Umsetzung der EU-Whistleblower-Richtlinie dauerte länger als erwartet

Der Verzug bei der Umsetzung der EU-Whistleblower-Richtlinie zog sich auf fast drei Jahre hin. Die Frist endete am 17. Dezember 2021. Zwei von 27 Mitgliedstaaten hielten sie ein: Dänemark und Schweden. Polen schloss die Liste am 25. September 2024 ab, 1.013 Tage zu spät. Die Daten stammen aus unserem Bericht 2026 zur EU-Whistleblower-Richtlinie, der alle 27 nationalen Gesetze vergleicht. Hier ist die vollständige Chronologie.

Wie lautete die Frist zur Umsetzung der Richtlinie?

Die Richtlinie 2019/1937 gab den Mitgliedstaaten bis zum 17. Dezember 2021 Zeit, ein nationales Gesetz zu verabschieden. Mittelgroße Privatunternehmen mit 50 bis 249 Beschäftigten erhielten zusätzliche Zeit, bis zum 17. Dezember 2023. Nur Dänemark und Schweden hielten den ersten Termin ein. Niemand war früh dran. Die Europäische Kommission leitete gegen die meisten der 25 Staaten, die ihn verpassten, Vertragsverletzungsverfahren ein.

Eine Richtlinie bindet Regierungen, nicht Unternehmen. Ein Beschäftigter ist erst geschützt, sobald ein nationales Gesetz besteht. Wie das funktioniert, erklären wir in warum die EU die Whistleblower-Richtlinie geschaffen hat.

„2 von 27 Mitgliedstaaten setzten fristgerecht um, Dänemark und Schweden, beide am 17. Dezember 2021. Niemand war früh dran.“
WeMoral, Bericht 2026 zur Umsetzung der Whistleblower-Richtlinie in der EU, S. 4

Welche Länder haben die Richtlinie zu spät umgesetzt, und um wie viel?

Jeder Mitgliedstaat außer Dänemark und Schweden verpasste die Frist. Malta kam am nächsten heran, sieben Tage zu spät. Zypern und Lettland folgten mit 49 Tagen. Am anderen Ende brauchte Estland 989 Tage und Polen 1.013. Der durchschnittliche Mitgliedstaat war 380 Tage zu spät, mehr als ein Jahr.

Quelle: WeMoral, Bericht 2026 zur Umsetzung der Whistleblower-Richtlinie in der EU, S. 6. Belgien ist nach seinem Gesetz für den Privatsektor datiert; seine acht Rechtsakte reichen vom 1. September 2022 bis zum 18. Januar 2024.

Dänemark und Schweden ließen es leicht aussehen. Beide Gesetze traten am Tag der Frist selbst in Kraft. Ihre Gesetze behandeln wir in den Beiträgen zum dänischen und schwedischen Whistleblower-Recht. Die folgende Tabelle nennt Datum und Verzug jedes Landes.

Quelle: WeMoral, Bericht 2026 zur Umsetzung der Whistleblower-Richtlinie in der EU, S. 6.

Polen schloss die Liste ab, 1.013 Tage zu spät

„1.013 Tage beträgt Polens Verzug, der längste in der EU. Der durchschnittliche Mitgliedstaat war mehr als ein Jahr zu spät.“
WeMoral, Bericht 2026 zur Umsetzung der Whistleblower-Richtlinie in der EU, S. 4

Polens Gesetz trat am 25. September 2024 in Kraft, fast drei Jahre nach der Frist. Zu diesem Zeitpunkt war die von der Richtlinie selbst gewährte Zusatzfrist für mittelgroße Unternehmen bereits abgelaufen. Das polnische Gesetz kam also ganz ohne Übergangsphase. Jeder verpflichtete Arbeitgeber war auf einen Schlag erfasst. Die ganze Geschichte dieses Gesetzes steht in unserem Beitrag zum polnischen Whistleblower-Recht.

Estland war mit 989 Tagen der zweitschlimmste Fall. Es verschob die Pflicht für mittelgroße Privatunternehmen dann noch einmal, auf den 1. Januar 2025. Ein estnisches Unternehmen mit 100 Beschäftigten erhielt seine Meldekanalpflicht mehr als ein Jahr nach seinem finnischen Pendant jenseits des Finnischen Meerbusens.

