Risikoanalyse nach § 5 LkSG: Abstrakte und konkrete Analyse, Priorisierung und Turnus

Die Risikoanalyse ist die dritte der neun Sorgfaltspflichten (§ 3 Abs. 1 Satz 2 Nr. 3 LkSG). Grundlage ist das Lieferkettensorgfaltspflichtengesetz vom 16. Juli 2021 (BGBl. I S. 2959), das seit dem 1. Januar 2023 gilt und dessen Text bis heute unverändert ist (Stand: 30. Oktober 2026). Die Pflicht trifft Unternehmen mit in der Regel mindestens 1 000 Arbeitnehmern im Inland (§ 1 Abs. 1 LkSG, Konzernzurechnung nach § 1 Abs. 3 LkSG). Sie gehört zu den Sorgfaltspflichten, die das Lieferkettengesetz (LkSG) Unternehmen für ihre Lieferketten auferlegt.

Die Seite behandelt Reichweite, Methode des BAFA, Gewichtung, Weitergabe der Ergebnisse und Turnus der Analyse sowie den Stand des Bußgeldtatbestands.

Die Tabelle fasst die Regeln des § 5 LkSG und der angrenzenden Vorschriften zusammen.

Was die Pflicht zur Risikoanalyse umfasst

§ 5 LkSG verlangt vier Dinge: eine angemessene Risikoanalyse für den eigenen Geschäftsbereich und die unmittelbaren Zulieferer (Abs. 1), die Gewichtung und Priorisierung der ermittelten Risiken (Abs. 2), die Weitergabe der Ergebnisse an die maßgeblichen Entscheidungsträger (Abs. 3) und die Wiederholung einmal im Jahr sowie anlassbezogen (Abs. 4). Der Wortlaut steht in § 5 LkSG auf gesetze-im-internet.de.

Die Analyse ist die Grundlage der übrigen Pflichten, denn Prävention und Grundsatzerklärung knüpfen an die ermittelten Risiken an. Die Pflicht ist eine Bemühenspflicht, keine Erfolgspflicht (Einzelheiten in den häufigen Fragen unten). Wie sich die Risikoanalyse in das Gefüge der Pflichten einordnet, zeigt die Übersicht über die neun Sorgfaltspflichten des LkSG.

Reichweite der regelmäßigen Analyse (§ 5 Abs. 1 Satz 1)

Die regelmäßige Risikoanalyse erfasst den eigenen Geschäftsbereich und die unmittelbaren Zulieferer, nicht die gesamte Lieferkette.

Die Lieferkette selbst reicht weiter. Nach § 2 Abs. 5 LkSG umfasst sie alle Produkte und Dienstleistungen eines Unternehmens und alle Schritte im In- und Ausland, von der Gewinnung der Rohstoffe bis zur Lieferung an den Endkunden, einschließlich des eigenen Geschäftsbereichs, der unmittelbaren und der mittelbaren Zulieferer. Mittelbare Zulieferer gelangen nur anlassbezogen in die Analyse (siehe unten). Zur Lieferkette zählt nach den FAQ des BAFA zum LkSG (Stand: 21. November 2025, Frage 8.5) auch die indirekte Beschaffung.

Umgehungsgeschäfte nach § 5 Abs. 1 Satz 2

Ein mittelbarer Zulieferer gilt nach § 5 Abs. 1 Satz 2 LkSG als unmittelbarer Zulieferer, wenn ein Unternehmen eine missbräuchliche Gestaltung der unmittelbaren Zulieferbeziehung oder ein Umgehungsgeschäft vorgenommen hat, um die Pflichten hinsichtlich des unmittelbaren Zulieferers zu umgehen. Für diesen Zulieferer gilt dann die regelmäßige Risikoanalyse in vollem Umfang, also jährlich und mit Gewichtung, Priorisierung und Weitergabe der Ergebnisse.

Abstrakte und konkrete Risikobetrachtung nach der BAFA-Methode

Das BAFA beschreibt die Risikoanalyse in seiner Handreichung „Risiken ermitteln, gewichten und priorisieren“ als Abfolge von drei Schritten: abstrakte Risikobetrachtung, konkrete Risikobetrachtung sowie Gewichtung und Priorisierung. Die Handreichung zur Risikoanalyse liegt in der 1. Auflage vom August 2022 vor. Das BAFA veröffentlicht solche Handreichungen nach § 20 LkSG als Informationen und Empfehlungen; sie sind kein Gesetz. Auch die Handreichung „Zusammenarbeit in der Lieferkette“ folgt derselben Reihenfolge: zuerst abstrakt, dann konkret.

