EU-Lieferkettenrichtlinie CSDDD – was Unternehmen 2026 wissen müssen

Die EU-Lieferkettenrichtlinie (CSDDD) trat am 25. Juli 2024 in Kraft und wurde im Februar 2025 durch das Omnibus-I-Paket grundlegend überarbeitet. Die Umsetzungsfrist verschob sich auf Juli 2028, die Schwellenwerte stiegen auf 5.000 Beschäftigte und 1,5 Milliarden Euro Umsatz, und zentrale Pflichten wie Klimaschutzpläne und ein EU-weites Haftungsregime entfielen. Für mittelständische Unternehmen im DACH-Raum bedeutet dies: Direkte Betroffenheit ist unwahrscheinlich, aber Geschäftspartner werden künftig intensiver prüfen – wer dokumentiert, wie er Menschenrechts- und Umweltrisiken adressiert, verschafft sich einen Wettbewerbsvorteil.

Warum wurde die Umsetzungsfrist verschoben?

Die Umsetzungsfrist für die CSDDD wurde von Juli 2026 auf Juli 2027 verlängert, für Deutschland auf Juli 2028 verschoben, um Unternehmen mehr Vorbereitungszeit zu geben^[1]. Die ursprünglich bis 26. Juli 2026 vorgesehene Frist wurde durch die Richtlinie (EU) 2025/794 – die sogenannte Stop-the-Clock-Richtlinie – um ein Jahr verlängert^[1]. Die Erstanwendung für die erste Unternehmenstranche verschiebt sich von Juli 2027 auf Juli 2028^[1].

Diese Verschiebung verschafft Unternehmen zusätzliche Vorbereitungszeit. Gleichzeitig sorgt sie für Unsicherheit: Wer bereits in die Vorbereitung investiert hatte, muss nun länger warten, bis klar ist, welche nationalen Anforderungen konkret gelten werden.

Unternehmen mit über 5.000 Beschäftigten und 1,5 Mrd. Euro Umsatz sind betroffen

Die CSDDD wurde im Februar 2025 durch das Omnibus-I-Paket grundlegend überarbeitet. Die Omnibus-I-Richtlinie wurde Mitte März 2026 wirksam, 20 Tage nach Veröffentlichung im EU-Amtsblatt^[3]. Ziel der Reform war es, den administrativen Aufwand der europäischen Nachhaltigkeitsregulierung zu reduzieren und gleichzeitig die Wettbewerbsfähigkeit europäischer Unternehmen zu stärken^[4].

Die CSDDD gilt nun für EU-Unternehmen mit mindestens 5.000 Beschäftigten und einem Jahresnettoumsatz von mehr als 1,5 Milliarden Euro^[3]. Dies ist eine deutliche Anhebung gegenüber der ursprünglichen Fassung und bedeutet, dass deutlich weniger Unternehmen direkt unter die Richtlinie fallen.

Zum Vergleich: Die Corporate Sustainability Reporting Directive (CSRD) erfasst nach dem Omnibus-Paket nur noch Unternehmen mit mehr als 1.000 Beschäftigten und einem Jahresumsatz von über 450 Millionen Euro^[5].

Klimaschutzpläne und EU-weites Haftungsregime wurden gestrichen

Zwei zentrale Elemente wurden aus der CSDDD gestrichen: die Verpflichtung zu Klimaschutzplänen (nun ausschließlich in der CSRD verankert) und ein spezifisches EU-weites Haftungsregime^[3][6].

Klimaschutzpläne: Die Verpflichtung zur Verabschiedung und Umsetzung von Klimaschutzplänen wurde vollständig aus der CSDDD gestrichen und ist nur noch in der CSRD enthalten^[3][6]. Unternehmen, die unter beide Regelwerke fallen, müssen Klimaschutzpläne also weiterhin erstellen – allerdings auf Grundlage der CSRD, nicht der CSDDD.

EU-weites Haftungsregime: Das spezifische EU-weite Haftungsregime wurde gestrichen^[6]. Die Mitgliedstaaten haben nun erheblichen Spielraum bei der Ausgestaltung von Sanktionen. Die maximale Höhe von Geldbußen wird auf drei Prozent des weltweiten Nettoumsatzes begrenzt^[6].

Wie unterscheidet sich die CSDDD vom deutschen LkSG?

Die CSDDD verfolgt einen risikobasierten Ansatz, der sich von der Konzeption des deutschen Lieferkettensorgfaltspflichtengesetzes (LkSG) unterscheidet^[2]. Das LkSG verpflichtet Unternehmen zu bestimmten Sorgfaltspflichten entlang der gesamten Lieferkette, unabhängig vom konkreten Risiko. Die CSDDD fordert dagegen eine Priorisierung: Unternehmen müssen zunächst analysieren, wo in ihrer Wertschöpfungskette die größten Menschenrechts- und Umweltrisiken liegen, und ihre Maßnahmen entsprechend ausrichten.

