CSDDD + LkSG — was Mittelständler bei Lieferketten-Compliance 2026 wissen müssen

Das Lieferkettensorgfaltspflichtengesetz (LkSG) gilt seit 1.1.2023 für Unternehmen ab 3.000 MA, seit 1.1.2024 ab 1.000 MA. Die EU-Richtlinie CSDDD (Corporate Sustainability Due Diligence Directive) erweitert das ab 2027 auf Unternehmen ab 1.000 MA und 450 Mio. € Umsatz EU-weit. Und: alle KMU werden indirekt mit-betroffen.

Was verlangt das LkSG?

Das LkSG verpflichtet betroffene Unternehmen zu Sorgfaltspflichten bezüglich Menschenrechten und bestimmten umweltbezogenen Schutzgütern entlang der gesamten Lieferkette. Kernpflichten:

• **Risikomanagement-System** (§ 4) — strukturiert Risiken identifizieren
• **Risikoanalyse** (§ 5) — jährlich + anlassbezogen
• **Präventionsmaßnahmen** (§ 6) — bei direkten Lieferanten
• **Abhilfemaßnahmen** (§ 7) — bei festgestellten Verstößen
• **Beschwerdeverfahren** (§ 8) — niederschwellig, anonym
• **Dokumentation + Berichterstattung** (§ 10) — jährlicher Bericht ans BAFA
• **Mitarbeiterschulung** — implizit aus § 4 (Compliance-Sicherstellung)

Wer ist von LkSG direkt betroffen?

Direkt betroffen sind Unternehmen mit Hauptverwaltung, Hauptniederlassung oder Sitz in Deutschland und mindestens 1.000 Arbeitnehmern (seit 1.1.2024). Internationale Konzerne mit deutscher Tochtergesellschaft fallen darunter — auch wenn die Tochter selbst kleiner ist.

Wie KMU indirekt erfasst werden

Auch wenn dein Unternehmen weniger als 1.000 MA hat: wenn du einen LkSG-pflichtigen Konzern beliefer st, verlangt der seine Sorgfaltspflichten 1:1 von dir. Konkret in Lieferanten-Verträgen 2025:

• Selbsterklärung zu Menschenrechten + Umweltschutz (LkSG-Schutzgüter)
• Nachweis interner Schulungs-Programme
• Audit-Recht für den Großkunden (Vor-Ort + Datenbasis)
• Beschwerdekanal für deine Lieferanten + Mitarbeiter
• Risiko-Mitigation bei festgestellten Verstößen
• Jährlicher Lieferanten-Compliance-Bericht

CSDDD ab 2027 — was sich ändert

Die EU-Richtlinie CSDDD wird vermutlich 2026 final verabschiedet und ab 2027 in DE umgesetzt. Wesentliche Änderungen gegenüber LkSG:

• Schwelle: 1.000 MA UND 450 Mio. € Umsatz EU-weit (höher als LkSG)
• Geltungsbereich: gesamte Wertschöpfungskette (nicht nur direkte Lieferanten)
• Klimaschutz-Plan: Pariser Klimaziele explizit
• Zivilrechtliche Haftung: Betroffene können direkt klagen
• Sanktionen: bis 5 % vom weltweiten Konzernumsatz

Schulung als Pflicht-Element

LkSG § 4 Abs. 1 erfordert ein „angemessenes Risikomanagement-System" — das schließt Mitarbeiterschulung implizit ein. BAFA-Auslegungsempfehlung 2024: Compliance-relevante Funktionen müssen geschult sein (Einkauf, Personal, Compliance, Geschäftsleitung). Schulungs-Inhalte: LkSG-Schutzgüter, Risiko-Indikatoren, Eskalations-Wege, Beschwerdeverfahren.

Pragmatische Umsetzung für 100-300-MA-KMU

• **Tag 1-7**: Bestands-Aufnahme — was fordern deine Top-3-Großkunden?
• **Tag 8-21**: Eigene Lieferanten-Liste mit Risiko-Klassifizierung (Land, Branche, Vorgeschichte)
• **Tag 22-30**: Lieferanten-Kodex (1-Seiter mit Menschenrechts- + Umweltschutz-Verpflichtung)
• **Tag 31-45**: Schulungs-Roll-out für Einkauf + Compliance
• **Tag 46-60**: Beschwerdekanal etablieren (HinSchG-konform, kann das gleiche Tool sein)
• **Tag 61-90**: Dokumentation für den ersten Jahresbericht an Großkunden

Sanktionen

LkSG § 24: Bußgeld bis 8 Mio. € oder 2 % des weltweiten Konzernumsatzes (bei Umsatz > 400 Mio. €). Ausschluss von öffentlichen Aufträgen bis 3 Jahre. CSDDD: zusätzlich zivilrechtliche Haftung gegenüber Betroffenen (Schadenersatz). Praxis: BAFA hat 2024 erste Bußgelder (3-12 Mio. €) gegen Großkonzerne verhängt — KMU werden indirekt über vertragliche Cascading betroffen.

Fazit

LkSG und CSDDD sind 2026 nicht mehr ein „großer-Konzern-Thema". Mittelständler werden über Lieferanten-Vertrags-Klauseln genauso in die Pflicht genommen. Wer 2026/2027 keine Lieferketten-Compliance hat, verliert Großkunden. Wer pragmatisch und früh strukturiert, hat einen kompetitiven Vorteil im Vertrieb.