Die PPWR (Packaging and Packaging Waste Regulation) – auch bekannt als neue EU-Verpackungsverordnung – bringt umfassende Anforderungen für Unternehmen entlang der gesamten Verpackungswertschöpfungskette. Sie betrifft Design, Recyclingfähigkeit, Kennzeichnung, erweiterte Herstellerverantwortung (EPR) sowie die Reduktion von Verpackungsabfällen. Hier finden Sie die wichtigsten Fragen zur PPWR und erfahren, welche Pflichten ab 2026 gelten.

1. Was ist die PPWR (Packaging and Packaging Waste Regulation)?

Die PPWR (Packaging and Packaging Waste Regulation) ist ein zentraler Baustein des europäischen Green Deal. Als einheitliches, direkt geltendes Rahmenwerk ersetzt sie die bisherige Verpackungsrichtlinie. Ziel der Verordnung ist es, in der EU die Kreislaufwirtschaft zu stärken und Verpackungsabfälle zu reduzieren, Recyclingfähigkeit und Materialeffizienz zu erhöhen und die bisherigen Vorschriften EU-weit zu harmonisieren.

2. Ab wann gilt die PPWR?

Die PPWR ist am 11.02.2025 in Kraft getreten, gilt ab dem 12.08.2026 in der Anwendung und wird bis 2040 schrittweise ausgeweitet – mit wichtigen Meilensteinen in den Jahren 2028 und 2030.

3. Wen betrifft die PPWR?

Die PPWR gilt für alle Verpackungen und verpackten Produkte, die auf dem EU-Markt in Verkehr gebracht werden. Ab dem 12. August 2026 dürfen Waren in Verpackungen, die der Verordnung nicht entsprechen, in der EU nicht mehr vermarktet werden. Für Verpackungen gefährlicher Güter, Medizinprodukte, kontaktkritischer Lebensmittel und innovative Verpackungen gelten Ausnahmen und Sonderregelungen, die dort Flexibilität bieten, wo Sicherheits- oder Innovationsaspekte dies rechtfertigen.

Die PPWR hat einen enorm breiten Anwendungsbereich. Deshalb betrifft sie zahlreiche Unternehmen, darunter:

• Lieferanten von Verpackungen oder Verpackungsmaterialien
• Hersteller von Verpackungen oder verpackten Produkten
• Distributoren, Importeure und Fulfillment-Dienstleister
• Markeninhaber, die verpackte Waren auf dem EU‑Markt in Verkehr bringen
• Nicht-EU-Lieferanten, die Produkte oder Verpackungen für die EU liefern

Folgende Sektoren sind besonders betroffen:

• FMCG / Konsumgüter des täglichen Bedarfs (Lebensmittel, Getränke, Körperpflege)
• Einzelhandel, E‑Commerce und Online-Marktplätze
• Verpackungsherstellung
• Logistik, Fulfillment und Transportverpackungen
• Textilien, Bekleidung und Schuhe (Aspekte der Verpackung)
• Gastronomie, Bewirtung und Take-away (HORECA)

4. Welche Rollen definiert die PPWR?

Die PPWR legt klare Verpflichtungen für jeden Wirtschaftsakteur entlang der Lieferkette fest und unterscheidet grundsätzlich zwischen Erzeugern, Importeuren, Vertreibern und Lieferanten.

Erzeuger

Eine natürliche oder juristische Person, die Verpackungen oder ein verpacktes Produkt fertigt oder unter eigenem Namen oder eigener Marke entwickeln oder fertigen lässt. (Bedeutet Verpackungshersteller oder Unternehmen wie Amazon).

Lieferant

Jede natürliche oder juristische Person, die Verpackungen oder Verpackungsmaterialien an einen Erzeuger liefert.

Importeur

Jede natürliche oder juristische Person in der EU, die Verpackungen aus einem Nicht‑EU‑Land auf den EU‑Markt bringt.

Vertreiber: Jede natürliche oder juristische Person in der Lieferkette (außer Erzeuger/Importeur), die Verpackungen oder verpackte Produkte auf dem Markt bereitstellt.

