Das Wichtigste in Kürze

• Die CSDDD-Umsetzung bezeichnet die Überführung der europäischen Sorgfaltspflichten-Richtlinie in nationales Recht
• Betroffene Unternehmen müssen menschenrechtliche und umweltbezogene Risiken in ihren Lieferketten systematisch ermitteln, priorisieren und bearbeiten
• In Deutschland löst die CSDDD das LkSG ab; anwendbar ist sie ab dem 26. Juli 2029 für Unternehmen ab 5.000 Beschäftigten und 1,5 Mrd. Euro Umsatz.

Die Regeln rund um unternehmerische Sorgfaltspflichten sind in Bewegung. Die CSDDD-Umsetzung wurde durch das Omnibus-Paket angepasst. Dadurch haben sich der Anwendungsbereich, einzelne Anforderungen und der Zeitplan verändert.

Für viele Unternehmen liegt deshalb ein Gedanke nahe: erst einmal abwarten, bis endgültig geklärt ist, wer wann welche Vorgaben erfüllen muss.

Doch damit wird die europäische Lieferkettenrichtlinie CSDDD zu stark auf Schwellenwerte und Fristen reduziert. Die grundlegende Aufgabe bleibt bestehen: Unternehmen müssen menschenrechtliche und umweltbezogene Risiken in ihren Lieferketten erkennen, priorisieren und angemessen bearbeiten. Direkt betroffene Unternehmen benötigen dafür eigene Sorgfaltspflichtenprozesse und kleinere Unternehmen sowie Zulieferer werden weiterhin über Datenabfragen, Nachweise und Maßnahmen ihrer Kunden eingebunden.

Wer mit dem Aufbau belastbarer Strukturen wartet, gewinnt deshalb nicht automatisch Zeit. Lieferantendaten lassen sich nicht kurzfristig vervollständigen, Verantwortlichkeiten nicht von heute auf morgen klären und Lieferantenbeziehungen nicht durch einen einmaligen Fragebogen entwickeln.

Für eine effiziente LkSG- und CSDDD-Umsetzung sollten Unternehmen Sorgfaltspflichten daher nicht als isolierte Compliance-Aufgabe behandeln. Sinnvoller ist es, sie fest in das bestehende Lieferanten- und Risikomanagement zu integrieren.

Was bedeutet die CSDDD-Umsetzung?

CSDDD steht für Corporate Sustainability Due Diligence Directive. Auf Deutsch wird sie häufig als EU-Lieferkettengesetz oder europäische Lieferkettenrichtlinie bezeichnet.

Die Richtlinie verpflichtet die von ihr erfassten Unternehmen dazu, menschenrechtliche und umweltbezogene Sorgfaltspflichten in ihren eigenen Tätigkeiten, bei Tochtergesellschaften und entlang relevanter Geschäftsbeziehungen zu verankern. Ziel ist es, negative Auswirkungen auf Menschen und Umwelt zu erkennen, möglichst zu verhindern, zu mindern oder zu beenden.

Zu den grundlegenden Sorgfaltspflichten gehören insbesondere:

• Sorgfaltspflichten in Richtlinien und Risikomanagementsysteme integrieren,
• tatsächliche und potenzielle negative Auswirkungen ermitteln und priorisieren,
• Präventions- und Abhilfemaßnahmen umsetzen,
• Beschwerde- und Hinweisverfahren ermöglichen,
• die Wirksamkeit der Maßnahmen überwachen,
• und die Umsetzung nachvollziehbar dokumentieren.

Die CSDDD beschreibt damit keinen einmaligen Prüfprozess. Sorgfaltspflichten bilden einen Kreislauf: Risiken werden ermittelt, Maßnahmen beschlossen, Fortschritte überprüft und Prozesse bei Bedarf angepasst.

Ein ausgefüllter Lieferantenfragebogen kann Informationen für eine Risikoanalyse liefern. Er ersetzt jedoch weder die Priorisierung von Risiken noch das Nachhalten von Maßnahmen oder die kontinuierliche Überwachung der Lieferkette.

Was sind Unterschiede und Gemeinsamkeiten von CSDDD und LkSG?

Das deutsche Lieferkettensorgfaltspflichtengesetz, kurz LkSG, gilt seit 2023. Es bildet derzeit den deutschen Rechtsrahmen für menschenrechtliche und bestimmte umweltbezogene Sorgfaltspflichten in Lieferketten.

