Arrêté n° 1518 du 9 juillet 2026 fixant les modalités d’homologation des terminaux, des versions de logiciels et des systèmes ERP de facturation électronique du SFEC

Le présent arrêté fixe les modalités d’homologation des terminaux, des versions de logiciels et des systèmes ERP de facturation électronique du SFEC.

Sont soumis aux procédures découlant des modalités d’homologation :

• les fournisseurs de terminaux de facturation électronique, qu’ils soient établis en République du Congo ou à l’étranger, pour les équipements qu’ils entendent mettre sur le marché national ;
• les distributeurs de terminaux de facturation électronique, pour les équipements qu’ils commercialisent ou importent ;
• les éditeurs de logiciels de facturation électronique, y compris les revendeurs des systèmes ERP, intégrant des modules de facturation, pour les versions logicielles qu’ils souhaitent commercialiser ou déployer en République du Congo.

Tout terminal de facturation électronique, logiciel ou système ERP SFEC importé, fabriqué ou développé sur le territoire national doit être préalablement homologué selon son type, sa version et son modèle.

Tout distributeur des terminaux et/ou de versions de logiciels, ou revendeur de système ERP, intégrant des modules de facturation du SFEC, doit être établi ou avoir une représentation sur le territoire national.

Les agents économiques ayant développé ou fait développer, pour un usage interne exclusif, un système de facturation électronique à usage non commercial, sont soumis à l’obligation d’auto-déclaration dans les conditions définies par le présent arrêté.

Les modalités d’homologation des terminaux, versions de logiciels et systèmes ERP de facturation électronique du SFEC, s’effectue en quatre étapes :

• la vérification de la recevabilité administrative du dossier et l’analyse technique par la direction générale des Impôts et des domaines (DGID) ;
• les tests de la vérification de conformité technique et fonctionnelle, effectués par l’administration fiscale ;
• l’évaluation de conformité aux exigences de sécurité des systèmes d’information, effectuée par l’agence nationale de sécurité des systèmes d’Information (ANSSI) ;
• le contrôle technique à l’importation, effectuée par l’Agence congolaise de normalisation et de la qualité (ACONOQ).

Au sens du présent arrêté, on entend par :

• homologation : ensemble des opérations de contrôle et essais par lesquels un organisme agréé, atteste qu’un terminal ou logiciel de facturation électronique est conforme aux normes techniques du SFEC et aux exigences de sécurité des systèmes d’information ;
• vérification de conformité : ensemble des opérations visant à vérifier la compatibilité technique et de sécurité d’un terminal ou logiciel avec les exigences du SFEC, en vue de l’obtention d’un certificat d’homologation ;
• contrôle technique : ensemble des analyses ou tests effectués sur un terminal, logiciel ou système ERP visant à s’assurer de sa conformité aux spécifications techniques et de sécurité du SFEC.

Toute demande d’homologation d’un terminal, d’une version de logiciel ou de systèmes ERP de facturation électronique du SFEC, est adressée à la DGID.

La DGID et l’ANSSI, sont conformément aux dispositions des articles 6, 7 et 8 du décret n° 2026-101 du 31 mars 2026 susvisé, chargées :

• d’étudier le dossier de demande d’homologation ;
• d’effectuer les opérations de contrôle et d’essais ;
• de délivrer un certificat d’homologation au vu du résultat des tests.

En cas de tests non concluants, l’homologation est refusée par une décision motivée, et l’entier dossier est retourné au demandeur.

Le délai de réponse à toute demande d’homologation est de trente jours maximums, à partir de la date du dépôt du dossier de la demande.

Le cas échéant, à partir de la date de la notification aux demandeurs de la transmission d’informations complémentaires, nécessaires à l’étude du dossier.

Ces informations complémentaires doivent, à peine d’irrecevabilité, être transmises dans un délai n’excédant pas quinze jours ouvrés, à partir de la date de leur notification par lettre recommandée, avec accusé de réception.