5. Was bedeutet die PPWR-Rolle „Producer” bzw. „Hersteller” und was ist der Unterschied zum Erzeuger?

Als Hersteller gelten alle Erzeuger, Importeure oder Vertreiber – unabhängig vom Sitz –, die Verpackungen oder verpackte Produkte erstmals in einem Mitgliedstaat auf den Markt bringen. Sie haben dann noch zusätzliche Pflichten, z.B. die erweiterte Herstellerverantwortung (EPR) für Sammlung und Recycling. Der Begriff ist nicht zu verwechseln mit dem „Erzeuger”. Der Erzeuger ist eine der Rollen, die unter den Sammelbegriff „Hersteller” fallen. Auch im Englischen besteht Verwechslungsgefahr: Hier wird der Hersteller übrigens Producer genannt und der Erzeuger Manufacturer.

Es ist wichtig zu verstehen, dass es in einer Verpackungswertschöpfungskette nur einen Erzeuger gibt, aber durchaus mehrere Hersteller geben kann (hier ist pro Mitgliedsstaat zu prüfen, ob man Erstinverkehrbringer ist).

6. Was bedeutet “Erweiterte Herstellerverantwortung” im Kontext der PPWR?

Ein wichtiger Bestandteil der PPWR ist das Prinzip der erweiterten Herstellerverantwortung, auch als Extended Producer Responsibility oder kurz EPR bekannt. Die EPR-Compliance verpflichtet Hersteller nicht nur zur Verantwortung für die Herstellung und den Vertrieb ihrer Produkte, sondern auch für die Entsorgung der damit verbundenen Verpackungen.

Ein Beispiel: Online-Händler aus Deutschland, die Waren nach Österreich an einen Endkunden verkaufen, sind verpflichtet, dort einen Bevollmächtigen zu ernennen, um sich im nationalen Herstellerregister zu registrieren und entsprechende Gebühren zu bezahlen.

7. Wie verändern sich mit der PPWR die EPR-Gebühren?

Ab 18 Monate nach Veröffentlichung der EU-Kriterien werden die EPR-Gebühren nach der Umweltfreundlichkeit der Verpackung gestaffelt (=modulierte Gebühren). Sie sind dann z. B. günstiger, wenn die Recyclingfähigkeit höher ist.

8. Welche Pflichten bringt die PPWR für Unternehmen mit sich?

Die PPWR führt umfassende Nachhaltigkeits- und Informationspflichten für Unternehmen entlang der gesamten Wertschöpfungskette ein. Sie betreffen sowohl das Design und die Materialwahl von Verpackungen als auch Dokumentation, Kennzeichnung, Rückverfolgbarkeit und Berichterstattung.

Zu den zentralen Pflichten, die je nach Rolle variieren, gehören:

1. Konformität & chemische Sicherheit (ab 2026)

• Einhaltung von Grenzwerten für besorgniserregende Stoffe (z. B. PFAS, Schwermetalle), insbesondere bei Lebensmittelkontakt
• Durchführung von Konformitätsbewertungsverfahren
• Erstellung technischer Dokumentationen
• Ausstellung einer EU-Konformitätserklärung (DoC)

2. Kennzeichnung & Transparenz (ab 2028 ff.)

• Harmonisierte Kennzeichnung zur Materialzusammensetzung
• Angaben zu Kompostierbarkeit, Rücknahme- oder Pfandsystemen
• Kennzeichnung von Mehrwegverpackungen
• Bereitstellung von Informationen gegenüber Behörden und Marktüberwachung
• Registrierung und Pflichten im Rahmen der erweiterten Herstellerverantwortung (EPR)

3. Design- und Nachhaltigkeitsanforderungen (schrittweise bis 2040)

• Minimierung von Gewicht, Volumen und Leerraum (max. 50 % bei Transport- und E-Commerce-Verpackungen ab 2030)
• Verbot bestimmter Einwegkunststoffverpackungen
• Vorgaben zur Recyclingfähigkeit (mind. 70 % ab 2030, 80 % ab 2038)
• Design for Recycling (werkstoffliches Recycling ermöglichen)
• Mindestrezyklatanteile in Kunststoffverpackungen (10–35 % ab 2030, bis zu 65 % ab 2040)
• Erfüllung verbindlicher Wiederverwendungsquoten
• Industrielle Recyclingfähigkeit im großen Maßstab (ab 2035)

