Le 8 novembre 2026, plusieurs médias belges rapportent qu’une cyberattaque contre le SPF Finances bloque l’activation des numéros de TVA de milliers d’entrepreneurs, avec mise en place d’une procédure de secours par l’administration selon La Libre. Des créateurs d’entreprise se retrouvent sans numéro actif au moment de facturer leurs premiers clients, y compris vers la France et l’Union européenne. L’incident est belge, mais la question qu’il soulève est directement européenne et française : que vaut une facture quand le numéro TVA intracommunautaire est introuvable ou déclaré invalide, comment vérifier un numéro dans le système européen VIES, quelles obligations de notification s’imposent après une violation de données, et quels recours permettent de facturer, déduire et contester sans s’exposer à un redressement. Cet article décrit la méthode complète en droit français et européen : vérifier le numéro, sécuriser la facturation vers la France, notifier et porter plainte après une cyberattaque, puis contester tout redressement TVA avec les textes et les décisions applicables.
I. Vérifier et sécuriser son numéro TVA quand les registres sont perturbés
A. Où trouver son numéro TVA intracommunautaire et comment le vérifier dans VIES
Le numéro individuel d’identification à la TVA n’est pas un simple numéro administratif : c’est la clé qui ouvre le commerce intra-européen. La directive 2006/112/CE impose aux États membres une obligation d’identification systématique : « Les États membres prennent les mesures nécessaires pour que soient identifiées par un numéro individuel les personnes suivantes », dont « tout assujetti, à l’exception de ceux visés à l’article 9, paragraphe 2, qui effectue sur leur territoire respectif des livraisons de biens ou des prestations de services lui ouvrant droit à déduction, autres que des livraisons de biens ou des prestations de services pour lesquelles la TVA est due uniquement par le preneur ou le destinataire conformément aux articles 194 à 197 et à l’article 199 » (directive 2006/112/CE, article 214). En pratique, un entrepreneur qui vend des biens ou des services à des clients assujettis dans un autre État membre, par exemple un prestataire belge qui facture une société française, doit disposer de ce numéro individuel avant d’émettre des factures hors taxe en suspension de TVA. Sans numéro actif, la chaîne de la déduction se grippe et chaque facture devient contestable.
La structure même du numéro fournit un premier contrôle accessible à tout chef d’entreprise. « Le numéro individuel d’identification TVA comporte un préfixe conforme au code ISO — 3166 alpha 2 — permettant d’identifier l’État membre par lequel il a été attribué. Néanmoins, la Grèce est autorisée à utiliser le préfixe «EL». » (directive 2006/112/CE, article 215). Un numéro français commence donc par FR suivi de deux chiffres de contrôle et du numéro SIREN à neuf chiffres, un numéro belge par BE suivi de dix chiffres, un numéro italien par IT. Quand un partenaire affiche un numéro sans préfixe, avec un préfixe incohérent ou avec un nombre de caractères anormal, la vérification s’impose avant toute facture : l’erreur de préfixe suffit à faire échouer un contrôle automatisé et à signaler l’opération lors d’un contrôle fiscal. Les questions que les internautes saisissent réellement dans Google, comme « numero tva intracommunautaire ou le trouver », « numero tva avec siret » ou « numero tva sur kbis », montrent que la première difficulté est déjà l’identification : en France, le numéro figure sur l’avis de situation SIRENE, sur les factures et dans l’espace professionnel du site des impôts, et il suit l’attribution du SIRET sans s’y confondre.
La vérification passe ensuite par le système européen VIES (VAT Information Exchange System), l’outil officiel de la Commission européenne qui interroge les registres nationaux : système VIES de vérification des numéros TVA. Saisir le préfixe pays et le numéro renvoie une réponse binaire, valide ou invalide, avec la raison sociale et l’adresse associées lorsque l’État membre diffuse ces données. Trois réflexes s’imposent. D’abord, vérifier son propre numéro dès son attribution et conserver une capture datée de la réponse VIES : en cas de litige ultérieur sur la validité à une date donnée, cette preuve horodatée démontre la diligence du redevable. Ensuite, vérifier le numéro de chaque nouveau client intracommunautaire avant d’émettre une facture hors taxe, et recontrôler périodiquement les clients réguliers, car un numéro peut être désactivé entre deux commandes. Enfin, quand VIES répond invalide alors que l’administration a confirmé l’attribution, ne pas facturer hors taxe par défaut : adresser immédiatement une demande écrite au service des impôts des entreprises compétent, par messagerie sécurisée de l’espace professionnel, pour obtenir confirmation écrite du statut et de la date d’activation. C’est exactement la situation créée par la cyberattaque rapportée le 8 novembre 2026 contre le SPF Finances : les numéros existent dans les dossiers des demandeurs mais ne sont pas activés dans les registres consultables, de sorte que VIES et les partenaires les traitent comme inexistants.
