Le code général des impôts impose aux plateformes agréées de mettre en œuvre des mécanismes robustes pour vérifier l’identité des utilisateurs qui, au sein des entreprises, émettent et/ou réceptionnent des factures électroniques pour le compte de sociétés concernées, ainsi que de sécuriser l’accès aux services qu’elles proposent.

Plus précisément, le code général des impôts prévoit que les moyens d’identification électronique atteignent, à terme, un niveau de garantie substantiel au sens du règlement eIDAS (dont les spécifications techniques sont détaillées dans le règlement d’exécution 2015/1502).

Ce niveau de garantie offre une sécurité renforcée contre les risques d’usurpation d’identité et de fraude.

À titre transitoire, les plateformes agréées peuvent recourir à des dispositifs alternatifs, à condition que ceux-ci reposent sur :

• une vérification fiable de l’identité de la personne utilisatrice, notamment pour confirmer sa qualité de représentant légal, mandataire ou délégataire ;
• un mécanisme d’authentification à deux facteurs (2FA), incluant un facteur dynamique (mot de passe ou code à usage unique).

À noter : les spécifications techniques pour le niveau substantiel eIDAS, qui devront à terme être atteintes, comprennent aussi des exigences portant sur les deux points ci-dessus. En cas de recours à des moyens alternatifs durant la période transitoire, il pourra être utile de prévoir en amont la stratégie de mise en conformité aux exigences eIDAS à venir.

Par ailleurs, la CNIL rappelle que l’authentification multifacteur est une mesure essentielle pour protéger les données personnelles, comme précisé dans sa recommandation sur l’authentification multifacteur (MFA). Cette approche permet de réduire significativement les risques liés à l’accès non autorisé aux plateformes et à l’usurpation d’identité.