La certification ISO/IEC 27001 n’est pas un argument commercial pour une plateforme agréée : c’est une pièce exigée du dossier d’immatriculation déposé auprès de la DGFiP, au même titre que les garanties financières. Le décret n° 2022-1299 du 7 octobre 2022 en fait un prérequis, pas un bonus. Pourtant, le logo affiché sur une page d’accueil ne dit presque rien tant que le périmètre certifié n’a pas été vérifié.
Sur les 134 plateformes immatriculées définitivement fin mai 2026, toutes ont passé ce filtre. Mais entre une certification limitée à un module et une qualification SecNumCloud de l’hébergeur, l’écart concret de protection reste considérable. Pour situer ces exigences dans l’ensemble du dispositif, le dossier comprendre les plateformes agréées pose le cadre général de la réforme.
Vos factures contiennent vos prix, vos marges, vos clients. Savoir précisément ce que la réglementation impose, ce qu’elle laisse au contrat et ce qu’il faut exiger du fournisseur avant signature change la nature du risque.
La PA n°1 chez les sociétés et expert-comptables
Compta + facturation électronique + intégration banque dans un seul outil. Dashboard temps réel pour le dirigeant, conforme à la réforme 2026.
- Statut DGFiP confirmé
- 1ʳᵉ plateforme côté expert-comptable
- 14 jours d’essai sans CB
Certification ISO 27001 obligatoire : ce que le décret impose aux plateformes
Le cahier des charges des plateformes agréées repose sur un texte unique : le décret n° 2022-1299 et ses arrêtés d’application. La sécurité de l’information y occupe une place centrale, avec une exigence documentaire précise dès le dépôt de candidature.
Un prérequis d’immatriculation, pas un label marketing
Le dossier de candidature déposé auprès de la DGFiP inclut un certificat ISO/IEC 27001 en cours de validité. Sans cette pièce, l’instruction s’arrête. La norme atteste qu’un système de management de la sécurité de l’information structure l’organisation : analyse de risques, gestion des accès, journalisation, amélioration continue.
Ce filtre s’applique avant même les tests techniques. La définition d’une plateforme agréée repose donc autant sur cette assise sécuritaire que sur la capacité à transmettre des factures. L’immatriculation, délivrée pour 3 ans renouvelables, suppose en outre la fourniture d’un audit de conformité réalisé par un tiers. Autrement dit, le candidat prouve sa sécurité avant d’obtenir le droit d’opérer.
Le périmètre certifié, le détail que personne ne lit
Une certification ISO 27001 porte sur un périmètre déclaré, jamais sur une entreprise entière par défaut. Pour les plateformes, l’exigence vise la partie du système d’information couvrant la facturation électronique et l’e-reporting. Un éditeur peut donc être certifié sur ce module sans que ses autres produits le soient.
Ce périmètre figure noir sur blanc dans le « scope statement » du certificat. Le demander coûte un e-mail ; ne pas le faire revient à acheter une garantie sans en connaître les bornes. Par ailleurs, la date de validité mérite vérification : un certificat expiré depuis six mois n’a aucune valeur probante.
Elle est émise par un organisme certificateur accrédité (COFRAC en France), à l’issue d’un audit indépendant. La DGFiP se contente d’exiger le certificat comme pièce du dossier, puis de contrôler la plateforme pendant toute la durée de son immatriculation.
ISO 27001 ou SecNumCloud : deux garanties qui ne couvrent pas la même chose
Les deux sigles reviennent dans toutes les plaquettes, souvent confondus. Ils répondent pourtant à deux questions distinctes : qui gère la sécurité, et où tournent les serveurs. Le fonctionnement technique d’une plateforme agréée fait intervenir les deux étages.
ISO 27001, un système de management, pas un coffre-fort
La norme internationale ISO/IEC 27001 encadre la gouvernance de la sécurité autour de quatre piliers : confidentialité, intégrité, disponibilité et traçabilité des informations. Elle impose des processus documentés, des rôles définis et des revues régulières. En revanche, elle ne prescrit aucune technologie précise ni aucune localisation de serveurs.
Sa valeur tient à la durée : un cycle de certification court sur trois ans, ponctué d’audits de surveillance annuels. Une plateforme qui relâche ses contrôles perd son certificat au prochain audit, donc sa conformité au cahier des charges. C’est un mécanisme d’usure volontaire, pas une photo figée.
SecNumCloud, la qualification ANSSI qui vise l’hébergement
SecNumCloud n’est pas une norme mais une qualification délivrée par l’ANSSI, l’agence nationale de cybersécurité. Elle évalue l’infrastructure cloud elle-même : cloisonnement, supervision, protection contre les législations extraterritoriales. La DGFiP attend des plateformes qu’elles s’appuient sur des hébergeurs qualifiés SecNumCloud lorsqu’elles confient leurs serveurs à un prestataire tiers.