Die CSDDD überträgt eine ähnliche Grundlogik auf die europäische Ebene. Auch sie verlangt ein systematisches Risikomanagement, Präventions- und Abhilfemaßnahmen, Beschwerdemechanismen sowie die Überwachung der Wirksamkeit.

Was haben die LkSG- und CSDDD-Umsetzung gemeinsam?

Für Unternehmen in Deutschland sind LkSG und CSDDD keine zwei vollständig voneinander getrennten Aufgaben. Bestehende Strukturen aus der LkSG-Umsetzung können eine wichtige Grundlage für die CSDDD-Umsetzung bilden. Dazu gehören beispielsweise:

• definierte Verantwortlichkeiten,
• strukturierte Lieferanten- und Risikoanalysen,
• Präventions- und Abhilfemaßnahmen,
• Beschwerdeverfahren,
• sowie Dokumentation und Wirksamkeitskontrolle.

Was ändert sich durch die CSDDD?

Während das LkSG ein deutsches Gesetz ist, schafft die CSDDD einen gemeinsamen europäischen Rahmen. Sie muss von den Mitgliedstaaten in nationales Recht übertragen werden und führt damit zu einer Weiterentwicklung der deutschen Regelungen.

Bis zur nationalen Umsetzung gilt das LkSG formal weiter, wird aber bereits jetzt zurückhaltender durchgesetzt. Details zum Umsetzungsstand finden Sie im Abschnitt zum Zeitplan.

Für Sie im Einkauf ist wichtig: Nicht für jedes neue Gesetz einen eigenen Prozess aufbauen, sondern ein belastbares System für unternehmerische Sorgfaltspflichten schaffen.

Ab wann gilt die CSDDD? Zeitplan der Umsetzung in Deutschland

Die CSDDD ist bereits in Kraft und wurde im Rahmen des Omnibus-Pakets angepasst. Die Änderungen betreffen unter anderem den Anwendungsbereich, einzelne Sorgfaltspflichten und den Zeitplan.

Für Unternehmen bleiben insbesondere folgende Anforderungen relevant:

• menschenrechtliche und umweltbezogene Risiken systematisch ermitteln und priorisieren,
• angemessene Präventions- und Abhilfemaßnahmen umsetzen,
• einen Beschwerdemechanismus bereitstellen,
• die Wirksamkeit der Maßnahmen überwachen,
• und die Umsetzung nachvollziehbar dokumentieren.

In Deutschland muss die geänderte CSDDD noch in nationales Recht übertragen werden. Bis zu einer entsprechenden Neuregelung bleibt das LkSG der bestehende gesetzliche Rahmen. Es ist jedoch zu erwarten, dass Deutschland die CSDDD in weiten Teilen eng an den europäischen Vorgaben umsetzt.

In Deutschland ist die Richtung inzwischen klar: Die Bundesregierung hat beschlossen, die CSDDD 1:1 in deutsches Recht umzusetzen. Das LkSG wird dafür umgebaut; sein Anwendungsbereich soll auf Unternehmen ab 5.000 Beschäftigten und über 1,5 Mrd. Euro Umsatz beschränkt werden. Die externe LkSG-Berichtspflicht ist damit faktisch bereits obsolet: Das BAFA prüft sie seit Herbst 2025 nicht mehr, eine gesetzliche Streichung ist eingeleitet.

Für die Vorbereitung ist es wenig sinnvoll, jede regulatorische Einzelheit abzuwarten. Die operativen Grundlagen sind bereits klar: Unternehmen benötigen belastbare Lieferantendaten, ein risikobasiertes Vorgehen, dokumentierte Maßnahmen und eindeutige Zuständigkeiten.

Wer diese Strukturen erst nach Abschluss des Gesetzgebungsverfahrens aufbaut, beginnt dann mit den zeitaufwendigsten Aufgaben.

Welche Unternehmen sind vom EU-Lieferkettengesetz betroffen?

Das sogenannte EU-Lieferkettengesetz, also die CSDDD, gilt nach den Anpassungen durch das Omnibus-Paket ab Juli 2029 für Unternehmen mit mehr als 5.000 Beschäftigten und einem weltweiten Nettoumsatz von mehr als 1,5 Milliarden Euro. Erfasst werden sowohl Unternehmen mit Sitz in der EU als auch bestimmte Unternehmen aus Drittstaaten, sofern sie die maßgeblichen Umsatzkriterien im europäischen Binnenmarkt erfüllen.

