Login
Kontakt
Partner werden
CSDDD- und LkSG Umsetzung: Warum Unternehmen jetzt belastbare Lieferantenprozesse brauchen
Was sich bei LkSG und CSDDD verändert, was der Zeitplan für die CSDDD-Umsetzung in Deutschland bedeutet und warum Unternehmen Sorgfaltspflichten in belastbare Lieferantenprozesse integrieren sollten.
Das Wichtigste in Kürze
- Die CSDDD-Umsetzung bezeichnet die Überführung der europäischen Sorgfaltspflichten-Richtlinie in nationales Recht
- Betroffene Unternehmen müssen menschenrechtliche und umweltbezogene Risiken in ihren Lieferketten systematisch ermitteln, priorisieren und bearbeiten
- In Deutschland löst die CSDDD das LkSG ab; anwendbar ist sie ab dem 26. Juli 2029 für Unternehmen ab 5.000 Beschäftigten und 1,5 Mrd. Euro Umsatz.
Die Regeln rund um unternehmerische Sorgfaltspflichten sind in Bewegung. Die CSDDD-Umsetzung wurde durch das Omnibus-Paket angepasst. Dadurch haben sich der Anwendungsbereich, einzelne Anforderungen und der Zeitplan verändert.
Für viele Unternehmen liegt deshalb ein Gedanke nahe: erst einmal abwarten, bis endgültig geklärt ist, wer wann welche Vorgaben erfüllen muss.
Doch damit wird die europäische Lieferkettenrichtlinie CSDDD zu stark auf Schwellenwerte und Fristen reduziert. Die grundlegende Aufgabe bleibt bestehen: Unternehmen müssen menschenrechtliche und umweltbezogene Risiken in ihren Lieferketten erkennen, priorisieren und angemessen bearbeiten. Direkt betroffene Unternehmen benötigen dafür eigene Sorgfaltspflichtenprozesse und kleinere Unternehmen sowie Zulieferer werden weiterhin über Datenabfragen, Nachweise und Maßnahmen ihrer Kunden eingebunden.
Wer mit dem Aufbau belastbarer Strukturen wartet, gewinnt deshalb nicht automatisch Zeit. Lieferantendaten lassen sich nicht kurzfristig vervollständigen, Verantwortlichkeiten nicht von heute auf morgen klären und Lieferantenbeziehungen nicht durch einen einmaligen Fragebogen entwickeln.
Für eine effiziente LkSG- und CSDDD-Umsetzung sollten Unternehmen Sorgfaltspflichten daher nicht als isolierte Compliance-Aufgabe behandeln. Sinnvoller ist es, sie fest in das bestehende Lieferanten- und Risikomanagement zu integrieren.
Was bedeutet die CSDDD-Umsetzung?
CSDDD steht für Corporate Sustainability Due Diligence Directive. Auf Deutsch wird sie häufig als EU-Lieferkettengesetz oder europäische Lieferkettenrichtlinie bezeichnet.
Die Richtlinie verpflichtet die von ihr erfassten Unternehmen dazu, menschenrechtliche und umweltbezogene Sorgfaltspflichten in ihren eigenen Tätigkeiten, bei Tochtergesellschaften und entlang relevanter Geschäftsbeziehungen zu verankern. Ziel ist es, negative Auswirkungen auf Menschen und Umwelt zu erkennen, möglichst zu verhindern, zu mindern oder zu beenden.
Zu den grundlegenden Sorgfaltspflichten gehören insbesondere:
- Sorgfaltspflichten in Richtlinien und Risikomanagementsysteme integrieren,
- tatsächliche und potenzielle negative Auswirkungen ermitteln und priorisieren,
- Präventions- und Abhilfemaßnahmen umsetzen,
- Beschwerde- und Hinweisverfahren ermöglichen,
- die Wirksamkeit der Maßnahmen überwachen,
- und die Umsetzung nachvollziehbar dokumentieren.
Die CSDDD beschreibt damit keinen einmaligen Prüfprozess. Sorgfaltspflichten bilden einen Kreislauf: Risiken werden ermittelt, Maßnahmen beschlossen, Fortschritte überprüft und Prozesse bei Bedarf angepasst.
