Vous êtes certains de pouvoir protéger cela ? »
C’est exactement la question que nous devons poser aujourd’hui.
Et l’actualité vient de rendre cette question impossible à éluder.
La DGSI nous dit que les entreprises françaises sont régulièrement victimes d’ingérence économique.
L’AIFE nous dit que la facturation électronique permettra notamment d’améliorer la connaissance en temps réel de l’économie des entreprises.
Cybermalveillance.gouv.fr constate une accélération massive des violations de données et des piratages de comptes.
Et la DGFiP reconnaît, à quelques semaines de l’échéance du 1er septembre 2026, qu’une usurpation d’identité a permis un accès illégitime à son système d’information et l’extraction de données concernant particuliers et professionnels.
METTEZ CES QUATRE INFORMATIONS SUR LA MÊME PAGE.
Et maintenant posez la question :
À QUEL MOMENT LE PRINCIPE DE PRÉCAUTION ÉCONOMIQUE ENTRE-T-IL EN SCÈNE ?
LE JOUR OÙ CELA ARRIVERA, PERSONNE NE POURRA DIRE : « NOUS NE POUVIONS PAS SAVOIR »
- Nous savons que les bases de données sont attaquées.
- Nous savons que les comptes sont compromis.
- Nous savons que l’usurpation d’identité fonctionne encore.
- Nous savons que des données peuvent être exfiltrées.
- Nous savons que les entreprises françaises intéressent des acteurs étrangers.
- Nous savons qu’une facture contient des informations commerciales.
- Nous savons que la structuration informatique augmente considérablement la capacité d’analyse de grands volumes de données.
- Nous savons enfin que l’administration elle-même considère que cette réforme améliorera la connaissance en temps réel de notre économie.
Par conséquent, si un jour survient une compromission majeure de cet écosystème, il sera impossible d’expliquer sérieusement :
« PERSONNE NE POUVAIT L’IMAGINER. »
Si.
- Nous pouvions l’imaginer.
- Nous pouvions l’auditer.
- Nous pouvions le tester.
- Nous pouvions compartimenter.
- Nous pouvions renforcer les authentifications.
- Nous pouvions limiter les droits.
- Nous pouvions surveiller les extractions.
- Nous pouvions tester le système avec des attaquants simulés.
- Nous pouvions prévoir les mécanismes d’arrêt d’urgence.
- Nous pouvions organiser la responsabilité.
- Nous pouvions préparer l’indemnisation.
- Nous pouvions exiger des garanties supplémentaires.
- Nous pouvions même reporter une obligation si les garanties n’étaient pas jugées suffisantes.
NOUS SAVIONS QUE LA MENACE EXISTAIT.
LA FORMULATION QUI DEVRAIT DÉSORMAIS HANTER LE DÉBAT
L’État ne livre pas volontairement aujourd’hui les fichiers clients des entreprises françaises à leurs concurrents.
Dire cela serait faux.
Mais l’État impose la création d’un nouvel environnement numérique dans lequel circuleront obligatoirement des informations commerciales extrêmement nombreuses.
- Nous savons que ces informations ont de la valeur.
- Nous savons que des attaquants cherchent de la valeur.
- Nous savons que des entreprises françaises font l’objet d’ingérence économique.
- Nous savons que des comptes pourtant autorisés peuvent être compromis.
- Nous savons que la DGFiP vient elle-même d’en faire de nouveau l’expérience.
Alors voici la question que chaque entrepreneur devrait poser :
SI CE SYSTÈME EST UN JOUR PROFONDÉMENT COMPROMIS, AURONS-NOUS CRÉÉ NOUS-MÊMES L’ÉQUIVALENT NUMÉRIQUE DE CE QUE NOUS N’AURIONS JAMAIS ACCEPTÉ SUR PAPIER : METTRE À LA PORTÉE D’UN TIERS HOSTILE UNE PARTIE DE LA RADIOGRAPHIE COMMERCIALE DE NOS ENTREPRISES ?
Ce n’est pas une prophétie.
C’est un risque.
Et précisément parce qu’il s’agit d’un risque, il faut le traiter avant qu’il devienne un fait.
L’ÉTAT NOUS OBLIGE À ENTRER DANS LE SYSTÈME
Il possède donc une responsabilité particulière.
- Pas celle de promettre l’impossible.
- Pas celle de garantir qu’aucune attaque ne se produira jamais.
Personne ne peut garantir cela.
Sa responsabilité est plus concrète :
- DÉMONTRER QUE L’ARCHITECTURE EST PROPORTIONNÉE À LA VALEUR DES INFORMATIONS QU’ELLE TRAITERA.
- DÉMONTRER QU’ELLE PEUT RÉSISTER À LA COMPROMISSION D’UN COMPTE LÉGITIME.
- DÉMONTRER QU’UNE INTRUSION LOCALE NE PEUT PAS DEVENIR UNE CATASTROPHE SYSTÉMIQUE.
- DÉMONTRER QU’UNE EXTRACTION MASSIVE SERA DÉTECTÉE ET INTERROMPUE.
- DÉMONTRER QUE LES ENTREPRISES SERONT INFORMÉES IMMÉDIATEMENT.
- DÉMONTRER QU’UN RESPONSABLE SERA IDENTIFIÉ ET QU’UN PRÉJUDICE POURRA ÊTRE RÉPARÉ.
Et tant que cette démonstration n’est pas suffisamment convaincante, la question d’un report, d’un renforcement supplémentaire ou d’un moratoire de sécurité doit rester légitime.
Car cette fois :
- ce ne sont plus seulement des numéros de téléphone
- ce ne sont plus seulement des noms
- ce ne sont plus seulement des coordonnées bancaires
C’EST POTENTIELLEMENT UNE PARTIE DE LA CONFIDENTIALITÉ COMMERCIALE DU PAYS QUI EST EN JEU.
La facturation électronique peut être un outil de modernisation.
Mais une infrastructure obligatoire traitant les échanges économiques d’un pays doit également être pensée comme une infrastructure de souveraineté économique.
Et l’État ne peut pas simplement demander :
« Faites-nous confiance. »
Après tout ce qui vient de se produire, la seule réponse acceptable est désormais :