Facturation électronique 2026 : piratages et propositions de loi, ce qu'il faut savoir

Le 1er septembre 2026, la facturation électronique devient obligatoire pour des millions d'entreprises françaises. Le même jour, une plateforme de l'écosystème censé sécuriser cette bascule est piratée. Seize jours plus tard, un deuxième logiciel de facturation subit le même sort. Entre les deux, la DGFiP elle-même avait déjà été visée, à trois reprises, au cours de l'été. Le sujet reste, à ce jour, peu traité par les grands médias généralistes, la couverture provenant surtout de titres spécialisés en cybersécurité et en droit des affaires.

Trois incidents, trois natures très différentes

La Direction générale des Finances publiques a subi plusieurs intrusions informatiques cet été, confirmées par Public Sénat. Le 1er septembre, jour même de l'entrée en vigueur de la réforme, un incident touche Welyb, plateforme rattachée au groupe Isagri et utilisée par des cabinets d'expertise comptable pour centraliser des factures électroniques provenant, elle, de véritables plateformes agréées par l'État. Noms, adresses, numéros SIRET et mots de passe hachés se retrouvent exposés, sans qu'aucun accès frauduleux aux comptes eux-mêmes n'ait été constaté à ce stade. Le 17 septembre, un troisième nom apparaît, ZenFirst, logiciel de gestion commerciale édité par la société bordelaise Duosquadra, revendiqué piraté par un individu se faisant appeler Alduin, environ 4 390 comptes concernés.

Un détail change pourtant la lecture de ce troisième cas : ZenFirst ne figure sur aucune liste officielle des plateformes agréées, ni parmi celles en attente d'immatriculation. C'est un logiciel privé qui propose, entre autres fonctions, de la facturation, pas un maillon de l'infrastructure d'État, contrairement à Welyb.

Pourquoi ces incidents remontent à une même décision de 2024

En octobre 2024, l'État a renoncé à construire son propre portail public de facturation, initialement prévu pour offrir un service gratuit à toutes les entreprises. Il ne reste depuis que des plateformes privées agréées, payantes, par lesquelles chaque entreprise doit désormais transiter. C'est cette architecture, entièrement confiée au privé, que plusieurs élus jugent aujourd'hui trop fragile.

Plusieurs propositions de loi, un même jour

Le 15 septembre, plusieurs propositions de loi sont déposées le même jour à l'Assemblée nationale sur ce sujet. Le député Gérault Verny, vice-président du groupe UDR et également chef d'entreprise directement concerné, dépose le texte numéro 3153, qui vise à rétablir une plateforme publique gratuite et sécurisée, sans remettre en cause le principe de la réforme elle-même. Selon des propos recueillis auprès de l'équipe du député lors d'un échange avec la rédaction, la consultation citoyenne qu'il a lancée en parallèle aurait déjà recueilli plus de 700 contributions. D'autres députés déposent, de leur côté, des textes portant des ambitions différentes, certains allant jusqu'à réclamer un moratoire pur et simple sur l'ensemble du dispositif.

Ce que ces textes peuvent, et ne peuvent pas, changer dans l'immédiat

Une proposition de loi déposée n'est pas une loi. Chacun de ces textes doit encore suivre l'intégralité du parcours législatif avant de produire le moindre effet juridique. En attendant, l'obligation de réception reste en vigueur depuis le 1er septembre pour l'ensemble des entreprises assujetties à la TVA, sans qu'aucune sanction ne soit toutefois appliquée sur cette première année, selon les engagements pris par le cabinet du ministre de l'Action et des Comptes publics, David Amiel.

Données issues de Facturation électronique : après le piratage du Fisc, le gouvernement veut rassurer les entreprises sur les standards de sécurité, Public Sénat, de Cyberattaque de la plateforme Welyb révélée le 15 septembre 2026, Maître Reda Kohen, de Zenfirst : fuite de données revendiquée visant 4 390 utilisateurs, Fuites Infos, et de propos recueillis directement auprès de l'équipe du député Gérault Verny.