NF525
#Définition NF525
La norme NF525 (référence complète : NF 525 — Logiciels de caisse) est publiée par l'AFNOR (Association Française de Normalisation) et rendue obligatoire par l'article 88 de la loi de finances 2016 (ordonnance 2015-1174) pour tous les assujettis à la TVA effectuant des encaissements auprès de particuliers (B2C). Applicable depuis le 1er janvier 2018. Pour approfondir, consultez la page service Conformité Réglementaire Nehos.
Concrètement, Quatre exigences techniques fondamentales : (1) Inaltérabilité — les données de vente enregistrées ne peuvent être modifiées ni supprimées sans traçabilité complète ; (2) Sécurisation — toute modification doit être tracée avec horodatage et identifiant utilisateur ; (3) Conservation — données conservées minimum 7 ans et accessibles lors d'un contrôle ; (4) Archivage — journaux d'événements complets (ouverture/fermeture de caisse, remises, annulations).
La certification NF525 est délivrée par des organismes certificateurs accrédités COFRAC : LNE (Laboratoire National de Métrologie et d'Essais), Bureau Veritas Certification, INFOCERT. Elle s'applique à l'éditeur du logiciel, pas au commerçant. Pénalité non-conformité : amende de 7 500 € par logiciel ou système de caisse non conforme (art. 1770 duodecies du CGI), renouvelable à chaque contrôle. Périmètre : commerçants, restaurateurs, hôteliers, professions libérales B2C, artisans.
Appliqué correctement, NF525 peut devenir un avantage concurrentiel.
#NF525 expliqué simplement
La NF525, c'est le tampon officiel qui prouve que votre logiciel de caisse est honnête avec le fisc. Avant cette norme, certains commerçants peu scrupuleux utilisaient des logiciels dits 'permissifs' qui permettaient d'effacer ou modifier des ventes après coup — et donc de minorer la TVA déclarée.
L'État a donc décidé que tout logiciel de caisse doit être certifié : il doit mémoriser chaque vente de manière inaltérable (comme une blockchain simplifiée), tracer toute modification, et conserver ces données 7 ans. Si vous êtes restaurateur, boutiquier ou artisan qui encaisse des particuliers, et que votre logiciel de caisse n'est pas certifié NF525 : amende de 7 500 € par logiciel ou système de caisse lors d'un contrôle fiscal.
Ce n'est pas l'éditeur du logiciel qui prend l'amende — c'est vous. Donc avant d'acheter ou développer un logiciel de caisse, la première question à poser est : 'Est-il certifié NF525 ?'
Situation classique dans les projets que Nehos accompagne. C'est la réalité du terrain — loin des définitions académiques.
#Cas d'usage concrets
Exemple de situation — chaîne de restauration rapide : refonte du logiciel de caisse — Situation type : une chaîne de restauration rapide refond le logiciel de caisse de ses restaurants. Le module de caisse (Node.js et PostgreSQL) intègre la conformité NF525 dès la conception : hash SHA-256 sur chaque transaction, journaux d'événements immuables, clôture journalière automatique avec ticket signé.
L'éditeur du module dépose ensuite son dossier auprès d'un organisme certificateur comme le LNE, avant le déploiement dans les établissements.
Exemple de situation — éditeur SaaS de caisse pour commerçants indépendants — Situation type : un éditeur SaaS de caisse enregistreuse, qui cible des boutiques de prêt-à-porter indépendantes, fait auditer son produit avant le lancement. Trois non-conformités classiques apparaissent : l'absence de clôture journalière forcée, des logs de modification insuffisants et une durée de conservation non garantie.
L'éditeur les corrige, obtient sa certification auprès d'un organisme accrédité, puis peut commercialiser son logiciel légalement.
Exemple de situation — logiciel de gestion de cabinet médical (professions libérales B2C) — Situation type : un cabinet médical qui pratique des dépassements d'honoraires (secteur 2 ou 3) est assujetti à la NF525 pour les encaissements de patients. Plutôt que de réécrire son logiciel de gestion, il y intègre par API un module de caisse certifié NF525.
La conformité est obtenue sans refonte du logiciel principal, et le coût d'intégration reste sans commune mesure avec le risque d'amende en cas de contrôle.
#NF525 chez Nehos Groupe
Notre service Conformité Réglementaire Nehos couvre ce périmètre de A à Z.
Chaque mission démarre par un cadrage structuré : objectifs chiffrés, périmètre technique, jalons à 30/60/90 jours. On livre, on mesure, on itère. Pas de slides sans livrable. Voir aussi : service Développement Logiciel Nehos.
#Termes associés
Plusieurs concepts gravitent autour de ce sujet.
- RGPD
- DSP3 (Directive Services de Paiement 3)
- Facturation Électronique & PDP
- API-First
- Conformité Logicielle
- Audit de Conformité
Chaque terme est défini dans notre glossaire avec la même approche : définition technique, vulgarisation, cas concrets et méthode Nehos.