Die drei Schritte der BAFA-Methode stehen in dieser Reihenfolge.

Nach der Handreichung zum Prinzip der Angemessenheit ist es unzulässig, Akteure allein anhand eines einzigen Kriteriums von der Risikoanalyse auszunehmen. Eine behördliche Datengrundlage für die Analyse gibt es nicht: Das BAFA hat die Entwicklung seiner Wissens- und Risikodatenbank eingestellt (BT-Drs. 21/7228), Unternehmen stützen die Analyse deshalb auf eigene Quellen. Alle Leitfäden der Behörde und ihre aktuelle Praxis bündelt die Seite zu den Handreichungen und Vollzugspraxis des BAFA.

Risikobasiertes Vorgehen: Keine Mindestzahl geprüfter Zulieferer

Das LkSG schreibt keine Mindestzahl, Höchstzahl oder Quote von Zulieferern vor, die ein Unternehmen prüfen muss; so steht es in den „Fragen und Antworten zum risikobasierten Vorgehen“ des BAFA (Stand: Februar 2025). Unternehmen müssen weder alle Zulieferer prüfen noch alle Risiken gleichzeitig angehen. Sie priorisieren.

Pauschale Abfragen ersetzen diese Priorisierung nicht. Nach den Fragen und Antworten zum risikobasierten Vorgehen erfüllen unterschiedslose Anschreiben und Fragebögen die Anforderungen des Gesetzes nicht. Die Handreichung „Zusammenarbeit in der Lieferkette“ geht weiter: Pauschale Fragebögen an alle Zulieferer erfüllen die Pflicht zur Risikoanalyse nicht und können Maßnahmen des BAFA auslösen.

Risiken gewichten und priorisieren (§ 5 Abs. 2)

Nach § 5 Abs. 2 LkSG gewichtet und priorisiert ein Unternehmen die ermittelten Risiken anhand der vier Angemessenheitskriterien des § 3 Abs. 2 LkSG. Die Tabelle nennt die vier Kriterien aus § 3 Abs. 2 LkSG in Kurzform.

Die Priorisierung entscheidet über die Reihenfolge der Maßnahmen, nicht darüber, ob ein Risiko erfasst wird. Das BAFA beurteilt die Auswahl aus der Sicht vor der Entscheidung, also mit dem Wissen, das dem Unternehmen damals zur Verfügung stand (FAQ 6.4), nicht aus der Rückschau. Wie das BAFA Maßnahmen an den vier Kriterien misst, erläutert die Seite zur Angemessenheit nach § 3 Abs. 2 LkSG.

Ergebnisse an die maßgeblichen Entscheidungsträger (§ 5 Abs. 3)

§ 5 Abs. 3 LkSG verlangt, dass ein Unternehmen die Ergebnisse der Risikoanalyse intern an die maßgeblichen Entscheidungsträger kommuniziert, etwa an den Vorstand oder an die Einkaufsabteilung. Davon zu trennen ist eine zweite Pflicht. Nach § 4 Abs. 3 Satz 2 LkSG muss sich die Geschäftsleitung regelmäßig, mindestens einmal jährlich, über die Arbeit der für das Risikomanagement zuständigen Person informieren. Die Weitergabe der Analyseergebnisse nach § 5 Abs. 3 LkSG ersetzt diese Information nicht, und umgekehrt.

Turnus: Jährliche und anlassbezogene Risikoanalyse (§ 5 Abs. 4)

Die Risikoanalyse ist nach § 5 Abs. 4 LkSG einmal im Jahr sowie anlassbezogen durchzuführen, wenn das Unternehmen mit einer wesentlich veränderten oder wesentlich erweiterten Risikolage in der Lieferkette rechnen muss. Denselben Rhythmus schreibt das Gesetz für die Wirksamkeitsprüfung der Präventionsmaßnahmen (§ 6 Abs. 5 LkSG) und der Abhilfemaßnahmen (§ 7 Abs. 4 LkSG) vor. Die Tabelle ordnet jedem Anlass seine Reichweite zu.

Wann eine anlassbezogene Risikoanalyse nötig wird

Eine anlassbezogene Risikoanalyse ist nicht auf den eigenen Geschäftsbereich und die unmittelbaren Zulieferer beschränkt: Nach FAQ 8.6 des BAFA erfasst sie neu auftretende oder wesentlich veränderte Risiken in der gesamten Lieferkette einschließlich mittelbarer Zulieferer.

