Das BAFA nimmt keine Berichte mehr entgegen. Die Sorgfaltspflichten selbst gelten weiter, und mit der europäischen Richtlinie folgt die nächste Stufe. Entscheidend ist, ob Sie Risikoanalyse, Maßnahmen und Wirksamkeitskontrolle zentral führen oder in mehreren Dateien.
Stand: 23. September 2026
| Lieferant | Warengruppe | Brutto | Netto |
|---|---|---|---|
| Lieferant A | Rohstoffe | ||
| Lieferant B | Elektronik | ||
| Lieferant C | Textil | ||
| Lieferant D | Logistik |
Das Lieferkettensorgfaltspflichtengesetz verpflichtet Unternehmen, menschenrechtliche und umweltbezogene Risiken in ihrer Lieferkette zu ermitteln und zu behandeln. Das Bundesamt für Wirtschaft und Ausfuhrkontrolle nennt sechs Kernanforderungen: ein Risikomanagement mit Risikoanalyse, eine Grundsatzerklärung zur Menschenrechtsstrategie, Präventionsmaßnahmen, Abhilfemaßnahmen bei festgestellten Verletzungen, ein Beschwerdeverfahren sowie Dokumentation und Berichterstattung.
Das Gesetz gilt seit dem 1. Januar 2023 für Unternehmen mit mindestens 3.000 Beschäftigten und seit dem 1. Januar 2024 für Unternehmen mit mindestens 1.000 Beschäftigten.
Beim deutschen Gesetz sind Entlastungen geplant, die europäische Richtlinie folgt. Beide Entwicklungen laufen parallel.
Das Gesetz tritt für die erste Gruppe von Unternehmen in Kraft.
Seitdem sind Unternehmen mit mindestens 1.000 Beschäftigten betroffen.
Die Bundesregierung beschließt den Entwurf eines Änderungsgesetzes, Drucksache 21/2474.
Der Entwurf wird beraten und an die Ausschüsse überwiesen, federführend Arbeit und Soziales.
Die europäische Richtlinie wird förmlich angenommen, mit höheren Schwellenwerten.
Bis spätestens zu diesem Datum müssen die Mitgliedstaaten die Richtlinie umgesetzt haben.
Nach Angaben des Rates müssen Unternehmen die Vorgaben der geänderten Richtlinie ab Juli 2029 anwenden. Für die Novelle des deutschen Gesetzes ist zum oben angeführten Prüfstand keine Verkündung nachweisbar. In der Praxis hat das BAFA die Prüfung der Unternehmensberichte nach den Paragrafen 12 und 13 LkSG bereits eingestellt, eine Einreichung über den BAFA-Zugang ist nicht mehr möglich.
Die Schwelle richtet sich nach der Zahl der Beschäftigten, nicht nach dem Umsatz. Betroffen sind auch Unternehmen, die selbst nichts importieren.
Die Bundesregierung hat angekündigt, die Berichtspflicht zu streichen und einen Teil der Bußgeldtatbestände zu entschärfen. Die Sorgfaltspflichten selbst stehen nicht zur Disposition: Nach der Mitteilung der Bundesregierung werden die Standards im Bereich der Menschenrechte nicht abgesenkt, und Bußgelder werden weiterhin verhängt, allerdings nur noch bei schweren Verstößen gegen die Sorgfaltspflichten.
Wer an größere Unternehmen liefert, wird nach seinen Sorgfaltspflichten gefragt, unabhängig davon, ob er selbst unter das Gesetz fällt. Diese Anforderung ergibt sich aus dem Vertrag, nicht aus dem Gesetz.
Die geänderte Richtlinie setzt höhere Schwellen an: mehr als 5.000 Beschäftigte und mehr als 1,5 Milliarden Euro weltweiter Nettoumsatz. Unternehmen unterhalb dieser Schwellen bleiben von der Richtlinie unberührt, nicht aber von den Anforderungen ihrer Kunden.