Die Umsetzung der CSDDD in nationales deutsches Recht wird voraussichtlich zu einer Überarbeitung des LkSG führen^[6]. Unternehmen sollten sich daher perspektivisch auf eine Anpassung des LkSG einstellen^[4]. Die konkrete Ausgestaltung liegt noch nicht vor; das Deutsche Institut für Menschenrechte hat Ende Juni 2026 Erwartungen an die Umsetzung formuliert^[2].

Sorgfaltspflichten für Menschenrechte und Umwelt bleiben bestehen

Die CSDDD behält ihre Kernpflichten zur Sorgfaltspflicht in Bezug auf Menschenrechte und Umweltauswirkungen in der eigenen Geschäftstätigkeit, bei Tochterunternehmen und Geschäftspartnern bei^[1]. Die CSDDD enthält weiterhin Vorschriften über die Verpflichtungen von Unternehmen in Bezug auf tatsächliche und potenzielle negative Auswirkungen auf die Menschenrechte und die Umwelt im Zusammenhang mit:

• ihrer eigenen Geschäftstätigkeit,
• der Geschäftstätigkeit ihrer Tochterunternehmen,
• der Geschäftstätigkeit, die von ihren Geschäftspartnern in den Aktivitätsketten dieser Unternehmen ausgeführt wird^[1].

Die Richtlinie gibt bis auf wenige Ausnahmen Mindeststandards vor, über die Mitgliedstaaten – insbesondere zum Schließen von Schutzlücken – hinausgehen können^[7].

Omnibus-Verfahren führte zu Unsicherheiten bei Fristen und Anforderungen

Das Omnibus-Paket sorgte für erhebliche Verwirrung: Plötzlich standen zentrale Elemente der CSRD zur Disposition – Fristen wurden verschoben, Anforderungen reduziert, und es war zeitweise unklar, ob und in welcher Form die Richtlinie überhaupt umgesetzt würde^[5]. Für Unternehmen, die bereits in die Vorbereitung investiert hatten, sorgte die nachträgliche Abschwächung für Frust^[5].

Die Streichung des EU-weiten Haftungsregimes und der Klimaschutzpläne sowie die deutlich angehobenen Schwellenwerte werfen Fragen zur Reichweite und Wirksamkeit der Richtlinie auf. Die Richtlinie lässt den Mitgliedstaaten erhebliche Spielräume bei der Ausgestaltung der Verwaltungsbehörde und der Sanktionen^[7]. Dies kann zu unterschiedlichen nationalen Umsetzungen und damit zu einem fragmentierten Binnenmarkt führen.

Mittelständische Unternehmen profitieren von indirekter Betroffenheit

Die verschärften Schwellenwerte bedeuten: Die meisten mittelständischen Unternehmen im DACH-Raum fallen nicht direkt unter die CSDDD. Dennoch entsteht indirekte Betroffenheit – und damit eine Chance.

Größere Unternehmen, die unter die CSDDD fallen, werden ihre Lieferanten künftig intensiver prüfen müssen. Wer heute dokumentiert, wie er Menschenrechts- und Umweltrisiken in seiner Lieferkette identifiziert und adressiert, positioniert sich als verlässlicher Partner für größere Abnehmer. Eine freiwillige Implementierung von Sorgfaltsprozessen kann als Wettbewerbsvorteil gegenüber Konkurrenten dienen, die erst später reguliert werden.

Eine zentrale Rolle spielt dabei die systematische Prüfung von Geschäftspartnern gegen Sanktions- und Risikolisten. Die EU-Verordnung 833/2014 zu den Russland-Sanktionen etwa gilt unmittelbar und größenunabhängig für jedes Unternehmen in der EU. Für mittelständische Unternehmen mit 30 bis 500 Mitarbeitern, die keine eigene Compliance-Abteilung haben, bedeutet dies: Die Prüfpflicht besteht, aber die Ressourcen sind knapp. Dienste wie Am I Compliant ermöglichen es, Kunden, Lieferanten und verbundene Firmen in Sekunden gegen 200+ offizielle Sanktions-, PEP- und Handelsrisiko-Listen aus EU, UN, OFAC, UK und CH abzugleichen – mit auditfestem PDF-Nachweis und DSGVO-konformer Übertragung. Die Prüfpflicht gilt größenunabhängig; wer sie ignoriert, riskiert Strafen und den Verlust von Geschäftspartnern.

Betroffene Unternehmen müssen bis Juli 2027/2028 Prozesse anpassen

Für Unternehmen mit mindestens 5.000 Beschäftigten und einem Jahresnettoumsatz von mehr als 1,5 Milliarden Euro ergeben sich folgende Handlungsfelder:

Zeitliche Planung: Nutzen Sie die verlängerte Umsetzungsfrist bis Juli 2027/2028, um interne Prozesse vorzubereiten. Die Erstanwendung erfolgt ab Juli 2028^[1].

