comprendre la réforme

Si votre Plateforme Agréée disparaît complètement, quelles garanties existent vraiment ?

Vous avez peut-être déjà lu nos articles sur les cyberattaques Welyb/Agiris ou sur la suspension de VosFactures/Factuali : une panne, on sait gérer. Mais une question plus inquiétante reste sans réponse claire — que se passe-t-il si votre Plateforme Agréée ne revient pas, parce qu'elle a mis la clé sous la porte ou qu'une cyberattaque l'a mise définitivement hors service ? C'est exactement la question qu'une députée vient de poser officiellement au gouvernement, sans qu'il y ait, à ce jour, de réponse.

Une question de députée, toujours sans réponse officielle à ce jour

Oui, cette question a été posée formellement au ministre : la question écrite n° 17975, déposée par Mme Pauline Cestrières (Aveyron, groupe Ensemble pour la République), intitulée « Facturation électronique : protection des entreprises face aux cyberattaques », demande précisément quelles garanties existent pour qu'une entreprise victime d'une cyberattaque ou d'une défaillance de sa Plateforme Agréée obtienne réparation, et pour que la continuité de réception et d'émission de ses factures soit assurée. Au moment de la rédaction de cet article, aucune réponse ministérielle n'a été identifiée. Une question écrite appelle en principe une réponse sous deux mois — nous mettrons cette page à jour dès qu'elle paraîtra.

La seule garantie officielle qui existe aujourd'hui : des conditions de sécurité à l'entrée, pas une assurance en cas de sinistre

Une garantie officielle existe déjà, mais elle porte sur la prévention, pas sur la réparation : pour obtenir et renouveler son immatriculation, une Plateforme Agréée doit produire une certification ISO/IEC 27001 en cours de validité et, lorsqu'elle recourt à un hébergeur externe, s'appuyer sur une qualification SecNumCloud délivrée par l'ANSSI — des exigences détaillées dans notre guide sur le RGPD et les Plateformes Agréées. Une question écrite antérieure sur le même sujet, la question n° 16899 de M. Sébastien Huyghe, interroge déjà le gouvernement sur les garanties de sécurité et de continuité face au risque cyber ; comme pour la question n° 17975, nous n'avons pas identifié de réponse ministérielle publiée à ce jour. Mais une exigence de conformité en amont n'est pas une garantie de réparation après coup : rien, dans ce cadre, n'indemnise une entreprise cliente si la plateforme s'effondre malgré tout.

Ce qui existe déjà pour vous protéger, sans aller jusqu'à l'indemnisation

Trois mécanismes limitent déjà le préjudice, sans le réparer financièrement. D'abord, la portabilité : vous pouvez changer de Plateforme Agréée à tout moment, ce que détaille notre guide sur le changement de Plateforme Agréée. Ensuite, le retrait d'immatriculation : si une plateforme ne respecte plus ses obligations, la DGFiP peut lui retirer son immatriculation, l'obligeant à organiser elle-même la migration de ses clients — un mécanisme détaillé dans notre guide sur l'immatriculation définitive et provisoire. Enfin, le recours contractuel : si la défaillance de votre propre plateforme vous cause un préjudice direct (facture bloquée, pénalité subie auprès d'un client), vous pouvez engager sa responsabilité contractuelle sur le fondement de l'article 1231-1 du Code civil, à condition de pouvoir le prouver — la procédure est détaillée dans notre guide sur la responsabilité en cas de panne de Plateforme Agréée. Ces trois leviers supposent toutefois que la plateforme soit encore en mesure de répondre, par exemple financièrement — ce qui n'est pas acquis en cas de faillite.