Für die Praxis ist jedoch nicht nur die direkte gesetzliche Betroffenheit entscheidend. Auch kleinere Unternehmen und Zulieferer können Anforderungen über ihre Geschäftsbeziehungen weitergereicht bekommen. Deshalb lohnt sich die Unterscheidung zwischen direkter und indirekter Betroffenheit.

Welche Unternehmen sind direkt von der CSDDD betroffen?

Direkt betroffene Unternehmen müssen die gesetzlichen Sorgfaltspflichten in ihre Organisation und ihr Risikomanagement integrieren. Dazu gehören unter anderem:

• Risiken und negative Auswirkungen ermitteln,
• diese priorisieren,
• Präventions- und Abhilfemaßnahmen umsetzen,
• Beschwerdemechanismen bereitstellen,
• die Wirksamkeit der Maßnahmen überwachen,
• und die Umsetzung dokumentieren.

Diese Aufgaben können nicht allein von Legal, Compliance oder Nachhaltigkeit erfüllt werden. Sie greifen unmittelbar in Einkaufs-, Lieferanten- und Risikoprozesse ein.

Sind mittelständische Unternehmen von der CSDDD betroffen?

Der Mittelstand fällt grundsätzlich nicht direkt unter den Anwendungsbereich der CSDDD. Trotzdem können sie über ihre Geschäftsbeziehungen betroffen sein.

Große Kunden benötigen Informationen, um eigene Risiken zu bewerten und Sorgfaltspflichten zu erfüllen. Daher können sie von Zulieferern beispielsweise verlangen:

• Angaben zu Produktionsstandorten und Lieferketten,
• Nachweise zu menschenrechtlichen oder umweltbezogenen Standards,
• Selbstauskünfte und Risikoangaben,
• vertragliche Zusicherungen,
• sowie die Beteiligung an Präventions- oder Verbesserungsmaßnahmen.

Damit entsteht keine automatische gesetzliche Gleichstellung mit direkt betroffenen Unternehmen. Die Anforderungen werden in der Praxis jedoch über die Lieferkette weitergegeben. Nicht direkt betroffen bedeutet daher nicht automatisch, dass kein Handlungsbedarf besteht.

Was bedeutet die CSDDD-Umsetzung für Einkauf und Lieferantenmanagement?

Die Verantwortung für die CSDDD liegt auf Unternehmensebene. Für die operative Umsetzung spielt der Einkauf jedoch eine zentrale Rolle: Dort werden Lieferanten ausgewählt und bewertet, Anforderungen kommuniziert und Maßnahmen in der Geschäftsbeziehung umgesetzt.

Entscheidend ist zunächst eine belastbare Datenbasis. Unternehmen müssen wissen, mit welchen Lieferanten und Produktionsstandorten sie zusammenarbeiten und welche Länder, Branchen oder Tätigkeiten mit erhöhten Risiken verbunden sein können. Häufig liegen diese Informationen jedoch verteilt in ERP-Systemen, Tabellen, E-Mails und verschiedenen Fachabteilungen.

Die Aufgabe besteht daher nicht nur darin, weitere Daten einzusammeln. Informationen müssen aktuell, plausibel und eindeutig einem Lieferanten oder Standort zugeordnet sein. Nur dann können Unternehmen Risiken sinnvoll bewerten und priorisieren.

Warum Lieferantenfragebögen für die CSDDD-Umsetzung nicht ausreichen

Einmalige Lieferantenfragebögen bilden lediglich eine Momentaufnahme ab. Produktionsbedingungen, Standorte und Risikolagen können sich verändern, Nachweise veralten und neue Hinweise auftreten. Außerdem unterscheiden sich Vollständigkeit und Qualität der Antworten häufig erheblich.

Vor allem endet der Sorgfaltspflichtenprozess nicht mit der Datenerhebung. Werden Risiken festgestellt, müssen Unternehmen angemessene Präventions- oder Abhilfemaßnahmen einleiten, Verantwortlichkeiten festlegen und die Wirksamkeit überprüfen.

Für den Einkauf bedeutet das insbesondere:

• Lieferanten- und Risikodaten nutzbar zusammenzuführen,
• Risiken fortlaufend zu bewerten und zu priorisieren,
• Anforderungen und Nachweise klar zu kommunizieren,
• Maßnahmen und Fristen nachzuhalten,
• sowie Entscheidungen und Lieferantenkommunikation nachvollziehbar zu dokumentieren.

