Le décret n° 2022-1299 du 7 octobre 2022 a posé une exigence dont peu de candidates ont d’abord mesuré le poids. La certification ISO/IEC 27001 figure désormais au cahier des charges de toute plateforme qui veut transmettre des factures pour le compte d’une entreprise française. Pas une recommandation, pas un nice-to-have. Une pièce du dossier de candidature, au même titre que le Kbis.
Cette exigence pèse différemment selon les acteurs. Pour un grand éditeur déjà certifié sur ses produits historiques, l’opération relève de l’extension de périmètre. Pour une nouvelle Plateforme Agréée (PA, ex-PDP) qui se lance, la barrière à l’entrée est réelle : dix à douze mois de chantier interne, un budget à cinq chiffres, et un système de management de la sécurité de l’information à faire vivre durablement.
L’enjeu n’est pas seulement administratif. La certification dicte la qualité opérationnelle du service que recevront les entreprises clientes. Une PA dont la 27001 ne couvre pas l’infrastructure de production envoie un signal qu’un acheteur averti sait lire.
Pourquoi la DGFiP impose la norme ISO/IEC 27001
L’obligation ne sort pas d’un avis général sur la sécurité. Elle s’ancre dans un texte précis, qui place l’attestation 27001 au même rang que le Kbis ou la description technique du dispositif d’authentification. La logique du législateur est de renvoyer la responsabilité de la sécurité sur un acteur unique et auditable.
La base légale : décret 2022-1299 et article 242 nonies B
L’article 242 nonies B – I, 5° de l’annexe II au Code général des impôts liste les pièces à déposer pour obtenir le numéro d’immatriculation. Le cinquième point est explicite : « Attestation(s) de certification ISO/IEC/27001 en cours de validité ». Cette ligne est entrée en vigueur via le décret n° 2022-1299 du 7 octobre 2022, complété par le décret n° 2024-266 du 25 mars 2024.
La procédure d’immatriculation d’une PA refuse tout dossier qui ne comporte pas cette attestation, même provisoirement. La DGFiP demande aussi, à chaque renouvellement, les conclusions des audits réalisés pendant l’année sur ce périmètre 27001. La logique est nette : l’attestation initiale n’est pas un acquis figé, elle doit vivre.
Ce que la norme garantit concrètement
ISO/IEC 27001 décrit un système de management de la sécurité de l’information, le SMSI. Trois propriétés au cœur : la confidentialité des données traitées, leur intégrité tout au long de la chaîne, leur disponibilité dans la durée. Pour une plateforme qui traitera potentiellement des millions de factures B2B, ces exigences ne sont pas théoriques.
La DGFiP n’a pas créé un référentiel ad hoc. Elle s’appuie sur une norme déjà éprouvée à l’international, ce qui évite de réinventer ce que les opérateurs de Dématérialisation (OD) ne sont pas tenus de fournir. Cette logique renvoie la responsabilité de la sécurité sur un acteur unique et identifiable. Une Plateforme Agréée sans 27001 ne peut juridiquement pas exister.
L’article 242 nonies B – I, 5° impose une attestation en cours de validité. Une certification expirée au moment du dépôt ou en cours d’audit de renouvellement bloque le dossier, même si l’entreprise prouve qu’un nouvel audit est planifié.
Le périmètre exigé par l’attestation
La présence d’un certificat 27001 ne suffit pas. La DGFiP demande qu’il couvre un périmètre précis, et c’est sur ce point que beaucoup de candidates ont buté. Le domaine d’application figurant sur l’attestation prime sur tout le reste.
Tous les SI, infrastructures, outils et services de la plateforme
L’attestation doit porter sur l’ensemble du SI, des infrastructures, des outils et des services liés à l’activité de plateforme. Concrètement, cela inclut le code applicatif, les serveurs de production, les bases de données, les API d’interconnexion, les postes de support et l’organisation humaine qui opère le tout.
Les 4 rôles d’une plateforme agréée impliquent chacun des données sensibles : émission, transmission, réception, transmission de données fiscales à la DGFiP. Le SMSI doit traiter ces flux comme un ensemble, pas comme quatre silos distincts. Une faille sur la seule chaîne de transmission disqualifie la totalité du service auditeur côté DGFiP.
Un piège fréquent : la certification « groupe » qui ne couvre pas la PA
Cas classique observé en 2024-2025 : un éditeur historique certifié 27001 sur son produit fiscal ou son archivage électronique, mais dont le nouveau service de PA n’est pas inclus dans le périmètre certifié. L’attestation existe, elle ne vaut rien pour le dossier d’immatriculation.
La DGFiP lit le scope statement de l’attestation. Si la mention « plateforme de dématérialisation » ou un équivalent fonctionnel n’y figure pas, une extension de périmètre est demandée. Cette extension représente six à neuf mois de chantier supplémentaire selon la maturité du SMSI existant. Le piège vaut aussi pour les Solutions Compatibles, qui n’ont pas cette obligation et confondent parfois leur conformité avec celle d’une PA.
