Belgique : le fisc piraté suspend la loi par communiqué

Deux fois en quatre mois, le fisc belge a reporté ses propres délais

Le 13 juillet 2026, le Service public fédéral (SPF) Finances publie un communiqué de quelques lignes. Depuis un incident technique survenu le vendredi précédent, une partie des contribuables ne parvient plus à se connecter à MyMinfin et à Tax-on-web. Pour leur laisser le temps de déposer leur déclaration à l'impôt des personnes physiques, l'échéance du 15 juillet est repoussée au 19 juillet, et le texte précise que la date limite « wordt daarom uitzonderlijk verlengd » (est donc exceptionnellement prolongée).

Le 28 octobre 2026 à 14 h 04, un second communiqué, publié sur le portail de presse fédéral, annonce que les services numériques du SPF sont la cible d'une cyberattaque. Par précaution, MyMinfin et plusieurs autres services sont rendus inaccessibles, tandis qu'une grande partie des applications reste disponible. Le texte reconnaît d'emblée l'enjeu : « We beseffen dat dit voor de fiscale deadlines in de nabije toekomst gevolgen heeft. » (Nous sommes conscients que cela a des conséquences pour les échéances fiscales des prochains jours.) Il promet un report suffisant pour les déclarations comportant des revenus spécifiques, sans date, et indique qu'aucun indice de fuite de données n'apparaît à ce stade. Selon ITdaily, ces déclarations devaient être déposées au plus tard le 31 octobre.

Le lendemain à 15 h 35, une mise à jour précise la mécanique. L'intrusion, survenue dans la nuit de mardi à mercredi, a été repérée en quelques heures par les outils de surveillance. L'attaquant n'a pu ni prendre le contrôle d'applications ni accéder aux données, parce que les éléments potentiellement contaminés ont été coupés du reste de l'environnement, et c'est cette coupure qui a mis MyMinfin hors ligne. Les services en ligne doivent désormais être reconstruits dans un environnement isolé, ce qui demande un temps considérable. La police fédérale et le Centre pour la cybersécurité Belgique sont associés à l'enquête. Toutes les déclarations attendues aux alentours du 31 octobre 2026 « krijgen uitstel tot 16 november 2026 » (bénéficient d'un report jusqu'au 16 novembre 2026).

Trois traits de ces textes retiennent l'attention du praticien. Le premier tient à l'instrument. En juillet comme en octobre, le report est décidé par communiqué, et aucun des trois communiqués publiés le 13 juillet, le 28 octobre et le 29 octobre 2026, consultés le 30 octobre 2026, ne cite la base juridique qui autorise l'administration à déplacer ses propres échéances. Le deuxième tient au périmètre. La règle d'octobre ne vise pas une liste d'obligations mais une proximité temporelle, les déclarations dues « autour » d'une date. Le troisième tient au calendrier. La mise à jour du 29 octobre ne fixe aucune date de retour en ligne, de sorte que le 16 novembre est un pari sur la durée de la reconstruction, pris par l'administration qui la conduit.

La mise à jour du 29 octobre dit aussi, sans le souligner, l'essentiel. Protéger le système et suspendre l'obligation y sont un seul et même geste. Isoler les composants pour contenir l'intrusion rend le portail inaccessible, et rendre le portail inaccessible empêche de déclarer. Quand le canal numérique devient la voie normale de l'obligation, une décision de sécurité devient une décision fiscale, et l'administration qui l'a prise doit, dans le même mouvement, décider seule du temps qu'elle rend aux contribuables.

