Points clés à retenir
- L’agrément est indispensable, mais ne garantit pas l’absence d’incident de cybersécurité.
- La sécurité dépend aussi de l’architecture technique, de l’hébergement et des prestataires utilisés par la solution.
- Une certification comme ISO 27001 apporte une garantie importante, mais il faut également regarder précisément son périmètre.
- La capacité à détecter, contenir et gérer un incident fait partie intégrante de la cybersécurité.
- Pour un processus aussi critique que la facturation, la continuité de service et la résilience de l’infrastructure doivent également faire partie des critères de choix.
Sommaire
- L’agrément est un socle, pas une garantie absolue
- Il faut regarder toute la chaîne technique
- Les certifications doivent être replacées dans leur contexte
- La sécurité passe aussi par la gestion des prestataires
- La capacité à gérer un incident compte autant que sa prévention
- TEDD & Esker : regarder au-delà de l’agrément
- Conclusion : Agrément, architecture et exploitation doivent être regardés ensemble
- FAQ
Avec la généralisation de la facturation électronique, les Plateformes Agréées occupent une place centrale dans les échanges entre entreprises.
Leur agrément constitue un premier niveau de confiance indispensable. Mais être Plateforme Agréée ne signifie pas que le risque cyber disparaît.
Architecture, hébergement, prestataires, certifications, gestion des incidents ou encore continuité de service : pour évaluer la robustesse d’une solution de facturation électronique, il faut regarder l’ensemble de la chaîne.
L’agrément est un socle, pas une garantie absolue
Pour être immatriculée comme Plateforme Agréée, une plateforme doit répondre à un ensemble d’exigences réglementaires et techniques.
Sécurisation des données, interopérabilité avec l’écosystème de la facturation électronique, conformité des échanges, certifications : l’agrément constitue donc un premier filtre essentiel.
Les Plateformes Agréées font également l’objet de contrôles pendant leur période d’immatriculation.
Mais cela ne signifie pas qu’un incident de cybersécurité devient impossible.
L’enjeu est donc de ne pas s’arrêter à une seule question :
« Cette plateforme est-elle agréée ? »
Il faut aussi chercher à comprendre comment la solution est construite, hébergée, exploitée et sécurisée au quotidien.
Il faut regarder toute la chaîne technique
Une solution de facturation électronique ne fonctionne jamais de manière totalement isolée.
Elle repose généralement sur différents composants :
- des infrastructures d’hébergement ;
- des API et connecteurs avec les ERP ;
- des logiciels et bibliothèques techniques ;
- des mécanismes d’authentification ;
- des outils de traitement ou de génération de documents ;
- mais aussi différents fournisseurs et prestataires externes.
La surface de risque ne se limite donc pas au cœur de la Plateforme Agréée.
Un incident sur un composant périphérique ou chez un prestataire peut avoir des conséquences sur le service global, même si l’environnement principal de facturation électronique n’est pas directement compromis.
L’incident révélé fin septembre 2026 l’a récemment illustré. Selon les informations communiquées, l’attaque concernait l’infrastructure d’un prestataire technique externe. L’AIFE a néanmoins suspendu temporairement les échanges avec la plateforme par mesure de précaution, le temps de procéder aux vérifications nécessaires.
Un exemple qui rappelle l’importance de raisonner en chaîne de sécurité, et non uniquement au niveau de la plateforme elle-même.
Les certifications doivent être replacées dans leur contexte
ISO 27001, SecNumCloud, audits de sécurité, politiques de sauvegarde…
Ces certifications, qualifications et dispositifs apportent des garanties importantes.
Mais une certification doit toujours être examinée avec son périmètre exact.
Quels services sont concernés ?
Quelle infrastructure ?
Quels composants ?
Quels prestataires ?
Une certification portant sur une partie de l’environnement ne signifie pas automatiquement que chaque technologie ou fournisseur connecté bénéficie exactement du même niveau de certification.