Une attestation ISO/IEC 27001 indique toujours un domaine d’application. C’est ce domaine qui fait foi, pas le nom de l’entreprise certifiée. La bonne question à poser à toute PA candidate : « Votre certificat couvre-t-il bien le service de plateforme de dématérialisation et son infrastructure de production ? »
L’alternative SecNumCloud et les équivalences acceptées
Le texte réglementaire mentionne deux référentiels possibles : ISO/IEC 27001 ou SecNumCloud. Le second n’est pas un substitut symbolique, c’est une qualification d’un autre étage de sécurité.
SecNumCloud, un cran au-dessus, plus rare
SecNumCloud est le visa de sécurité délivré par l’ANSSI pour les services cloud. Il englobe les exigences 27001 et y ajoute des critères de souveraineté, d’immunité aux lois extraterritoriales, et de robustesse opérationnelle plus sévères. Très peu de PA s’y soumettent : le périmètre est plus large, l’audit plus exigeant, le délai d’instruction plus long.
Une PA qualifiée SecNumCloud n’a donc pas besoin d’une attestation 27001 séparée pour son dossier DGFiP. À l’inverse, l’immense majorité des 112 PA immatriculées en mars 2026 ont opté pour la voie 27001, plus accessible et déjà cartographiée par leurs équipes RSSI.
Pas de troisième voie reconnue
D’autres labels existent en sécurité de l’information : SOC 2, NF 461, HDS pour la santé, PCI DSS pour le paiement. Aucun n’est reconnu comme équivalent par la DGFiP dans le cadre du dossier PA. Le texte ne laisse pas d’ouverture : ISO/IEC 27001 ou SecNumCloud, point.
Ce verrouillage explique pourquoi l’écart de statut entre immatriculation sous réserve et immatriculation définitive ne porte jamais sur la certification de sécurité. Tous les candidats doivent l’avoir avant même la première étape. La phase « sous réserve » porte sur l’interopérabilité entre PA et le raccordement au portail public, jamais sur la 27001.
Calendrier, coût et durée d’une certification
Pour une plateforme qui se lance, le délai et le budget d’une 27001 dictent le rythme de l’ensemble du projet d’immatriculation. Les ordres de grandeur sont stables d’un cabinet à l’autre.
Dix à douze mois entre la décision et le certificat
Le parcours-type d’une PME éditrice se découpe en quatre temps. L’analyse d’écarts par rapport à la norme prend cinq à quinze jours. La construction du SMSI et la rédaction de la Déclaration d’Applicabilité demandent vingt à soixante jours d’effort interne. L’audit interne et la correction des écarts mobilisent ensuite trois à huit jours par un consultant externe. L’audit de certification lui-même se déroule en deux phases, pour deux à huit jours d’auditeur accrédité.
Les prix et tarifs des plateformes agréées reflètent en partie ce coût d’entrée. Une PA qui amortit dix mois de chantier 27001 ne peut pas pratiquer les mêmes grilles qu’une plateforme agréée gratuite financée par un modèle de marché distinct.
Budget réel : 15 000 à 50 000 € externes selon la stack
Le coût d’un projet 27001 complet se ventile en trois postes. L’accompagnement consultant représente 50 à 70 % du total, avec une fourchette de 8 000 à 30 000 €. L’audit de certification par un organisme accrédité coûte 12 000 à 25 000 € sur la durée triennale du contrat, parfois plus pour les périmètres SaaS multi-environnements. L’audit blanc préparatoire ajoute environ 6 000 €.
À ces dépenses externes s’ajoute la masse salariale interne, souvent sous-estimée. Un Responsable SMSI mobilisé à 30-60 % de son temps pendant neuf à quinze mois représente une charge cachée de plusieurs dizaines de milliers d’euros. Une PA SaaS doit donc prévoir 15 000 à 50 000 € de coûts externes, parfois davantage si elle décide de changer de plateforme d’infrastructure en cours de projet.
Renouvellement triennal et audits de surveillance
Le certificat ISO/IEC 27001 est délivré pour trois ans. Pendant cette durée, l’organisme certificateur conduit un audit de surveillance chaque année, plus léger qu’un audit complet, qui vérifie que le SMSI vit. À l’issue des trois ans, un audit de recertification reprend l’ensemble du périmètre.
Côté immatriculation PA, le rythme est aligné : la DGFiP attend, à chaque renouvellement, les conclusions des audits 27001 conduits l’année précédente. L’entreprise certifiée doit donc maintenir le SMSI en activité dans la durée, pas seulement le faire vivre les semaines d’audit.
Vérifier la certification d’une PA avant de la choisir
Côté entreprise cliente, la certification de la PA ne se prouve pas par une mention sur le site commercial. Deux vérifications utiles permettent d’éviter les approximations et de distinguer les acteurs sérieux.
Demander l’attestation et son périmètre
Toute PA sérieuse fournit à la demande son attestation ISO/IEC 27001 en PDF. Le document mentionne l’organisme certificateur, la date d’émission, la date d’expiration, et surtout le domaine d’application. C’est ce dernier qui doit être lu attentivement. Il doit citer explicitement la plateforme de dématérialisation, l’archivage si pertinent, et les environnements de production hébergeant les données.