Das Bundesamt für Wirtschaft und Ausfuhrkontrolle nennt sechs Kernanforderungen. Die Tabelle umfasst acht Zeilen, weil sich Risikomanagement und Risikoanalyse sowie Dokumentation und Wirksamkeitskontrolle im Alltag getrennt betrachten lassen.
| Pflicht | Ebene | Worauf es ankommt | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Risikomanagement einrichten | Grundlage | Ein Verfahren, das menschenrechtliche und umweltbezogene Risiken in der eigenen Geschäftstätigkeit und bei den Zulieferern systematisch erhebt | Risiken lassen sich über Assistenten strukturiert identifizieren und bewerten. Unternehmensstrukturen werden flexibel aus Risikoperspektive modelliert, Bestandsdaten über csv- oder Rest-API-Schnittstelle übernommen. |
| Risikoanalyse durchführen | Grundlage | Die Analyse muss wiederholbar sein und zeigen, welche Risiken wo entstehen, nicht nur, dass eine Analyse stattgefunden hat | Je nach Reifegrad stehen qualitative und quantitative Bewertungsmethoden zur Verfügung, auch über mehrere Perioden hinweg. Der Verlauf bleibt über die Historisierungsfunktion erhalten. |
| Grundsatzerklärung verabschieden | Strategie | Eine Erklärung der Unternehmensleitung zur Menschenrechtsstrategie, die zu den Ergebnissen der Risikoanalyse passt | Die Erklärung selbst erstellen Sie außerhalb der Plattform. Die Risiken und Maßnahmen, auf die sie sich bezieht, sind in CRISAM® dokumentiert und lassen sich jederzeit dem Stand zuordnen, auf den die Erklärung verweist. |
| Präventionsmaßnahmen verankern | Prävention | Maßnahmen im eigenen Geschäftsbereich und gegenüber Zulieferern, mit erkennbarer Verantwortung und Frist | Maßnahmen werden workflowgestützt geplant, umgesetzt und überwacht. Die Brutto- und Nettosicht zeigt, wie hoch ein Risiko ohne und mit den vorhandenen Maßnahmen ist. |
| Abhilfe bei Verletzungen | Reaktion | Wird eine Verletzung festgestellt, muss unverzüglich gehandelt werden, und das Handeln muss belegbar sein | Abhilfemaßnahmen laufen über dieselben Workflows wie Präventionsmaßnahmen, mit Verantwortlichkeit, Frist, Status und Wirksamkeitskontrolle. Alle Änderungen werden versioniert historisiert. |
| Beschwerdeverfahren einrichten | Reaktion | Ein zugängliches Verfahren, über das Betroffene auf Risiken und Verletzungen hinweisen können | Die Bearbeitung eines Hinweises, also Prüfung, Maßnahme und Wirksamkeitskontrolle, läuft über die Maßnahmen-Workflows. |
| Wirksamkeit überprüfen | Überwachung | Maßnahmen gelten erst dann als erledigt, wenn die Überprüfung ihre Wirksamkeit zeigt, nicht schon mit der Meldung | Die Wirksamkeitskontrolle ist ein eigener Schritt. Dashboards zeigen Status, Wirksamkeit und offene Maßnahmen, Reports richten sich an Management und Prüfer. |
| Dokumentieren und nachweisen | Überwachung | Der Nachweis muss den Weg zum Ergebnis zeigen: welche Analyse, welche Maßnahme, welche Entscheidung, von wem und wann | Über die Historisierungsfunktion werden die Daten revisionssicher gespeichert. Ein individuelles Berechtigungskonzept steuert, welche Risiken und Maßnahmen ein Anwender sehen, bewerten und anlegen darf. |
Vom einzelnen Lieferanten bis zum Nachweis, der einer Nachfrage standhält.
Am Anfang steht die Lieferantenliste. Bestandsdaten werden über eine Schnittstelle übernommen, danach ist jede Bewertung einem Objekt zugeordnet statt einer Tabellenzeile.
| Lieferant | Warengruppe | Land | Volumen | Analyse |
|---|---|---|---|---|
| Lieferant A | Rohstoffe | Region Süd | hoch | |
| Lieferant B | Elektronik | Region Ost | hoch | |
| Lieferant C | Textil | Region Süd | mittel | |
| Lieferant D | Logistik | Inland | mittel | |
| Lieferant E | Verpackung | Inland | gering | |
| Lieferant F | Dienstleistung | Inland | gering |
Der Assistent führt durch die Analyse. Warengruppe, Region und Volumen bestimmen, wie genau ein Lieferant geprüft wird, nicht die Reihenfolge im Einkaufssystem.
Warengruppe und Region liefern das abstrakte Risiko. Erst die konkrete Betrachtung des einzelnen Lieferanten macht daraus eine Priorität.