Einen zweiten Auslöser regelt § 9 Abs. 3 LkSG: die substantiierte Kenntnis. Liegen tatsächliche Anhaltspunkte vor, die eine Verletzung einer menschenrechtsbezogenen oder umweltbezogenen Pflicht bei mittelbaren Zulieferern möglich erscheinen lassen, muss das Unternehmen unverzüglich eine Risikoanalyse nach § 5 Abs. 1 bis 3 LkSG durchführen (§ 9 Abs. 3 Nr. 1 LkSG). Was als substantiierte Kenntnis gilt, behandelt die Seite über mittelbare Zulieferer nach § 9 LkSG.

Die erste Risikoanalyse nach Eintritt in den Anwendungsbereich

Die erste Risikoanalyse fällt nach FAQ 8.1 des BAFA in das Jahr, in dem ein Unternehmen in den Anwendungsbereich des LkSG fällt. Unverzüglich nach dieser ersten Analyse folgt die Grundsatzerklärung (FAQ 8.1). Maßgeblich für den Eintritt ist seit dem 1. Januar 2024 die Schwelle von in der Regel mindestens 1 000 Arbeitnehmern im Inland (§ 1 Abs. 1 Satz 3 LkSG).

Was aus dem Ergebnis der Risikoanalyse folgt

Stellt ein Unternehmen in der Risikoanalyse ein Risiko fest, muss es nach § 6 Abs. 1 LkSG unverzüglich angemessene Präventionsmaßnahmen ergreifen. Aus dem Ergebnis folgen drei Pflichten.

• Präventionsmaßnahmen im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern (§ 6 Abs. 1, 3 und 4 LkSG), siehe Präventionsmaßnahmen nach § 6 LkSG
• Grundsatzerklärung, die die auf Grundlage der Risikoanalyse festgestellten prioritären Risiken nennt (§ 6 Abs. 2 Satz 3 Nr. 2 LkSG), siehe Grundsatzerklärung nach LkSG
• Dokumentation, fortlaufend und mindestens sieben Jahre ab Erstellung aufzubewahren (§ 10 Abs. 1 Satz 2 LkSG), siehe Dokumentation nach § 10 LkSG

Die Risikoanalyse selbst ist Teil dieser Dokumentation.

Gilt die Pflicht zur Risikoanalyse noch? Stand: 30. Oktober 2026

Ja: § 5 LkSG gilt unverändert, und auch der Bußgeldtatbestand für eine fehlende oder fehlerhafte Risikoanalyse in § 24 Abs. 1 Nr. 2 LkSG ist geltendes Recht (Stand: 30. Oktober 2026). Nach § 24 Abs. 2 LkSG beträgt das Bußgeld bis zu 500 000 Euro, für juristische Personen bis zu 5 Mio. Euro (zehnfacher Betrag nach § 24 Abs. 2 Satz 2 LkSG mit § 30 Abs. 2 Satz 3 OWiG). Die Umsatzregel des § 24 Abs. 3 LkSG (bis zu 2 % des durchschnittlichen Jahresumsatzes, nur bei einem durchschnittlichen Jahresumsatz von mehr als 400 Mio. Euro) gilt nur für die Tatbestände Nr. 6 und Nr. 7 Buchst. a, nicht für die Risikoanalyse.

Die Vollzugspraxis hat sich dagegen geändert. Seit dem 1. Oktober 2025 verhängt das BAFA auf Weisung des Bundesministeriums für Wirtschaft und Energie (BMWE) in Abstimmung mit dem Bundesministerium für Arbeit und Soziales (BMAS) Bußgelder nur noch bei schweren Verstößen, die mit besonders gravierenden Menschenrechtsverletzungen verbunden sind; Verfahren zu Tatbeständen, die der Gesetzentwurf streichen würde, stellt es ein (Kurzmeldung des BAFA vom 1. Oktober 2025). Das ist Verwaltungspraxis, keine Gesetzesänderung. Risikobasierte Kontrollen nach § 14 LkSG und die Bearbeitung von Beschwerden laufen weiter.

Der Regierungsentwurf BT-Drs. 21/2474 (Kabinettsbeschluss am 3. September 2025) würde den Bußgeldtatbestand Nr. 2 streichen, § 5 LkSG aber unverändert lassen. Der Bundestag hat ihn am 16. Januar 2026 in erster Lesung beraten und an den Ausschuss für Arbeit und Soziales überwiesen (Bundestag, Textarchiv); verkündet ist die Änderung nicht (Stand: 30. Oktober 2026). Alle Schritte des Verfahrens dokumentiert die Seite zur geplanten Änderung des LkSG.

Risikoanalyse in der Praxis umsetzen

Für die Umsetzung genügt kein einmaliges Projekt: Die Risikoanalyse ist ein wiederkehrender Prozess, den das Unternehmen jedes Jahr und bei jedem wesentlichen Anlass wiederholt und dokumentiert. Die fünf Schritte unten bilden diesen Prozess in der Reihenfolge des Gesetzes und der BAFA-Methode ab.