Risikobasierter Ansatz: Stellen Sie sich auf den risikobasierten Ansatz der CSDDD ein, der sich vom LkSG unterscheidet. Die in der CSDDD vorgesehenen Schritte zur Risikoanalyse sollten frühzeitig implementiert werden^[2]. Eine systematische Sanktionslistenprüfung gehört dabei zum Standard – auch wenn Ihr Unternehmen nicht direkt unter das LkSG fällt, können Geschäftspartner in Sanktionsgebieten ein erhebliches Risiko darstellen.

LkSG-Anpassung beobachten: Rechnen Sie mit einer Überarbeitung des deutschen LkSG im Zuge der CSDDD-Umsetzung^[6]. Vermeiden Sie Doppelstrukturen. Eine integrierte Compliance-Architektur, die sowohl nationale als auch EU-Anforderungen abdeckt, spart langfristig Aufwand.

Klimapläne: Beachten Sie, dass Klimaschutzpläne zwar aus der CSDDD gestrichen wurden, aber weiterhin in der CSRD verankert sind^[3][6]. Prüfen Sie, ob Ihr Unternehmen unter beide Regelwerke fällt.

Behördliche Entwicklungen verfolgen: Die Mitgliedstaaten haben Spielraum bei der Ausgestaltung der Verwaltungsbehörde^[7]. Verfolgen Sie die nationale Umsetzung in Deutschland. Die konkrete Ausgestaltung der Sanktionen und der Aufsichtsstrukturen wird erst im Laufe des Jahres 2027 klarer werden.

Sanktionsrisiken einschätzen: Die Geldbußen sind auf drei Prozent des weltweiten Nettoumsatzes begrenzt^[6]. Kalkulieren Sie das finanzielle Risiko bei Nichteinhaltung. Für ein Unternehmen mit 2 Milliarden Euro Umsatz bedeutet dies eine maximale Geldbuße von 60 Millionen Euro.

Dokumentation: Beginnen Sie frühzeitig mit der Dokumentation von Lieferketten, Risikoanalysen und Präventionsmaßnahmen. Die Beweislast liegt beim Unternehmen – wer nicht dokumentiert, kann im Streitfall nicht nachweisen, dass er seiner Sorgfaltspflicht nachgekommen ist.

Fazit

Die CSDDD ist nach der Omnibus-I-Reform deutlich abgeschwächt worden: Höhere Schwellenwerte, gestrichene Klimaschutzpläne und ein fehlendes EU-Haftungsregime reduzieren die Reichweite der Richtlinie. Die verlängerte Umsetzungsfrist bis Juli 2028 verschafft Unternehmen zusätzliche Vorbereitungszeit, sorgt aber auch für Unsicherheit.

Der risikobasierte Ansatz der CSDDD unterscheidet sich grundlegend vom deutschen LkSG und wird voraussichtlich zu dessen Überarbeitung führen. Unternehmen sollten die nationale Umsetzung eng verfolgen und frühzeitig mit der Implementierung eines integrierten Risikomanagements beginnen. Wer heute in Transparenz und Dokumentation investiert, ist besser vorbereitet – unabhängig davon, wie die finale nationale Umsetzung aussehen wird.

Häufig gestellte Fragen

Was ist die EU-Lieferkettenrichtlinie CSDDD?

Die CSDDD (Corporate Sustainability Due Diligence Directive) ist eine EU-Richtlinie, die Unternehmen zur Einhaltung von Menschenrechts- und Umweltstandards in ihren Lieferketten verpflichtet. Nach der Omnibus-I-Reform gilt sie ab Juli 2028 für Unternehmen mit mindestens 5.000 Beschäftigten und 1,5 Milliarden Euro Umsatz.

Wann tritt die CSDDD in Kraft und ab wann gilt sie für Unternehmen?

Die CSDDD trat am 25. Juli 2024 in Kraft. Die Mitgliedstaaten müssen sie bis Juli 2027 in nationales Recht umsetzen. Die Erstanwendung für die erste Unternehmenstranche verschiebt sich auf Juli 2028.

Welche Änderungen brachte die Omnibus-I-Reform für die CSDDD?

Die Reform erhöhte die Schwellenwerte für die Betroffenheit deutlich, strich die Verpflichtung zu Klimaschutzplänen aus der CSDDD (diese bleiben in der CSRD) und entfernte das EU-weite Haftungsregime. Die maximale Geldbuße wurde auf drei Prozent des weltweiten Nettoumsatzes begrenzt.

Wie unterscheidet sich die CSDDD vom deutschen Lieferkettensorgfaltspflichtengesetz?

Die CSDDD verfolgt einen risikobasierten Ansatz, während das LkSG eine umfassendere Sorgfaltspflicht über die gesamte Lieferkette vorschreibt. Die Umsetzung der CSDDD wird voraussichtlich zu einer Überarbeitung des LkSG führen.

Muss mein kleines oder mittleres Unternehmen die CSDDD beachten?

Direkt nicht, wenn Sie die Schwellenwerte nicht erreichen. Indirekt jedoch schon, da größere Geschäftspartner von Ihnen die Einhaltung von Sorgfaltspflichten verlangen könnten. Eine freiwillige Implementierung kann einen Wettbewerbsvorteil darstellen.