Burgemeester van Nice Éric Ciotti vraagt Lecornu e-facturatie op te schorten na DGFiP-hack

Op vrijdag 22 augustus 2026 schreef burgemeester van Nice en leider van de Unie van de Rechten voor de Republiek (UDR), Éric Ciotti, aan premier Sébastien Lecornu met het verzoek de Franse verplichte elektronische facturatie-hervorming, die op 1 september van kracht zou worden, te schorten. Ciotti stelde dat de recente datalek bij de DGFiP aantoont dat de staat niet klaar is voor een enorme nieuwe stroom aan bedrijfsfacturatiegegevens — en dat doorgaan bedrijven verder zou blootstellen aan fraude en lekken.

De brief kwam minder dan twee weken nadat Bercy bevestigde dat hackers toegang hadden gekregen tot systemen van de Direction générale des Finances publiques (DGFiP), waarbij gegevens van 678.000 particulieren en professionals werden blootgesteld. Met de deadline van de hervorming nu op enkele dagen, veranderde Ciotti’s ingrijpen een technisch compliancevraagstuk in een nationaal politiek conflict over cyberbeveiliging, bureaucratie en het tempo van de digitale overheid.

Redactionele noot: Dit artikel is gebaseerd op berichtgeving van Le JDD, France 24 (AFP), Challenges, Le Figaro, het Franse ministerie van Economie en Financiën en gespecialiseerde belastingbeleidsanalyses, 14–22 augustus 2026. Overheidsplanningen en cijfers over het datalek kunnen worden bijgewerkt naarmate het onderzoek vordert.

Wat Ciotti vraagt

In een brief aan Lecornu die Le JDD inzag, riep Ciotti de premier op «deze deadline op te schorten». Zijn partij wil dat de regering de regel uitstelt die btw-plichtige bedrijven verplicht facturen elektronisch te ontvangen via een door de staat geaccrediteerd platform (PA) of het openbare facturatieportaal.

Ciotti’s kernargument gaat over timing en vertrouwen. Na inbraken die de systemen van de belastingdienst hebben gecompromitteerd, zei hij, moet Frankrijk niet haasten om digitale contactpunten te vermenigvuldigen voordat basisbeveiligingsfouten zijn verholpen.

«Contactpunten voor verzameling en uitwisseling vermenigvuldigen voordat de lessen uit deze mislukkingen zijn getrokken, zou onze bedrijven nog meer blootstellen aan lekken en oplichting», schreef Ciotti volgens Le JDD.

Hij waarschuwde dat elke factuur via het nieuwe systeem gedetailleerde commerciële gegevens naar de administratie zou sturen — identiteiten van leveranciers en klanten, belastingregels en betalingsbedragen — en zo wat hij omschreef als een kaart van de Franse economie zou creëren in infrastructuur die deze zomer al was bezwijkt onder een aanval.

Ciotti merkte ook op dat de verplichting van de Europese Unie voor gestructureerde e-facturatie vooral geldt voor grensoverschrijdende transacties en pas in 2030 is gepland, wat suggereert dat Frankrijk sneller gaat dan Brussel vereist.

De e-facturatiehervorming per 1 september

De Franse hervorming is een van de meest ambitieuze e-facturatie-uitrols in Europa. Vanaf 1 september 2026 moeten grote btw-plichtige ondernemingen gestructureerde elektronische facturen kunnen ontvangen. Kleinere bedrijven volgen latere fasen, maar de start in september is de eerste harde mijlpaal voor de grootste ondernemingen.

Vereiste	Detail
Wie eerst wordt getroffen	Grote btw-plichtige ondernemingen (gefaseerde uitrol tot 2027 voor mkb)
Factuurformaat	Gestructureerde data — bijv. Factur-X, UBL of CII — geen eenvoudige pdf per e-mail tussen bedrijven
Overdracht	Via een van circa 137 geaccrediteerde platforms of het Portail Public de Facturation (PPF)
E-reporting	Transactiegegevens bijna realtime gerapporteerd aan de DGFiP
Boetes	Geldboetes voor niet-conforme uitgifte of het niet elektronisch ontvangen (bedragen variëren per overtreding)

Business-to-consumer-facturen en veel internationale stromen volgen andere regels, maar B2B-compliance vereist nog steeds softwarewijzigingen, platformcontracten en personeelstraining — kosten die werkgeversorganisaties en oppositiepolitici zwaar laten wegen op kleine bedrijven.

Ciotti’s brief verwijst naar een nationale raadpleging onder leiding van Bouches-du-Rhône-afgevaardigde Gérault Verny, die honderden bedrijfsgetuigenissen verzamelde over extra kosten, verloren tijd en dagelijkse administratieve complexiteit. Volgens de UDR geeft negen op de tien respondenten minder dan 50 facturen per maand uit — een profiel typisch voor micro-ondernemingen met beperkte IT-capaciteit.

Het DGFiP-datalek dat de inzet verhoogde

De politieke druk op Lecornu begon niet met Ciotti’s brief. Die volgde op een datalek dat het vertrouwen in Franse fiscale IT-systemen schudde.

