Lieferkettengesetz umsetzen: Der Fahrplan in acht Schritten nach Art. 5 CSDDD und §§ 4 bis 10 LkSG

Diese Schritte bilden den Kern der LkSG-Compliance; vergleichbare Schritte müssen die Mitgliedstaaten nach der Richtlinie (EU) 2024/1760 (CSDDD) im nationalen Recht vorsehen.

Zu jedem Schritt nennt diese Seite die Fundstelle im LkSG, das Gegenstück in der CSDDD und die vertiefende Seite, danach die Hilfsmittel und Dienstleistungen der Umsetzung. Wie sich die Umsetzung in die übrigen Regelwerke einordnet, zeigt der Überblick zum Lieferkettengesetz auf der Startseite.

Stand: 30. Oktober 2026. Der Rechtsstand lässt sich in vier Punkten zusammenfassen.

• Gesetz: Das LkSG gilt seit dem 1. Januar 2023; der Gesetzestext ist unverändert.
• Gesetzentwurf: Der Regierungsentwurf BT-Drs. 21/2474 (Kabinettsbeschluss vom 3. September 2025) würde unter anderem die Berichtspflicht nach § 10 Abs. 2 LkSG streichen; er wurde am 16. Januar 2026 in erster Lesung beraten, an den Ausschuss für Arbeit und Soziales überwiesen und ist nicht verkündet.
• BAFA-Praxis: Seit dem 1. Oktober 2025 prüft das BAFA keine Berichte mehr, eine Einreichung ist nicht mehr möglich, und Bußgelder kommen nur noch bei schweren Verstößen in Betracht; das ist Verwaltungspraxis auf Weisung, keine Gesetzesänderung.
• Koalitionsplan: Der Koalitionsausschuss hat am 2. Juli 2026 angekündigt, den Anwendungsbereich auf Unternehmen mit mindestens 5 000 Beschäftigten und mehr als 1,5 Mrd. Euro Jahresnettoumsatz zu beschränken; das ist ein politischer Plan und kein Gesetz, § 1 LkSG nennt weiterhin 1 000 Arbeitnehmer.

Den Verfahrensstand erläutert die Seite „LkSG aktueller Stand“.

Was Unternehmen heute umsetzen und was später hinzukommt

Heute setzen Unternehmen in Deutschland das LkSG um, das in Kraft ist und dessen Text unverändert gilt; die CSDDD verpflichtet Unternehmen erst über die Umsetzungsgesetze der Mitgliedstaaten. Die Einhaltung des LkSG überwacht das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) nach § 19 Abs. 1 LkSG. Gegenstand der Umsetzung ist die Lieferkette, die nach § 2 Abs. 5 LkSG alle Schritte im In- und Ausland von der Gewinnung der Rohstoffe bis zur Lieferung an den Endkunden umfasst.

Die Pflichten sind „in angemessener Weise“ zu beachten (§ 3 Abs. 1 Satz 1 LkSG), gemessen an vier Kriterien des § 3 Abs. 2 LkSG: Art und Umfang der Geschäftstätigkeit, Einflussvermögen auf den unmittelbaren Verursacher, typischerweise zu erwartende Schwere, Umkehrbarkeit und Wahrscheinlichkeit der Verletzung sowie Art des Verursachungsbeitrages. Nach den FAQ des BAFA zum LkSG (Stand: 21. November 2025, Frage 8.4) begründen die Pflichten eine Bemühenspflicht und keine Erfolgspflicht. Für den Fahrplan heißt das: Das Unternehmen setzt nach seinen Risiken Prioritäten, statt jeden Zulieferer gleich intensiv zu prüfen.

Die Mitgliedstaaten müssen die CSDDD bis zum 26. Juli 2028 umsetzen; die nationalen Vorschriften gelten ab dem 26. Juli 2029, die jährliche Erklärung nach Art. 16 CSDDD für Geschäftsjahre ab dem 1. Januar 2030. Diese und alle weiteren Fristen zeigt der CSDDD-Zeitplan.

Der Fahrplan: acht Schritte von der Betroffenheit bis zur Dokumentation

Die Umsetzung folgt acht Schritten, von der Prüfung der Betroffenheit über Zuständigkeit, Risikoanalyse, Grundsatzerklärung, Prävention, Abhilfe und Beschwerdeweg bis zur Dokumentation; die Schritte zwei bis acht decken die neun Sorgfaltspflichten des § 3 Abs. 1 Satz 2 LkSG ab. Die Tabelle ordnet jedem Schritt Fundstellen und Vertiefungen zu.

