Cyberaanval FOD Financien: deadline verschoven (28-10-2026)

Gepubliceerd op 3 november 2026 · 7 min lezen · CyberNovaLabs.io

Vier dagen zonder MyMinfin, Tax-on-Web en Biztax, terwijl de uiterste datum bleef staan. Er zijn geen gegevens gestolen, dus de kosten zitten elders. Wat de cyberaanval op FOD Financien concreet betekent voor een mkb-bedrijf in Belgie, Nederland, Frankrijk en Luxemburg.

In het kort

Op woensdag 28 oktober 2026 werd FOD Financien getroffen door een cyberaanval. Uit voorzorg gingen MyMinfin en meerdere digitale diensten offline, waaronder Tax-on-Web en Biztax^[1]^[2]. Zaterdagavond 31 oktober waren de platformen weer bereikbaar; de administratie laat weten dat er geen gegevens zijn gestolen en dat geen enkele toepassing is overgenomen door de aanvaller^[2]. Voor ondernemingen past het gevolg in een regel: aangiften over specifieke inkomsten met 31 oktober als uiterste datum mogen tot 16 november 2026 worden ingediend^[1]^[2].

Het duurste deel was niet het datalek

Er zijn geen gegevens weggelekt, en dat is het geruststellende nieuws. Het is niet het nieuws waar een ondernemer wakker van ligt. Tussen 28 en 31 oktober nam een overheidsdienst bijna vier dagen lang geen verplichte aangiften meer aan. U kon de storing niet verhelpen, geen patch uitrollen en niet van leverancier wisselen: de enige wettelijke ingang was dicht.

Dit risico staat in geen enkel mkb-veiligheidsplan

U beveiligt uw servers, uw back-ups en uw wachtwoorden. Waar niemand aan denkt: een groot deel van de verplichtingen van een onderneming loopt via een loket dat niet van u is. De btw via Intervat, de vennootschapsbelasting via Biztax, fiches en aangiften via Tax-on-Web en MyMinfin, de sociale aangiften via het sociaal secretariaat, de betalingen via de bank. Elk loket heeft zijn eigen uiterste datum, en geen enkel loket staat onder uw controle.

De vraag is dus niet zijn wij beveiligd? maar wat doen wij op de dag dat het loket aan de andere kant dicht is terwijl de deadline blijft staan?

Uitstel is nooit automatisch

De verschuiving naar 16 november is een beslissing die de administratie heeft aangekondigd, geen recht dat door de storing in werking treedt^[1]. Dat verschil is wezenlijk: wie uitstel had aangenomen zonder de officiele mededeling te lezen, gokte op een tolerantie die nergens vastligt.

Het is ook niet het eerste voorval van dit jaar. In juli 2026 leidden technische problemen bij Tax-on-Web al tot een verschuiving van 15 naar 19 juli^[3]. Twee keer in vier maanden kwam er uitstel na een incident; twee keer moest u op de aankondiging wachten om het te weten.

De regel verschilt per land, en er bestaat geen gemeenschappelijk mechanisme in de vier markten dat een storing omzet in algemeen uitstel.

Land	Instantie	Storing op de dag van de deadline
Belgie	FOD Financien	Uitzonderlijk uitstel kan per geval worden aangekondigd: twee keer in 2026^[1]^[3]. Niets automatisch, de officiele mededeling is bepalend.
Nederland	Belastingdienst	Geen gepubliceerde regel voor dit geval. De werkbare weg blijft uitstel aanvragen of de boete aanvechten, met bewijs.
Frankrijk	DGFiP	Geen gedocumenteerde kwijtschelding op grond van enkel een onbereikbaar portaal. Bij te late indiening: een onderbouwd en gedocumenteerd verzoek aan de belastingdienst.
Luxemburg	ACD	Bij sommige aangiften bestaat nog een papieren weg of indiening via een elektronisch formulier: een terugvaloptie die een portaal-only procedure niet heeft.

Dit is geen juridisch advies: voor een concrete situatie zijn de mededeling van de bevoegde instantie en uw belastingadviseur bepalend.

Uw bewijs van poging is uw enige verdediging

Een verzoek tot kwijtschelding wordt op stukken beoordeeld. De site lag eruit is geen stuk. Dit wel, en het laat zich achteraf niet reconstrueren:

een schermafdruk van de foutmelding, met de URL zichtbaar en de klok van het toestel zichtbaar;
het tijdstip van elke poging: drie pogingen op drie momenten van de dag wegen zwaarder dan een;
de officiele mededeling van de administratie, als PDF bewaard op de dag van publicatie, want een nieuwspagina wordt herschreven;
de schriftelijke uitwisseling met uw boekhouder: wie moest indienen, op welk uur, en wat hij vaststelde;
na herstel het ontvangstbewijs met nummer, samen opgeborgen met de schermafdrukken van de storing.