Le partage des rôles devient alors lisible. L’éditeur porte la certification ISO 27001 sur son service ; l’hébergeur porte la qualification sur ses datacenters. À conditions égales, une plateforme cumulant les deux offre le verrou réel le plus solide du marché.
| Critère | ISO/IEC 27001 | SecNumCloud |
|---|---|---|
| Nature | Norme internationale | Qualification ANSSI |
| Objet évalué | Management de la sécurité de l’information | Infrastructure cloud d’hébergement |
| Qui la porte | L’éditeur de la plateforme | L’hébergeur ou le prestataire cloud |
| Exigée au dossier DGFiP | Oui | Visée pour l’hébergement |
| Garantie de localisation France/UE | Non | Oui |
| Cycle de contrôle | 3 ans, audits annuels | Qualification réévaluée par l’ANSSI |
La lecture croisée du tableau livre une conclusion simple : la localisation des données ne découle pas de l’ISO 27001. Une plateforme certifiée peut héberger hors d’Europe si rien d’autre ne l’en empêche. C’est précisément là que la réglementation française pose sa propre ligne.
Hébergement des données de facturation : la ligne rouge européenne
Les flux de facturation concentrent des données sensibles : montants hors taxe, taux de TVA, identités des parties. Leur circulation est donc encadrée au-delà de la seule certification, avec une contrainte territoriale explicite.
Interdiction de transfert hors Union européenne
La fiche officielle de la DGFiP est sans ambiguïté : une plateforme agréée ne doit pas transférer les données en dehors du territoire de l’Union européenne. Cette règle s’ajoute au RGPD, qui encadre déjà les mentions obligatoires d’une facture électronique contenant des données personnelles, comme les coordonnées d’un entrepreneur individuel.
En pratique, l’écart se joue au contrat. Certains opérateurs hébergent en France, d’autres ailleurs dans l’UE, parfois via des filiales de groupes non européens. La localisation exacte des serveurs et la nationalité de l’opérateur cloud figurent rarement en première page : il faut les exiger par écrit.
Authentification forte et échéance eIDAS 2030
Le décret n° 2022-1299 impose aussi un niveau élevé d’identification des utilisateurs. Concrètement, les plateformes déploient une authentification forte : double facteur, vérification d’identité des entreprises clientes, contrôles de type KYB à l’entrée en relation. L’objectif est d’empêcher l’usurpation d’un compte émetteur, vecteur classique de fraude au virement.
Une échéance ferme se profile : au 1ᵉʳ janvier 2030, les plateformes devront s’appuyer sur une identité numérique de niveau substantiel au sens du règlement eIDAS. Les opérateurs qui anticipent ce chantier dès maintenant éviteront une migration sous contrainte ; ce critère mérite une question lors de l’avant-vente.
Les plateformes agréées doivent disposer d’un PCA et d’un PRA attestant leur capacité à maintenir le service. Ces documents ne sont publiés nulle part : demandez une attestation au fournisseur avant signature, au même titre que le certificat ISO 27001.
Pour un freelance qui veut une PA gratuite à l’entrée et une compta intégrée : Indy est encore le rapport conformité/prix le plus net.
Audits DGFiP, amendes et retrait d’immatriculation
L’agrément n’est pas un acquis. Une plateforme reste sous surveillance pendant toute sa période d’immatriculation, avec des sanctions financières précises et, depuis la loi de finances 2026, des cas de retrait élargis.
Une immatriculation sous contrôle permanent
L’immatriculation définitive s’obtient en deux temps : validation du dossier (statut « sous réserve »), puis tests d’interopérabilité menés avec l’AIFE et le réseau Peppol, conformément à la spécification AFNOR Annexe A. Les premières immatriculations définitives sont tombées le 11 décembre 2025 ; la liste s’allonge depuis au rythme de 3 à 5 plateformes par mois.
Pendant les trois ans de validité, la DGFiP conserve un droit de contrôle continu et exige un audit de conformité réalisé par un organisme tiers. Le renouvellement passe par un nouveau dossier complet. Ce cycle distingue l’agrément français d’un simple référencement commercial.
Ce que risque une plateforme défaillante
La loi de finances 2026 a durci le barème. Un manquement aux obligations de transmission des données de facturation coûte désormais 50 € par facture, contre 15 € auparavant, dans la limite de 45 000 € par an. Le défaut de transmission des données reçues à l’administration est facturé 750 € par transmission, avec un plafond annuel relevé à 100 000 €.
Surtout, un nouveau cas de retrait du numéro d’immatriculation sanctionne le non-respect des obligations liées à l’annuaire central, au changement de plateforme et aux services minimaux. Pour le client, ce risque ne se gère pas après coup : il se couvre dans le contrat, avant signature.
