Pourquoi choisir une plateforme agréée française pour votre facturation électronique ?

Au 1er septembre 2026, toutes les entreprises françaises assujetties à la TVA devront pouvoir recevoir des factures électroniques ⁽⁴⁾. Les grandes entreprises et les ETI devront aussi les émettre. Les PME, TPE et microentreprises suivront au 1er septembre 2027. Chacune devra passer par une plateforme agréée. Les comparatifs s'attardent souvent sur les fonctionnalités, l'intégration à l'ERP ou le prix. Une question reste pourtant décisive : où et par qui vos données de facturation seront-elles hébergées et opérées ? C'est tout l'enjeu de la souveraineté numérique appliquée à la facturation.

Plateforme agréée ne veut pas dire plateforme souveraine

Une plateforme agréée est un opérateur privé immatriculé par l'administration fiscale, seul habilité à émettre, transmettre et recevoir les factures électroniques dans le cadre de la réforme de septembre 2026, et à transmettre les données d'e-invoicing et d'e-reporting à la DGFiP. La liste officielle des plateformes immatriculées est publiée par l'administration fiscale ⁽³⁾. Les acteurs agréés sont identifiables par la marque de garantie « Plateforme agréée » déposée par la DGFiP.

Derrière ce label commun, la liste complète des plateformes agréées révèle des profils très divers : éditeurs de logiciels de facturation français, filiales de groupes internationaux, fintechs, opérateurs de dématérialisation historiques. L'agrément ne dit rien de la nationalité de l'opérateur, de celle de sa maison mère, ni du pays exact où vos données seront hébergées. Deux plateformes agréées peuvent donc offrir des niveaux de souveraineté, et donc de sécurité, très différents.

Ce que l'agrément DGFiP garantit et ce qu'il n'impose pas

Ce socle est réel et exigeant. Il impose une exploitation du système d’information depuis l’Union européenne et l’absence de consultation ou de transfert des données hors UE, y compris par les sous-traitants de la plateforme. En cas d’hébergement externalisé, le prestataire doit également être qualifié SecNumCloud.

L’agrément ne requiert toutefois ni un hébergement exclusivement situé en France, ni une entreprise française, ni une maîtrise nationale de l’ensemble de la chaîne technologique. Il garantit donc la conformité de la plateforme aux exigences de la réforme et un niveau élevé de protection des données, sans suffire, à lui seul, à caractériser une souveraineté numérique française au sens large.

Deux failles subsistent néanmoins. D'une part, cette obligation SecNumCloud ne s'applique qu'en cas de sous-traitance : une plateforme qui exploite en propre son infrastructure, y compris sur des moyens mutualisés, n'y est pas soumise. D'autre part, un hébergeur qualifié SecNumCloud n'est pas nécessairement français : il peut être établi ailleurs dans l'UE, ce qui garantit son immunité juridique vis-à-vis des lois extraterritoriales, mais pas la localisation nationale de vos données.

Données de facturation : des données stratégiques exposées aux lois extraterritoriales

Une facture isolée semble anodine. Des flux de facturation agrégés, beaucoup moins :

• identité de vos clients et fournisseurs,
• volumes d'achat et de vente,
• prix négociés, remises, conditions de paiement,
• santé financière de vos partenaires…

Avec la réforme, l'intégralité de ces flux transite par votre plateforme agréée, qui peut aussi en assurer l'archivage légal pendant plusieurs années (10 ans au titre du Code de commerce, 6 ans au titre du droit fiscal). La plateforme devient de fait le coffre-fort de votre activité commerciale.

C'est là qu'interviennent les législations extraterritoriales. Le Cloud Act américain de 2018 permet aux autorités des États-Unis d'exiger de tout fournisseur soumis au droit américain la communication des données qu'il détient, quel que soit le lieu où elles sont hébergées, y compris dans un datacenter européen. Un hébergement en Europe chez un fournisseur de droit américain, comme AWS, ne neutralise donc pas ce risque. La Cour de justice de l'UE a d'ailleurs acté cette tension en invalidant le Privacy Shield, en raison des possibilités d'accès des autorités américaines aux données des Européens.

Il ne s'agit pas d'alimenter un fantasme : le risque est d'abord un enjeu de confidentialité et d'intelligence économique. C'est précisément ce que recouvre la notion de cloud souverain : des données hébergées et opérées par des acteurs relevant exclusivement du droit français et européen.

[cta-1]

Les garanties d'une plateforme agréée française souveraine

Une plateforme agréée française souveraine va au-delà du socle réglementaire commun. Les garanties à rechercher :

• Un hébergement des données en France, et pas seulement « dans l'UE ». L'opérateur comme son hébergeur doivent relever du droit français ou européen, sans exposition à une législation extraterritoriale comme le Cloud Act, y compris via leur maison mère.
• Une certification ISO 27001 dont le périmètre exact couvre bien le service de facturation.
• Une conformité RGPD intégrale : traitements localisés dans l'UE, absence de transfert hors UE, sous-traitants documentés.
• Un archivage à valeur probante en France : vos factures restent accessibles et opposables, sous juridiction française. Peu de plateformes agréées proposent cette option en natif. C'est le cas de TRESO2, qui permet de centraliser factures et archives au même endroit.
• La qualification SecNumCloud de l'hébergeur : ce visa de sécurité délivré par l'ANSSI est le plus haut niveau de garantie français ⁽⁵⁾. Il intègre des critères de protection contre les lois extraterritoriales. La DGFiP l'exige d'ailleurs de toute plateforme candidate qui recourt à un prestataire d'hébergement ⁽²⁾.