La bureaucratie de système n'a pas prévu sa propre panne

La bureaucratie de système selon Bovens et Zouridis (2002)

Dans « From Street-Level to System-Level Bureaucracies » (Public Administration Review, vol. 62, n° 2, 2002), les politistes néerlandais Mark Bovens et Stavros Zouridis décrivent la mutation des grandes administrations d'exécution, illustrée par les bourses d'études et les amendes routières aux Pays-Bas. À la bureaucratie de guichet (où l'agent apprécie chaque dossier) succède une bureaucratie d'écran (où l'agent valide ce que propose l'ordinateur), puis une bureaucratie de système (où le traitement des cas courants s'exécute sans intervention humaine et où les concepteurs de systèmes forment l'ossature de l'organisation). Le pouvoir discrétionnaire migre alors vers ceux qui traduisent la loi en algorithmes. Les auteurs y voient l'apogée de l'autorité légale-rationnelle, puisque c'est désormais « the executive organization itself that is the bouche de la loi » (l'organisation d'exécution elle-même qui est la bouche de la loi).

Le cadre de Bovens et Zouridis s'applique sans forcer au dépôt des déclarations fiscales belges. Le contribuable n'y rencontre plus d'agent, il remplit un formulaire en ligne dont la logique applique d'elle-même les règles de l'impôt, et le SPF consacre l'essentiel de son effort à faire fonctionner et relier ses applications. Les traits que les deux auteurs attribuent à la bureaucratie de système (un logiciel décisif, une intervention humaine absente des cas courants, un régime juridique détaillé qui ne laisse plus de marge d'appréciation à l'exécution) décrivent fidèlement la situation d'un contribuable face à MyMinfin un 28 octobre.

Le risque que les auteurs identifiaient n'était pas la panne mais la rigidité. Un système qui applique la règle sans exception peut produire des résultats absurdes, et l'arbitraire, notent-ils, change alors de visage : il ne naît plus de la partialité d'un agent mais d'une rigidité excessive. Le remède qu'ils proposent consiste à réintroduire de l'appréciation par des clauses de rigueur (hardship clauses, dispositifs permettant au citoyen de signaler une situation que l'algorithme ne prévoit pas), par des panels d'usagers et par une charte garantissant l'examen individuel d'un dossier à la demande.

Le cas belge prolonge leur analyse dans une direction qu'ils n'ont pas traitée, et ce prolongement relève de la lecture proposée ici. Bovens et Zouridis analysent le système qui fonctionne. Le SPF Finances montre le système qui s'arrête. Quand la bouche de la loi se tait, elle se tait pour tous à la fois, et il ne reste par construction aucun agent de guichet pour apprécier les situations une à une. L'appréciation revient alors au sommet, sous sa forme la plus nue : une date fixée par communiqué, sans critère publié ni texte de référence. L'arbitraire que la bureaucratie de système devait abolir réapparaît, non par la partialité d'un fonctionnaire mais par l'absence de règle. Le report de délai est la clause de rigueur de la bureaucratie de système, improvisée après coup, collective et sans conditions.

Le second idéal que les auteurs opposaient à la rigidité, la transparence, n'est pas mieux servi. Ils demandaient que les règles appliquées par les systèmes soient connaissables et que la manière dont l'administration les met en œuvre puisse être expliquée. Une échéance qui se déplace « autour » d'une date, selon un calendrier de reconstruction que nul ne connaît, ne satisfait aucune de ces deux exigences.

Mutualisée chez un éditeur, la bureaucratie de système sort de l'organisation

Le second incident belge touche un autre étage de l'action publique et révèle un autre déplacement. Selon la page de questions-réponses publiée par l'éditeur Vanden Broele et mise à jour le 27 octobre 2026, un attaquant extérieur a eu accès aux données d'eSignFlow, son module de signature électronique, du 22 octobre à 3 h 48 au 23 octobre à 11 h 17. L'incident, constaté le 23 octobre à 9 h 30, a conduit à mettre l'application hors ligne le midi même, jusqu'au samedi 24 octobre vers 20 h. L'entrée s'est faite par un environnement d'administration accessible depuis l'extérieur, et l'éditeur reconnaît qu'une grande partie de ses organisations clientes est concernée. La VRT indique que le logiciel sert à plus de 120 administrations locales, ITdaily en compte plus de 100 et cite Genk, Peer, Steenokkerzeel, Leopoldsburg, Sint-Truiden et Beringen parmi les communes qui ont averti leurs habitants. À Steenokkerzeel, la signature numérique des documents était impossible depuis le week-end. Le bourgmestre de Peer a indiqué que des données avaient probablement été dérobées, sans indice à ce stade que celles des habitants de sa ville soient concernées. Le dirigeant de Vanden Broele a souligné de son côté devant la VRT que « De situatie per gemeente is zeer verschillend » (la situation varie beaucoup d'une commune à l'autre), la grande majorité n'ayant subi que peu ou pas de fuite.