Une entreprise qui persiste sans plateforme agréée de réception après mise en demeure encourt 500 €, puis 1 000 € par période de 3 mois. La défaillance de votre prestataire devient donc votre problème fiscal : exigez une clause de migration assistée.
Vérifier la sécurité d’une plateforme agréée avant de signer
Le statut réglementaire atteste d’une conformité technique minimale, pas d’une qualité de service. Avant engagement, deux séries de vérifications s’imposent : les preuves documentaires, puis les clauses de sortie.
Les quatre preuves à exiger du fournisseur
Première vérification, gratuite et immédiate : le statut sur la liste officielle d’impots.gouv.fr. Seule la mention immatriculation PA-DGFiP définitive autorise l’opération en production ; 134 plateformes l’affichaient fin mai 2026. Ensuite, trois documents : le certificat ISO 27001 avec son périmètre, l’attestation PCA/PRA, et la localisation contractuelle de l’hébergement.
Ce contrôle prend une demi-journée et élimine les acteurs qui communiquent plus qu’ils ne prouvent. Toutefois, un dossier documentaire complet ne dit rien du comportement de la plateforme le jour où la relation se tend. C’est le rôle du contrat.
Les clauses contractuelles qui comptent en cas de sortie de route
Le vrai différenciant entre deux offres se loge dans la réversibilité. Le contrat doit garantir l’export complet des archives aux formats de facture électronique standards, la restitution des statuts du cycle de vie d’une facture électronique, et un préavis défini en cas de retrait d’immatriculation.
L’enjeu est patrimonial : l’archivage à valeur probante court sur 10 ans, bien au-delà de la durée de vie moyenne d’un contrat SaaS. Par conséquent, une plateforme qui facture l’export de vos propres données ou reste floue sur les délais de restitution mérite d’être écartée, quelle que soit sa certification.
Capture de la liste DGFiP datée, copie du certificat ISO 27001 et des attestations : ce dossier de diligence prouve votre bonne foi en cas de défaillance ultérieure du prestataire, notamment face à l’administration fiscale.
Le spécialiste des flux techniques
Pour les structures avec un volume EDI significatif, YouSeeMe est dimensionné pour absorber sans saturer. Spécialiste Factur-X et hub EDI, conforme aux standards CTC européens.
Découvrir YouSeeMe →Questions fréquentes
Une plateforme agréée peut-elle revendre mes données de facturation ?
Non. Le cahier des charges et le RGPD encadrent strictement l’usage des données : transmission à l’administration pour l’e-reporting, acheminement vers les destinataires, archivage. Toute exploitation commerciale supposerait une base légale et un consentement explicite. En revanche, certains contrats prévoient des analyses statistiques anonymisées : la clause de confidentialité mérite une lecture attentive avant signature, surtout sur les données de prix.
Qui délivre la certification ISO 27001 : la DGFiP ou un organisme privé ?
Un organisme certificateur indépendant, accrédité par le COFRAC en France, après un audit complet du système de management. La DGFiP n’audite pas la norme elle-même : elle exige le certificat au dossier d’immatriculation, puis contrôle le respect global du cahier des charges. Les deux contrôles se cumulent donc, avec des auditeurs différents et des référentiels distincts.
Que deviennent mes factures archivées si ma plateforme perd son immatriculation ?
Vos obligations d’archivage demeurent : 10 ans de conservation à valeur probante, quel que soit le sort du prestataire. La loi de finances 2026 impose aux plateformes des services minimaux lors d’un changement, sous peine de retrait d’immatriculation. Concrètement, exigez dès le contrat un export aux formats standards et un délai de restitution chiffré, puis migrez vers une plateforme immatriculée sans attendre la fin du préavis.
Faut-il une certification ISO 27001 côté entreprise utilisatrice ?
Non, l’obligation pèse exclusivement sur la plateforme. Une TPE ou une PME n’a aucune certification à obtenir pour émettre ou recevoir des factures électroniques. Sa responsabilité se limite à choisir un opérateur immatriculé et à sécuriser ses propres accès : mots de passe robustes, double authentification activée, gestion des départs de collaborateurs. La majorité des fraudes exploite des comptes clients mal protégés, pas les serveurs des plateformes.
Un logiciel de facturation non immatriculé peut-il être aussi sûr qu’une plateforme agréée ?
Techniquement oui, réglementairement non. Rien n’interdit à un éditeur non immatriculé d’être certifié ISO 27001. Mais ses factures doivent transiter par une plateforme agréée pour atteindre vos clients et l’administration : la chaîne de sécurité dépend alors de deux acteurs au lieu d’un. À volume égal, passer en direct par une plateforme immatriculée réduit les intermédiaires, donc la surface d’attaque.