Tijdlijn	Gebeurtenis
Eind juni – eind juli 2026	Indringers kregen toegang tot DGFiP-systemen met gecompromitteerde inloggegevens van een belastingambtenaar en een geautoriseerde derde partij
12–13 augustus	Een kwaadwillende actor claimde publiekelijk toegang; Bercy erkende het incident
14–18 augustus	Ministerie bevestigde 678.000 getroffen particulieren en professionals; meldingen begonnen
17 augustus	Lecornu vroeg ANSSI, de Franse cyberbeveiligingsdienst, om een diepgaand audit en leidde een interministeriële crisiscel

Ambtenaren zeiden dat gebruikersnamen en wachtwoorden in de meeste gevallen niet tot de blootgestelde gegevens behoorden, en dat minder dan 250 accounts mogelijk toegang tot berichten tussen belastingplichtigen en de administratie betrof. DGFiP-directeur Amélie Verdier vertelde journalisten dat voor veel professionals de blootgestelde velden openbare of quasi-openbare bedrijfsgegevens waren, hoewel onderzoekers nog controleerden of sommige belastingberichten waren uitgelekt.

Belangrijk is dat overheidsverklaringen en onafhankelijke belastinganalisten benadrukten dat het datalek niet is ontstaan in het Franse dedicatede e-facturatieplatformnetwerk. Het incident betrof bredere DGFiP-informatiesystemen en credentialbeveiliging. Tegenstanders stellen echter dat hetzelfde ministerie dat de hack niet kon voorkomen niet tegelijkertijd mag eisen dat miljoenen facturen door zijn digitale ecosysteem stromen.

In een opinieartikel in Le Figaro op 20 augustus beschuldigde Ciotti de staat ervan belastingplichtigen wekenlang in het ongewisse te hebben gelaten en zei hij dat gestolen fiscale gegevens criminelen effectief hadden «bewapend» in een land dat al worstelt met georganiseerde fraude.

Reactie van de regering tot nu toe

Matignon heeft geen uitstel aangekondigd. Nadat het datalek publiek werd, richtte Lecornu zich direct op onderzoek en slachtoffermelding, niet op het pauzeren van niet-gerelateerde hervormingen.

Op 17 augustus meldde zijn kantoor dat de premier ANSSI opdroeg een diepgaand onderzoek van het DGFiP-incident uit te voeren, als aanvulling op een gerechtelijk onderzoek. Lecornu eiste ook dat elke getroffen persoon individueel wordt geïnformeerd, met details over blootgestelde gegevens en aanbevolen voorzorgsmaatregelen. De DGFiP begon die week met het e-mailen van meer dan 350.000 particulieren.

Zakelijke berichtgeving in Challenges en elders wijst erop dat de regering de uitrol per 1 september technisch nog op schema acht, waarbij de hack wordt gescheiden van de geaccrediteerde platformarchitectuur voor e-facturatie. Belastingambtenaren wezen op jaren van voorbereiding, proefprojecten en platformcertificering.

Die positie laat Ciotti en bondgenoten argumenteren over beleid, niet alleen over beveiligingsoptiek: ook al zijn het datalek en de facturatiekanalen niet hetzelfde systeem, beide vallen onder hetzelfde ministerie en dezelfde geloofwaardigheidstoets.

Wie nog meer om een pauze vraagt

Ciotti staat niet alleen aan de rechterzijde. Burgemeester van Cannes David Lisnard, presidentskandidaat, zei op 21 augustus dat gegeneraliseerde e-facturatie moet worden opgeschort omdat «de staat niet betrouwbaar is». Reconquête-Europarlementariër Sarah Knafo deed een vergelijkbaar verzoek op sociale media en koppelde de facturatieverplichting aan bredere plannen voor online identiteitsverificatie.

De samenloop van cyberbeveiligingsangst en mkb-frustratie geeft oppositiefiguren een enkel verzamelpunt dagen voor een hervorming die bijna elk btw-plichtig bedrijf in Frankrijk raakt.

Wat er nu gebeurt

Met 1 september in zicht hebben bedrijven die platformkeuze of technische integratie nog niet hebben afgerond een krappe marge. Een regeringsuitstel vereist een formeel besluit van Bercy en Matignon; dat was op 22 augustus nog niet aangekondigd.

Het ANSSI-audit en gerechtelijke procedures kunnen maanden duren. Zelfs als de facturatie volgens planning doorgaat, kan het datalek het parlementaire debat over overheids-IT-uitgaven, toegangscontroles voor derden en hoe snel Frankrijk commerciële gegevens moet centraliseren hervormen.

Voor lezers die zoeken naar wie burgemeester van Nice is in deze context: Éric Ciotti bekleedt het ambt terwijl hij de UDR leidt en zich positioneert als hardliner conservatieve stem over veiligheid en administratieve overreach. Zijn brief aan Lecornu is zowel een beleidsuitdaging als een herinnering dat nationale schandalen lokale bestuurders kunnen optillen naar bredere Franse politieke debatten.

---

Discussie

Frankrijk gokt dat het digitaliseren van facturen fraude zal terugdringen en belastinginning moderniseren — maar de DGFiP-hack kwam op het slechtst mogelijke moment voor publiek vertrouwen.

1. Moet een cyberbeveiligingslek een grote digitale hervorming vertragen, ook als ambtenaren zeggen dat het gehackte systeem losstaat van het nieuwe?

Ciotti zegt dat het ministerie zich het recht niet heeft verdiend zijn datavoetafdruk uit te breiden. De regering zegt dat de platforms klaar zijn. Waar zou u de grens trekken?

2. Gaat Frankrijk te snel vergeleken met het EU-grensoverschrijdende tijdschema van 2030?

Voorstanders zien first-mover-voordeel en strakkere btw-controle; critici zien vermijdbare kosten voor kleine bedrijven die slechts enkele tientallen facturen per maand uitgeven. Weegt nationale ambitie op tegen de compliance-last?

Als u een bedrijf runt — in Frankrijk of elders — hoeveel zou een last-minute uitstel helpen versus de verstoring van weer een gewijzigde deadline?