Ein ausgefüllter Lieferantenfragebogen kann Informationen für eine Risikoanalyse liefern. Er ersetzt jedoch weder die Priorisierung von Risiken noch das Nachhalten von Maßnahmen oder die kontinuierliche Überwachung der Lieferkette.
Was sind Unterschiede und Gemeinsamkeiten von CSDDD und LkSG?
Das deutsche Lieferkettensorgfaltspflichtengesetz, kurz LkSG, gilt seit 2023. Es bildet derzeit den deutschen Rechtsrahmen für menschenrechtliche und bestimmte umweltbezogene Sorgfaltspflichten in Lieferketten.
Die CSDDD überträgt eine ähnliche Grundlogik auf die europäische Ebene. Auch sie verlangt ein systematisches Risikomanagement, Präventions- und Abhilfemaßnahmen, Beschwerdemechanismen sowie die Überwachung der Wirksamkeit.
| Kriterium | LkSG | CSDDD |
|---|---|---|
| Rechtsebene | Deutsches Gesetz | EU-Richtlinie, national umzusetzen |
| Anwendbar ab | Seit 2023 | 26.07.2029 (erste Welle) |
| Schwellenwert | Aktuell 1.000 Beschäftigte (Umbau geplant) | 5.000 Beschäftigte / 1,5 Mrd. € Umsatz |
| Kernpflichten | Risikoanalyse, Prävention/Abhilfe, Beschwerde, Doku | Weitgehend deckungsgleich, risikobasierter Ansatz |
Was haben die LkSG- und CSDDD-Umsetzung gemeinsam?
Für Unternehmen in Deutschland sind LkSG und CSDDD keine zwei vollständig voneinander getrennten Aufgaben. Bestehende Strukturen aus der LkSG-Umsetzung können eine wichtige Grundlage für die CSDDD-Umsetzung bilden. Dazu gehören beispielsweise:
- definierte Verantwortlichkeiten,
- strukturierte Lieferanten- und Risikoanalysen,
- Präventions- und Abhilfemaßnahmen,
- Beschwerdeverfahren,
- sowie Dokumentation und Wirksamkeitskontrolle.
Was ändert sich durch die CSDDD?
Während das LkSG ein deutsches Gesetz ist, schafft die CSDDD einen gemeinsamen europäischen Rahmen. Sie muss von den Mitgliedstaaten in nationales Recht übertragen werden und führt damit zu einer Weiterentwicklung der deutschen Regelungen.
Bis zur nationalen Umsetzung gilt das LkSG formal weiter, wird aber bereits jetzt zurückhaltender durchgesetzt. Details zum Umsetzungsstand finden Sie im Abschnitt zum Zeitplan.
Für Sie im Einkauf ist wichtig: Nicht für jedes neue Gesetz einen eigenen Prozess aufbauen, sondern ein belastbares System für unternehmerische Sorgfaltspflichten schaffen.
Ab wann gilt die CSDDD? Zeitplan der Umsetzung in Deutschland
Die CSDDD ist bereits in Kraft und wurde im Rahmen des Omnibus-Pakets angepasst. Die Änderungen betreffen unter anderem den Anwendungsbereich, einzelne Sorgfaltspflichten und den Zeitplan.
Für Unternehmen bleiben insbesondere folgende Anforderungen relevant:
- menschenrechtliche und umweltbezogene Risiken systematisch ermitteln und priorisieren,
- angemessene Präventions- und Abhilfemaßnahmen umsetzen,
- einen Beschwerdemechanismus bereitstellen,
- die Wirksamkeit der Maßnahmen überwachen,
- und die Umsetzung nachvollziehbar dokumentieren.
In Deutschland muss die geänderte CSDDD noch in nationales Recht übertragen werden. Bis zu einer entsprechenden Neuregelung bleibt das LkSG der bestehende gesetzliche Rahmen. Es ist jedoch zu erwarten, dass Deutschland die CSDDD in weiten Teilen eng an den europäischen Vorgaben umsetzt.