Dabei sollte Lieferantenmanagement nicht auf Kontrolle reduziert werden. Gerade kleinere Zulieferer verfügen teilweise noch nicht über die Systeme oder Ressourcen, um alle Anforderungen unmittelbar zu erfüllen. Wirksame Sorgfaltspflichten verbinden deshalb klare Erwartungen mit gezielter Lieferantenentwicklung.

Wie bereiten sich Unternehmen auf die CSDDD-Umsetzung vor?

Die zentralen Anforderungen der CSDDD stehen fest. Unternehmen sollten deshalb jetzt ihre bestehenden Lieferanten- und Risikoprozesse darauf ausrichten, Risiken systematisch zu erfassen, Maßnahmen nachzuhalten und die Umsetzung nachvollziehbar zu dokumentieren.

Dafür sind vor allem fünf Handlungsfelder entscheidend:

1. Zuständigkeiten klären

Einkauf, Nachhaltigkeit, Compliance, Legal und Geschäftsführung müssen klar aufeinander abgestimmt sein. Unternehmen sollten definieren, wer Risiken bewertet, Informationen anfordert, Maßnahmen beschließt, kritische Fälle eskaliert und die Wirksamkeit dokumentiert.

2. Lieferanten- und Risikodaten zusammenführen

Viele relevante Informationen liegen bereits vor, etwa Lieferantenstammdaten, Auditberichte, Zertifikate oder Qualitätsbewertungen. Häufig fehlt jedoch eine gemeinsame Sicht. Unternehmen sollten daher prüfen, welche Daten vorhanden sind, wie aktuell sie sind und wo Lücken bestehen.

3. Kontinuierliches Risikomanagement etablieren

Risikobewertungen sollten regelmäßig und bei konkreten Anlässen aktualisiert werden. Neue Lieferanten, veränderte Produktionsstandorte, Vorfälle oder Beschwerden können eine erneute Bewertung erforderlich machen. Ein risikobasierter Ansatz hilft, begrenzte Ressourcen auf die wichtigsten Fälle zu konzentrieren.

4. Maßnahmen und Nachweise zentral dokumentieren

Risikoanalysen, Lieferantenkommunikation, Nachweise, Maßnahmen, Fristen und Wirksamkeitskontrollen sollten in einem gemeinsamen Prozess dokumentiert werden. So bleiben Unternehmen auskunftsfähig und vermeiden aufwendige Rekonstruktionen aus E-Mails und Tabellen.

5. Wiederkehrende Prozesse automatisieren

Abfragen, Erinnerungen, Fristen und Monitoring lassen sich bei großen Lieferantenbeständen kaum dauerhaft manuell steuern. Automatisierung entlastet bei wiederkehrenden Aufgaben und schafft eine konsistente Dokumentationshistorie.

Unternehmen sollten dabei keine separate Struktur nur für die CSDDD aufbauen. Tragfähiger ist ein Lieferantenmanagement, das unterschiedliche Sorgfaltspflichten, Kundenanforderungen und auch andere regulatorische Anforderungen (EUDR, PPWR, CBAM etc.) aufnehmen kann.

Software für die LkSG- und CSDDD-Umsetzung

Für eine effiziente Umsetzung müssen Lieferantendaten, Risikoanalysen, Abfragen, Maßnahmen und Nachweise miteinander verbunden werden.

Der VERSO Supply Chain Hub unterstützt Unternehmen dabei, diese Aufgaben in einem zentralen Prozess abzubilden. Sie können:

• Lieferanten- und Risikodaten strukturiert zusammenführen,
• Lieferanten anhand relevanter Risiken bewerten und priorisieren,
• Abfragen und Erinnerungen automatisieren,
• Risiken kontinuierlich überwachen,
• Präventions- und Abhilfemaßnahmen steuern,
• Verantwortlichkeiten und Fristen nachhalten,
• sowie Nachweise und Lieferantenkommunikation zentral dokumentieren.

So entsteht keine zusätzliche Insellösung für die CSDDD. Die Anforderungen werden dort verankert, wo Lieferantenbeziehungen bereits gesteuert werden.

Häufige Fragen zu LkSG und CSDDD

* Bei diesen Informationen handelt es sich um redaktionell zusammengefassten Content, der nicht als Rechtsberatung zu verstehen ist. VERSO übernimmt keine Haftung.