Einflussmöglichkeit zähltWo das eigene Haus Einfluss hat, sind andere Maßnahmen möglich als bei einem Lieferanten, der einen kleinen Teil seines Umsatzes mit Ihnen macht.
Verantwortung und TerminJede Analyse hat einen Verantwortlichen und einen Termin zur Überprüfung. Beides gehört zum Nachweis.
Aus der Analyse werden konkrete Maßnahmen abgeleitet. Jede hat einen Verantwortlichen, eine Frist und einen nachvollziehbar gepflegten Status.
| Lieferant | Risikofeld | Brutto | Maßnahmen | Netto | Überprüft |
|---|---|---|---|---|---|
| Lieferant A | Arbeitsbedingungen | 3 wirksam | 04.09.2026 | ||
| Lieferant B | Arbeitsschutz | 2 wirksam | 04.09.2026 | ||
| Lieferant C | Vereinigungsfreiheit | 2 wirksam | 21.08.2026 | ||
| Lieferant D | Umweltbezogene Pflichten | 4 wirksam | 21.08.2026 | ||
| Lieferant E | Arbeitszeiten | 1 wirksam | überfällig | ||
| Lieferant F | Arbeitsschutz | 1 wirksam | 12.06.2026 |
Wird eine Verletzung festgestellt, gilt die Reihenfolge: prüfen, handeln, dokumentieren. Jeder Schritt ist mit demselben Objekt verknüpft wie die zugrunde liegende Analyse.
Eine Maßnahme gilt nicht schon dann als erledigt, wenn sie als erledigt gemeldet wurde, sondern erst, wenn die Überprüfung zeigt, dass sich das Risiko verringert hat.
| Maßnahme | Lieferant | Geprüft am | Grundlage | Ergebnis |
|---|---|---|---|---|
| Arbeitsschutzunterweisung | Lieferant B | 04.09.2026 | Nachweis und Stichprobe | |
| Vertragsklausel zu Arbeitszeiten | Lieferant A | 04.09.2026 | Selbstauskunft | |
| Beschwerdeweg bekannt gemacht | Lieferant C | 21.08.2026 | Befragung | |
| Abwasserbehandlung | Lieferant D | offen | Vor-Ort-Prüfung geplant | |
| Zweitquelle aufgebaut | Einkauf | offen | Beschaffungsdaten |
| Punkt | Wirkung | Verantwortlich |
|---|---|---|
| Zwölf Lieferanten ohne Analyse | Risikobild unvollständig | Einkauf |
| Wirksamkeit nur über Selbstauskunft belegt | Nachweis trägt bei Nachfragen schwerer | Compliance |
Am Ende steht kein Bericht an eine Behörde, sondern ein Nachweis für Kunden, Geschäftsleitung und Prüfer. Er zeigt nicht nur den aktuellen Stand, sondern auch, wie er zustande gekommen ist.
| Unterlage | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Lieferantenverzeichnis | 318 Lieferanten mit Warengruppe und Region | 04.09.2026 | Einkauf | |
| Risikoanalyse | abstrakt je Warengruppe, konkret je Lieferant | 04.09.2026 | Compliance | |
| Grundsatzerklärung | Menschenrechtsstrategie der Leitung | 18.02.2026 | Geschäftsführung | |
| Maßnahmenverzeichnis | Prävention und Abhilfe mit Fristen | laufend | Einkauf und Compliance | |
| Wirksamkeitskontrolle | Ergebnisse je Maßnahme | in Überarbeitung | Compliance | |
| Beschwerdeverfahren | Verfahrensordnung und Zugänge | 18.02.2026 | Compliance |
Grundsatzerklärung, Entscheidung über Maßnahmen und Mittel.
Risikoanalyse, Beschwerdeverfahren, Wirksamkeitskontrolle, Nachweis.
Lieferantendaten, Maßnahmen gegenüber Zulieferern, Verträge.
Prüfung, ob das Verfahren beschrieben ist und so gelebt wird.
Menschenrechte, Umwelt, Informationssicherheit und Betriebsunterbrechung betreffen teils dieselben Lieferanten. Über die Integration der ESG-, IKS-, Audit- und Compliance-Module werden Zusammenhänge sichtbar, Silos aufgelöst und die Steuerungswirkung erhöht.
