Firmen und Behörden ab einer bestimmten Größe sollen zum Aufbau eines internen Meldesystems verpflichtet werden. Dieses muss klare Ansprechpartner für potenzielle Whistleblower nennen und dafür sorgen, dass ihre Identität vertraulich bleibt. Drei Monate hätten die Firmen oder Behörden Zeit, um auf Meldungen zu reagieren.

Wenn diese Frist verstrichen ist, kann sich der Whistleblower an den staatliche Stellen wenden. Nur wenn die einzelne Behörde oder Firma keinen internen Meldeweg hat oder dieser versperrt ist - etwa weil das Management selbst in den Missstand verwickelt ist - soll sich der Informant auch gleich an die zuständigen Strafverfolgungsbehörden wenden können, díe wiederum innerhalb von drei bis sechs Monaten reagieren müssen.

Die Veröffentlichung der Gesetzesverstöße durch die Whisteblower selbst oder über die Presse oder Nichtregierungsorganisationen sieht die EU-Kommission als "letzten Ausweg". Er solle erst beschritten werden, wenn Firma, Behörde und Staat dem Missstand nicht abhelfen.
So solle "ungerechtfertigter" Rufschaden verhindert werden.

Annegret Falter von der Selbsthilfeorganisation Whistleblower-Netzwerk e.V. zeigte sich im dlf zufrieden damit, dass die Politik nun "Einsicht" zeige, dass "Straftaten und Missstände häufig nur durch Insider erlangt werden" könnten. Allerdings kritisierte sie die Aussage von Kommissions-Vizepräsident Frans Timmermans, Informanten seien für Journalisten wichtig, damit diese ihre grundlegende Rolle in der Demokratie spielen könnten, als "reine Augenwischerei". Die Öffentlichkeit zu informieren, sei im Vorschlag der EU-Kommission eben nur die "Ultima Ratio" für den Whistleblower.

Die von der EU geforderte Stufenregelung ist in ihren Vorgaben für Annegret Falter zu schwammig. "Unbestimmter gehts nicht!", meinte das Vorstandsmitglied des Whistleblower-Netzwerks. Sie kritisierte auch, dass die Möglichkeiten für Whistleblower, mit Journalisten Kontakt aufzunehmen durch den EU-weiten Ausbau von Überwachungssystemen erschwert werde. Ein umfassendes Whistleblower-Gesetz für Deutschland hält Falter für notwendig. Es brauche klare Vorgaben, "dass gravierende Rechtsbrüche nicht dem Geheimschutz unterliegen".