La dépendance est plus profonde que la liste des clients directs. La VRT rapporte que le module est intégré à C-Smart, utilisé par 19 administrations locales pour la signature des amendes administratives, et que Cipal Schaubroeck, autre fournisseur des pouvoirs locaux, dispose dans certains cas de connexions avec lui. Une commune peut donc dépendre d'eSignFlow sans l'avoir acheté, par l'intermédiaire d'un progiciel qui l'appelle.

La répartition des responsabilités suit le droit de la protection des données. Pour les données traitées dans eSignFlow, chaque organisation cliente est responsable de traitement et l'éditeur simple sous-traitant. C'est donc à chaque commune de décider si elle informe les personnes concernées et si elle notifie l'Autorité de protection des données, et l'éditeur l'écrit sans détour : « Wij contacteren geen betrokkenen rechtstreeks. » (Nous ne contactons pas directement les personnes concernées.) Il fournit une lettre type et une aide au remplissage des notifications. La même page rectifie un courrier du 25 octobre : le numéro de registre national des signataires y figurait sous une forme hachée réputée protectrice, alors qu'elle se recalcule facilement, et les clients doivent désormais supposer que l'attaquant le connaît. Elle reconnaît aussi qu'une partie des messages adressés aux clients est arrivée à des adresses obsolètes. La commune de Mol publie le 27 octobre à 11 h 20 un avis qui nomme le fournisseur, appelle les habitants à la vigilance face aux courriels, appels et demandes de paiement suspects, et admet : « Welke gevolgen dit precies heeft voor het gemeentebestuur, is nog niet bevestigd. » (Les conséquences exactes pour l'administration communale ne sont pas encore confirmées.)

Bovens et Zouridis avaient anticipé une partie du mouvement. Dans la bureaucratie de système, notaient-ils, les frontières entre organisations deviennent fluides et de larges pans du travail peuvent être confiés à l'extérieur. Leur question centrale portait sur les concepteurs : qui contrôle ceux qui traduisent la loi en systèmes, et devant qui répondent-ils ? Le cas eSignFlow donne une réponse que leur texte ne formulait pas. L'ossature du système, c'est-à-dire les concepteurs, les clés et l'environnement d'administration, se trouve chez un éditeur privé, tandis que la responsabilité juridique demeure dans chaque commune, qui n'en maîtrise ni l'architecture ni le calendrier d'analyse. La mutualisation concentre l'ossature du système chez un seul fournisseur et disperse la responsabilité entre autant de responsables de traitement qu'il y a de clients. L'économie d'échelle joue à l'achat et à l'exploitation. Au moment de l'incident, chaque commune évalue seule un risque à partir d'un dossier composé par l'éditeur, dont l'analyse complète des causes n'est attendue que dans la semaine du 9 novembre.

