Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand, ACFE Swiss Chapter
Am 26. November 2025 hat die ANAC, Italiens nationale Antikorruptionsbehörde, ihre ersten Leitlinien speziell zu internen Meldekanälen verabschiedet (Linee Guida n. 1/2025, Delibera n. 478). Sie legen fest, wie die unter das italienische Hinweisgeberschutzgesetz (Gesetzesdekret 24/2023) fallenden Stellen ihre internen Kanäle betreiben sollen. Die wichtigsten Punkte: Normale E-Mail und zertifizierte E-Mail (PEC) reichen allein nicht aus, verschlüsselte Plattformen werden bevorzugt, die zuständige Meldestelle muss unabhängig und geschult sein, und Schulungen müssen alle Beschäftigten erreichen. Unternehmen mit bestehendem Kanal müssen nicht neu anfangen, sollten ihn aber anhand der neuen Leitlinien prüfen.
Dieser Artikel erläutert, wer einen Kanal haben muss, was die Leitlinien sagen, was sich geändert hat und enthält eine Checkliste für Ihre Prüfung. Hintergrund dazu, wie Italien die EU-Richtlinie umgesetzt hat, finden Sie in unserem Interview zur Whistleblowing-Richtlinie in Italien.
ANAC-Prüfungen
Ein interner Kanal, der nicht auf E-Mail basiert. Trusty Whistleblowing erfüllt die Vorgaben des Gesetzesdekrets 24/2023 mit verschlüsselten Verbindungen, einem anonymen Zwei-Wege-Postfach und automatischer Überwachung der Fristen von 7 Tagen und 3 Monaten.
Wer in Italien einen internen Meldekanal haben muss
Das Gesetzesdekret 24/2023 vom 10. März 2023 setzt die EU-Whistleblowing-Richtlinie um. Im privaten Sektor ist ein interner Meldekanal erforderlich für:
- Stellen, die im letzten Jahr durchschnittlich mindestens 50 Beschäftigte hatten;
- Stellen in den von den in Teil I.B und II des Anhangs aufgeführten EU-Rechtsakten erfassten Sektoren, z. B. Finanzdienstleistungen und Geldwäschebekämpfung, auch mit weniger als 50 Beschäftigten;
- Stellen, die ein Organisations- und Managementmodell nach dem Gesetzesdekret 231/2001 (ein „231-Modell“) eingeführt haben, auch mit weniger als 50 Beschäftigten.
Die Regeln traten am 15. Juli 2023 in Kraft. Private Stellen mit durchschnittlich bis zu 249 Beschäftigten hatten bis zum 17. Dezember 2023 Zeit, ihren internen Kanal einzurichten, und sie dürfen sich einen Kanal und dessen Betrieb teilen. Der konsolidierte Text, der ab dem 24. Januar 2026 gilt, erfasst außerdem Meldungen über Verstöße gegen restriktive Maßnahmen der EU (Sanktionen).
Was die ANAC-Leitlinien zu internen Kanälen sagen
Das Dekret setzt den Rahmen. Meldungen können schriftlich erfolgen, auch über IT-Tools, oder mündlich, über Telefonleitung oder Sprachnachrichten, sowie in einem persönlichen Gespräch auf Wunsch der meldenden Person. Die Bearbeitung muss einer autonomen, dafür vorgesehenen internen Person oder Stelle mit speziell geschultem Personal oder einem externen Dritten übertragen werden. Arbeitnehmervertretungen müssen vor Aktivierung des Kanals konsultiert werden. Die meldende Person erhält innerhalb von sieben Tagen eine Eingangsbestätigung und innerhalb von drei Monaten nach der Bestätigung eine Rückmeldung.
Die Linee Guida n. 1/2025 der ANAC ergänzen praktische Details:
- E-Mail allein reicht nicht. Normale E-Mail und PEC gelten für sich genommen als nicht geeignet, die Vertraulichkeit zu schützen, weil Mail-Systeme Logs erzeugen. Sie dürfen nur mit spezifischen, begründeten Gegenmaßnahmen genutzt werden, die in der Datenschutz-Folgenabschätzung (DPIA) identifiziert sind.
- Plattformen mit Verschlüsselung. Die ANAC bevorzugt IT-Plattformen, die Daten im Ruhezustand verschlüsseln und der meldenden Person einen eindeutigen Code zur Nachverfolgung der Meldung geben.
- Mündliche Meldungen. Anrufe und Sprachnachrichten dürfen nur mit Einwilligung der meldenden Person aufgezeichnet werden. Andernfalls wird eine detaillierte Notiz erstellt. Das Protokoll eines nicht aufgezeichneten Gesprächs muss ebenfalls von der meldenden Person unterzeichnet werden.