Quellen: LkSG auf gesetze-im-internet.de, CSDDD in der Fassung der Richtlinie (EU) 2026/470 (Stand: 30. Oktober 2026).

Die Schritte bauen aufeinander auf: Die Risikoanalyse bestimmt, wo Prävention, Abhilfe und Beschwerdeweg ansetzen. Deckungsgleich mit den Handlungen des Art. 5 Abs. 1 CSDDD sind die acht Schritte nicht, die CSDDD-Spalte zeigt aber, wo dasselbe Vorgehen beiden Regelwerken dient.

Wie die neun Pflichten des LkSG ineinandergreifen, zeigt die Seite Die neun Sorgfaltspflichten des LkSG.

Schritt 1: Prüfen, ob das Unternehmen erfasst ist

Das LkSG gilt für Unternehmen ungeachtet ihrer Rechtsform mit Hauptverwaltung, Hauptniederlassung, Verwaltungssitz, satzungsmäßigem Sitz oder einer Zweigniederlassung nach § 13d HGB im Inland, die seit dem 1. Januar 2024 in der Regel mindestens 1 000 Arbeitnehmer im Inland beschäftigen (§ 1 Abs. 1 LkSG). Eine Umsatzschwelle kennt das Gesetz nicht. Die nationalen Gesetze zur CSDDD müssen EU-Unternehmen mit mehr als 5 000 Beschäftigten und mehr als 1,5 Mrd. Euro weltweitem Nettoumsatz erfassen (Art. 2 Abs. 1 Buchst. a CSDDD in der Fassung der Richtlinie (EU) 2026/470). Ob die Schwellen voraussichtlich erreicht sind, zeigt der Betroffenheitscheck oben.

Schritt 2: Zuständigkeit festlegen und Risikomanagement verankern

Das Risikomanagement muss angemessen und wirksam sein und in allen maßgeblichen Geschäftsabläufen verankert werden (§ 4 Abs. 1 LkSG). Die interne Zuständigkeit legt das Unternehmen selbst fest; den Menschenrechtsbeauftragten nennt § 4 Abs. 3 Satz 1 LkSG nur als Beispiel. Die Geschäftsleitung muss sich regelmäßig, mindestens einmal jährlich, über die Arbeit der zuständigen Person informieren (§ 4 Abs. 3 Satz 2 LkSG). Zuständigkeit und Beschwerdeverfahren müssen nach FAQ 6.2 ab dem Tag bestehen, an dem das Unternehmen in den Anwendungsbereich fällt.

Die Interessen der eigenen Beschäftigten, der Beschäftigten in der Lieferkette und der unmittelbar Betroffenen sind angemessen zu berücksichtigen (§ 4 Abs. 4 LkSG). Zu den Angelegenheiten des Wirtschaftsausschusses gehören „Fragen der unternehmerischen Sorgfaltspflichten in Lieferketten gemäß dem Lieferkettensorgfaltspflichtengesetz“ (§ 106 Abs. 3 Nr. 5b BetrVG). Die nationalen Vorschriften zur CSDDD müssen die Einbindung der Sorgfaltspflicht in Unternehmenspolitik und Risikomanagementsysteme und eine Strategie nach vorheriger Konsultation der Beschäftigten und ihrer Vertreter vorsehen (Art. 7 Abs. 1 und 2 CSDDD).

Schritt 3: Risiken ermitteln, gewichten und priorisieren

Die Risikoanalyse erfasst den eigenen Geschäftsbereich und die unmittelbaren Zulieferer, einmal im Jahr sowie anlassbezogen (§ 5 Abs. 1 und 4 LkSG); die erste fällt nach FAQ 8.1 in das Jahr des Eintritts in den Anwendungsbereich. Die Risiken werden gewichtet und priorisiert (§ 5 Abs. 2 LkSG), die Ergebnisse gehen an die maßgeblichen Entscheidungsträger, etwa Vorstand oder Einkauf (§ 5 Abs. 3 LkSG). Die BAFA-Handreichung zur Risikoanalyse (1. Auflage, August 2022) unterscheidet eine abstrakte und eine konkrete Risikobetrachtung; unterschiedslose Fragebögen an alle Zulieferer genügen nach den Fragen und Antworten des BAFA zum risikobasierten Vorgehen (Stand: Februar 2025) nicht.