Le dossier de demande d’homologation fiscale doit comporter les pièces suivantes :

• une lettre de demande d’homologation, précisant la nature du système (TFC, TCC, logiciel ERP ou solution hybride), le périmètre de l’homologation sollicitée, les coordonnées complètes du demandeur et le nom du représentant habilité ;
• une copie de l’extrait du Registre du Commerce et du Crédit Mobilier (RCCM) ou équivalent étranger, et le NIU du demandeur, ou la preuve de son immatriculation fiscale dans son pays d’origine ;
• une attestation de régularité fiscale en cours de validité, délivrée par l’administration fiscale compétente ;
• une description technique détaillée du système architecture, fonctionnalités, flux de données, diagrammes d’architecture, modes d’intégration avec la plateforme de gestion du SFEC (PGSFEC) ;
• le tableau de conformité aux spécifications techniques publiées par la DGID, attestant la satisfaction aux exigences du référentiel ;
• la documentation du module cryptographique et les certifications correspondantes (FIPS 140-2 ou équivalent) ;
• les résultats des tests d’intégration effectués en environnement Sandbox de la PGSFEC, avec les journaux de test complets ;
• le guide d’installation, le manuel d’utilisation et le manuel de contrôle du système ;
• la politique de sécurité du système : gestion des accès, gestion des clés, journalisation, procédures de gestion des incidents ; les rapports d’audit ou de tests de sécurité réalisés par un prestataire qualifié, le cas échéant ;
• l’engagement écrit du fournisseur à assurer la maintenance, le support technique et la disponibilité des pièces de rechange, pendant une période minimale de trois ans, à compter de la date de vente ;
• deux unités fonctionnelles destinées aux tests physiques, livrées à l’adresse communiquée par la DGID, à la charge exclusive du demandeur, pour les terminaux matériels (TFC).

Le dossier de demande d’homologation de la sécurité des systèmes d’information doit comporter les pièces suivantes :

• la description de l’architecture matérielle et logicielle ;
• la description des mécanismes cryptographiques mis en œuvre et attestation de certification cryptographique (Common Criteria, FIPS 140-2/3 ou équivalent) ;
• les spécifications détaillées du module sécurisé (HSM), attestant l’impossibilité d’extraction des clés ;
• le rapport de test d’intrusion (pentest) datant de moins de douze mois ;
• le journal des auto-tests de sécurité (secure boot, intégrité logicielle) sur une période représentative ;
• l’attestation de conformité à l’API SFEC issue des tests en environnement Sandbox ;
• le rapport d’exécution des tests de charge et de performance ;
• les preuves de mise en œuvre d’un mécanisme de file d’attente garantissant l’absence de perte de données ;
• l’attestation de séparation effective des environnements (développement, test, production) ;
• la politique de gestion des accès (IAM) appliquée, avec traçabilité des actions ;
• les preuves de chiffrement des données au repos (base de données, journaux, fichiers de configuration sensibles).

Le demandeur atteste sur l’honneur :

• l’absence de backdoor, fonction cachée, mécanisme de contournement ou porte dérobée, quelle qu’en soit la forme ;
• l’absence de tout dispositif permettant une altération non détectable des données de facturation ou des journaux de sécurité ;
• l’efficacité des mécanismes de journalisation et de détection des anomalies.

La demande de renouvellement du certificat d’homologation comprend les pièces suivantes :

• une déclaration actualisée de conformité du système aux spécifications techniques et aux exigences de sécurité du SFEC en vigueur ;
• les rapports d’incidents survenus depuis la délivrance du certificat d’homologation initial, ainsi que la description détaillée des modifications apportées au système ;
• la preuve du paiement des droits de renouvellement prévus, conformément à la réglementation en vigueur.

L’instruction de la demande de renouvellement est menée selon une procédure simplifiée, lorsque le système remplit cumulativement les deux conditions suivantes :

• il n’a subi aucune modification substantielle depuis la délivrance du dernier certificat d’homologation ;
• aucune violation à la réglementation en vigueur, n’a été constatée lors des contrôles post-homologation.

Dans le cas contraire, la procédure d’homologation de droit commun prévue par le présent arrêté est appliquée.

Tout agent économique ayant développé ou fait développer, pour son propre usage interne exclusif, un système de facturation électronique à usage non commercial, est tenu de respecter la procédure d’auto-déclaration, dans ce cas spécifique, conformément aux dispositions du présent arrêté.

Pour bénéficier de l’auto-déclaration, l’agent économique doit :

• obtenir les spécifications du protocole de communication PGSFEC auprès de la DGID, publiées sur le portail e-facture ;
• conformer son système aux spécifications du protocole de communication PGSFEC et aux exigences de l’arrêté relatif aux exigences de conformité fiscale ;
• effectuer et valider les tests d’intégration en environnement Sandbox ;
• remplir et soumettre le formulaire d’auto-déclaration à la DGID ;
• attendre la confirmation d’approbation de la DGID et de l’ANSSI, avant toute utilisation du système en production.

