Ce que l'on sait du piratage
678 000 dossiers de particuliers et professionnels ont été consultés ou extraits lors d'une intrusion dans les systèmes de la DGFiP, entre fin juin et juillet 2026. L'administration l'a confirmé le 14 août, avant de reconnaître deux autres compromissions distinctes dans la foulée, sur le cadastre puis sur les successions vacantes. France Info
Dix jours plus tard, le 1er septembre 2026, toutes les entreprises françaises doivent être en mesure de recevoir leurs factures au format électronique. Deux actualités, une même administration, un timing qui interroge légitimement tout dirigeant qui doit se mettre en conformité dans les jours qui viennent.
Le premier volet, le mieux documenté, touche environ 678 000 comptes : identifiants fiscaux, état civil, quotient familial, revenu fiscal de référence, taux de prélèvement à la source. Deux intrusions revendiquées par un groupe se faisant appeler ZeroBytes exploitent l'usurpation d'identité d'un agent pour accéder au système d'information de la DGFiP. Usine Digitale
L'affaire prend une tournure politique. Une cellule interministérielle a été convoquée. Elle intervient alors que la France n'a toujours pas transposé NIS 2, la directive européenne censée muscler la cybersécurité des administrations. Le rapprochement entre ce retard et l'ampleur de la fuite reste discuté chez les experts, mais il alimente une question simple posée par tous les dirigeants concernés par la facture électronique cette semaine : mes données passeront-elles par un système qui vient de démontrer ses failles ?
Une réforme qui ne repose pas sur les serveurs de l'État
La réponse tient dans l'histoire de la réforme elle-même. Le projet initial prévoyait un Portail Public de Facturation, gratuit, géré directement par l'administration fiscale, par lequel toutes les entreprises auraient émis et reçu leurs factures. Ce scénario a été abandonné le 15 octobre 2024. Le gouvernement a fait un choix structurant : il ne serait pas l'opérateur des flux de facturation, seulement l'arbitre du système. Adexiam
Depuis, l'architecture repose sur les Plateformes Agréées, des prestataires privés immatriculés par l'administration fiscale, choisis par chaque entreprise pour émettre, recevoir et transmettre ses factures. Le Portail Public de Facturation, lui, ne conserve que deux fonctions : l'annuaire qui recense quelle entreprise est rattachée à quelle plateforme, et le concentrateur qui centralise les données fiscales transmises à la DGFiP au titre de l'e-reporting. impots.gouv.fr Il ne fait transiter aucune facture. Une entreprise n'y détient pas de compte.
Concrètement, vos factures ne se sont jamais approchées des serveurs concernés par le piratage. Le circuit technique qui les porte est celui de la plateforme agréée que vous avez choisie, pas celui de l'administration fiscale.
Ce qui reste, en revanche, un vrai sujet
Rassurer sur ce point ne doit pas faire oublier le vrai enseignement de l'affaire. La DGFiP détient une quantité considérable de données sensibles sur chaque entreprise et chaque dirigeant, indépendamment de la facture électronique : déclarations, revenus, informations cadastrales. Cette masse de données reste, elle, centralisée chez un acteur qui vient de démontrer une vulnérabilité réelle.
La bonne question à se poser cette semaine n'est donc pas de savoir si la facture électronique est sûre. C'est de savoir où, dans votre propre organisation, vos données clients, vos contrats, vos historiques d'intervention sont centralisés, et qui y a accès.
Un devis qui traîne dans une boîte mail partagée, un fichier client sur un poste sans mot de passe, un carnet de bons d'intervention qui circule entre plusieurs techniciens : ce sont des points de fragilité bien plus probables qu'une intrusion dans les serveurs de Bercy.
Un calendrier serré, mais une administration qui l'assume
Le décret du 27 juillet 2026 a précisé les contours définitifs du dispositif. LégiFiscal
Au 1er septembre, l'obligation de réception s'applique à toutes les entreprises assujetties à la TVA. L'obligation d'émission suit un calendrier différencié : les grandes entreprises et les ETI dès cette date, les PME et microentreprises au 1er septembre 2027.
Pour un installateur ou un artisan qui n'a pas encore choisi sa plateforme agréée, l'urgence porte d'abord sur la réception. Trois actions concrètes avant l'échéance :
Vérifier le raccordement à une plateforme agréée. Confirmer que le logiciel de gestion ou de facturation utilisé est raccordé à une plateforme agréée, ou en choisir une directement dans la liste officielle publiée par l'administration.
S'inscrire à l'annuaire central. Indiquer le niveau de rattachement souhaité : SIREN pour une réception centralisée, SIRET pour une répartition par établissement.
Conserver une trace datée de chaque étape de mise en conformité. Les échanges avec la plateforme, les tests de flux, les dates de raccordement constituent la preuve d'une trajectoire engagée si un contrôle survient après le 1er septembre.
Et en cas de retard le 1er septembre ?
Personne ne coupe l'accès à la facturation du jour au lendemain. La procédure prévue est progressive : une première mise en demeure de se conformer, avec trois mois pour régulariser.
Passé ce délai, une amende de 500 euros s'applique, suivie d'une nouvelle mise en demeure, puis de pénalités supplémentaires de 1 000 euros tous les trois mois tant que le manquement persiste. Données Personnelles
Le risque réel n'est donc pas d'être pris de court le 2 septembre. Il est de laisser traîner le sujet sans rien documenter pendant les mois de mise en demeure, jusqu'à ce que les pénalités s'accumulent pour de bon.
Ce que ça change vraiment pour votre quotidien
La facture électronique n'est pas une nouvelle usine à gaz administrative. C'est une réforme qui répare une faiblesse structurelle du secteur : les devis papier qui se perdent, les factures adressées par mail sans suivi, les délais de paiement qui s'étirent faute de traçabilité.
Un outil qui centralise déjà le client, le contrat, l'intervention et la facturation absorbe cette obligation sans réorganisation supplémentaire. C'est précisément l'un des principes sur lesquels Reva Services a été construit : une GMAO où chaque document, du premier devis à la facture émise, reste relié et traçable, sans ressaisie et sans dépendance à un système tiers pour la sécurité de vos propres données.
Le piratage de la DGFiP ne remet rien en cause dans le calendrier de la réforme. Il rappelle simplement où se trouve, réellement, la responsabilité de protéger les données d'une entreprise : pas chez l'administration qui gère l'annuaire, mais dans l'outil que chaque dirigeant choisit pour faire tourner son activité au quotidien.
Vous n'avez pas encore choisi votre plateforme agréée, ou vos comptes rendus et devis circulent encore sur plusieurs outils non reliés entre eux ? Un échange de 20 minutes avec l'équipe Reva Services permet de faire le point sur votre situation avant l'échéance du 1er septembre. Échanger avec l'équipe Reva