In Deutschland ist die Richtung inzwischen klar: Die Bundesregierung hat beschlossen, die CSDDD 1:1 in deutsches Recht umzusetzen. Das LkSG wird dafür umgebaut; sein Anwendungsbereich soll auf Unternehmen ab 5.000 Beschäftigten und über 1,5 Mrd. Euro Umsatz beschränkt werden. Die externe LkSG-Berichtspflicht ist damit faktisch bereits obsolet: Das BAFA prüft sie seit Herbst 2025 nicht mehr, eine gesetzliche Streichung ist eingeleitet.
Für die Vorbereitung ist es wenig sinnvoll, jede regulatorische Einzelheit abzuwarten. Die operativen Grundlagen sind bereits klar: Unternehmen benötigen belastbare Lieferantendaten, ein risikobasiertes Vorgehen, dokumentierte Maßnahmen und eindeutige Zuständigkeiten.
Wer diese Strukturen erst nach Abschluss des Gesetzgebungsverfahrens aufbaut, beginnt dann mit den zeitaufwendigsten Aufgaben.
Welche Unternehmen sind vom EU-Lieferkettengesetz betroffen?
Das sogenannte EU-Lieferkettengesetz, also die CSDDD, gilt nach den Anpassungen durch das Omnibus-Paket ab Juli 2029 für Unternehmen mit mehr als 5.000 Beschäftigten und einem weltweiten Nettoumsatz von mehr als 1,5 Milliarden Euro. Erfasst werden sowohl Unternehmen mit Sitz in der EU als auch bestimmte Unternehmen aus Drittstaaten, sofern sie die maßgeblichen Umsatzkriterien im europäischen Binnenmarkt erfüllen.
Für die Praxis ist jedoch nicht nur die direkte gesetzliche Betroffenheit entscheidend. Auch kleinere Unternehmen und Zulieferer können Anforderungen über ihre Geschäftsbeziehungen weitergereicht bekommen. Deshalb lohnt sich die Unterscheidung zwischen direkter und indirekter Betroffenheit.
Welche Unternehmen sind direkt von der CSDDD betroffen?
Direkt betroffene Unternehmen müssen die gesetzlichen Sorgfaltspflichten in ihre Organisation und ihr Risikomanagement integrieren. Dazu gehören unter anderem:
- Risiken und negative Auswirkungen ermitteln,
- diese priorisieren,
- Präventions- und Abhilfemaßnahmen umsetzen,
- Beschwerdemechanismen bereitstellen,
- die Wirksamkeit der Maßnahmen überwachen,
- und die Umsetzung dokumentieren.
Diese Aufgaben können nicht allein von Legal, Compliance oder Nachhaltigkeit erfüllt werden. Sie greifen unmittelbar in Einkaufs-, Lieferanten- und Risikoprozesse ein.
Sind mittelständische Unternehmen von der CSDDD betroffen?
Der Mittelstand fällt grundsätzlich nicht direkt unter den Anwendungsbereich der CSDDD. Trotzdem können sie über ihre Geschäftsbeziehungen betroffen sein.
Große Kunden benötigen Informationen, um eigene Risiken zu bewerten und Sorgfaltspflichten zu erfüllen. Daher können sie von Zulieferern beispielsweise verlangen:
- Angaben zu Produktionsstandorten und Lieferketten,
- Nachweise zu menschenrechtlichen oder umweltbezogenen Standards,
- Selbstauskünfte und Risikoangaben,
- vertragliche Zusicherungen,
- sowie die Beteiligung an Präventions- oder Verbesserungsmaßnahmen.
Damit entsteht keine automatische gesetzliche Gleichstellung mit direkt betroffenen Unternehmen. Die Anforderungen werden in der Praxis jedoch über die Lieferkette weitergegeben. Nicht direkt betroffen bedeutet daher nicht automatisch, dass kein Handlungsbedarf besteht.
Was bedeutet die CSDDD-Umsetzung für Einkauf und Lieferantenmanagement?
Die Verantwortung für die CSDDD liegt auf Unternehmensebene. Für die operative Umsetzung spielt der Einkauf jedoch eine zentrale Rolle: Dort werden Lieferanten ausgewählt und bewertet, Anforderungen kommuniziert und Maßnahmen in der Geschäftsbeziehung umgesetzt.