- Die meldungsbearbeitende Stelle (gestore). Intern oder extern: Die verantwortliche Stelle muss autonom, unparteiisch, unabhängig und speziell geschult sein. Für Interessenkonflikte ist vorab eine Vertretung zu benennen. Der Datenschutzbeauftragte sollte grundsätzlich nicht diese Rolle übernehmen; Stellen mit weniger als 50 Beschäftigten dürfen die Rollen jedoch mit Begründung zusammenlegen.
- Anonyme Meldungen. Auch anonyme Meldungen müssen registriert und ihre Unterlagen aufbewahrt werden.
- Schulungen. Die meldungsbearbeitende Stelle benötigt eine spezifische Schulung mit regelmäßigen Updates, und die Mitarbeiterschulungen müssen das gesamte Personal einbeziehen.
- Gewerkschaftliche Konsultation. Die Konsultation der Arbeitnehmervertretungen ist rein informativ, und die ihnen gesetzte Frist ist nicht bindend.
- Geteilte Kanäle. Private Stellen mit bis zu 249 Beschäftigten, die sich einen Kanal teilen, benötigen einen Vertrag und werden zu gemeinsam Verantwortlichen für die Daten.
Was sich geändert hat und wann
Bis Ende 2025 war die wichtigste Orientierung der ANAC die Delibera n. 311 vom 12. Juli 2023, die sich auf den externen Kanal konzentrierte. Zwei Entscheidungen vom 26. November 2025, veröffentlicht im Amtsblatt am 29. Dezember 2025, haben die Lage geändert:
- Delibera n. 478 genehmigte die Leitlinien zu internen Kanälen nach einer öffentlichen Konsultation, die am 7. November 2024 gestartet wurde, unter Berücksichtigung der Stellungnahme des Garante, der italienischen Datenschutzbehörde.
- Delibera n. 479 änderte die Leitlinien von 2023, einschließlich der Abschnitte zu internen Kanälen, dem externen Kanal der ANAC und der Vertraulichkeit der meldenden Person.
Wir haben in den neuen Leitlinien keine gesonderte Compliance-Frist gefunden. Für bestehende Kanäle sagt die ANAC, es genüge, zu prüfen, ob sie im Lichte der neuen Leitlinien angemessen sind. Der Aufsichtsplan für 2026 sieht vor, dass geprüft wird, wie öffentliche und private Stellen sich angepasst haben, und nennt fehlende Kanäle und Verfahren sowie Verstöße gegen die Vertraulichkeit als häufige Probleme.
Wenn Ihr Kanal noch auf E-Mail basiert, zeigt unser Vergleich von Whistleblowing-Software, E-Mail und Hotlines die Optionen auf.
by design
Die Identität der meldenden Person bleibt bei denen, die sie kennen müssen. Meldende Personen können anonym bleiben und über ein sicheres Postfach nachfassen, ohne Speicherung von IP-Adressen und mit einem vollständigen Audit-Log jeder Aktion.
Die Rolle der ANAC: externer Meldekanal und Sanktionen
Die ANAC betreibt den externen Meldekanal und kann nach Artikel 21 des Dekrets Verwaltungsbußgelder verhängen:
Verstoß | Bußgeld |
|---|---|
Vergeltungsmaßnahmen, Behinderung oder versuchte Behinderung einer Meldung oder Verletzung der Vertraulichkeit | 10.000 € bis 50.000 € |
Keine Meldekanäle, keine Verfahren, Verfahren, die nicht den Artikeln 4 und 5 entsprechen, oder Meldungen nicht verifiziert und analysiert | 10.000 € bis 50.000 € |
Meldende Person wegen Verleumdung oder übler Nachrede haftbar gemacht aufgrund vorsätzlichen Fehlverhaltens oder grober Fahrlässigkeit | 500 € bis 2.500 € |
Nach der Sanktionsregelung der ANAC werden Bußgelder für fehlende oder nicht konforme Kanäle gegen das Leitungsorgan gesamtschuldnerisch mit seinen Mitgliedern verhängt, und Bußgelder für die unterlassene Verifizierung von Meldungen gegen die meldungsbearbeitende Stelle. Die ANAC nutzt diese Befugnisse: In einer Entscheidung vom 9. September 2026 verhängte sie gegen jedes Mitglied des Meldungsbearbeitungsgremiums eines privaten Unternehmens ein Bußgeld von 15.000 € wegen Verletzung der Vertraulichkeit der meldenden Person. Sie stellte klar, dass der Verstoß unabhängig davon vorliegt, ob Dritte die meldende Person tatsächlich identifiziert haben.
Checkliste: Was Sie jetzt in Ihrem Kanal prüfen sollten
- Bestätigen Sie, ob Sie in den Anwendungsbereich fallen: Mitarbeiterzahl, Sektor und ob Sie ein 231-Modell haben.