Quand le registre national est lui-même indisponible, comme après la cyberattaque contre les services numériques du SPF Finances décrite par La Libre, la prudence commande de constituer un dossier de substitution : récépissé de demande d’immatriculation, échanges avec l’administration, captures VIES négatives datées, correspondance avec les clients expliquant le report de la facturation hors taxe. Ce dossier servira deux fois : d’abord pour justifier auprès des clients français le choix d’une facturation prudente, ensuite pour contester tout redressement qui reprocherait une facturation irrégulière pendant la période de blocage. La charge de la preuve en matière de TVA pèse sur l’assujetti qui revendique l’exonération ou la déduction, de sorte que chaque vérification non documentée est une vérification perdue. Un entrepreneur qui accumule les preuves de diligence dès le premier jour se place dans la position la plus solide possible quand l’administration rouvre ses registres et que les contrôles commencent.
B. Cyberattaque sur l’administration ou sur l’entreprise : notifier, informer et porter plainte
Une cyberattaque qui paralyse un registre fiscal emporte presque toujours une violation de données à caractère personnel : les dossiers d’immatriculation contiennent noms, adresses, dates de naissance et pièces d’identité des dirigeants. Le règlement général sur la protection des données impose alors une mécanique stricte dont le point de départ est la notification à l’autorité de contrôle : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. » (règlement (UE) 2016/679, article 33, paragraphe 1). Le délai court à compter de la prise de connaissance, pas de l’intrusion elle-même, et tout dépassement doit être motivé par écrit. Pour une entreprise française dont les données clients ou salariés ont été exposées lors d’une attaque comparable à celle qui a visé l’administration belge, la notification se fait auprès de la CNIL via son téléservice dédié, avec la description de la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures de remédiation déjà prises.
La seconde obligation vise les personnes dont les données ont fuité : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » (règlement (UE) 2016/679, article 34, paragraphe 1). Cette communication s’écrit en termes clairs et simples, sans jargon technique, et elle indique au moins le point de contact, les conséquences probables et les mesures prises. Elle n’est pas exigée quand des mesures de protection appropriées rendaient les données incompréhensibles aux personnes non autorisées, typiquement un chiffrement robuste dont la clé n’a pas été compromise, ou quand des mesures ultérieures écartent le risque élevé. Pour un entrepreneur dont le dossier d’immatriculation a été exposé, la vigilance porte sur l’usurpation d’identité et les immatriculations frauduleuses : surveiller les courriers de l’administration fiscale, vérifier régulièrement sa situation SIRENE et signaler toute facture ou tout compte inconnu. La méthode détaillée après une fuite massive est exposée dans notre dossier sur les données personnelles piratées : que faire après une cyberattaque, plainte et indemnisation.
Le droit pénal français sanctionne lourdement les négligences qui entourent les traitements de données. « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (code pénal, article 226-17). Les articles visés couvrent la responsabilité du responsable de traitement, la protection dès la conception, le registre des activités et la sécurité des traitements, de sorte qu’une entreprise qui stocke les dossiers clients sans chiffrement, sans contrôle d’accès et sans journalisation s’expose autant au titre de sa propre sécurité que du fait de l’attaquant. De même, « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. Est puni des mêmes peines le fait, y compris par négligence, de procéder ou de faire procéder à un traitement qui a fait l’objet de l’une des mesures prévues au 3° du IV de l’article 20 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. » (code pénal, article 226-16). Poursuivre un traitement interdit par la CNIL après une mise en demeure relève donc du délit, même sans intention frauduleuse.
Concrètement, l’entreprise victime d’une cyberattaque qui expose ses propres fichiers ou ceux de ses clients suit un ordre impératif : isoler les systèmes compromis et préserver les journaux, faire notifier la violation à la CNIL dans le délai de 72 heures après en avoir pris connaissance avec les motifs d’un éventuel retard, informer les personnes exposées à un risque élevé en termes clairs, déposer plainte pour atteintes aux systèmes de traitement automatisé de données afin de faire constater l’infraction et de se constituer partie civile, puis déclarer le sinistre à l’assureur cyber quand une garantie existe. La plainte pénale n’est pas une formalité : elle ouvre l’accès au dossier d’enquête, elle interrompt les discussions avec l’assureur qui exigerait la preuve d’une infraction, et elle documente la diligence de l’entreprise face à une action ultérieure en responsabilité de clients dont les données auraient été réutilisées par des tiers. Les captures VIES négatives, les récépissés fiscaux et les constats d’huissier ou de commissaire de justice sur l’indisponibilité des registres complètent ce dossier et pèseront autant devant le juge pénal que devant le juge de l’impôt.