1. Grenzen Sie die Lieferkette ab, einschließlich des indirekten Einkaufs (§ 2 Abs. 5 LkSG; BAFA-FAQ 8.5).
2. Betrachten Sie die Risiken zuerst abstrakt und dann konkret, wie es die Handreichung des BAFA vorsieht.
3. Bewerten Sie Zulieferer gezielt statt pauschal; eine unterschriebene Selbstauskunft erfüllt die Pflicht nach FAQ 10.4 des BAFA nicht automatisch. Kriterien und Fragebögen behandelt die Seite zur Lieferantenbewertung nach LkSG und CSDDD.
4. Wählen Sie Werkzeuge nach Bedarf; nach der Handreichung „Standards, Audits und Zertifizierungen“ schreibt das Gesetz keine Software vor, mehr unter LkSG- und CSDDD-Software.
5. Halten Sie Fristen und Nachweise fest, damit die Dokumentation sieben Jahre lang belegt, wann und wie analysiert wurde, etwa mit der LkSG- und CSDDD-Checkliste.

Werkzeuge und externe Dienstleister nehmen dem Unternehmen die Pflicht nicht ab: Nach der Handreichung „Zusammenarbeit in der Lieferkette“ befreien Tools allein nicht von der eigenen Sorgfaltspflicht.

Wie sich die Risikoermittlung der EU-Richtlinie unterscheidet

Die EU-Lieferkettenrichtlinie (EU) 2024/1760 (CSDDD) regelt die Risikoermittlung in Art. 8 anders als § 5 LkSG: Die Mitgliedstaaten müssen nach Art. 8 Abs. 2 CSDDD in der Fassung der Richtlinie (EU) 2026/470 vorsehen, dass Unternehmen zuerst eine Scoping-Untersuchung auf Grundlage der vernünftigerweise verfügbaren Informationen durchführen und dann die Bereiche eingehend bewerten, in denen negative Auswirkungen am wahrscheinlichsten und am schwersten sind. Art. 8 Abs. 2a Buchst. a CSDDD beschränkt Informationsanfragen an Geschäftspartner auf das Nötige; bei Partnern mit weniger als 5 000 Beschäftigten sind sie nur vorgesehen, wenn sich die Informationen nicht auf anderem Weg beschaffen lassen. Die Einzelheiten erklärt die Seite zur Risikoermittlung nach Art. 8 und 9 CSDDD.

Als Richtlinie bindet die CSDDD die Mitgliedstaaten; Unternehmen verpflichtet erst das nationale Umsetzungsgesetz. Die Umsetzungsfrist endet am 26. Juli 2028, die nationalen Vorschriften gelten ab dem 26. Juli 2029 (Richtlinie (EU) 2026/470 auf EUR-Lex). Anders als die regelmäßige Analyse nach § 5 LkSG ist die Ermittlung dabei nicht auf unmittelbare Geschäftspartner beschränkt.

Häufige Fragen zur Risikoanalyse

Vier Fragen zur Risikoanalyse nach § 5 LkSG kehren in der Praxis immer wieder.

Muss die gesamte Lieferkette jährlich analysiert werden?

Nein: Die jährliche Risikoanalyse nach § 5 Abs. 4 LkSG erfasst den eigenen Geschäftsbereich und die unmittelbaren Zulieferer, die übrige Lieferkette nur anlassbezogen oder bei substantiierter Kenntnis. Wie weit die Pflichten nach der EU-Richtlinie reichen, zeigt der Überblick CSDDD und LkSG im Vergleich.

Gehört der indirekte Einkauf zur Risikoanalyse?

Ja: Nach FAQ 8.5 des BAFA gehört auch die indirekte Beschaffung zur Lieferkette und damit zur Risikoanalyse.

Reicht ein Fragebogen an alle Zulieferer aus?

Nein: Unterschiedslose Anschreiben und Fragebögen an alle Zulieferer erfüllen nach den Fragen und Antworten des BAFA zum risikobasierten Vorgehen die Pflicht zur Risikoanalyse nicht. Auch eine unterschriebene Selbstauskunft des Zulieferers erfüllt die Pflicht nach FAQ 10.4 nicht automatisch.

Ist die Risikoanalyse eine Erfolgspflicht?

Nein: Das BAFA versteht die Sorgfaltspflichten als Bemühenspflicht, nicht als Erfolgspflicht (FAQ 8.4), und beurteilt die Angemessenheit aus der Sicht vor der Entscheidung (FAQ 6.4).