Mit dem CRISAM® ESG Modul werden CSDDD, EUDR, CSRD, ESRS und VSME abgedeckt. Die europäischen Lieferkettenpflichten sind damit im selben Modell abgebildet wie die Nachhaltigkeitsberichterstattung.
Das Modul Supply Chain Security Monitoring beobachtet die Cybersicherheitslage bei Lieferanten und erfüllt nach Angaben der Modulseite wesentliche Anforderungen aus NIS-2, DORA, dem Cyber Resilience Act, dem LkSG und dem EU-Lieferkettengesetz.
Die interne Revision prüft, ob das Verfahren beschrieben ist und so gelebt wird. Sie leitet ihre Prioritäten aus demselben Risikomodell ab, statt aus einer eigenen Liste.
Ein Lieferant, der ausfällt, ist ein Fall für das Business Continuity Management. Dieselbe Lieferantenliste dient für beide Betrachtungen.
Das deutsche Gesetz gilt bereits, die europäische Richtlinie folgt später und mit höheren Schwellen. Beide folgen demselben Grundmuster: Risiken kennen, handeln, Wirkung prüfen und das belegen können. Wer das LkSG sorgfältig umgesetzt hat, muss für die Richtlinie nichts neu aufbauen, sondern erweitert das Bestehende.
| Kriterium | LkSG | CSDDD nach der Änderung |
|---|---|---|
| Art | Deutsches Gesetz, seit dem 1. Januar 2023 in Kraft | Europäische Richtlinie, von den Mitgliedstaaten in nationales Recht umzusetzen |
| Schwelle | Ab 1.000 Beschäftigten, seit dem 1. Januar 2024 | Mehr als 5.000 Beschäftigte und mehr als 1,5 Milliarden Euro weltweiter Nettoumsatz |
| Aufsicht | Bundesamt für Wirtschaft und Ausfuhrkontrolle | Nach der Umsetzung die jeweils zuständige nationale Behörde |
| Zuschnitt der Analyse | Sechs Sorgfaltspflichten, vom Risikomanagement bis zur Dokumentation | Unternehmen können sich auf die Bereiche konzentrieren, in denen negative Auswirkungen am wahrscheinlichsten sind, und sich auf angemessen verfügbare Informationen stützen |
| Sanktionen | Bußgelder nach Angaben der Bundesregierung nur noch bei schweren Verstößen gegen die Sorgfaltspflichten | Haftung auf nationaler Ebene, Sanktionen auf höchstens drei Prozent des weltweiten Nettoumsatzes begrenzt |
| Termine | In Kraft, ein Änderungsgesetz befindet sich im parlamentarischen Verfahren | Umsetzung spätestens bis 26. Juli 2028, Anwendung durch Unternehmen nach Angaben des Rates ab Juli 2029 |
| Abbildung in CRISAM® | Risikoanalyse, Maßnahmen, Wirksamkeitskontrolle und Nachweis über dieselben Workflows wie im Risikomanagement | Im CRISAM® ESG Modul als abgedeckte Regulatorik geführt, gemeinsam mit EUDR, CSRD, ESRS und VSME |
Das BAFA nimmt keine Berichte mehr entgegen, und das Änderungsgesetz ist noch im Verfahren. Analyse, Maßnahmen und Wirksamkeitskontrolle sind davon nicht betroffen, und genau danach fragen Kunden. Wer diese drei Elemente zentral führt, kann sie jederzeit belegen, auch ohne formelle Berichtspflicht. Eine Übersicht aller Regelwerke finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Sie beginnen mit dem Import. Bestandsdaten lassen sich über eine csv- oder Rest-API-Schnittstelle übernehmen. Danach sind Analyse, Maßnahme und Verantwortung mit einem Objekt verknüpft statt in einer Tabellenzeile erfasst.
Dann ist die Wirksamkeitskontrolle der nächste Schritt. Voraussetzung ist, dass Maßnahmen mit Verantwortlichkeit und Frist geführt werden. Danach zeigt die Brutto- und Nettosicht, ob sich das Risiko verringert hat.
Dann steht die Verbindung zur Nachhaltigkeitsberichterstattung im Mittelpunkt. Im ESG-Modul werden CSDDD, EUDR, CSRD, ESRS und VSME abgedeckt, auf demselben Datenbestand.