II. Facturer et préserver ses droits sans numéro actif
A. Facturer vers la France et sécuriser la déduction de TVA pendant le blocage
Le principe français de la déduction est éclairé par un arrêt de cassation publié au Bulletin, dans lequel la chambre commerciale juge « qu’il s’ensuit qu’afin de respecter le principe de neutralité du système de taxe sur la valeur ajoutée, les dispositions de l’article 271 du code général des impôts doivent être interprétées de manière à ce qu’il ne soit pas procédé, pour l’exercice du droit à déduction, à une distinction arbitraire entre les dépenses effectuées par une entreprise avant l’exploitation effective de celle-ci, celles exposées au cours de cette exploitation et celles engagées pour mettre fin à cette exploitation ou à sa liquidation » (Cass. com., 23 nov. 2022, n° 21-13.613). L’enseignement dépasse le contentieux d’espèce : le droit à déduction ne peut pas être amputé par des distinctions arbitraires tenant au moment où la dépense est engagée, et le contribuable qui documente ses dépenses et leur lien avec des opérations ouvrant droit à déduction se place sous la protection de cette lecture neutre.
Pendant la période où le numéro reste inactif dans les registres, trois stratégies de facturation se présentent, avec des risques très inégaux. La première consiste à facturer hors taxe vers un client français en présumant que le numéro sera activé rétroactivement : c’est la plus dangereuse, car si l’administration française considère que le fournisseur n’était pas identifié à la date de la facture, elle peut remettre en cause l’exonération de la livraison intracommunautaire et réclamer la TVA française au fournisseur, en plus des pénalités. La deuxième consiste à facturer avec la TVA de l’État du fournisseur ou avec la TVA française selon les règles de territorialité applicables, puis à régulariser par avoir et nouvelle facture une fois le numéro activé : elle coûte une avance de trésorerie et des démarches comptables, mais elle protège le client français dont la déduction reste assise sur une facture régulière. La troisième consiste à différer la facturation en informant le client par écrit du blocage administratif, avec acomptes documentés et facture émise dès l’activation : elle suppose un client compréhensif et un contrat qui autorise ce décalage. Dans tous les cas, la facture doit mentionner exactement le numéro tel qu’attribué, avec le bon préfixe pays rappelé par l’article 215 de la directive, et toute facture émise avec un numéro encore inactif dans VIES doit être accompagnée de la preuve écrite de la demande d’activation et des captures de vérification datées.
Le client français qui reçoit une facture d’un fournisseur au numéro incertain n’est pas sans défense ni sans devoir. Il vérifie lui-même le numéro sur VIES avant de payer, il exige une attestation d’immatriculation et, en cas de doute persistant, il provisionne la TVA plutôt que de la déduire immédiatement. La Cour de justice de l’Union européenne a jugé à plusieurs reprises que le droit à déduction ne peut pas être refusé au seul motif d’irrégularités formelles quand les conditions de fond de l’opération sont réunies et que l’assujetti ne participait à aucune fraude, mais cette protection suppose que l’acheteur ait agi de bonne foi et accompli les vérifications raisonnables. Conserver les réponses VIES, les attestations du fournisseur et la correspondance sur le blocage administratif, c’est se ménager la preuve de cette bonne foi. À l’inverse, déduire massivement sur des factures hors taxe émises par un fournisseur dont VIES déclare le numéro invalide, sans aucune démarche de vérification, expose l’acheteur français à un rappel de TVA assorti d’intérêts et de majorations lors du contrôle.
La sortie de crise se prépare dès le premier jour du blocage : tableau des factures en attente avec dates, montants et numéros concernés, copies des demandes adressées à l’administration, réponses et récépissés, captures VIES régulières montrant le passage d’invalide à valide, avoirs et factures rectificatives émis après activation. Quand l’administration fiscale, française ou belge, interrogera la période, ce tableau racontera une entreprise diligente entravée par une défaillance extérieure, et non une entreprise négligente qui facturait à l’aveugle. Les intérêts de retard et les majorations se contestent d’autant mieux que le dossier démontre l’impossibilité matérielle de faire autrement et la régularisation spontanée dès la fin du blocage, comme l’illustre la lecture neutre de l’article 271 retenue par la Cour de cassation au profit du droit à déduction (Cass. com., 23 nov. 2022, n° 21-13.613).
