Fiscalisation 2.0 : Sur la liste des entreprises intermédiaires sans capital et expérience

Alors que les discussions sur la fiscalisation 2.0 se poursuivent ces jours-ci, une perspective différente a été fournie par l’avocat Vlaho Hrdalo. Comme il l’a écrit sur ses réseaux sociaux, la fiscalisation 2.0 est une solution à la recherche d’un problème.

– Il n’est pas possible d’identifier un motif valable pour forcer presque tous les entrepreneurs à mettre en œuvre un système qui n’est pas gratuit et qui présente un risque de révéler des secrets commerciaux (les intermédiaires d’information peuvent lire le contenu des factures). L’évasion fiscale est impossible lors du paiement d’un compte de transaction à un autre, et des arguments comme ‘il n’y aura plus de factures papier’ et ‘il n’y aura plus de factures falsifiées’ ne tiennent tout simplement pas car il n’y a déjà plus de factures papier en B2B, et il est plus facile de falsifier un document numérique qu’un document physique – affirme Hrdalo.

Hrdalo voit également un problème avec les intermédiaires, affirmant que l’intermédiaire d’information, introduit dans l’histoire par ces amendements à la loi sur la fiscalisation, peut pratiquement être n’importe qui. Grâce aux critères minimaux fixés par la loi, actuellement sur la liste officielle mise à jour le 27 novembre 2025, vous avez une entreprise, écrit Hrdalo, qui a été établie le 21 novembre 2025 (et l’une des conditions est l’obtention d’un certificat ISO 27001), une entreprise qui est une société à responsabilité limitée avec un capital de deux euros, et des entreprises polonaises, tchèques et finlandaises sans présence physique visible en Croatie.

– Comme cerise sur le gâteau, derrière trois ou quatre de ces entreprises se cache la même personne physique. Si cela ne suffit pas, nous recevons des e-factures grâce au paquet réglementaire de l’UE appelé ViDA, qui a été adopté il y a seulement quelques mois, et qui impose cette obligation uniquement à partir du 1er juillet 2030. Quand la Croatie introduit-elle cela ? Le 1er janvier 2026. Pouvez-vous deviner combien d’autres États membres de l’UE introduisent inconditionnellement des e-factures obligatoires à partir du 1er janvier 2026, pour tous les assujettis à la TVA, quelle que soit leur taille ? – s’interroge Hrdalo.

Rakar vs PostLink

Rappelons que cette semaine, les réseaux sociaux ont été enflammés par un article de blog de Marko Rakar, un expert en sécurité informatique, intitulé ‘La sécurité de la fiscalisation 2.0 – Le blog sombre’, qui a été couvert par de nombreux médias, dans lequel il a averti sur le manque de normes de sécurité minimales pour les intermédiaires d’information dans le système de e-factures.

Dans son article, Rakar a déclaré qu’il s’était inscrit à deux services, y compris Sveračun, en utilisant une adresse e-mail temporaire et un OIB arbitraire, y compris l’OIB d’une entité supprimée. Il a ensuite, se présentant comme ‘Pero Djetlić’, généré et envoyé une e-facture pour démontrer que l’identité de l’utilisateur n’est pas vérifiée. Il a affirmé que dans les deux cas, il avait été autorisé à envoyer des factures ‘sans aucune vérification ultérieure’.

De PostLink, une entreprise appartenant à Hrvatska pošta, qui se cache derrière Sveračun déjà réagi au blog de Rakar en soulignant qu’il est vrai qu’il est possible de s’inscrire facilement sur Sveračun, car le service a été intentionnellement développé pour permettre aux utilisateurs un accès rapide et des opérations simples.

Ils ont confirmé qu’il est techniquement possible d’envoyer une facture en utilisant de fausses données, mais soulignent que cela n’est pas spécifique aux intermédiaires numériques, car il est encore possible aujourd’hui d’envoyer une facture par e-mail, par courrier ou par livraison personnelle, que vous soyez une entité enregistrée ou que vous vous présentiez comme Pero Djetlić, le nom utilisé par Rakar lors de l’inscription. Les intermédiaires d’information, affirment-ils, tout comme Google ou Hrvatska pošta, n’ont pas l’autorité légale de vérifier les relations commerciales entre l’expéditeur et le destinataire ou de vérifier l’authenticité de chaque facture.