Wie setzte jeder Staat um, neues Gesetz oder Änderung?

Zwanzig von 27 Mitgliedstaaten schrieben ein neues, eigenständiges Whistleblower-Gesetz. Sechs änderten ein Gesetz, das älter ist als die Richtlinie: Frankreich, Irland, Litauen, Malta, die Niederlande und die Slowakei. Belgien steht für sich allein. Es nutzte acht getrennte Rechtsakte, Bundesgesetze sowie regionale Dekrete und Erlasse.

Quelle: WeMoral, Bericht 2026 zur Umsetzung der Whistleblower-Richtlinie in der EU, S. 6.

„Belgien brauchte acht getrennte Gesetze, Dekrete und Erlasse, um eine einzige Richtlinie umzusetzen.“
WeMoral, Bericht 2026 zur Umsetzung der Whistleblower-Richtlinie in der EU, S. 4

Der Änderungsweg erklärt einige ungewöhnliche Daten. Malta war nur sieben Tage zu spät, weil es lediglich sein Gesetz von 2013 änderte. Frankreich fügte die Richtlinie in sein Sapin-II-Gesetz von 2016 ein. Das Grundgesetz der Slowakei gilt seit dem 1. März 2019, seine 50-Beschäftigten-Pflicht ist also älter als die Richtlinie. Irland änderte seinen Protected Disclosures Act 2014. Die Niederlande bauten ihr Gesetz von 2016 um. Wo die alte Struktur erhalten blieb, kamen Teile der Richtlinie nur halb umgesetzt an. Unser Bericht markiert jeden solchen Fall zur rechtlichen Prüfung.

Belgiens Paket reicht vom 1. September 2022 bis zum 18. Januar 2024. Das Gesetz für den Privatsektor trat am 15. Februar 2023 in Kraft. Ein dort tätiges Unternehmen muss föderale und regionale Regeln nebeneinander lesen. Der Beitrag zum belgischen Whistleblower-Recht führt durch diesen mehrschichtigen Aufbau.

Quelle: WeMoral, Bericht 2026 zur Umsetzung der Whistleblower-Richtlinie in der EU, S. 6.

Was bedeutete der Umsetzungsverzug für Unternehmen?

Eine Richtlinie ohne nationales Gesetz lässt Unternehmen im Ungewissen. Bis zum jeweiligen Datum eines Staates gab es kein nationales Gesetz, dem man folgen konnte. Die Richtlinie sprach nur die Regierungen an. In den säumigen Staaten lief die Zusatzfrist für mittelgroße Unternehmen ab, bevor überhaupt ein nationales Gesetz bestand, um sie zu nutzen.

Der sicherere Weg war, den Kanal früh einzurichten. Der Mindeststandard der Richtlinie war seit 2019 öffentlich: ein interner Kanal, Empfangsbestätigung binnen sieben Tagen, Rückmeldung binnen drei Monaten. Unternehmen, die das vor Inkrafttreten ihres nationalen Gesetzes einrichteten, mussten später kaum etwas ändern. Was die Richtlinie Artikel für Artikel verlangt, steht in unserem Erklärbeitrag zur EU-Whistleblower-Richtlinie.

27 Gesetze in Kraft, 27 verschiedene Regelwerke

Alle 27 Gesetze sind nun in Kraft, damit ist die Verzugsgeschichte abgeschlossen. Was die späten Jahre hervorbrachten, ist alles andere als einheitlich. Die nationalen Gesetze unterscheiden sich bei Geldbußen, bei der Anonymität, bei der Aufbewahrung und bei der Frage, wer die Einhaltung prüft. Ein Unternehmen, das auf sein eigenes Gesetz gewartet hat, muss nun 27 Regelwerke lesen. Der Umsetzungsbericht 2026 stellt sie nebeneinander, 33 Datenpunkte je Land, mit jedem Startdatum neben den Regeln, die damit kamen. Prüfen Sie die Zeilen Ihrer Länder, bevor Sie eine gemeinsame Policy für alle aufstellen.