B. Poursuivre les attaquants et contester tout redressement TVA
Les auteurs d’une cyberattaque contre un registre fiscal s’exposent aux peines les plus lourdes du droit français des systèmes d’information. « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 € d’amende. Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende. » (code pénal, article 323-1). Un registre d’identification TVA tenu par l’État entre directement dans cette circonstance aggravante : paralyser l’activation des numéros, c’est altérer le fonctionnement d’un système étatique de données personnelles, et la peine encourue passe à sept ans d’emprisonnement et 300 000 euros d’amende. De même, « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. Lorsque cette infraction a été commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende. » (code pénal, article 323-3). L’extraction des dossiers d’immatriculation des entrepreneurs relève de ce second texte dès lors que les données sont détenues ou transmises après l’intrusion.
La Cour de cassation a précisé les frontières de ces incriminations dans trois décisions que toute victime doit connaître avant de déposer plainte. D’abord, la suppression de données par une personne pourtant autorisée à accéder au système devient nécessairement frauduleuse quand elle est clandestine : « En revanche, des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification. » (Cass. crim., 8 juin 2021, n° 20-85.853). Ensuite, et en miroir, l’utilisateur qui agit au grand jour dans le cadre de ses droits ne commet pas l’infraction : « En effet, les atteintes aux systèmes de traitement automatisé de données prévues aux articles 323-1 à 323-3 du code pénal ne sauraient être reprochées à la personne qui, bénéficiant des droits d’accès et de modification des données, procède à des suppressions de données, sans les dissimuler à d’éventuels autres utilisateurs du système » (Cass. crim., 7 janv. 2020, n° 18-84.755). Enfin, le maintien abusif dans le système suffit à caractériser l’infraction même avec un droit d’accès général : « En effet, se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cass. crim., 2 sept. 2025, n° 24-83.605). Pour l’entreprise victime, ces décisions cadrent la plainte : décrire l’intrusion, la dissimulation par les attaquants et l’usage étranger à toute mission, en distinguant soigneusement les interventions légitimes de ses propres administrateurs, qui agissaient au grand jour pour contenir l’attaque.
La contestation d’un redressement TVA né de la période de blocage suit une progression rigoureuse. D’abord, répondre à la proposition de rectification en joignant le dossier de diligence : demande d’immatriculation, récépissés, captures VIES datées, correspondance avec l’administration, avoirs et factures rectificatives. Ensuite, démontrer que les conditions de fond des opérations étaient réunies, avec des flux réels, des contrats et des paiements tracés, de sorte que seule la formalité de l’identification faisait défaut pour une cause extérieure. Puis saisir la commission départementale ou nationale des impôts directs et des taxes sur le chiffre d’affaires selon les montants en jeu, avant de porter le litige devant le tribunal administratif avec une demande de sursis de paiement pour les sommes contestées. Chaque étape doit être écrite, motivée et appuyée sur les pièces du dossier de crise, car le juge de l’impôt apprécie la bonne foi du redevable à ses diligences concrètes. L’argument décisif reste celui de la diligence contrariée : une entreprise qui a tout tenté pour obtenir son numéro, qui a facturé prudemment et régularisé spontanément, ne peut pas être traitée comme un fraudeur à la TVA, et les pénalités pour manquement délibéré ou manoeuvres frauduleuses supposent une intention que le dossier de diligence exclut.
Conclusion
La cyberattaque qui prive des entrepreneurs de leur numéro TVA, comme celle rapportée le 8 novembre 2026 contre l’administration belge, concentre en une seule crise trois contentieux : l’identification européenne des assujettis, la protection des données personnelles et la régularité de la facturation. La réponse tient en quatre gestes : vérifier chaque numéro sur VIES et conserver les preuves datées, notifier toute violation de données à la CNIL dans le délai de 72 heures après en avoir pris connaissance et informer les personnes exposées à un risque élevé, facturer prudemment pendant le blocage puis régulariser par avoirs et factures rectificatives, et contester tout redressement avec un dossier de diligence complet adossé à l’article 271 du code général des impôts, aux articles 323-1 et 323-3 du code pénal, aux articles 226-16 et 226-17 du même code, aux articles 33 et 34 du RGPD et aux articles 214 et 215 de la directive TVA. Constitué dès le premier jour du blocage, ce dossier protège la déduction, fonde la plainte pénale et désarme les majorations.