Entscheidend ist zunächst eine belastbare Datenbasis. Unternehmen müssen wissen, mit welchen Lieferanten und Produktionsstandorten sie zusammenarbeiten und welche Länder, Branchen oder Tätigkeiten mit erhöhten Risiken verbunden sein können. Häufig liegen diese Informationen jedoch verteilt in ERP-Systemen, Tabellen, E-Mails und verschiedenen Fachabteilungen.
Die Aufgabe besteht daher nicht nur darin, weitere Daten einzusammeln. Informationen müssen aktuell, plausibel und eindeutig einem Lieferanten oder Standort zugeordnet sein. Nur dann können Unternehmen Risiken sinnvoll bewerten und priorisieren.
Warum Lieferantenfragebögen für die CSDDD-Umsetzung nicht ausreichen
Einmalige Lieferantenfragebögen bilden lediglich eine Momentaufnahme ab. Produktionsbedingungen, Standorte und Risikolagen können sich verändern, Nachweise veralten und neue Hinweise auftreten. Außerdem unterscheiden sich Vollständigkeit und Qualität der Antworten häufig erheblich.
Vor allem endet der Sorgfaltspflichtenprozess nicht mit der Datenerhebung. Werden Risiken festgestellt, müssen Unternehmen angemessene Präventions- oder Abhilfemaßnahmen einleiten, Verantwortlichkeiten festlegen und die Wirksamkeit überprüfen.
Für den Einkauf bedeutet das insbesondere:
- Lieferanten- und Risikodaten nutzbar zusammenzuführen,
- Risiken fortlaufend zu bewerten und zu priorisieren,
- Anforderungen und Nachweise klar zu kommunizieren,
- Maßnahmen und Fristen nachzuhalten,
- sowie Entscheidungen und Lieferantenkommunikation nachvollziehbar zu dokumentieren.
Dabei sollte Lieferantenmanagement nicht auf Kontrolle reduziert werden. Gerade kleinere Zulieferer verfügen teilweise noch nicht über die Systeme oder Ressourcen, um alle Anforderungen unmittelbar zu erfüllen. Wirksame Sorgfaltspflichten verbinden deshalb klare Erwartungen mit gezielter Lieferantenentwicklung.
Wie bereiten sich Unternehmen auf die CSDDD-Umsetzung vor?
Die zentralen Anforderungen der CSDDD stehen fest. Unternehmen sollten deshalb jetzt ihre bestehenden Lieferanten- und Risikoprozesse darauf ausrichten, Risiken systematisch zu erfassen, Maßnahmen nachzuhalten und die Umsetzung nachvollziehbar zu dokumentieren.
Dafür sind vor allem fünf Handlungsfelder entscheidend:
1. Zuständigkeiten klären
Einkauf, Nachhaltigkeit, Compliance, Legal und Geschäftsführung müssen klar aufeinander abgestimmt sein. Unternehmen sollten definieren, wer Risiken bewertet, Informationen anfordert, Maßnahmen beschließt, kritische Fälle eskaliert und die Wirksamkeit dokumentiert.
2. Lieferanten- und Risikodaten zusammenführen
Viele relevante Informationen liegen bereits vor, etwa Lieferantenstammdaten, Auditberichte, Zertifikate oder Qualitätsbewertungen. Häufig fehlt jedoch eine gemeinsame Sicht. Unternehmen sollten daher prüfen, welche Daten vorhanden sind, wie aktuell sie sind und wo Lücken bestehen.
3. Kontinuierliches Risikomanagement etablieren
Risikobewertungen sollten regelmäßig und bei konkreten Anlässen aktualisiert werden. Neue Lieferanten, veränderte Produktionsstandorte, Vorfälle oder Beschwerden können eine erneute Bewertung erforderlich machen. Ein risikobasierter Ansatz hilft, begrenzte Ressourcen auf die wichtigsten Fälle zu konzentrieren.
4. Maßnahmen und Nachweise zentral dokumentieren
Risikoanalysen, Lieferantenkommunikation, Nachweise, Maßnahmen, Fristen und Wirksamkeitskontrollen sollten in einem gemeinsamen Prozess dokumentiert werden. So bleiben Unternehmen auskunftsfähig und vermeiden aufwendige Rekonstruktionen aus E-Mails und Tabellen.
