Endesa datalek en cyberaanval: Wat is er gebeurd en wat moeten klanten weten?

De GDPR-boete van €6,1 miljoen

Eind 2023 legde het Spaanse bureau voor gegevensbescherming (AEPD) een flinke sanctie op aan Endesa na het vaststellen van ernstige tekortkomingen in de gegevensbeschermingssystemen.

Uit onderzoek bleek dat de persoonlijke gegevens van ongeveer 6 miljoen klanten waren blootgesteld door ontoereikende beveiligingsmaatregelen.

De AEPD oordeelde dat Endesa niet de juiste beveiligingscontroles had geïmplementeerd die vereist zijn onder de Algemene Verordening Gegevensbescherming (AVG/GDPR) van de EU.

Als gevolg hiervan kreeg het bedrijf een boete van €6,1 miljoen, een van de hoogste sancties voor gegevensbescherming ooit opgelegd in de Spaanse energiesector.

De blootgestelde informatie bevatte naar verluidt persoonlijke identificatiegegevens en gegevens gekoppeld aan elektriciteits- en gascontracten.

De cyberaanval op klantsystemen in 2026

Meer recentelijk, in januari 2026, bevestigde Endesa slachtoffer te zijn geworden van een cyberaanval op systemen die worden gebruikt voor het beheer van klantcontracten.

Volgens rapporten bood het lek ongeautoriseerde toegang tot een commercieel platform dat verbonden is met klantaccountgegevens.

Beveiligingsonderzoekers meldden later dat miljoenen records naar verluidt te koop werden aangeboden op darkweb-forums, hoewel het exacte aantal getroffen klanten niet officieel is bevestigd.

Endesa bedient momenteel ongeveer 10 milioen elektriciteitsklanten in Spanje, wat betekent dat het incident mogelijk gevolgen heeft voor een aanzienlijk deel van het klantenbestand.

Wat Endesa heeft gedaan

Na de cyberaanval verklaarde het bedrijf onmiddellijk maatregelen te hebben genomen om de systemen te beveiligen.

• blokkeren van de gecompromitteerde toegangspunten
• starten van een intern onderzoek naar cybersecurity
• melden van het lek bij de Spaanse autoriteiten voor gegevensbescherming
• informeren van klanten die mogelijk door het lek zijn getroffen

Komen er meer boetes?

Op het moment van schrijven is er nog geen officiële boete aangekondigd voor de cyberaanval van 2026.

Het incident zal echter waarschijnlijk door de AEPD worden beoordeelde op basis van de GDPR-regels. Als toezichthouders vaststellen dat de beveiligingsmaatregelen onvoldoende waren, kunnen er extra sancties volgen.

Volgens de EU-wetgeving over gegevensbescherming kunnen boetes oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet van een bedrijf, afhankelijk van welk bedrag hoger is.

Waarom dit belangrijk is voor energieklanten

Energieleveranciers beschikken over een aanzienlijke hoeveelheid gevoelige klantgegevens, waaronder ID-gegevens, adressen, factuurhistorie en bankinformatie.

Naarmate de sector verder digitaliseert, is cybersecurity net zo belangrijk geworden als de prijs en betrouwbaarheid van de levering.

Incidenten als deze benadrukken waarom klanten altijd voorzichtig moeten zijn bij het ontvangen van onverwachte e-mails of oproepen over hun energierekening.

Sectorperspectief

Hoewel Endesa niet het enige nutsbedrijf is dat te maken heeft met uitdagingen op het gebied van cybersecurity, toont deze zaak de omvang aan van het risico voor bedrijven die miljoenen klantrecords beheren.

Voor consumenten worden transparantie en sterke praktijken voor gegevensbescherming een steeds grotere factor bij de keuze voor een energieleverancier.

Veelgestelde vragen