Si aucune anomalie n’est détectée par la DGID et l’ANSSI, dans un délai de trente jours, à compter du dépôt du dossier d’auto-déclaration, il lui est délivré, une attestation de conformité d’auto-déclaration, conjointement signée par les directeurs généraux des deux entités précitées, permettant l’utilisation du système.

En cas de détection d’anomalies, le déclarant est informé des corrections nécessaires. Après réalisation des corrections, il est tenu de reprendre l’ensemble de la procédure relative à l’auto-déclaration, définie dans le présent arrêté.

Tout agent économique ayant obtenu son attestation de conformité d’auto-déclaration est soumis aux obligations suivantes :

• utiliser uniquement la version du système ayant obtenu l’attestation de conformité ;
• informer préalablement la DGID et l’ANSSI de toute modification du système ;
• pour une éventuelle nouvelle approbation, avant toute utilisation ;
• se conformer à l’ensemble des obligations des utilisateurs du SFEC, conformément à la réglementation en vigueur.

Les tests de conformité technique et fonctionnelle sont conduits par la DGID, en environnement Sandbox et le cas échéant en conditions réelles. Ils portent sur :

• la conformité du système aux spécifications de l’API SFEC, publiées par la DGID. Les tests de conformité technique et fonctionnelle sont conduits par la DGID, en environnement Sandbox et le cas échéant en conditions réelles. Ils portent sur l’ensemble des exigences de conformité fiscale, fixées conformément à la réglementation en vigueur ;
• la capacité du système à émettre des factures comportant toutes les mentions obligatoires définies par l’arrêté relatif aux exigences de conformité fiscale du système SFEC ;
• le fonctionnement du dispositif d’horodatage qualifié et la conformité de l’horloge interne du système ;
• la génération et la lisibilité du Code QR de vérification  ;
• le fonctionnement du mode dégradé et la fiabilité de la synchronisation différée pour les systèmes TCC et TFC ;
• la robustesse des mécanismes de file d’attente et de rejet des requêtes, en cas d’interruption réseau ;
• les performances du système : délais de traitement, capacité de montée en charge, temps de réponse.

Le demandeur doit procéder à la démonstration effective de l’ensemble des fonctionnalités du système, auprès du service compétent de la DGID.

Il est responsable du traitement de l’ensemble des problèmes signalés lors des tests.

La procédure de la vérification et d’évaluation de conformité aux exigences de sécurité des systèmes d’information, est définie dans le référentiel des exigences technique de sécurité des systèmes d’information, prévue par les dispositions de l’article 8 du décret n° 2026-101 du 31 mars 2026 susvisé, élaboré par l’ANSSI.

Le contrôle technique à l’importation des terminaux, logiciels et systèmes ERP de facturation électronique, est effectué par l’ACONOQ ou par tout autre organisme agréé par l’ACONOQ à cet effet.

Pour la réalisation de l’opération du contrôle technique, l’ACONOQ s’appuie sur les exigences fiscales et de sécurité des systèmes d’information, définies respectivement par la DGID et l’ANSSI, conformément à la réglementation en vigueur.

L’avis de l’ACONOQ ne suspend pas la procédure d’homologation.

En cas de doute de la conformité des terminales et des logiciels, utilisés dans le cadre du SFEC, des contrôles physiques approfondis de ces équipements peuvent être effectués, lors des opérations de déploiement des commandes globales du fournisseur ou du distributeur, conformément à la réglementation en vigueur.

Le certificat d’homologation SFEC est personnel et ne peut être ni cédé, ni transféré, ni mis à la disposition d’un tiers, à quelque titre que ce soit.

Toute modification du terminal ou du logiciel du SFEC, doit faire l’objet d’une nouvelle demande d’homologation, conformément à la réglementation en vigueur.

Sont dispensés de l’homologation fiscale, tout système de facturation électronique connecté au SFEC pour la phase pilote, ainsi que les systèmes existants compatibles avec les API SFEC.

Ces systèmes disposent d’un délai de trois mois, à compter de la date de publication du présent arrêté, pour finaliser le processus d’homologation de sécurité des systèmes d’information, en vue de l’obtention du certificat d’homologation, conformément à la réglementation en vigueur.

La liste des systèmes SFEC homologués, est publiée et actualisée sur le site web : sfec.gouv.cg

Le présent arrêté sera enregistré et publié au Journal officiel de la République du Congo.