5. Wiederkehrende Prozesse automatisieren
Abfragen, Erinnerungen, Fristen und Monitoring lassen sich bei großen Lieferantenbeständen kaum dauerhaft manuell steuern. Automatisierung entlastet bei wiederkehrenden Aufgaben und schafft eine konsistente Dokumentationshistorie.
Unternehmen sollten dabei keine separate Struktur nur für die CSDDD aufbauen. Tragfähiger ist ein Lieferantenmanagement, das unterschiedliche Sorgfaltspflichten, Kundenanforderungen und auch andere regulatorische Anforderungen (EUDR, PPWR, CBAM etc.) aufnehmen kann.
Software für die LkSG- und CSDDD-Umsetzung
Für eine effiziente Umsetzung müssen Lieferantendaten, Risikoanalysen, Abfragen, Maßnahmen und Nachweise miteinander verbunden werden.
Der VERSO Supply Chain Hub unterstützt Unternehmen dabei, diese Aufgaben in einem zentralen Prozess abzubilden. Sie können:
- Lieferanten- und Risikodaten strukturiert zusammenführen,
- Lieferanten anhand relevanter Risiken bewerten und priorisieren,
- Abfragen und Erinnerungen automatisieren,
- Risiken kontinuierlich überwachen,
- Präventions- und Abhilfemaßnahmen steuern,
- Verantwortlichkeiten und Fristen nachhalten,
- sowie Nachweise und Lieferantenkommunikation zentral dokumentieren.
So entsteht keine zusätzliche Insellösung für die CSDDD. Die Anforderungen werden dort verankert, wo Lieferantenbeziehungen bereits gesteuert werden.
CSDDD-Anforderungen mit uns einordnen und effizient umsetzen
Sie möchten wissen, welche Anforderungen für Ihr Unternehmen relevant sind und wie Sie diese in bestehende Lieferantenprozesse integrieren können?
In einem unverbindlichen Gespräch zeigen wir Ihnen, wie der VERSO Supply Chain Hub Sie bei der LkSG- und CSDDD-Umsetzung unterstützt.
Häufige Fragen zu LkSG und CSDDD
CSDDD steht für Corporate Sustainability Due Diligence Directive. Die EU-Richtlinie wird häufig als EU-Lieferkettengesetz bezeichnet und regelt menschenrechtliche sowie umweltbezogene Sorgfaltspflichten großer Unternehmen.
Die CSDDD verpflichtet betroffene Unternehmen, Risiken für Menschen und Umwelt in ihren Tätigkeiten und Geschäftsbeziehungen systematisch zu ermitteln und zu priorisieren. Daraus müssen angemessene Präventions- oder Abhilfemaßnahmen sowie eine regelmäßige Wirksamkeitskontrolle folgen.
Das LkSG ist ein bereits geltendes deutsches Gesetz. Die CSDDD schafft einen gemeinsamen europäischen Rahmen, der von den Mitgliedstaaten in nationales Recht übertragen wird. Beide Regelwerke verlangen unter anderem Risikomanagement, Präventions- und Abhilfemaßnahmen, Beschwerdeverfahren und Dokumentation.
Ja. Die CSDDD trat am 25. Juli 2024 in Kraft und wurde durch das Omnibus-Paket (Richtlinie (EU) 2026/470, final seit 18.03.2026) im Anwendungsbereich deutlich reduziert. Die Mitgliedstaaten müssen sie bis zum 26. Juli 2028 in nationales Recht umsetzen; die Pflichten gelten für betroffene Unternehmen einheitlich ab dem 26. Juli 2029.
Die Anwendung startet ab 26.07.2029 für die größten Unternehmen. In Deutschland ist zudem eine 1:1-Umsetzung der CSDDD beschlossen, verbunden mit einem Umbau des LkSG. Das bedeutet aber nicht, dass Sie bis dahin warten sollten: Da Sie viele Informationen aus Ihrer Lieferkette benötigen, sollten Sie mit der Vorbereitung von Datenbasis und Prozessen deutlich früher beginnen.
