Geltendes Gesetz und Umfang der Pflicht
Das Gesetz vom 14. Juni 2024 wurde am 24. Juni 2024 als polnisches Gesetzblatt 2024, Position 928, veröffentlicht. Die meisten Vorschriften gelten seit 25. September 2024, ausgewählte Vorschriften und Kapitel 4 seit 25. Dezember 2024. Grundsätzlich gilt das Verfahren für einen Rechtsträger, für den am 1. Januar oder 1. Juli mindestens 50 Personen entgeltlich arbeiten. Für Organisationseinheiten einer Gemeinde oder eines Landkreises mit weniger als 10.000 Einwohnern gilt eine Ausnahme; sektorale Sonderregeln erfordern eine gesonderte rechtliche Prüfung.
Wen das Gesetz schützt und wann ein Verfahren erforderlich ist
Prüfen Sie zuerst Schutzvoraussetzungen, Berechnung der Schwelle und gesetzliche Ausnahmen.
Schutzvoraussetzungen
Schutz gilt für Personen, die Informationen im Arbeitskontext erhielten und hinreichenden Grund zu der Annahme hatten, dass die Informationen wahr waren und einen Rechtsverstoß betrafen.
Schwelle von mindestens 50 Personen
Bewertet wird am 1. Januar oder 1. Juli. Gezählt werden Vollzeitäquivalente und bestimmte entgeltlich auf anderer Grundlage tätige Personen.
Ausnahmen von der Schwelle
Die Schwelle gilt nicht für erfasste Tätigkeiten, unter anderem in bestimmten Finanz-, AML/CFT-, Verkehrssicherheits- und Umweltbereichen.
Vertraulichkeit und Verbot von Repressalien
Zugriff haben nur autorisierte Personen; die Identität bleibt außerhalb gesetzlicher Ausnahmen vertraulich, Repressalien sind verboten.
Verfahren: Fristen, Kanäle und Verantwortung
Die Organisation genehmigt Anforderungen und Verfahren nach rechtlicher Prüfung. Das Technikteam richtet Kanal, MFA, Berechtigungen, Protokolle und Backup ein und führt den Abnahmetest durch. Das Werkzeug ersetzt weder Entscheidungen der Organisation noch die Prozessverantwortung.
Konsultation und Inkrafttreten
Der Entwurf wird über einen Zeitraum von 5 bis 10 Tagen mit der Gewerkschaft oder Arbeitnehmervertretung konsultiert. Das Verfahren tritt 7 Tage nach Bekanntgabe in Kraft.
Bestätigung und Rückmeldung
Der Eingang wird innerhalb von 7 Tagen bestätigt, sofern eine Kontaktadresse vorliegt. Die Rückmeldung erfolgt in höchstens 3 Monaten.
Kanäle und Anonymität
Der Kanal ermöglicht mündliche oder schriftliche Meldungen; auf Antrag findet innerhalb von 14 Tagen ein Treffen statt. Der Rechtsträger entscheidet über anonyme Meldungen, das Verfahren regelt ihre Behandlung.
Autorisierungen, Register und Aufbewahrung
Fälle bearbeiten schriftlich autorisierte Personen. Registerdaten und Informationen werden 3 Jahre nach Ende des im Gesetz genannten Kalenderjahres aufbewahrt.
Was Verfahren und Kanal regeln sollten
Dokument und System müssen einen Prozess bilden. Vor der Werkzeugkonfiguration sind Rollen, Autorisierungen, Meldeumfang, Bestätigungen, Folgemaßnahmen, Rückmeldung, Register und Datenschutz zu bestimmen.
- Prozessverantwortung, Meldungsempfänger, Funktionstrennung und Behandlung von Interessenkonflikten.
- Kanal für mindestens mündliche oder schriftliche Meldungen und Entscheidung über Annahme und Behandlung anonymer Meldungen.
- Eingangsbestätigung innerhalb von 7 Tagen und Rückmeldung in höchstens 3 Monaten, vorbehaltlich gesetzlicher Ausnahmen.
- Begrenzter Zugriff auf Inhalt und Identität, persönliche Autorisierungen, Aktivitätenprotokoll und sichere Authentifizierung.
- Fallklassifizierung, Folgemaßnahmen, Eskalation, Abschluss und dokumentierte Entscheidungen ohne unnötige Datenkopien.
- Stimmen Sie die Registeraufbewahrung von drei Jahren nach Ende des maßgeblichen Kalenderjahres, Löschung, Sicherungen und Vorfälle mit Rechtsberatung und gegebenenfalls der benannten Datenschutzbeauftragten Person ab.
Implementierungsplan ohne Vermischung von Recht und Konfiguration
Die Organisation legt Prozess, Rollen und Verfahren mit rechtlicher Unterstützung fest. Das Technikteam setzt die genehmigten Regeln in Kanalkonfiguration, Zugriff, Protokolle, Backup, Monitoring und Abnahmetest um. Rechtliche Anforderungen und Systembetrieb sind getrennt zu prüfen.
- Bestätigen Sie Pflicht, Umfang der Rechtsträger und rechtliche Entscheidungen anhand des aktuellen Gesetzestextes.
- Ordnen Sie Rollen, Autorisierungen, Vertretungen, Interessenkonflikte und Eskalationswege zu.
- Konfigurieren Sie Kanal, Verschlüsselung, MFA, minimale Berechtigungen, Aktivitätenregister und sichere Kommunikation.
- Testen Sie eine Meldung von der Einreichung bis zur Rückmeldung, auch bei Abwesenheit der fallführenden Person.
- Dokumentieren Sie Abnahmeprotokoll, Risiken, Entscheidungen der Verantwortlichen und den nächsten Prüftermin.
Verwandte Virtline-Bereiche
Virtline kann technische und organisatorische Umsetzung nach Genehmigung der rechtlichen Anforderungen unterstützen. Der Umfang muss rechtliche, prozessuale, informationssicherheitsbezogene und betriebliche Verantwortung trennen.
Statlook
Meldemodul als Bestandteil eines umfassenderen, genehmigten Organisationsprozesses.
ISO 27001 Gap Assessment
Prüfung von Rollen, Berechtigungen, Nachweisen, Vorfällen und Informationsschutz im Managementsystem.
Cybersecurity
Zugriffskontrolle, MFA, Logs, Monitoring, Backup und Incident Response für den Meldekanal.
