Cyberattaque au SPF Finances : echeance repoussee (28/10/2026)
Quatre jours sans MyMinfin, Tax-on-Web ni Biztax, et une date limite qui, elle, ne bougeait pas. Aucune donnee n'est sortie : le cout est ailleurs. Ce que la cyberattaque du SPF Finances change concretement pour une PME en Belgique, en France, aux Pays-Bas et au Luxembourg.
En bref
Le mercredi 28 octobre 2026, le SPF Finances a ete vise par une cyberattaque et a mis hors ligne par precaution MyMinfin et plusieurs de ses services numeriques, dont Tax-on-Web et Biztax[1][2]. Les plateformes etaient de nouveau accessibles le samedi 31 octobre au soir ; l'administration indique qu'aucune donnee n'a ete derobee et qu'aucune application n'a ete prise en main par l'attaquant[2]. Pour les entreprises, la consequence tient en une ligne : les declarations portant sur des revenus specifiques, dues le 31 octobre, peuvent etre deposees jusqu'au 16 novembre 2026[1][2].
Ce qui a coute quelque chose, ce n'est pas la fuite
Aucune donnee n'est sortie, et c'est l'information rassurante. Ce n'est pas celle qui interesse un dirigeant. Entre le 28 et le 31 octobre, pendant pres de quatre jours, une administration a cesse d'accepter des depots obligatoires. Vous ne pouviez ni reparer la panne, ni appliquer un correctif, ni changer de fournisseur : la seule porte d'entree legale de la demarche etait fermee.
C'est la forme de risque informatique que les plans de securite des PME oublient le plus souvent. On protege ses serveurs, ses sauvegardes, ses mots de passe. On oublie qu'une grande partie des obligations d'une entreprise belge passe par un guichet qui ne lui appartient pas : la TVA par Intervat, l'impot des societes par Biztax, les fiches et declarations par Tax-on-Web et MyMinfin, les declarations sociales par le secretariat social, les paiements par la banque. Chaque guichet a sa propre date butoir, et aucun n'est sous votre controle.
La bonne question n'est donc pas sommes-nous proteges ? mais que faisons-nous le jour ou le guichet d'en face est ferme, alors que l'echeance ne bouge pas ?
Aucune prolongation n'est automatique
Le report au 16 novembre est une decision annoncee par l'administration, pas un droit declenche par la panne[1]. La nuance compte : une entreprise qui aurait suppose un delai sans verifier l'avis officiel aurait parie sur une tolerance que rien ne garantissait.
Ce n'est pas le premier episode de l'annee. En juillet 2026, des problemes techniques sur Tax-on-Web avaient deja conduit a repousser une echeance du 15 au 19 juillet[3]. Deux fois en quatre mois, un report a ete accorde apres un incident ; deux fois, il a fallu attendre l'annonce pour le savoir.
La regle n'est pas la meme d'un pays a l'autre, et il n'existe pas de mecanisme commun aux quatre marches qui transformerait une indisponibilite en prolongation generale.
| Pays | Autorite | En cas de panne le jour de l'echeance |
|---|---|---|
| Belgique | SPF Finances | Une prolongation exceptionnelle peut etre annoncee au cas par cas : deux precedents en 2026[1][3]. Rien d'automatique, l'avis officiel fait foi. |
| France | DGFiP | Aucune dispense de penalite fondee sur la seule indisponibilite du portail n'est documentee. En cas de retard : demande motivee et documentee au service des impots. |
| Pays-Bas | Belastingdienst | Pas de regle publique propre a ce cas. La voie praticable reste la demande de report ou la contestation de l'amende, preuves a l'appui. |
| Luxembourg | ACD | Certaines declarations conservent une voie postale ou un depot par formulaire electronique : un repli que le tout-portail n'offre pas. |
Ceci n'est pas un avis juridique : pour une situation precise, l'avis publie par l'autorite concernee et votre conseil fiscal tranchent.
Votre preuve de tentative est votre seule defense
Quand une remise d'amende se discute, elle se discute sur des pieces. Le site etait en panne n'est pas une piece. Voici ce qui en est une, et qui ne se reconstitue pas apres coup :
- une capture d'ecran du message d'erreur, avec l'URL visible et l'horloge de la machine visible ;
- l'heure de chaque tentative : trois essais a trois moments de la journee valent mieux qu'un seul ;
- l'avis officiel de l'administration, enregistre en PDF le jour de sa publication, car une page d'actualite se reecrit ;
- l'echange ecrit avec votre comptable ou votre fiduciaire : qui devait deposer, a quelle heure, et ce qu'il a constate ;
- apres retablissement, l'accuse de depot et son numero, classes avec les captures de la panne.
Cinq minutes de traces le jour J pesent plus qu'une argumentation de deux pages trois mois plus tard. Si votre depot passe par un cabinet, cette discipline lui revient, et c'est le genre d'exigence a ecrire dans la lettre de mission, au meme titre que les obligations de securite que NIS2 fait descendre vers les cabinets comptables et fiduciaires belges.