4. Spezifische Vorgaben für bestimmte Verpackungen

• Kompostierbarkeit bestimmter Anwendungen (z. B. Tee- oder Obstetiketten)
• Wiederverwendungsangebote im Take-away-Bereich
• Nutzung eigener Behälter ermöglichen

9. Welche Anforderungen gelten ab 2026 konkret?

Wenn Sie Erzeuger der Verpackungen bzw. der verpackten Produkte sind:

• müssen Sie ein Konformitätsbewertungsverfahren durchführen sowie die technischen Dokumentation und Konformitätserklärung erstellen,
• dürfen Sie keine besorgniserregenden Stoffen in Verpackungsmaterial (PFAS, Schwermetalle) verwenden und
• haben Sie eine allgemeine Kennzeichnungspflicht.

Wenn sie nachgelagert von einem Erzeuger bzw. von Ihren Lieferanten Verpackungen oder verpackte Produkte einkaufen, dann haben Sie Prüfpflichten u.a. hinsichtlich der Konformität der Verpackungen und der Kennzeichnungspflichten.

10. Welche Vorgaben gibt es hinsichtlich Leerraum und Überverpackung?

Ab dem 01.01.2030 dürfen Gruppen-, Transport- und E-Commerce-Verpackungen maximal 50 % Leerraum aufweisen, wobei auch Füllmaterial als Leerraum gilt. Das Gewicht bzw. Volumen der Verpackung muss dann auf das Nötige reduziert sein und kosmetische Tricks (z. B. Doppelwände, falsche Böden) sind bis auf wenige Ausnahmen verboten.

11. Welche Auswirkungen hat die PPWR auf die Lieferkette?

Die PPWR erhöht die Datenanforderungen an Lieferanten und Verpackungshersteller entlang der gesamten Verpackungslieferkette, verlangt klare Verantwortlichkeiten in der Verpackungswertschöpfungskette und führt zu einem höheren Abstimmungsaufwand zwischen Einkauf, Nachhaltigkeit, Qualität und Lieferanten. Gleichzeitig steigen die Risiken durch unvollständige oder veraltete Lieferantendaten, weshalb Transparenz und eine digitale, jederzeit verfügbare Datenbasis an Bedeutung gewinnen.

12. Wie sollten sich Unternehmen jetzt auf die PPWR vorbereiten?

Unternehmen sollten frühzeitig Transparenz über betroffene Verpackungen und Lieferanten schaffen, bestehende Daten und Nachweise prüfen sowie klare Prozesse für Datenerhebung und -pflege definieren. Entscheidend ist zudem, Lieferanten rechtzeitig einzubinden und digitale Strukturen aufzubauen, um die Anforderungen skalierbar und revisionssicher zu erfüllen.

Unsere Herangehensweise:

1. PPWR-Readiness der Lieferkette feststellen
2. Lieferanten sensibilisieren und schulen – ohne Mehraufwand
3. Verpackungsdaten automatisiert einholen und auswerten
4. Optionale Beratung zur strategischen und operativen Umsetzung

13. Wie hängt die PPWR mit anderen ESG-Anforderungen zusammen?

Dekarbonisierung der Lieferkette

Die PPWR fördert recyclingfähige und materialeffiziente Verpackungen, wodurch der Einsatz von Primärrohstoffen sinkt und energieintensive Produktionsschritte reduziert werden – ein direkter Hebel zur Reduktion von Scope-3-Emissionen.

REACH / RoHS

Die PPWR baut auf bestehenden Chemikalienregulierungen auf und konkretisiert Stoffanforderungen für Verpackungen, etwa durch Grenzwerte für PFAS und Schwermetalle, um Umwelt- und Gesundheitsrisiken systematisch zu reduzieren.

ESRS E5 – Kreislaufwirtschaft

Die PPWR operationalisiert die Anforderungen des ESRS E5, indem sie verbindliche Kriterien zur Recyclingfähigkeit, Materialzusammensetzung und Wiederverwertbarkeit von Verpackungen definiert und damit belastbare ESG-Kennzahlen ermöglicht.

EUDR – Rückverfolgbarkeit

Wie die EUDR verlangt auch die PPWR eine transparente Rückverfolgbarkeit von Materialien und Lieferanten, um regulatorische Konformität entlang der Lieferkette nachweisen zu können.

