Das HinweisgeberInnenschutzgesetz (HSchG), mit welchem die „Whistleblower-Richtlinie“ der Europäischen Union in Österreich umgesetzt wurde, ist nun in Kraft. Rasches Handeln ist gefragt:

1. Der erste Schritt: abklären, ob der Anwendungsbereich des HSchG erfüllt ist. So sind beispielsweise Unternehmen sowie juristische Personen des öffentlichen Sektors mit mehr als 50 Beschäftigten verpflichtet, interne Hinweisgebersysteme einzurichten. Das HSchG kann auch unter dieser Schwelle gelten, wenn Unternehmen in bestimmten sensiblen Bereichen tätig sind (z.B. Finanzdienstleistungen).
2. Der zweite Schritt: Fristen checken. Große Unternehmen mit mehr als 250 Mitarbeitern haben aufgrund der gesetzlich vorgegebenen Fristen bis zum 25.08.2023 Zeit, die entsprechenden Maßnahmen zu setzen. Unternehmen mit einer Mitarbeiteranzahl zwischen 50 und 250 müssen die Vorgaben bis spätestens 17.12.2023 umsetzen.
3. Danach ist zu eruieren, welches Meldesystem in Frage kommt bzw. welches Meldesystem für das konkrete Unternehmen am geeignetsten ist. Zu entscheiden ist, ob ein internes oder ein externes Meldesystem implementiert wird oder ob überhaupt eine Konzernlösung umgesetzt werden soll. Auch sollten die entsprechenden technischen Möglichkeiten evaluiert werden (z.B. Einrichtung eines physischen „Postkastens“ oder Verwendung von technischen/elektronischen „Tools“/Softwarelösungen); so kann im privatwirtschaftlichen Sektor das Unternehmen entscheiden, ob ein schriftliches oder ein mündliches Meldesystem (oder beides) verwendet werden soll. Wenngleich die verwendbare Technik und das zu verwendende Mittel der Kommunikation mit potenziellen Hinweisgebern nicht konkret vorgegeben sind, ist sicherzustellen, dass die Vertraulichkeit der Identität der Hinweisgeber und Dritter, die in der Meldung erwähnt werden, gewahrt bleibt. Wichtig ist jedoch, dass die gesetzlichen Anforderungen an den Meldekanal/die Meldestelle erfüllt werden.
4. Ebenso müssen die Unternehmen entscheiden, welchen Anwendungsbereich sie für die Meldungen festlegen. Insbesondere, ob sie Meldungen zulassen wollen, welche über den gesetzlichen sachlichen Geltungsbereich hinausgehen (z.B. Öffentliches Auftragswesen, Verbraucherschutz, Produktsicherheit, Umwelt- und Tierschutz, Verkehrssicherheit, Verhinderung von Geldwäsche und Korruption). Hier empfiehlt es sich für die Unternehmen, sich nicht starr an die Liste des Gesetzgebers zu „klammern“, sondern den sachlichen Geltungsbereich dahingehend zu erweitern, dass die Meldestelle auch Meldungen über Verstöße aus anderen Bereichen, als den gesetzlich vorgegebenen prüft und bearbeitet. 
5. Nicht zu vergessen ist auf die Festlegung von internen Vorgaben und Richtlinien: So muss beispielsweise geklärt werden, welche Organisationseinheiten das Meldewesen betreuen sollen, welche internen und externen Experten beigezogen werden sollen, wer die Meldungen bearbeiten wird bzw. wer prüfen soll, ob eine Meldung bearbeitet und weiterverfolgt oder zurückgelegt werden kann. Ebenso sollten Vorgaben für eine standardisierte Vorgehensweise und einem gesetzmäßigen Ablauf getroffen werden (z.B. Sicherstellung der Einhaltung der 7-tägigen Bestätigungsfrist oder der 3-monatigen Informationsfrist). Da keine Verpflichtung zur Entgegennahme und Weiterverfolgung anonymer Meldungen besteht, muss geklärt werden, wie mit anonymen Meldungen organisatorisch umgegangen werden soll. 
6. Sämtliche Mitarbeiter müssen leicht zugänglich und verständlich über den internen und/oder externen Meldekanal, das Meldesystem sowie die Meldeprozesse informiert werden; dies am einfachsten über Emails/Newsletter, Intranet-Beiträge und/oder Schulungen.
7. Auch sind arbeitsrechtliche und datenschutzrechtliche Vorkehrungen zu treffen (es ist beispielsweise zu klären, ob der Abschluss einer Betriebsvereinbarung erforderlich ist, oder ob bestimmte datenschutzrechtliche Regelungen angepasst oder getroffen werden müssen).
8. Die internen Hinweisgeberstellen sind mit den zur Erfüllung ihrer Aufgaben notwendigen finanziellen und personellen Mitteln auszustatten.
9. Auch wenn die Umsetzungsfristen großzügig gestaltet sind, sollte die Planung und Einrichtung von internen Meldekanälen/Meldestellen nicht allzu lang hinausgeschoben werden. Im Gegenteil: Die Schritte zur Umsetzung des HSchG sollten zeitnahe gesetzt werden, um sicherzustellen, dass die rechtlichen Vorgaben und organisatorischen bzw. technischen Abläufe, rechtzeitig und rechtskonform umgesetzt werden.