Si l'incident vous touche, vous, le compteur demarre
Le cas du SPF Finances rappelle la symetrie : une entreprise visee a elle aussi des delais. En Belgique, une entite qualifiee d'essentielle ou d'importante au titre de NIS2 doit adresser au CCB une alerte precoce dans les 24 heures suivant la connaissance d'un incident significatif, une notification dans les 72 heures, puis un rapport final dans le mois ; le delai est de 24 heures pour les prestataires de services de confiance[4][5]. L'assujettissement s'apprecie entite par entite : il ne decoule pas du seul secteur.
Ces heures se perdent a chercher qui previent qui. Le volume n'est pas theorique : les signalements se comptent par dizaines d'organisations cette annee, comme le montrait notre releve des fuites de donnees signalees au CCB.
A faire cette semaine
- Verifier si une de vos declarations avait le 31 octobre pour echeance : le depot reste possible jusqu'au 16 novembre 2026[1], et il vaut mieux ne pas attendre le 16.
- Lister vos cinq prochaines echeances legales et, pour chacune, noter le portail utilise et le nom de la personne qui depose.
- Avancer de trois jours ouvres la date interne de depot de vos deux echeances les plus lourdes : c'est la seule marge qui amortit une panne.
- Ecrire en cinq lignes le reflexe portail en panne et le mettre la ou l'equipe le trouve : capturer, horodater, reessayer, enregistrer l'avis officiel, prevenir le comptable.
- Demander a votre comptable ou fiduciaire ce qu'il conserve comme preuve de depot, et sous quel delai il vous la transmet.
- Verifier qui, chez vous, est joignable un samedi soir pour valider un depot rouvert dans l'urgence.
Chez CyberNovaLabs.io
Nous travaillons avec des PME des Pays-Bas, de Belgique, de France et du Luxembourg sur ce point precis : transformer les echeances et les dependances externes en circuits surveilles, qui previennent avant la date limite plutot qu'apres. Cela releve de notre offre d'automatisation et d'IA en entreprise : rappels dates, preuves de depot conservees automatiquement, alerte quand un service tiers ne repond plus. Si vous travaillez par ailleurs le marche belge, notre page de prise de rendez-vous B2B a Bruxelles detaille la methode. Pour en parler, prenez contact avec CyberNovaLabs.io : nous regardons vos echeances et nous vous disons ce qui est automatisable. Les tarifs sont etablis sur devis.
Sources
- SPF Finances - Incident de cybersecurite au SPF Finances (28/10/2026)
- RTBF - Les sites du SPF Finances, MyMinfin, Tax-on-Web et Biztax sont a nouveau accessibles (31/10/2026)
- RTBF - Problemes techniques chez Tax-on-web : le delai est prolonge jusqu'au 19 juillet (13/07/2026)
- CCB - Guide sur les notifications NIS2, version 1.3 (08/2025)
- CCB Safeonweb - La notification des incidents NIS2
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
AI Act : ce que les PME doivent savoir en 2026
Applicable depuis le 2 août 2026, l'AI Act tient en trois obligations pour une PME qui achète de l'IA. Les règles lourdes de l'annexe III, elles, attendront le 2 décembre 2027. Voici les dates, les plafonds d'amende réellement opposables à une PME, et qui contrôle aux Pays-Bas, en Belgique, en France et au Luxembourg.
Lire l'article →3 novembre 2026 · 8 min de lecturePrise de rendez-vous B2B pour l'e-commerce
La prise de rendez-vous B2B auprès des webshops se joue avant l'appel : le canal (site, place de marché ou EDI), le pays, et la forme juridique. Ce guide cite Eurostat, la CNIL, le SPF Economie et l'ACM.
Lire l'article →2 novembre 2026 · 7 min de lectureFaille Drupal Commerce exploitée : prix modifiables (28/10/2026)
Un contournement d'accès dans Commerce Core laissait un client écrire lui-même le prix et l'état de sa commande. Drupal l'a classé 21 sur 25, signale une exploitation en cours et demande d'auditer les commandes. Ce qu'une PME doit vérifier, et les deux horloges réglementaires qui peuvent partir.
Lire l'article →2 novembre 2026 · 8 min de lectureNIS2 Belgique : hôtellerie et tourisme, concernés ?
L'hébergement et la restauration ne figurent pas dans les annexes de la loi belge du 26 avril 2024. Trois obligations vous rattrapent pourtant, et l'une d'elles décide déjà des contrats d'entreprise.
Lire l'article →1 novembre 2026 · 8 min de lectureNIS2 Pays-Bas : votre boutique en ligne est-elle concernée ?
La loi néerlandaise ne vise pas « l'e-commerce ». Elle vise trois services numériques, dont les places de marché en ligne. Voici le test exact, les obligations réelles, et ce qui rattrape un webshop pourtant hors périmètre.
Lire l'article →