En France, la loi excuse le réseau absent de l'usager, pas le service absent de l'État

La question française se pose alors avec netteté. L'article 1649 quater B quinquies du code général des impôts impose aux particuliers dont la résidence principale dispose d'un accès à internet de déclarer leurs revenus en ligne. Il conserve une soupape : le contribuable qui indique à l'administration ne pas être en mesure de le faire utilise les autres moyens prévus par la loi. Pour les entreprises, l'article 1649 quater B quater rend la voie électronique obligatoire pour l'impôt sur les sociétés, les bénéfices industriels, commerciaux, non commerciaux et agricoles, la taxe sur la valeur ajoutée et plusieurs autres déclarations, avec pour seule exception notable des opérateurs que l'absence de couverture réseau prive d'accès à internet. L'article 1738 sanctionne le manquement par une majoration de 0,2 % des droits, avec un minimum de 60 €, ou par une amende de 15 € par document en l'absence de droits. La doctrine administrative qui commente cet article, publiée au Bulletin officiel des finances publiques le 2 octobre 2019, n'organise qu'une seule dispense, au bénéfice des particuliers résidant dans des zones dépourvues de service mobile, et celle-ci a pris fin le 31 décembre 2024.

Dans ces trois articles et dans ce commentaire, consultés le 30 octobre 2026, aucune disposition ne traite de l'hypothèse inverse, celle où le contribuable dispose du réseau mais où le service de l'administration est indisponible. Le droit français excuse le réseau absent de l'usager, il ne dit rien du service absent de l'État.

L'omission n'est pas un oubli que personne n'aurait remarqué. Lors de l'examen du projet de loi pour un État au service d'une société de confiance, des députés du groupe Nouvelle Gauche ont déposé le 19 janvier 2018 un amendement n° 815 qui proposait de compléter l'article 1738 pour écarter la majoration « en cas d'impossibilité constatée par l'administration » de respecter l'obligation de paiement ou de déclaration électronique. Leur exposé visait un cas précis, celui des indivisaires empêchés de régler en ligne leur quote-part, mais la rédaction couvrait toute impossibilité constatée. L'amendement a été rejeté.

L'amendement n° 815, ou la clause de rigueur refusée

Déposé le 19 janvier 2018 sur le projet de loi n° 575 pour un État au service d'une société de confiance, l'amendement proposait d'ajouter à l'article 1738 du code général des impôts un alinéa 6 neutralisant la majoration de 0,2 % lorsque l'administration constate l'impossibilité de respecter les obligations électroniques. Ses auteurs notaient que les gains de productivité attendus de la dématérialisation supposent un système parfaitement adapté. Le texte a été rejeté. Depuis lors, l'article 1738 n'a été modifié qu'au profit des zones dépourvues de réseau mobile, par la loi du 10 août 2018.

Le juge administratif a pourtant fixé les principes. Par sa décision de Section du 3 juin 2022 (n° 452798), le Conseil d'État a admis que le pouvoir réglementaire impose un téléservice, à la condition de permettre l'accès normal des usagers au service public et de garantir l'exercice effectif de leurs droits. Pour le téléservice des titres de séjour, il a exigé un accompagnement et une solution de substitution lorsque l'usager se heurte à l'impossibilité d'utiliser l'outil pour des raisons tenant à sa conception ou à son fonctionnement. Cette solution figure désormais à l'article R. 431-2 du code de l'entrée et du séjour des étrangers, précisée par un arrêté du 1er août 2023. C'est très exactement la clause de rigueur que demandaient Bovens et Zouridis, imposée par le juge.

La décision d'Assemblée du 5 mai 2026 (n° 502860), rendue sur le même téléservice, réaffirme ces principes et contient un passage qui mesure l'angle mort. Sur les délais de dépôt, le Conseil d'État relève qu'à supposer que des personnes soient empêchées de déposer leur demande à temps par suite de dysfonctionnements du téléservice, le ministre fait valoir en défense, sans être contesté, que « ses services n'opposent pas la condition de délai ». La protection de l'usager contre la panne du canal unique repose ici sur une pratique déclarée devant le juge, non sur une règle publiée. La doctrine française de la dématérialisation sait compter ce qui manque à l'usager (le réseau, l'équipement, la compétence numérique) et a fini par organiser des voies de substitution pour les blocages individuels. Elle n'a écrit nulle part ce que devient une échéance quand c'est l'administration elle-même qui manque.