La question à poser n’est donc pas seulement :
« Votre solution dispose-t-elle de certifications de sécurité ? »
Mais également :
« Quels composants de ma solution de facturation électronique sont réellement couverts par ces certifications et quelles exigences appliquez-vous à vos prestataires ? »
La sécurité passe aussi par la gestion des prestataires
Externaliser un service ne signifie pas externaliser le risque.
Les prestataires techniques doivent eux aussi être intégrés à la politique de sécurité de la solution : sélection, évaluation, contractualisation, audits et suivi dans le temps.
Cela suppose notamment de vérifier leur niveau de maturité en matière de cybersécurité et les certifications ou rapports d’audit dont ils disposent.
Cette vigilance devient d’autant plus importante que les architectures SaaS modernes reposent sur de nombreux composants et services interconnectés.
La cybersécurité d’une solution dépend donc aussi de la maîtrise de son écosystème de fournisseurs.
La capacité à gérer un incident compte autant que sa prévention
Aucun système informatique ne peut garantir un risque zéro.
La maturité d’un acteur se mesure donc également à sa capacité à réagir lorsqu’un incident survient.
Parmi les éléments à examiner :
- la détection rapide des anomalies ;
- la capacité à isoler un environnement ou un composant compromis ;
- les mécanismes de sauvegarde ;
- les procédures de reprise d’activité ;
- la surveillance des infrastructures ;
- l’information des clients ;
- la capacité à rétablir le service dans des conditions maîtrisées.
Pour une entreprise, une facture n’est pas simplement un document.
Elle peut conditionner un paiement, la trésorerie ou la relation avec un fournisseur ou un client.
TEDD & Esker : regarder au-delà de l’agrément
Chez Flowwa, cette approche se traduit notamment par le choix d’Esker comme Plateforme Agréée pour TEDD & Esker.
La Plateforme Agréée Esker est hébergée en France et sa plateforme cloud est certifiée ISO 27001 (tout comme Flowwa d’ailleurs).
Notre partenaire Esker s’appuie sur une infrastructure dédiée comportant du matériel redondant et opérée 24h/24 et 7j/7 par ses équipes.
Plusieurs mécanismes participent à la sécurisation de l’environnement : connexions chiffrées, différents niveaux d’authentification, sauvegardes, protection des documents et surveillance continue des infrastructures.
La sécurité ne s’arrête pas non plus aux systèmes directement opérés par Esker. L’entreprise indique évaluer les fournisseurs intervenant dans son environnement Esker On Demand à travers des questionnaires de maturité et des justificatifs tels que des certifications ISO 27001 ou des rapports d’audit de sécurité.
Enfin, la résilience fait partie du dispositif. Esker dispose d’un Plan de Continuité d’Activité formalisé et indiquait un taux de disponibilité de sa plateforme Esker On Demand de 99,98 % en 2024.
Ces éléments ne signifient pas qu’un risque cyber peut être totalement éliminé.
Ils montrent en revanche pourquoi la sécurité d’une solution de facturation électronique doit être évaluée dans son ensemble.
Agrément, architecture et exploitation doivent être regardés ensemble
Choisir une solution de facturation électronique ne doit donc pas se limiter à rechercher un numéro d’agrément.
L’agrément reste un prérequis indispensable. Mais une analyse complète doit également porter sur : agrément + certifications + architecture + hébergement + prestataires + gestion des incidents + continuité de service.
C’est la combinaison de ces différents éléments qui permet d’apprécier réellement la robustesse d’une solution de facturation électronique.
Avec TEDD & Esker, Flowwa associe ses capacités d’intégration aux ERP à une Plateforme Agréée dont les dispositifs de sécurité et de continuité s’appuient sur des certifications, une infrastructure redondée et des procédures formalisées.
Ces articles pourraient vous intéresser :
- DGFiP et cybersécurité : comment Esker sécurise sa Plateforme Agréée ?
- Intégrateurs : pourquoi choisir de distribuer TEDD & Esker quand votre client est multi-ERP ?
- Que garantit vraiment la liste des Plateformes Agréées ?
- Comment suivre efficacement les statuts de traitement de vos factures fournisseurs ?
- Facture électronique : les leçons de l’Italie, de la Belgique et de l’Espagne pour les entreprises françaises
