Peppol en factuurfraude: uw boekhouding beschermen in 2026

Sinds 1 januari 2026 moeten btw-plichtige Belgische ondernemingen onderling gestructureerde elektronische facturen uitwisselen. Ze doen dat via het Peppol-netwerk. Een pdf per e-mail volstaat niet langer tussen bedrijven. De overstap is grotendeels gebeurd. Volgens de FOD Financiën waren medio juli 2026 1.059.335 btw-plichtigen aangesloten op Peppol, of 89 %.

Peppol maakt facturatie betrouwbaarder, maar fraude verdwijnt er niet door. Febelfin zegt het duidelijk in zijn brochure van 2026. De tips tegen factuurfraude blijven gelden, ook voor facturen die via Peppol binnenkomen. Hieronder leest u wat er veranderde en welke fraudescenario's u moet kennen. U krijgt ook een eenvoudige procedure voor uw boekhouding.

Waar staat de Peppol-verplichting

De FOD Financiën gaf een tolerantieperiode tijdens de eerste drie maanden van 2026. De onderneming moest wel aantonen dat ze "tijdig en redelijk" stappen had gezet. Een algemeen uitstel kwam er niet.

Het koninklijk besluit van 8 juli 2025 voorziet forfaitaire boetes. Die bedragen 1.500 euro voor een eerste inbreuk, 3.000 euro voor een tweede en 5.000 euro voor de volgende. Op 3 augustus 2026 was er volgens Belga nog geen enkele boete opgelegd. De FOD zegt de voorkeur te geven aan een "constructieve dialoog". Ongeveer 12.000 ondernemingen moesten zich nog registreren. Volgens de FOD hebben de andere niet-aangesloten bedrijven geen B2B-activiteit.

Voor kleine ondernemingen bestaat er een fiscale stimulans. Het gaat om een verhoogde kostenaftrek van 120 % voor abonnementen op facturatiesoftware. Die geldt voor de belastbare tijdperken 2024 tot 2027.

Peppol beperkt sommige risico's, niet alle

Peppol schakelt een klassieke aanvalsweg uit: de pdf-factuur die in een mailbox of in de post onderschept en aangepast wordt. Facturen lopen nu tussen geïdentificeerde toegangspunten (access points). Toch blijven er drie beperkingen.

De identiteit bij registratie. Peppol controleert niet automatisch de bedoelingen van wie het netwerk gebruikt. Banqup Group herinnert daaraan in een artikel van april 2026. Die controle ligt bij de softwarepakketten en toegangspunten. Steunt de registratie van een leverancier alleen op een btw-nummer, zonder strikte controle, dan blijft identiteitsfraude mogelijk.

Automatisch aangemaakte identificatoren. Volgens Innovate Tax (januari 2026) heeft het vroegere Hermes-platform sommige Belgische Peppol-identificatoren automatisch aangemaakt. Dat platform is sinds 31 december 2025 uitgeschakeld. Bedrijven kunnen dus een Peppol-identificator op hun naam hebben zonder het te weten. Dezelfde bron noemt twee Belgische cybersecuritybedrijven, SalesBridge en SafeByte. Zij toonden aan dat het technisch mogelijk is om via Peppol een valse factuur te sturen die legitiem lijkt.

De inhoud van de factuur. Peppol vervoert de factuur. Het garandeert niet dat het IBAN-nummer erop echt van uw leverancier is.

Drie fraudescenario's die u moet kennen

1. De valse factuur

Een fraudeur stuurt een factuur voor een nooit bestelde dienst, op naam van een echte of fictieve leverancier. Febelfin raadt aan nooit een verdachte factuur te betalen zonder voorafgaande controle. Ga na of u wel klant bent bij dat bedrijf of er iets besteld hebt.

2. De gewijzigde IBAN

Dit is het duurste scenario. Volgens Febelfin onderscheppen fraudeurs een echte factuur of kraken ze de mailbox van een leverancier. Daarna vervangen ze het rekeningnummer en sturen ze het document opnieuw. Soms voegen ze een brief of sticker toe met "Opgelet, gewijzigd rekeningnummer". Het verzoek kan ook via een gewone e-mail van de "boekhouding" van de leverancier komen.

3. Het nepbericht over "Peppol" of de "FOD Financiën"

De Peppol-verplichting en de dreiging van een boete vormen een geloofwaardig voorwendsel: "rond uw Peppol-registratie af", "regulariseer uw situatie vóór een sanctie". Op 14 oktober 2026 vonden we geen enkele officiële waarschuwing (Safeonweb, FOD Financiën) over phishing rond Peppol. De FOD Financiën waarschuwt wel geregeld voor valse eBox-mails en valse sms'en die betaling van een schuld eisen. De FOD herinnert eraan dat hij nooit bankgegevens vraagt. Zijn betalingen verlopen via MyMinfin of via zijn officiële rekeningen.

De antifraudeprocedure in 7 stappen

Febelfin noemt het boekhoudpersoneel de "eerste verdedigingslinie". Deze zeven stappen volgen zijn aanbevelingen, aangepast aan de Peppol-context.

Wat de boekhouding naast het scherm moet hangen

Deze regels vragen geen investering. Ze vragen vooral dat iedereen ze kent en een betaling durft af te remmen. Febelfin raadt trouwens aan deze richtlijnen te verspreiden bij de boekhouding en de directie. Ze gelden ook voor iedereen met een volmacht op de rekeningen. Een korte opleiding in cyberbewustzijn met concrete voorbeelden helpt om ze te verankeren.