Avril 2018 : l'IRS, le jour accordé et la panne rachetée

Le précédent le plus proche par sa structure est américain. Le 17 avril 2018, dernier jour de la saison déclarative fédérale, une défaillance de micrologiciel sur une baie de stockage de l'Internal Revenue Service (IRS) rend indisponibles 59 systèmes de traitement, dont la plateforme de dépôt électronique, pendant environ onze heures, entre 2 h 57 et 13 h 40 (heure de l'Est). Le rapport de l'inspection générale du Trésor chargée de l'administration fiscale (TIGTA), publié le 19 septembre 2018, établit la chaîne. IBM avait découvert le défaut en juin 2017 et publié un correctif en novembre 2017, mais l'IRS avait accepté en décembre 2017 la recommandation de ses prestataires de conserver une version antérieure jugée plus stable pour la saison déclarative. En janvier 2018, un autre client d'IBM avait subi la même panne, sans que l'IRS en soit informé.

La suite reproduit, à quelques heures près, la séquence belge. Les ordinateurs centraux sont rétablis à 13 h 40, la décision d'ajouter un jour au délai est prise à 17 h et le communiqué IR-2018-100 est diffusé le soir même. Il accorde aux particuliers et aux entreprises jusqu'à minuit le 18 avril et précise : « Taxpayers do not need to do anything to receive this extra time. » (Les contribuables n'ont aucune démarche à accomplir pour bénéficier de ce délai.) Le même communiqué indique que les contribuables ont pu continuer à transmettre leurs déclarations par l'intermédiaire de leurs logiciels et que ceux qui déclaraient et payaient sur papier n'ont pas été touchés.

Ce que coûte une panne de bureaucratie de système

Selon le rapport TIGTA 2018-20-065 : environ 11 heures d'indisponibilité, 59 systèmes de traitement affectés, près de 4 millions de déclarations traitées avant minuit une fois les systèmes rétablis, jusqu'à 36 heures nécessaires pour basculer l'activité vers le second centre de calcul, et environ 5,8 millions de dollars pour supprimer le point de défaillance unique avant la saison 2019.

Deux traits rapprochent ce précédent du cas belge. Le report est décidé par l'administration elle-même, par communiqué, sur la base de sa propre estimation de la durée de rétablissement. Et l'inspection générale traite l'incident comme un problème technique et contractuel : le rapport constate que le stockage concerné « is currently a single point of failure » (constitue actuellement un point de défaillance unique), recommande de documenter les décisions de mise à jour et de réclamer des pénalités au prestataire, mais ne dit rien de la règle qui devrait gouverner les échéances en cas de panne. Un trait les distingue. L'IRS conservait un canal papier et des intermédiaires capables de mettre les déclarations en attente, de sorte qu'un jour a suffi. Le SPF Finances, qui doit reconstruire ses services dans un environnement isolé, accorde un peu plus de deux semaines. Dans les deux cas, la panne a été rachetée en argent et en délais, jamais transformée en droit.

Ce que la prochaine panne dira de la règle

Le fisc belge, l'IRS et, en creux, le droit fiscal français partagent une même architecture : une bureaucratie de système où le logiciel est devenu la bouche de la loi, et où rien n'est prévu pour le moment où cette bouche se tait. Bovens et Zouridis redoutaient l'arbitraire d'un système trop rigide et proposaient des clauses de rigueur pour le corriger. Les incidents d'octobre 2026 montrent l'arbitraire symétrique, celui d'une administration qui, privée de son système, retrouve un pouvoir discrétionnaire complet sur ses propres échéances et l'exerce par communiqué. Mutualisée chez un éditeur, la même architecture déplace l'ossature hors de l'organisation et laisse à chaque commune une responsabilité qu'elle ne peut exercer qu'à partir des informations du fournisseur.

