Article 125 de la loi de finances 2026 : l'auto-attestation éditeur est rétablie

La loi de finances 2025 (14 février 2025, art. 43) avait supprimé l'auto-attestation éditeur au profit d'une certification obligatoire par organisme tiers (AFNOR ou LNE), effective au 1er septembre 2026. L'idée : durcir la lutte contre la fraude TVA en imposant un contrôle externe sur les logiciels de caisse.

Un an plus tard, la loi n° 2026-103 du 19 février 2026 (LF 2026), à travers son article 125, fait marche arrière : l'auto-attestation par l'éditeur est à nouveau valable, en alternative à la certification tiers. Les deux modes cohabitent désormais. Source officielle : BOFIP ACTU-2026-00073.

Pour un éditeur de logiciel de caisse

L'éditeur peut choisir :

• Voie A — Certification organisme tiers. Dépôt d'un dossier auprès d'AFNOR Certification ou LNE, audit technique et documentaire, obtention d'un numéro de certificat (ex. NF525 n° 525/xxxx). Coût : plusieurs milliers d'euros par produit, délai de plusieurs mois.
• Voie B — Attestation individuelle. L'éditeur publie une attestation écrite, conforme au modèle administratif, engageant sa responsabilité sur la satisfaction des critères ISCA (inaltérabilité, sécurisation, conservation, archivage). Document tenu à disposition en cas de contrôle DGFiP.

Les deux voies ont la même valeur juridique depuis la LF 2026 art. 125. Ni l'une ni l'autre n'est « supérieure » en droit.

Pour un commerçant assujetti à la TVA

Vous devez simplement utiliser un logiciel qui respecte les critères ISCA et présenter, en cas de contrôle fiscal, l'une OU l'autre des pièces :

• Numéro de certification (si votre éditeur est passé par AFNOR/LNE), OU
• Attestation individuelle éditeur (si votre éditeur a choisi cette voie).

Votre éditeur doit vous la fournir sur simple demande.

Ne tombez pas dans le piège du débat « attestation = moins sérieux ». Les deux voies engagent la même obligation de conformité aux critères ISCA. La différence est procédurale :

• L'attestation repose sur la bonne foi et la responsabilité de l'éditeur. Un éditeur qui atteste à tort s'expose à des sanctions pénales (faux en écriture) et civiles (responsabilité contractuelle envers ses clients). C'est une engagement fort.
• La certification tiers ajoute un audit externe qui vérifie cette conformité. C'est une preuve plus lourde, mais elle ne change pas la nature du respect ISCA.

Lors d'un contrôle DGFiP, l'inspecteur regardera d'abord les critères ISCA dans votre logiciel (journaux inaltérables, clôtures périodiques, archivage probant). La preuve administrative (attestation ou certificat) est secondaire à la preuve technique.

ISCA = quatre obligations qui n'ont pas bougé avec la LF 2026 :

1. Inaltérabilité : une vente enregistrée ne peut plus être modifiée après coup. Seul un ticket d'annulation (tracé) peut l'annuler.
2. Sécurisation : traçabilité des accès, des opérations, des utilisateurs. Pas de compte partagé, pas d'intervention silencieuse en base.
3. Conservation : données de caisse conservées pendant toute la durée légale (6 ans minimum, souvent 10).
4. Archivage : clôtures périodiques (journalier, mensuel, annuel) avec bandes de contrôle, exports probants pour contrôle fiscal.

Un logiciel qui respecte ISCA est conforme, quel que soit le mode de preuve choisi par son éditeur.

L'article 125 LF 2026 n'assouplit PAS les sanctions. Un commerçant qui utilise un logiciel non conforme (ni attesté ni certifié, ou attesté/certifié à tort) s'expose toujours à :

• Amende de 7 500 € par logiciel non conforme.
• Obligation de mise en conformité sous 60 jours.
• Redressement TVA possible sur la période concernée.

Autrement dit : le rétablissement de l'auto-attestation abaisse le coût pour l'éditeur, pas pour le commerçant. Le commerçant reste pleinement responsable du choix d'un logiciel réellement conforme.

Quatre questions à poser à votre éditeur avant de signer :

1. « Attestation ou certification ? » — les deux valent. Demander à voir le document.
2. « À quand remonte la dernière mise à jour attestée/certifiée ? » — si la version déployée chez vous est plus ancienne, vous êtes hors scope de l'attestation.
3. « Comment sont gérées les clôtures périodiques ? » — demander un export ISCA type.
4. « Les données sont-elles hébergées où ? » — hébergement France ou UE = conformité RGPD facilitée en cas de contrôle.

Si votre éditeur botte en touche sur l'une de ces questions, c'est un drapeau rouge. Un éditeur sérieux a ces documents prêts.

Sora Caisse POS a fait le choix de la voie attestation individuelle depuis 2018 (article 88 de la loi de finances 2016), confirmée par la LF 2026 art. 125. Notre attestation, conforme au modèle officiel, est tenue à disposition de nos clients sur simple demande. Les quatre critères ISCA sont respectés nativement par notre architecture cloud + module connecteur PrestaShop. Hébergement en France, exports probants au format FEC standard, clôtures journalières et mensuelles automatiques.

Pour aller plus loin sur la conformité globale, voir notre page conformité légale et notre page facturation électronique PrestaShop.