- Ersetzen Sie E-Mail- oder PEC-Kanäle oder dokumentieren Sie begründete Gegenmaßnahmen in Ihrer DPIA.
- Prüfen Sie, dass Ihre Plattform Daten im Ruhezustand verschlüsselt und meldenden Personen einen Nachverfolgungscode gibt.
- Bieten Sie schriftliche und mündliche Meldungen sowie ein Gespräch auf Anfrage an, mit einwilligungsbasierter Aufzeichnung.
- Bestellen Sie eine autonome, geschulte meldungsbearbeitende Stelle und eine Vertretung für Interessenkonflikte, und prüfen Sie, ob Ihr DSB die Rolle ebenfalls innehat.
- Verfolgen Sie die Fristen: 7 Tage für die Eingangsbestätigung und 3 Monate für die Rückmeldung.
- Registrieren Sie anonyme Meldungen und bewahren Sie deren Unterlagen auf.
- Bewahren Sie Aufzeichnungen höchstens fünf Jahre ab dem endgültigen Ergebnis auf.
- Aktualisieren Sie Ihre Whistleblowing-DPIA, die Artikel 13(6) des Dekrets verlangt.
- Schulen Sie die meldungsbearbeitende Stelle und das gesamte Personal und frischen Sie die Schulungen regelmäßig auf.
- Wenn Sie Kanäle in mehreren Ländern betreiben, harmonisieren Sie sie: siehe Whistleblowing für Arbeitgeber in mehreren Ländern.
Wie Trusty Whistleblowing hilft
Trusty Whistleblowing bietet italienischen Unternehmen einen internen Kanal, der nicht von E-Mail abhängt. Meldende Personen können anonym bleiben und über ein sicheres Zwei-Wege-Postfach nachfassen. Schriftliche Meldungen sind in jedem Plan enthalten, der Advanced-Plan ergänzt browserbasierte Sprachmeldungen mit Stimmverzerrung, und meldende Personen können über das Postfach ein Gespräch anfordern. Eingangsbestätigungen erfolgen automatisch, und die Fristen von 7 Tagen und 3 Monaten werden überwacht.
Die Daten werden in einem nach ISO 27001 zertifizierten Rechenzentrum in Deutschland gehostet, Verbindungen sind verschlüsselt und ein Auftragsverarbeitungsvertrag ist für jeden Kunden verfügbar. Jeder Plan enthält außerdem 30 Tage der Compliance App, mit Online-Whistleblowing-Schulungen für Mitarbeitende.
Suchen Sie nach Whistleblowing-Software für Italien? Trusty richtet einen internen Meldekanal ab 49 € pro Monat ein.
Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. Quellen: Gesetzesdekret 24/2023; Gesetzesdekret 24/2023, konsolidierter Text (Normattiva); ANAC, Delibera n. 478/2025 und Linee Guida n. 1/2025; ANAC, Delibera n. 479/2025; ANAC, Delibera n. 311/2023; ANAC, Whistleblowing; ANAC-News, 6. Oktober 2026.
Häufig gestellte Fragen
Es handelt sich um Leitlinien der italienischen Nationalen Antikorruptionsbehörde zur Anwendung des Gesetzesdekrets 24/2023. Delibera n. 311/2023, geändert im November 2025, betrifft den externen Kanal. Linee Guida n. 1/2025, genehmigt durch Delibera n. 478 vom 26. November 2025, betreffen interne Kanäle.
Private Stellen mit durchschnittlich 50 oder mehr Beschäftigten im letzten Jahr, Stellen in den in Teil I.B und II des Anhangs aufgeführten Sektoren unabhängig von der Größe sowie Stellen, die ein 231-Modell eingeführt haben, unabhängig von der Größe.
Nicht allein. Die ANAC hält normale E-Mail und PEC für sich genommen nicht für geeignet, die Vertraulichkeit zu schützen, es sei denn, in der DPIA werden spezifische, begründete Gegenmaßnahmen identifiziert.
10.000 € bis 50.000 € für Vergeltungsmaßnahmen, Behinderung, Verstöße gegen die Vertraulichkeit, fehlende oder nicht konforme Kanäle sowie die unterlassene Verifizierung von Meldungen. Eine meldende Person, die wegen Verleumdung oder übler Nachrede haftbar gemacht wird, kann mit einem Bußgeld von 500 € bis 2.500 € belegt werden.
Die Pflicht ergibt sich aus dem Dekret: Artikel 13(6) verlangt, dass Stellen ihr Meldemodell auf Grundlage einer DPIA festlegen. Die Leitlinien der ANAC verweisen auf das DPIA-Dokument und sagen, dass sich der Verantwortliche auf die Unterstützung des Anbieters stützen kann.
mit EU-Richtlinie & DSGVO
Hinweisgeber-Software einfach gemacht, entwickelt von Compliance-Experten.