A noter : nuance pour les organisations les plus exigeantes en matière de sécurité : certaines qualifications SecNumCloud récentes ont été délivrées à des coentreprises franco-américaines opérant des technologies d'hyperscalers (Microsoft, Google) sous structure juridique française. Ces montages font encore débat parmi les experts quant à leur immunité réelle face à une pression juridique américaine directe. Un point à examiner au cas par cas plutôt qu'à valider aveuglément sur la seule base du label.

Les acteurs les plus transparents publient une page dédiée à la sécurité des données. On y trouve le lieu d'hébergement, les certifications en vigueur et les mesures de protection appliquées. C'est un bon indicateur de maturité.

Comment vérifier concrètement qu'une plateforme agréée est souveraine ?

Ces garanties se vérifient objectivement, en quatre points :‍

1. Vérifier l'immatriculation sur la liste officielle publiée par la DGFiP et la présence de la marque « Plateforme agréée » ⁽³⁾. C'est le moyen le plus sûr d'écarter les acteurs qui se présentent abusivement comme agréés.
2. Demander le lieu d'hébergement exact des données : pays, hébergeur, sous-traitants éventuels.
3. Demander le certificat ISO 27001 et son périmètre.
4. Examiner la documentation RGPD : localisation des traitements, clauses de transfert, registre de sous-traitance.

Ces quatre vérifications complètent les critères fonctionnels et budgétaires qui permettent de bien choisir sa plateforme de dématérialisation partenaire.

Secteurs sensibles : quand la souveraineté devient un critère décisif

Pour certaines organisations, la question ne se pose même plus. Secteur public, défense, opérateurs d'importance vitale, santé : dans ces environnements, les factures révèlent qui fournit quoi, à qui et en quelles quantités. La confidentialité de ces informations fait souvent l'objet d'exigences contractuelles ou réglementaires explicites. L'hébergement en France et les référentiels de l'ANSSI en font partie.

Mais la réflexion dépasse ces secteurs. Une PME industrielle exportatrice, un sous-traitant d'un grand donneur d'ordres ou une entreprise en croissance sur un marché concurrentiel feront bientôt transiter 100 % de leur facturation, donc de leur donnée commerciale, via leur plateforme agréée. Négliger la localisation de ces données figure d'ailleurs parmi les erreurs à éviter au moment de sélectionner sa plateforme de facture électronique. Le choix d'un logiciel de facturation français et souverain relève alors moins du réflexe patriotique que d'une décision de gestion des risques, au même titre que le choix d'une banque ou d'un assureur.

En conclusion

La réforme fait de la plateforme agréée une infrastructure critique de l'entreprise. L'agrément DGFiP est le prérequis, la souveraineté est un différenciateur. Choisir une plateforme agréée française, avec un hébergement des données en France, protège à la fois votre conformité et votre patrimoine informationnel.

FAQ

Une plateforme agréée par la DGFiP est-elle forcément française ?

Non. L'agrément valide la conformité fiscale et la sécurité (ISO 27001) et impose seulement que le système d'information soit opéré depuis l'UE, sans transfert de données hors UE ⁽¹⁾. La nationalité de l'opérateur et l'hébergement en France ne sont pas des critères d'agrément.

L'hébergement des données de facturation en France est-il obligatoire ?

Non. L'exigence réglementaire se limite à l'Union européenne. L'hébergement des données en France est une garantie supplémentaire proposée par quelques plateformes agréées comme TRESO2.

Qu'est-ce que le Cloud Act et en quoi concerne-t-il mes factures ?

C'est une loi américaine de 2018 permettant aux autorités des États-Unis d'exiger des fournisseurs soumis au droit américain l'accès aux données qu'ils hébergent, y compris en Europe. Des données de facturation hébergées chez un tel fournisseur y sont potentiellement exposées.

Comment vérifier qu'une plateforme agréée est réellement souveraine ?

Vérifiez l'immatriculation sur la liste officielle et la marque « Plateforme agréée » ⁽³⁾, puis demandez : lieu d'hébergement des données, certification ISO 27001, qualification SecNumCloud de l'hébergeur le cas échéant, mesures RGPD.

Qu'est-ce que la qualification SecNumCloud ?

C'est le visa de sécurité cloud délivré par l'ANSSI, plus haut niveau de garantie français, qui intègre depuis sa version 3.2 des critères de protection vis-à-vis des lois extraterritoriales.

Sources

1. Décret n° 2022-1299 du 7 octobre 2022, Légifrance
2. Liste des pièces à fournir pour demander à devenir une plateforme agréée, impots.gouv.fr
3. Je consulte la liste des plateformes agréées, impots.gouv.fr
4. Je passe à la facturation électronique (calendrier), impots.gouv.fr
5. Cloud et SecNumCloud, ANSSI (cyber.gouv.fr)