Frankreichs obligatorische Reform zur E-Rechnung hat die Pilotphase hinter sich gelassen und ein neues Kapitel für sein Netzwerk zugelassener Plattformen (Plateformes Agréées – PA) aufgeschlagen. Bei einem Treffen am 3. September 2026 gaben die Direction Générale des Finances Publiques (DGFiP) und die Agence pour l’Informatique Financière de l’État (AIFE) sowohl einen Überblick über den Rollout der Reform als auch Details zu einem neu gestarteten Cybersicherheits-Compliance-Programm bekannt, das das gesamte Ökosystem umfasst.
Ergebnisse der Pilotphase: Eine beschleunigte Einführung
Die vom 25. Februar bis zum 30. August 2026 durchgeführte Pilotphase verdeutlichte die wachsende operative Reife der Reform. Die Zahlen deuten auf eine starke Beschleunigung hin: Mittlerweile wurden mehr als 4,4 Millionen Rechtsträger im nationalen Verzeichnis (Annuaire) über 142 Plattformen registriert – allein 1,9 Million davon im vergangenen Monat. Im selben Zeitraum übermittelten 69 Plattformen Rechnungsströme von 22.267 ausstellenden Unternehmen an 49.126 empfangende Unternehmen, was zu 1,6 Millionen F1-Dateien und etwa 7.500 F10-Dateien führte, die vom öffentlichen Rechnungsstellungsportal (PPF) verarbeitet wurden.
Die Nachfrage nach Unterstützung spiegelt auch das Ausmaß der Reform wider: mehr als 71.000 Anrufe bei der nationalen Hotline, 32.000 von der DGFiP bearbeitete E-Kontaktformulare und über 1.300 vom AIFE-Support gelöste Tickets.
An der Datenqualität muss jedoch noch gearbeitet werden. Allein am 31. August wurden 22,51 TP3T an Verzeichnisdaten (Annuaire) aus technischen Gründen abgelehnt (KO_TECH), wobei 901 TP3T dieser Fehler auf eine einzige Regel zurückzuführen waren: Verzeichniseinträge müssen ein zukünftiges Gültigkeitsdatum enthalten. Die Verwaltung wies zudem auf einen wiederkehrenden Fehler bei Plattformen hin, die nicht am Pilotprojekt teilnahmen: die Verwendung des FULL-Profils anstelle des BASE-Profils bei Meldevorgängen.
Eine neue Einheit für Cybersicherheit: Ausgleich zwischen Transparenz und Vertraulichkeit
Die auffälligste Neuentwicklung ist die offizielle Einführung einer dedizierten Cybersicherheitseinheit, welches die Architektur- und Sicherheitsabteilung des AIFE mit den relevanten technischen Teams der DGFiP zusammenbringt. Sein Leitprinzip ist klar: die Sichtbarkeit und Transparenz in Bezug auf Vorfälle und Cyberrisiken im gesamten Ökosystem zu erhöhen und gleichzeitig sensible Informationen zu schützen und die Vertraulichkeit jeder Plattform zu wahren.
Zu diesem Zweck baut die Verwaltung eine Alarmkette zwischen sich und den Plattformen auf, präzisiert die Eskalationsverfahren und richtet eine eigene Vorfallskategorie in ServiceNow ein. Krisenübungen und erweiterte Dokumentationen sollen die Einsatzbereitschaft kontinuierlich stärken.
Compliance-Fristen: Von September bis zum Jahresende
Von den Plattformen wird nun erwartet, dass sie bis zum […] vier wichtige Ergebnisse vorlegen. 7. September 2026: eine Beschreibung ihrer Sicherheits-Governance (einschließlich eines benannten Sicherheitsansprechpartners), ein aktualisiertes DC-POD, eine technische Architekturdatei und eine Risikoanalyse, die auf die ISO 27005 Standard.
Daran anschließen werden sich ab dem 14. September obligatorische, vertrauliche Einzelgespräche bilaterale Besprechungen zur Überprüfung mit jeder Plattform. Diese 30 bis 45 Minuten langen Sitzungen behandeln Governance, Risikoanalyse, Überwachung, Vorfallmanagement und Penetrationstests.
Die Roadmap entfaltet sich in drei Phasen: Herstellung der organisatorischen Sichtbarkeit im September 2026, Konsolidierung der Compliance-Elemente im vierten Quartal sowie Überprüfung der Robustheit der Sicherheitsmaßnahmen bis Jahresende durch abgeschlossene Penetrationstests und Reifegradanalysen.
Bevorstehende operative Änderungen
Eine konkrete, bevorstehende Änderung wird sich auch direkt auf Plattformen auswirken: Die öffentlichen Zertifikate werden am 8. September in der QUAL-Umgebung und am 9. September in der PROD-Umgebung erneuert, ein Vorgang, der EDI-, API- und Portal-Dienste vorübergehend beeinträchtigen kann. Die Verwaltung bekräftigte zudem die obligatorische Anbindung an Chorus Pro für G2B-Ströme – zum 2. September waren in der PROD-Umgebung erst 53 Plattformen angebunden – und kündigte wöchentliche Folgetreffen jeden Dienstag bis Ende September an.
Da das Transaktionsvolumen weiter wächst, wird das französische Ökosystem für die elektronische Rechnungsstellung nun an einem parallelen Standard der Sicherheitsreife gemessen. Für zugelassene Plattformen wird es in den kommenden Monaten erforderlich sein, die technische Compliance und die Cybersicherheits-Governance im Gleichschritt voranzutreiben.
Für weitere Informationen zur SAP-Integration und zur Einhaltung gesetzlicher Vorschriften lesen Sie die SAP-E-Invoicing-Übersicht von Cybersicherheit und Compliance für die elektronische Rechnungsstellung in Frankreich.