Digital Product Passport (DPP)

Die PPWR liefert zentrale Datenpunkte für den Digital Product Passport, insbesondere zu Materialzusammensetzung, Stoffen, Recyclingfähigkeit und Konformität, und schafft damit die Grundlage für eine digitale, standardisierte Produkt- und Verpackungstransparenz.

14. Warum sollten Unternehmen die PPWR frühzeitig umsetzen?

Unternehmen sollten die PPWR frühzeitig umsetzen, um Compliance-, Haftungs- und Marktzugangsrisiken zu senken und kurzfristige Umsetzungs- sowie Lieferkettenengpässe zu vermeiden. Wer jetzt handelt, baut belastbare Datenstrukturen statt manueller Ad-hoc-Lösungen auf und positioniert sich besser gegenüber Kunden, Handel und Behörden. Gleichzeitig lässt sich die PPWR als Hebel für effiziente, nachhaltige Verpackungsstrategien nutzen, während notwendige Anpassungen in Forschung und Entwicklung ausreichend Zeit für Planung, Tests und Skalierung erhalten.

15. Welche Strafen sind bei PPWR-Verstößen zu beachten?

In Deutschland muss für fehlende Konformitätserklärungen, technische Dokumentationen, Registrierungen, Lizenzierungen oder falschen Angaben mit bis zu 200.000 Euro Strafe gerechnet werden. Zusätzlich können auch Vertriebsverbote verhängt werden. Die ganz konkreten Strafen für einzelne PPWR-Pflichten werden noch durch weitere Rechtsakte festgelegt.

* Bei diesen Informationen handelt es sich um redaktionell zusammengefassten Content, der nicht als Rechtsberatung zu verstehen ist. VERSO übernimmt keine Haftung. 

Was ist die NIS-2-Richtlinie und was bedeutet sie für die Lieferkette?

Mit der NIS‑2-Richtlinie verschärft die EU die Anforderungen an die Cyber-Resilienz von Unternehmen. Im Fokus steht dabei nicht nur die eigene IT, sondern die gesamte Lieferkette: Dienstleister, Zulieferer und IT- oder Cloud-Provider werden zunehmend zum Einfallstor für Angriffe. Unternehmen müssen daher ihre Abhängigkeiten kennen, Risiken systematisch bewerten und geeignete Sicherheitsmaßnahmen auch bei Partnern und Dienstleistern umsetzen. Die Lieferkette wird so zu einem zentralen Hebel für die Einhaltung der Richtlinie und für die digitale Resilienz des Unternehmens.

Welche Einrichtungen und Unternehmen sind von NIS-2 betroffen?

Betroffen sind nicht mehr nur klassische Betreiber kritischer Infrastrukturen, sondern zahlreiche sogenannte „besonders wichtige” und „wichtige” Einrichtungen – darunter viele Unternehmen aus Industrie, Produktion, IT, Logistik, Energie, Gesundheit und digitalen Diensten ab 50 Mitarbeitenden bzw. ab 10 Mio. Euro Umsatz. Die „besonders wichtigen” Einrichtungen, in der Tabelle dargestellt, haben die strengsten Anforderungen umzusetzen.

Die „wichtigen” Einrichtungen haben zwar – je nach Größe und Branche – nicht ganz so weitreichende Pflichten und werden nicht per se als kritisch eingestuft, dennoch müssen sie NIS-konform handeln. Dazu zählen:

• Lebensmittelproduktion
• Post- und Kurierdienste
• Chemische Industrie
• Fertigungsindustrie
• Digitale Dienste
• Forschungseinrichtungen
• Abfallwirtschaft

Ab wann gilt die NIS-2 für Unternehmen und ihre Lieferketten?

Alle EU-Staaten hätten die NIS-2-Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen müssen, doch viele, darunter Deutschland, haben die Frist verpasst. In Deutschland gilt NIS-2 daher erst seit Dezember 2025 als Gesetz.

Ob in einem Land früher oder später, Fakt ist: Unternehmen in der EU müssen ihre Sicherheitsmaßnahmen im Unternehmen und in der Lieferkette nun an NIS-2 anpassen. Dabei gilt es aufzupassen: NIS-2 betrifft deutlich mehr Unternehmen als die Vorgänger-Richtlinie NIS-1. In Deutschland fallen mit der rund 30.000 Organisationen unter NIS-2, von NIS-2 waren weniger als 2.000 betroffen.