L'hypothèse qui en découle peut être vérifiée sans information interne. Si les doctrines restent en l'état, la prochaine indisponibilité majeure d'un téléservice fiscal obligatoire se réglera, en France comme en Belgique, par un communiqué et non par l'application d'un texte. Trois indicateurs permettront de trancher d'ici le 31 décembre 2027. Le premier est la présence ou l'absence, dans la loi de finances pour 2027 ou pour 2028, d'une disposition du code général des impôts ou du livre des procédures fiscales qui reprenne l'objet de l'amendement n° 815 en neutralisant les pénalités ou en reportant l'échéance lorsque l'indisponibilité est imputable à l'administration. Le deuxième est la forme du prochain report d'échéance décidé en Belgique à la suite d'une indisponibilité de MyMinfin : un texte publié au Moniteur belge, ou un nouveau communiqué. Le troisième est l'inscription, dans le code de l'entrée et du séjour des étrangers ou dans l'arrêté du 1er août 2023, de la règle que le ministre de l'intérieur a déclarée devant le Conseil d'État en mai 2026, selon laquelle la condition de délai n'est pas opposée en cas de dysfonctionnement du téléservice. Si ces trois indicateurs restent négatifs à la fin de 2027, la loi continuera de se taire chaque fois que le téléservice tombe, et la règle des délais restera ce qu'elle est aujourd'hui, une décision prise au cas par cas par l'administration en panne.

Note méthodologique

Les faits belges reposent sur les trois communiqués du SPF Finances publiés sur news.belgium.be les 13 juillet, 28 octobre et 29 octobre 2026, sur la page de questions-réponses de Vanden Broele mise à jour le 27 octobre 2026 et sur l'avis de la commune de Mol, la presse (VRT, ITdaily) étant mobilisée pour l'échéance initiale du 31 octobre, la liste des communes ayant averti leurs habitants et les propos rapportés de responsables. Le nombre d'administrations locales utilisatrices d'eSignFlow diverge entre la VRT (plus de 120) et ITdaily (plus de 100), et l'article retient l'ordre de grandeur commun d'une centaine au moins.

Les affirmations d'absence portent, pour la Belgique, sur les trois communiqués cités, et, pour la France, sur les articles 1649 quater B quater, 1649 quater B quinquies et 1738 du code général des impôts et sur le commentaire BOI-CF-INF-10-40-50, consultés le 30 octobre 2026. Le livre des procédures fiscales n'entre pas dans ce périmètre. Bovens et Zouridis analysent la bureaucratie de système en fonctionnement et ne traitent pas de son indisponibilité : leur extension au cas de la panne est un choix d'interprétation de l'auteur, de même que la lecture de l'amendement n° 815 et de la solution de substitution du téléservice des titres de séjour comme des clauses de rigueur au sens de leur article.

Recherche de sources, croisement des données et structuration du raisonnement s'appuient sur une assistance par intelligence artificielle. Le choix de l'angle et du cadre théorique, la vérification des sources, les arbitrages et l'établissement du texte final relèvent de l'auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Sources primaires institutionnelles (Belgique)

• SPF Finances (FOD Financiën), « Uitstel voor online aangifte personenbelasting tot 19 juli 2026 », communiqué, 13 juillet 2026, https://news.belgium.be/nl/node/44757/pdf
• SPF Finances (FOD Financiën), « Cyberincident bij de FOD Financiën », communiqué, 28 octobre 2026, https://news.belgium.be/nl/cyberincident-bij-de-fod-financien
• SPF Finances (FOD Financiën), « UPDATE: cyberincident bij de FOD Financiën », communiqué, 29 octobre 2026, https://news.belgium.be/nl/update-cyberincident-bij-de-fod-financien
• Vanden Broele, « Veelgestelde vragen incident oktober 2026 », page eSignFlow mise à jour le 27 octobre 2026, consultée le 30 octobre 2026, https://www.esignflow.be/nl-be/faq-incident-2026
• Gemeentebestuur Mol, « Cyberaanval bij leverancier digitale handtekeningen: wees alert voor verdachte berichten », 27 octobre 2026, https://www.gemeentemol.be/nieuws/cyberaanval-bij-leverancier-digitale-handtekeningen-wees-alert-voor-verdachte-berichten