Les intermédiaires n’accèdent pas au contenu des factures

Cependant, nous avons contacté PostLink pour déterminer quelles fonctionnalités de sécurité spécifiques cet intermédiaire dans la fiscalisation 2.0 offre et s’ils introduiront des mesures de sécurité supplémentaires maintenant que la question de la sécurité dans les nouveaux processus apportés par la fiscalisation 2.0 est plus forte que jamais.

PostLink a également confirmé à Lider que les systèmes d’échange de factures d’aujourd’hui, que ce soit par livraison physique, e-mail ou canaux numériques, n’incluent pas de vérification stricte de l’identité de l’expéditeur, ce qui ouvre la porte à des malversations.

– Sveračun aujourd’hui fournit à ses utilisateurs un processus d’inscription rapide et simple pour faciliter leur démarrage de la numérisation. Avec l’introduction de la fiscalisation 2.0 à partir du 1er janvier 2026, ce problème sera résolu de manière permanente. L’authentification et la vérification des utilisateurs seront effectuées via l’application Fisk de l’administration fiscale. Ce n’est qu’après que les deux intermédiaires d’information (celui qui envoie et celui qui reçoit la facture) saisissent l’utilisateur dans l’application Fisk et que les utilisateurs confirment cela, que la facture pourra être fiscalisée et envoyée. Il est important de souligner que le nouveau système n’empêchera pas la société A d’envoyer une facture incorrecte ou invalide à la société B, mais la responsabilité de vérifier le contenu incombe toujours au destinataire de la facture – nous disent-ils de PostLink.

Ils ont également souligné que l’intermédiaire d’information légalement n’accède pas au contenu de la facture pendant que les factures sont générées et échangées au format XML et signées avec le certificat d’application de l’intermédiaire d’information. De plus, ajoutent-ils, le système est continuellement amélioré conformément aux exigences de sécurité croissantes, et un niveau de protection supplémentaire est déjà fourni aux utilisateurs aujourd’hui grâce à l’authentification à deux facteurs (2FA).

Concernant certaines mesures de mise à niveau de sécurité futures, ils ont déclaré qu’ils surveillent continuellement les normes réglementaires et de sécurité pour garantir le plus haut niveau de protection du système et réduire le potentiel d’abus. Néanmoins, Sveračun a plusieurs milliers d’utilisateurs, y compris des systèmes petits, moyens et grands qui échangent des milliers de factures chaque mois via la plateforme.

Facteurs numériques

C’est précisément pourquoi, disent-ils, le système est architectoniquement et techniquement préparé à traiter plusieurs dizaines de millions de factures par an.

– La scalabilité est intégrée dans la structure même de la plateforme, permettant une expansion rapide de la capacité en fonction de la demande croissante et des exigences légales – déclarent-ils de PostLink.

Ils notent également que leur communication avec les utilisateurs est quotidienne et très axée sur l’éducation, car comprendre les nouveaux processus fiscaux est la clé d’une transition réussie vers la fiscalisation 2.0. L’équipe a visité plus de 20 villes à travers des ateliers où ils ont expliqué tous les éléments du système aux utilisateurs et résolu des incertitudes, tout en développant simultanément des guides, des leçons vidéo et des matériaux pratiques disponibles à tout moment via l’Académie Sveračun. À cette fin, ils ont également formé une équipe de support client de 20 experts dédiée à fournir aux utilisateurs une assistance rapide et fiable à toutes les étapes de l’utilisation du système.

En tant qu’intermédiaire d’information, Hrvatska pošta voit son rôle comme un ‘facteur’ numérique, un transmetteur de factures entre l’expéditeur et le destinataire, sans aperçu de leur contenu ou de leur relation mutuelle. Par conséquent, la responsabilité des factures suspectes, comme il nous semble, ne leur incombe pas.

Enfin, rappelons que Rakar, dans son article, entre autres, a averti que les factures contiennent des données sensibles aux affaires et que la compromission de l’intermédiaire d’information pourrait permettre un aperçu des flux commerciaux ou même des manipulations potentielles, comme le changement de l’IBAN. Il a souligné que les réglementations existantes pour les intermédiaires n’incluent pas de normes de sécurité obligatoires et que, selon lui, c’est un défaut systémique grave dans la conception du régime de fiscalisation à venir. Il a rappelé que lors de l’eConsultation sur la fiscalisation, il avait proposé l’introduction de conditions de sécurité technique minimales, notamment dans le contexte des obligations découlant de la directive NIS2, mais que ces commentaires avaient été rejetés.