Vijf minuten bewijsmateriaal op de dag zelf weegt zwaarder dan twee pagina's argumentatie drie maanden later. Dient een kantoor voor u in, dan ligt die discipline bij hen, en hoort ze in de opdrachtbrief, net als de veiligheidsverplichtingen die NIS2 doorschuift naar Belgische accountantskantoren en fiduciaires.

Treft het incident u zelf, dan loopt uw klok

Het snijdt aan twee kanten: een getroffen onderneming heeft zelf ook termijnen. In Belgie moet een entiteit die onder NIS2 als essentieel of belangrijk geldt, binnen 24 uur na kennisname van een significant incident een vroege waarschuwing naar het CCB sturen, binnen 72 uur een melding, en binnen de maand een eindrapport; voor vertrouwensdienstverleners geldt 24 uur^[4]^[5]. Of u onder de wet valt, wordt per entiteit beoordeeld en volgt niet uit de sector alleen.

Die uren gaan verloren met uitzoeken wie wie waarschuwt. Het aantal is niet theoretisch: de meldingen lopen dit jaar in de tientallen organisaties, zoals ons overzicht van bij het CCB gemelde datalekken liet zien.

Deze week te doen

Nagaan of een van uw aangiften 31 oktober als uiterste datum had: indienen kan tot 16 november 2026^[1], en wachten tot de 16e is onverstandig.
Uw vijf volgende wettelijke deadlines op een rij zetten en per deadline het gebruikte portaal en de naam van de indiener vastleggen.
De interne indiendatum van uw twee zwaarste deadlines drie werkdagen naar voren halen: die marge vangt een storing op.
De reflex portaal ligt eruit in vijf regels opschrijven en neerleggen waar het team het vindt: vastleggen, tijdstempel, opnieuw proberen, officiele mededeling bewaren, boekhouder inlichten.
Uw boekhouder vragen welk bewijs van indiening hij bewaart en binnen welke termijn hij het doorstuurt.
Nakijken wie bij u op een zaterdagavond bereikbaar is om een onverwacht heropend indienmoment goed te keuren.

Bij CyberNovaLabs.io

Wij werken met mkb-bedrijven in Nederland, Belgie, Frankrijk en Luxemburg precies op dit punt: deadlines en externe afhankelijkheden omzetten in bewaakte circuits die waarschuwen voor de uiterste datum in plaats van erna. Dat valt onder ons aanbod AI en automatisering voor bedrijven: gedateerde herinneringen, bewijs van indiening dat automatisch bewaard wordt, en een melding wanneer een externe dienst niet meer antwoordt. Bewerkt u ook de Belgische markt, dan zet onze pagina over B2B-afspraken laten maken in Brussel de methode uiteen. Praat erover met ons: neem contact op met CyberNovaLabs.io. Wij bekijken uw deadlines en zeggen u wat automatiseerbaar is. Tarieven gaan op basis van een prijsopgave.

Bronnen

CyberNovaLabs.io

Gekwalificeerde afspraken, zonder looptijd.

Criteria vooraf op papier, betalen per afspraak of per maand, stoppen met een simpele e-mail.

→ Afspraken laten inplannen

Lees ook

3 november 2026 · 9 min lezen

AI-verordening 2026: wat het mkb moet weten

De AI-verordening geldt sinds 2 augustus 2026 en komt voor een mkb-bedrijf dat AI inkoopt neer op drie verplichtingen. De zware eisen uit bijlage III wachten tot 2 december 2027. Hier staan de data, de boeteplafonds die echt voor het mkb gelden, en wie handhaaft in Nederland, België, Frankrijk en Luxemburg.

Lees het artikel →3 november 2026 · 8 min lezen

B2B-afspraken laten maken voor webshops

B2B-afspraken laten maken bij webshops wordt beslist vóór het gesprek: het kanaal (eigen site, platform of EDI), het land en de rechtsvorm. Deze gids citeert Eurostat, de CNIL, de FOD Economie en de ACM.

Lees het artikel →2 november 2026 · 7 min lezen

Drupal Commerce-lek misbruikt: prijzen aanpasbaar (28-10-2026)

Door een access bypass in Commerce Core kon een klant zelf de prijs en de status van zijn order wegschrijven. Drupal geeft het 21 op 25, meldt actief misbruik en vraagt om orders na te lopen. Wat een mkb-bedrijf moet nakijken, en welke meldtermijnen kunnen gaan lopen.

Lees het artikel →2 november 2026 · 8 min lezen