Sources primaires institutionnelles (France)

• Code général des impôts, article 1649 quater B quinquies, version en vigueur depuis le 12 août 2018, Légifrance, consultée le 30 octobre 2026, https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037312447
• Code général des impôts, article 1649 quater B quater, version en vigueur depuis le 19 juin 2025, Légifrance, consultée le 30 octobre 2026, https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000041471321
• Code général des impôts, article 1738, version en vigueur depuis le 12 août 2018, Légifrance, consultée le 30 octobre 2026, https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037312444
• Direction générale des finances publiques, BOI-CF-INF-10-40-50, « Non-respect des obligations de déclaration ou paiement par voie électronique », Bulletin officiel des finances publiques, 2 octobre 2019, https://bofip.impots.gouv.fr/bofip/4369-PGP.html/identifiant=BOI-CF-INF-10-40-50-20191002
• Assemblée nationale, amendement n° 815 présenté par Mme Rabault et les membres du groupe Nouvelle Gauche, projet de loi pour un État au service d'une société de confiance (n° 575), 19 janvier 2018, https://www.assemblee-nationale.fr/dyn/15/amendements/0575/AN/815.pdf
• Conseil d'État, Section, décision n° 452798, 3 juin 2022, analyse, https://www.conseil-etat.fr/fr/arianeweb/CE/analyse/2022-06-03/452798
• Conseil d'État, Assemblée, décision n° 502860, 5 mai 2026, https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2026-05-05/502860

Cadre théorique

• Mark Bovens et Stavros Zouridis, « From Street-Level to System-Level Bureaucracies: How Information and Communication Technology Is Transforming Administrative Discretion and Constitutional Control », Public Administration Review, vol. 62, n° 2, mars-avril 2002, p. 174 à 184, version consultée le 30 octobre 2026, https://toonaangevend-werk-van-mark-bovens.sites.uu.nl/wp-content/uploads/sites/1208/2025/06/Public-Administration-Review-2002-Bovens-From-Street‐Level-to-System‐Level-Bureaucracies-How-Information-and.pdf

Parallèle historique

• Treasury Inspector General for Tax Administration, « Review of the System Failure That Led to the Tax Day Outage », rapport n° 2018-20-065, 19 septembre 2018, https://www.oversight.gov/sites/default/files/oig-reports/201820065fr.pdf
• Internal Revenue Service, « IR-2018-100, IRS provides additional day to file and pay for taxpayers through Wednesday, April 18; IRS processing systems back online », 17 avril 2018, https://content.govdelivery.com/accounts/USIRS/bulletins/1ea6cc1

Presse

• VRT NWS, « Hack bij softwareleverancier van lokale besturen: gemeenten waarschuwen voor phishing », 26 octobre 2026, https://www.vrt.be/vrtnws/nl/2026/10/26/hack-bij-leverancier-van-lokale-besturen-gemeenten-waarschuwen/
• Katrien Duchène, ITdaily, « Gemeenten waarschuwen voor phishing na hack bij softwareleverancier », 27 octobre 2026, https://itdaily.be/nieuws/beveiliging/gemeenten-waarschuwen-voor-phishing-na-hack-bij-softwareleverancier/
• Katrien Duchène, ITdaily, « FOD Financiën getroffen door cyberaanval: MyMinfin en andere digitale diensten liggen plat », 28 octobre 2026, https://itdaily.be/blogs/beveiliging/fod-financien-getroffen-door-cyberaanval-myminfin-en-andere-digitale-diensten-liggen-plat