Sie benötigen dafür die CRISAM® GRC Plattform und, je nach Ausgangslage, das CRISAM® IRM Modul oder das CRISAM® ESG Modul. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
Das Lieferkettensorgfaltspflichtengesetz verpflichtet Unternehmen, menschenrechtliche und umweltbezogene Risiken in ihrer Lieferkette zu ermitteln und zu behandeln. Das Bundesamt für Wirtschaft und Ausfuhrkontrolle nennt sechs Kernanforderungen: ein Risikomanagement mit Risikoanalyse, eine Grundsatzerklärung zur Menschenrechtsstrategie, Präventionsmaßnahmen, Abhilfemaßnahmen bei festgestellten Verletzungen, ein Beschwerdeverfahren sowie Dokumentation und Berichterstattung.
Nach Angaben des Bundesamts für Wirtschaft und Ausfuhrkontrolle gilt das Gesetz seit dem 1. Januar 2023 für Unternehmen mit mindestens 3.000 Beschäftigten. Ab dem 1. Januar 2024 sind Unternehmen mit mindestens 1.000 Beschäftigten betroffen. Auch kleinere Unternehmen erhalten in der Praxis entsprechende Anfragen, weil Kunden die Anforderungen vertraglich weitergeben.
Das Bundesamt für Wirtschaft und Ausfuhrkontrolle hat die Prüfung der Unternehmensberichte nach den Paragrafen 12 und 13 des Gesetzes vollständig eingestellt. Eine Einreichung über den Zugang des Bundesamts ist nicht mehr möglich. Grundlage ist ein Beschluss des Bundeskabinetts vom 3. September 2025, mit dem die Bundesregierung einer Gesetzesnovelle vorgreift. Das Änderungsgesetz war zum oben angeführten Prüfstand nicht als verkündet nachweisbar.
Das deutsche Gesetz gilt bereits, die europäische Richtlinie folgt später und mit höheren Schwellen. Beide folgen demselben Grundmuster: Risiken kennen, handeln, Wirkung prüfen und das belegen können. Wer das LkSG sorgfältig umgesetzt hat, muss für die Richtlinie nichts neu aufbauen, sondern erweitert das Bestehende.
Der Rat der Europäischen Union hat die Änderung der Richtlinie am 24. Februar 2026 förmlich angenommen. Die Mitgliedstaaten müssen sie nach Angaben des Rates spätestens bis zum 26. Juli 2028 umsetzen, Unternehmen müssen die Vorgaben ab Juli 2029 erfüllen. Die Schwellenwerte liegen bei mehr als 5.000 Beschäftigten und mehr als 1,5 Milliarden Euro weltweitem Nettoumsatz.
Die abstrakte Analyse ordnet Risiken nach Warengruppe, Beschaffungsregion und Volumen ein. Die konkrete Analyse betrachtet den einzelnen Lieferanten, bei dem sich aus dieser Einordnung ein erhöhtes Risiko ergibt. In CRISAM® stehen je nach Reifegrad qualitative und quantitative Bewertungsmethoden zur Verfügung, auch über mehrere Perioden hinweg.
Indem die Überprüfung als eigener Schritt geführt wird und nicht in der Statusmeldung untergeht. In CRISAM® werden Maßnahmen workflowgestützt geplant, umgesetzt und überwacht, mit Verantwortlichkeit, Frist und Status. Die Brutto- und Nettosicht zeigt, wie hoch ein Risiko ohne und mit den vorhandenen Maßnahmen ist. Über die Historisierungsfunktion bleibt nachvollziehbar, welcher Stand wann gegolten hat.
Entscheidend ist, ob Analyse, Maßnahme, Wirksamkeit und Nachweis in einem gemeinsamen Modell verknüpft sind. CRISAM® übernimmt Bestandsdaten über eine csv- oder Rest-API-Schnittstelle, führt Risiken und Maßnahmen mit Verantwortlichkeit und Frist, dokumentiert Änderungen versioniert und auditierbar und steuert über ein individuelles Berechtigungskonzept, wer was sehen, bewerten und anlegen darf. Mit dem CRISAM® ESG Modul werden CSDDD, EUDR, CSRD, ESRS und VSME abgedeckt.
Die Angaben zum Gesetz, zum Änderungsverfahren und zur europäischen Richtlinie auf dieser Seite stammen aus den folgenden Quellen.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Lieferantenbestand, abstrakte und konkrete Risikoanalyse, Präventions- und Abhilfemaßnahmen, Wirksamkeitskontrolle und den Nachweis für Kunden und Prüfer.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