Au moment de choisir sa plateforme agréée, demander cette attestation est un test simple. Une PA qui tarde à la fournir, qui n’a qu’un certificat « groupe » sans périmètre PA explicite, ou qui invoque la confidentialité du document, mérite un second regard avant signature.
Croiser avec la liste DGFiP et la base IAF
La liste officielle des plateformes agréées tenue par la DGFiP atteste que la plateforme a déposé un dossier validé sur sa partie 27001. C’est un premier filtre, mais il ne dit pas si la certification est toujours active aujourd’hui. La base de l’International Accreditation Forum permet de vérifier qu’un organisme certificateur français est bien accrédité IAF.
Au-delà de la certification, l’inscription de la PA dans l’annuaire central des destinataires et son raccordement au réseau Peppol confirment que l’infrastructure est opérationnelle. La sécurité sur le papier ne sert qu’à conditionner l’agrément. La sécurité dans les flux quotidiens, elle, dépend de la maintenance du SMSI et de la robustesse de l’exploitation.
La certification ISO/IEC 27001 n’est ni un label marketing ni une option. C’est une pièce obligatoire du dossier d’immatriculation, son périmètre doit couvrir l’intégralité du service de plateforme, et son renouvellement triennal conditionne le maintien de l’agrément PA.
Base légale : article 242 nonies B – I, 5° de l’annexe II au CGI, décret 2022-1299 du 7 octobre 2022. ISO/IEC 27001 en cours de validité ou SecNumCloud, aucune autre équivalence reconnue.
Périmètre attendu : SI complet, infrastructures, outils et services liés à la plateforme. Une certification « groupe » sans scope PA explicite ne suffit pas.
Coût et délai : 15 000 à 50 000 € externes, dix à douze mois de projet, renouvellement triennal avec audit de surveillance annuel.
Côté entreprises clientes, le sujet revient à privilégier une plateforme dont la conformité a été éprouvée plutôt qu’un acteur encore en phase d’instruction. La différence se voit sur la qualité du support et la traçabilité des incidents.
Questions fréquentes
Une PA peut-elle être immatriculée sans certification ISO/IEC 27001 ?
Non. L’article 242 nonies B – I, 5° de l’annexe II au CGI rend l’attestation obligatoire à l’appui de la demande d’immatriculation. La seule alternative reconnue par la DGFiP est la qualification SecNumCloud délivrée par l’ANSSI. Aucun autre référentiel (SOC 2, HDS, PCI DSS, NF 461) n’est admis dans le dossier, même si l’entreprise présente des garanties techniques équivalentes par ailleurs. Un dossier sans cette pièce est instruit comme incomplet et reste bloqué tant que la pièce manquante n’est pas fournie.
Quelle différence de certification entre PDP et PA ?
PDP et PA désignent la même réalité : « Plateforme de Dématérialisation Partenaire » était le terme d’origine du décret, remplacé par « Plateforme Agréée » à partir de 2025 dans la communication officielle. Le détail des évolutions terminologiques figure dans la comparaison PDP ou PA : quelle différence ?. Les exigences ISO/IEC 27001 sont strictement identiques sous les deux appellations. Le texte réglementaire de référence n’a pas été modifié sur ce point lors du changement de vocabulaire.
Combien coûte la certification pour une plateforme candidate ?
Pour une PME éditrice candidate à l’immatriculation PA, le budget externe s’établit entre 15 000 et 50 000 € sur trois ans. Cette enveloppe couvre l’accompagnement consultant, le contrat avec l’organisme certificateur et l’audit blanc préparatoire. À ces dépenses s’ajoute la masse salariale interne, soit un Responsable SMSI à temps partiel pendant neuf à quinze mois, souvent comparable au coût externe. Le coût total complet se situe entre 30 000 et 100 000 € selon la complexité du périmètre à couvrir et la maturité initiale du SMSI.
Comment vérifier la validité de la certification d’une PA aujourd’hui ?
Demander l’attestation en PDF directement à la PA est le moyen le plus direct. Le document mentionne la date d’expiration et l’organisme certificateur. Croiser ensuite avec la base de l’International Accreditation Forum permet de confirmer que l’organisme est bien accrédité. Aucune base publique de la DGFiP ne liste à ce jour les attestations 27001 individuelles. La liste officielle des PA atteste que le dossier était conforme au moment de l’immatriculation, pas nécessairement l’état du jour.
Quels organismes accrédités délivrent la certification en France ?
Plusieurs organismes accrédités opèrent sur le marché français : LSTI, AFNOR Certification, LNE, Bureau Veritas, DEKRA, SGS. Tous doivent être accrédités IAF pour que leur certificat soit reconnu par la DGFiP dans le dossier d’immatriculation PA. LSTI s’est spécialisé sur la cybersécurité et a délivré plusieurs des premières attestations à des candidats PDP en 2023-2024. L’organisme de certification est choisi par la plateforme elle-même, ce qui peut peser sur le calendrier global puisque les disponibilités varient fortement d’un certificateur à l’autre.