Der Unterschied zwischen NIS-2 und ISO-27001

Im Unterschied zu etablierten Informationssicherheitsstandards wie der ISO/IEC 27001 geht NIS-2 deutlich weiter: Im Fokus steht nicht nur die Absicherung der eigenen IT, sondern ein ganzheitliches Risikomanagement, das das gesamte Unternehmensumfeld inklusive der Lieferkette einbezieht.

Was fordert NIS-2 von Unternehmen und Lieferketten?

Die NIS-2-Richtlinie hebt Cybersicherheit auf ein neues Niveau – organisatorisch, technisch und strategisch. Im Kern lassen sich die Anforderungen in drei zentrale Handlungsfelder gliedern:

1. Systematisches Risikomanagement etablieren: Einsatz technischer Schutzmaßnahmen wie Multi-Faktor-Authentifizierung (MFA), dokumentierte Kryptographierichtlinien, etablierte Incident-Response- und Notfallpläne, regelmäßige Schulungen zur Sensibilisierung der Mitarbeitenden

2. Klare Verantwortlichkeiten auf Führungsebene: Aktive Mitgestaltung und Freigabe der Cybersecurity-Maßnahmen, verpflichtende Weiterbildungen, persönliche Haftung bei groben Pflichtverletzungen

3. Verbindliche Meldepflichten & Business Continuity: Frühwarnmeldung innerhalb von 24 Stunden bei schwerwiegenden Vorfällen, detaillierter Bericht nach 72 Stunden mit Ursachenanalyse und ersten Gegenmaßnahmen, Abschlussbericht innerhalb eines Monats inklusive langfristiger Präventionsmaßnahmen

Anforderungen von NIS-2 ans Lieferkettenmanagement

Besonders relevant ist bei der NIS-2, dass die Anforderungen bis in die Lieferkette hineinreichen. Unternehmen müssen nachvollziehbar darlegen können, welche Lieferanten und Dienstleister Zugriff auf Systeme, Daten oder kritische Prozesse haben – und wie die damit verbundenen Risiken gesteuert werden. Das betrifft insbesondere IT- und Cloud-Dienstleister, Softwareanbieter, externe Dienstleister mit System- oder Datenzugriff und Lieferanten mit digital angebundenen Prozessen.

Die konkreten Anforderungen an das Lieferkettenmanagement:

Risikomanagement für Drittparteien

Unternehmen müssen Risiken identifizieren, die sich aus der Zusammenarbeit mit Lieferanten und Dienstleistern ergeben – insbesondere dort, wo externe Partner Zugriff auf Systeme, Daten oder kritische Prozesse haben.

• Beispiel: Ein externer IT-Dienstleister hat Remote-Zugriff auf produktive Systeme oder administriert Cloud-Infrastrukturen. Unternehmen müssen bewerten, welche Auswirkungen ein Ausfall, ein Sicherheitsvorfall oder unzureichende Schutzmaßnahmen bei diesem Dienstleister hätten.

Bewertung von Sicherheitsmaßnahmen bei Lieferanten

Es reicht nicht aus, sich auf vertragliche Zusicherungen zu verlassen. Unternehmen müssen nachvollziehen können, welche Sicherheitsmaßnahmen bei relevanten Lieferanten tatsächlich bestehen und ob diese zum eigenen Risikoprofil passen.

• Beispiel: Ein Softwareanbieter bestätigt „angemessene Sicherheitsmaßnahmen“. NIS-2-konform ist erst dann, wenn klar ist, ob z. B. Zugriffskontrollen, Patch-Management, Incident-Response-Prozesse oder Zertifizierungen vorhanden sind – und wie aktuell diese sind.

Dokumentation und Nachweisfähigkeit

Bewertungen, Entscheidungen und Maßnahmen müssen strukturiert dokumentiert sein. Im Prüfungs- oder Vorfallsfall zählt nicht nur, was umgesetzt wurde, sondern dass Risiken systematisch bewertet, Entscheidungen begründet und Maßnahmen nachvollziehbar festgehalten wurden.