Ce qui n'est pas garanti aujourd'hui : une vraie zone grise

Non, aucun mécanisme d'indemnisation publique n'est identifié à ce jour pour le cas d'une défaillance totale et brutale d'une Plateforme Agréée — faillite de l'éditeur ou cyberattaque rendant le service définitivement inopérant. C'est exactement le trou que soulève la question n° 17975 : l'État impose à toutes les entreprises de passer par un opérateur privé pour une obligation légale, sans qu'un filet de sécurité public comparable n'existe si cet opérateur disparaît purement et simplement. Ne pas confondre cette situation avec les incidents déjà documentés sur ce site : une panne temporaire ou même une suspension administrative, traitées dans notre guide complet sur les pannes et cyberattaques des Plateformes Agréées, restent des épisodes dont on sort ; la disparition pure et simple d'un acteur est un scénario distinct, pour lequel aucun texte officiel identifié à ce jour n'organise de réparation.

Comment réduire ce risque en amont, avant qu'il ne se produise

La meilleure protection reste de l'anticiper au moment du choix de votre Plateforme Agréée, pas après coup. Au-delà des critères déjà listés dans notre guide pour choisir une Plateforme Agréée fiable (statut d'immatriculation définitif, adossement à un acteur établi, clarté des conditions de réversibilité), ajoutez un critère que ce risque rend désormais pertinent : la solidité financière de l'éditeur et l'existence d'un plan de continuité d'activité documenté, pas seulement sa conformité technique affichée. Une plateforme qui communique clairement sur ce point avant un incident en dit souvent plus long qu'une plateforme qui ne s'y engage qu'après. Notre comparateur des Plateformes Agréées permet d'intégrer ce critère de solidité à votre choix, aux côtés des critères déjà listés pour la fiabilité générale.

Questions fréquentes

Q.Que se passe-t-il concrètement si ma Plateforme Agréée disparaît du jour au lendemain ?

Vous devez migrer en urgence vers une autre Plateforme Agréée immatriculée, selon la même procédure qu'un changement volontaire. Si la disparition résulte d'un retrait d'immatriculation par la DGFiP, la plateforme sortante a l'obligation d'organiser votre migration ; si elle résulte d'une faillite ou d'une cyberattaque définitive, aucun texte officiel identifié à ce jour n'organise cette transition à votre place.

Q.L'État m'indemnise-t-il si je perds des factures ou subis un préjudice à cause de la disparition de ma plateforme ?

Non, aucun mécanisme d'indemnisation publique de ce type n'est identifié à ce jour. Une question parlementaire (n° 17975) demande justement au gouvernement de clarifier ce point ; sans réponse officielle à l'heure où nous publions cet article.

Q.L'agrément DGFiP ne garantit-il pas déjà la fiabilité d'une Plateforme Agréée ?

Pas au sens d'une garantie de continuité. L'agrément impose des exigences de sécurité (certification ISO 27001, qualification SecNumCloud le cas échéant) qui réduisent le risque d'incident, mais ne constitue pas une assurance contre la disparition de l'opérateur ni un mécanisme de réparation si elle survient.

Q.Puis-je me retourner contre ma Plateforme Agréée si sa défaillance me cause un préjudice ?

Oui, mais uniquement si elle est encore en mesure de répondre juridiquement et financièrement : vous pouvez engager sa responsabilité contractuelle sur le fondement de l'article 1231-1 du Code civil, à condition de prouver le préjudice. Ce recours ne fonctionne plus en cas de faillite de l'éditeur.

Q.Comment me protéger de ce risque avant qu'il ne se produise ?

En vérifiant, au moment de choisir votre Plateforme Agréée, non seulement sa conformité technique (immatriculation définitive, certifications) mais aussi sa solidité financière et l'existence d'un plan de continuité d'activité documenté — un critère que ce risque rend désormais aussi important que le prix ou les fonctionnalités.

Où en êtes-vous, concrètement ?

5 questions, verdict immédiat, plan d'action personnalisé.

Faire le diagnostic gratuit →

À lire ensuite

Information générale, non constitutive d'un conseil comptable, fiscal ou juridique personnalisé.