Applications Concrètes
« Situation type : une chaîne de restauration rapide refond le logiciel de caisse de ses restaurants. Le module de caisse (Node.js et PostgreSQL) intègre la conformité NF525 dès la conception : hash SHA-256 sur chaque transaction, journaux d'événements immuables, clôture journalière automatique avec ticket signé. L'éditeur du module dépose ensuite son dossier auprès d'un organisme certificateur comme le LNE, avant le déploiement dans les établissements. »
« Situation type : un éditeur SaaS de caisse enregistreuse, qui cible des boutiques de prêt-à-porter indépendantes, fait auditer son produit avant le lancement. Trois non-conformités classiques apparaissent : l'absence de clôture journalière forcée, des logs de modification insuffisants et une durée de conservation non garantie. L'éditeur les corrige, obtient sa certification auprès d'un organisme accrédité, puis peut commercialiser son logiciel légalement. »
« Situation type : un cabinet médical qui pratique des dépassements d'honoraires (secteur 2 ou 3) est assujetti à la NF525 pour les encaissements de patients. Plutôt que de réécrire son logiciel de gestion, il y intègre par API un module de caisse certifié NF525. La conformité est obtenue sans refonte du logiciel principal, et le coût d'intégration reste sans commune mesure avec le risque d'amende en cas de contrôle. »
Questions & réponses
Questions fréquentes sur la norme NF525
Tous les assujettis à la TVA qui enregistrent des paiements de clients particuliers (B2C) avec un logiciel de caisse. Cela couvre : commerçants (retail, prêt-à-porter, épicerie), restaurateurs et hôteliers, artisans qui encaissent des particuliers, professions libérales avec activité B2C (médecins secteur 2/3, kinésithérapeutes, avocats en consultation). Ne sont pas concernés : entreprises 100 % B2B qui n'encaissent pas de particuliers, associations non lucratives sans activité commerciale, auto-entrepreneurs sous le seuil de franchise TVA.
Amende de 7 500 € par logiciel ou système de caisse non conforme, prévue à l'article 1770 duodecies du Code Général des Impôts. Cette amende est applicable à chaque contrôle fiscal, et non une fois pour toutes. Un commerçant qui exploite plusieurs caisses non conformes multiplie donc l'amende à chaque passage de la DGFIP. La pénalité s'applique au commerçant (pas à l'éditeur), même si c'est l'éditeur qui aurait dû obtenir la certification. D'où l'importance de vérifier la certification de son éditeur avant tout déploiement.
Deux obligations distinctes et cumulatives. NF525 concerne les encaissements clients B2C (tickets de caisse) et porte sur l'inaltérabilité des données de vente dans le logiciel de caisse. La facture électronique obligatoire (calendrier 2026-2027 selon taille d'entreprise) concerne les transactions B2B et impose le passage par une Plateforme de Dématérialisation Partenaire (PDP) pour émission et réception des factures. Un restaurateur devra respecter les deux : NF525 pour ses encaissements clients, et la facture électronique pour ses achats fournisseurs. Voir notre définition Facturation Électronique & PDP.
La certification est délivrée par des organismes accrédités COFRAC : LNE (Laboratoire National de Métrologie et d'Essais), Bureau Veritas Certification, INFOCERT. Elle s'adresse aux éditeurs de logiciels, pas aux commerçants. Durée : plusieurs semaines, selon la maturité du logiciel et la charge de l'organisme. Étapes : dépôt du dossier technique, audit documentaire, tests fonctionnels sur le logiciel, audit de processus éditeur, délivrance du certificat. La certification a une durée de validité de 3 ans (renouvellement nécessaire). Le coût dépend de l'organisme et de la complexité du logiciel : il se demande directement à l'organisme.
Non. L'obligation s'applique à tout logiciel de caisse utilisé pour enregistrer des paiements de particuliers assujettis à la TVA, qu'il soit acheté sur étagère ou développé sur-mesure. Un logiciel custom non certifié expose le commerçant à la même amende. Si vous faites développer votre logiciel de caisse sur-mesure (par Nehos ou un autre prestataire), la certification NF525 doit être intégrée dans le cahier des charges et validée avant mise en production. C'est un prérequis contractuel que nous posons dans nos propositions.
L'AFNOR définit quatre piliers. (1) Inaltérabilité : chaque transaction enregistrée doit être horodatée et hachée (SHA-256 ou équivalent), rendant toute modification ou suppression détectable. (2) Sécurisation : toute opération sur les données (remise, annulation, modification de ticket) doit être tracée avec identifiant utilisateur, horodatage et motif. (3) Conservation : les données de vente doivent être conservées minimum 7 ans et accessibles à tout moment lors d'un contrôle DGFIP. (4) Archivage : un journal d'événements complet (ouverture caisse, fermetures, utilisateurs connectés, toutes transactions) doit être maintenu et exportable.
Trois niveaux selon le contexte. (1) Intégration d'un module NF525 dans un logiciel existant via API : un module sur mesure, à partir de 15 000 € HT. (2) Développement d'un module POS complet intégrant la NF525 pour un seul type d'établissement : un projet plus large, à partir de 30 000 € HT. (3) Développement d'un logiciel SaaS multi-tenant certifiable NF525 pour un éditeur multi-secteurs : sur devis, chiffré en 48 h après un premier échange. À cela s'ajoute le coût de certification auprès d'un organisme accrédité, fixé par celui-ci. Rappel : 7 500 € d'amende par logiciel ou système de caisse non conforme, à chaque contrôle.