Mittelständische Unternehmen sind grundsätzlich nicht direkt von der CSDDD erfasst. Sie können jedoch indirekt betroffen sein, wenn größere Kunden Informationen, Nachweise, vertragliche Zusicherungen oder Verbesserungsmaßnahmen verlangen, um ihre eigenen Sorgfaltspflichten zu erfüllen.
Als Zulieferer weisen Sie Ihre Sorgfalt über Selbstauskünfte zu Menschenrechts- und Umweltrisiken im eigenen Betrieb nach. Hinzu kommen konkrete Nachweise wie Zertifikate, Auditberichte oder Fragebögen, die Ihre Kunden bei Bedarf anfordern. Bei identifizierten Risiken folgt oft die Einbindung in Präventions- oder Abhilfemaßnahmen der Auftraggeber. Ihre Kunden formulieren dafür idealerweise klare Erwartungen und unterstützen mit gezielter Lieferantenentwicklung.
Die CSDDD gilt grundsätzlich branchenübergreifend. Der konkrete Handlungsbedarf hängt jedoch stark von der Lieferkettenstruktur, den Produktionsländern, eingesetzten Rohstoffen und dem menschenrechtlichen sowie umweltbezogenen Risikoprofil ab.
Sie brauchen grundsätzlich belastbare Lieferanten- und Standortdaten. Zudem müssen Sie Risikoindikatoren nach Land bzw. Branche, Nachweise und den Maßnahmenstatus parat haben.
Sorgfaltspflicht bedeutet, Risiken und negative Auswirkungen auf Menschen und Umwelt systematisch zu ermitteln, zu priorisieren und angemessen zu bearbeiten. Unternehmen müssen außerdem Beschwerden ermöglichen, Maßnahmen überwachen und ihre Umsetzung nachvollziehbar dokumentieren.
Unternehmen müssen tatsächliche und potenzielle negative Auswirkungen systematisch identifizieren und nach Schwere sowie Wahrscheinlichkeit priorisieren. Auf dieser Grundlage sind geeignete Maßnahmen festzulegen, regelmäßig zu überprüfen und bei Bedarf anzupassen.
Unternehmen müssen geeignete Verfahren schaffen, über die betroffene Personen, Arbeitnehmervertretungen oder relevante Organisationen Hinweise und Beschwerden einreichen können. Diese Meldungen müssen strukturiert geprüft, bearbeitet und in das Risikomanagement einbezogen werden.
Verstöße können behördliche Maßnahmen und finanzielle Sanktionen nach sich ziehen. Zusätzlich drohen Haftungs-, Reputations- und Geschäftsrisiken, etwa wenn Kundenanforderungen nicht erfüllt oder Risiken in der Lieferkette unzureichend bearbeitet werden.
Das Omnibus-Paket hat den Anwendungsbereich, einzelne Vorgaben und den Zeitplan der CSDDD angepasst. Die grundlegende Pflicht bleibt jedoch bestehen: Betroffene Unternehmen müssen einen risikobasierten Prozess zur Ermittlung, Bearbeitung und Überwachung menschenrechtlicher und umweltbezogener Auswirkungen etablieren.
Kritisiert werden vor allem zusätzlicher Verwaltungsaufwand, hohe Umsetzungskosten und indirekte Belastungen kleinerer Zulieferer. Befürworter erwarten dagegen einheitlichere europäische Standards, mehr Transparenz, besseren Schutz von Menschen und Umwelt sowie eine systematischere Risikosteuerung.
Geeignete CSDDD-Software verbindet Lieferantendaten, Risikoanalyse, kontinuierliches Monitoring und Maßnahmenmanagement. Wichtig sind außerdem automatisierte Abfragen und Erinnerungen sowie eine zentrale Dokumentation von Nachweisen, Fristen und Lieferantenkommunikation.
* Bei diesen Informationen handelt es sich um redaktionell zusammengefassten Content, der nicht als Rechtsberatung zu verstehen ist. VERSO übernimmt keine Haftung.
Das könnte Sie auch interessieren:
Abonnieren Sie unseren Newsletter!
Tragen Sie sich ein und erhalten Sie regelmäßig Neuigkeiten zu:
Aktuellen ESG-Themen und Gesetzesänderungen
Best Practices aus den Bereichen ESG und nachhaltige Lieferketten
News zu VERSO
Sustainability Events uvm.