• Beispiel: Warum ein bestimmter Lieferant als „vertretbares Risiko“ eingestuft wurde – oder warum zusätzliche Maßnahmen erforderlich sind – muss auch Monate später noch transparent erklärbar sein.

Regelmäßige Überprüfung statt einmaliger Abfragen

NIS-2 versteht Cyber-Sicherheit als laufenden Prozess. Informationen aus der Lieferkette dürfen daher nicht einmalig erhoben werden, sondern müssen regelmäßig überprüft und aktualisiert werden.

• Beispiel: Bei Vertragsverlängerungen, neuen Systemzugriffen, geänderten Leistungen oder sicherheitsrelevanten Vorfällen muss die Risikobewertung angepasst werden – nicht erst beim nächsten Audit.

Wie Unternehmen NIS-2-Compliance (auch in der Lieferkette) sicherstellen

NIS-2 kann auf den ersten Blick komplex wirken, doch mit einem klaren Fahrplan lassen sich die Anforderungen systematisch umsetzen. Diese Schritt-für-Schritt-Anleitung zeigt, welche Maßnahmen Unternehmen jetzt ergreifen sollten – von der Risikobewertung bis zur Audit-Vorbereitung.

1. NIS-2-Betroffenheit klären

Zu Beginn sollte geprüft werden, ob Ihr Unternehmen vom Anwendungsbereich der Richtlinie betroffen ist. Auch wer Teil der Lieferkette ist, kann unter die Vorgaben fallen.

2. Gap-Analyse durchführen

Überprüfen Sie insbesondere Risikomanagement und Incident Response: Gibt es klare Prozesse zur Erkennung und Meldung von Vorfällen? Sind Zugriffsrechte, Verschlüsselung und MFA umgesetzt? Wie gut sind Ihre Dienstleister abgesichert, und sind Notfall- sowie Wiederanlaufpläne aktuell?

3. Risikomanagement-Strategie entwickeln

Ein wirksames Risikomanagement bildet die Basis jeder NIS-2-Strategie.
Kernbausteine sind:

• regelmäßige Risikobewertungen zur frühzeitigen Identifikation von Schwachstellen
• starke Zugangskontrollen (inkl. MFA)
• Verschlüsselung
• konsequentes Patch-Management
• regelmäßige Penetrationstests
• strukturierten Incident-Response-Plan und Meldeprozess etablieren

Wer diese Maßnahmen proaktiv umsetzt, reduziert Risiken nachhaltig und stärkt die Cybersicherheit im gesamten Unternehmen.

4. Governance und Verantwortlichkeiten klären und stärken

Cybersecurity wird durch NIS-2 klar zur Führungsaufgabe. Die Geschäftsleitung trägt die Verantwortung, Sicherheitsrichtlinien aktiv zu gestalten, zu verabschieden und regelmäßig zu überprüfen.

Zentrale Elemente dabei sind:

• verpflichtende Schulungen für Führungskräfte
• eindeutig geregelte Zuständigkeiten (z. B. ein benannter Security-Beauftragter)
• ein systematisches Review der gesamten Sicherheitsstrategie
• eine laufend gepflegte und vollständige Sicherheitsdokumentation

So sorgt eine starke Governance nicht nur für weniger Sicherheitsrisiken, sondern verringert zugleich persönliche Haftungsrisiken für das Management.

5. Lieferkette absichern

Drittanbieter und Dienstleister entwickeln sich zunehmend zu einem zentralen Cyber-Risikofaktor – und stehen mit NIS-2 ebenfalls klar in der Verantwortung.

Um Ihre Lieferkette abzusichern, sollten Sie insbesondere:

• Sicherheitsniveau und Schutzmaßnahmen Ihrer Dienstleister systematisch prüfen
• NIS-2- und Compliance-Anforderungen verbindlich in Verträgen verankern
• Laufende Monitoring- und Kontrollmechanismen etablieren, um Risiken frühzeitig zu erkennen

So wird die Lieferkette zu einem wirksamen Schutzschild: Ihr Unternehmen reduziert sowohl die reale Angriffsfläche als auch das regulatorische Risiko.

* Bei diesen Informationen handelt es sich um redaktionell zusammengefassten Content, der nicht als Rechtsberatung zu verstehen ist. VERSO übernimmt keine Haftung.