Mittelbare Zulieferer werden bei substantiierter Kenntnis einbezogen (§ 9 Abs. 3 LkSG). Die nationalen Vorschriften zur CSDDD müssen eine Ermittlung auf Grundlage vernünftigerweise verfügbarer Informationen mit anschließender vertiefter Bewertung vorsehen und Anfragen an Geschäftspartner mit weniger als 5 000 Beschäftigten auf anderweitig nicht zumutbar beschaffbare Informationen beschränken (Art. 8 Abs. 2 und Abs. 2a Buchst. a CSDDD in der Fassung der Richtlinie (EU) 2026/470).

Schritt 4: Grundsatzerklärung der Unternehmensleitung abgeben

Die Unternehmensleitung gibt eine Grundsatzerklärung über ihre Menschenrechtsstrategie ab, die mindestens das Verfahren zur Erfüllung der Pflichten, die prioritären Risiken und die Erwartungen an Beschäftigte und Zulieferer beschreibt (§ 6 Abs. 2 LkSG). Fällig ist sie nach FAQ 8.1 unverzüglich nach der ersten Risikoanalyse; abgegeben ist sie nach FAQ 9.1, sobald sie öffentlich zugänglich ist, etwa auf der Internetseite. Die nationalen Vorschriften zur CSDDD müssen stattdessen eine Strategie mit einem Verhaltenskodex vorsehen, die mindestens alle 24 Monate zu überprüfen ist (Art. 7 Abs. 2 Buchst. b und Abs. 3 CSDDD).

Schritt 5: Vorbeugen im eigenen Geschäftsbereich und bei Zulieferern

Angemessene Präventionsmaßnahmen ergreift das Unternehmen unverzüglich, sobald die Risikoanalyse ein Risiko feststellt (§ 6 Abs. 1 LkSG). Im eigenen Geschäftsbereich gehören dazu unter anderem Schulungen in den relevanten Geschäftsbereichen (§ 6 Abs. 3 Nr. 3 LkSG). Gegenüber unmittelbaren Zulieferern nennt § 6 Abs. 4 LkSG die vertragliche Zusicherung (Nr. 2), Schulungen und Weiterbildungen (Nr. 3) und vertragliche Kontrollmechanismen (Nr. 4).

Eine unterschriebene Selbstauskunft des Zulieferers erfüllt die Pflicht allein nicht (FAQ 10.4). Die BAFA-Handreichung „Zusammenarbeit in der Lieferkette“ hält fest: „Eine Übertragung von Pflichten aus dem LkSG an Zulieferer ist nicht zulässig.“ Die nationalen Vorschriften zur CSDDD müssen unter anderem einen Präventionsaktionsplan und vertragliche Zusicherungen direkter Geschäftspartner vorsehen (Art. 10 Abs. 2 CSDDD).

Schritt 6: Verletzungen beenden und Abhilfe planen

Abhilfemaßnahmen ergreift das Unternehmen unverzüglich, wenn eine Verletzung eingetreten ist oder unmittelbar bevorsteht (§ 7 Abs. 1 LkSG); im eigenen Geschäftsbereich im Inland müssen die Maßnahmen die Verletzung beenden. Ein Konzept mit konkretem Zeitplan ist nötig, wenn sich eine Verletzung bei einem unmittelbaren Zulieferer nicht in absehbarer Zeit beenden lässt; Optionen sind ein gemeinsamer Plan, Brancheninitiativen und das vorübergehende Aussetzen (§ 7 Abs. 2 LkSG). Der Abbruch der Geschäftsbeziehung ist nach § 7 Abs. 3 LkSG das letzte Mittel und an drei Voraussetzungen geknüpft. Eine Abbruchpflicht kennt die CSDDD nach der Richtlinie (EU) 2026/470 nicht mehr; als letztes Mittel müssen die nationalen Vorschriften das Aussetzen vorsehen, soweit das anwendbare Recht es erlaubt (Art. 10 Abs. 6, Art. 11 Abs. 7 CSDDD). Die Abhilfe für Betroffene nach Art. 12 CSDDD hat im LkSG kein direktes Gegenstück.

Schritt 7: Einen Beschwerdeweg für Betroffene öffnen

Das Unternehmen richtet ein internes Beschwerdeverfahren ein oder beteiligt sich an einem externen (§ 8 Abs. 1 LkSG). Die Verfahrensordnung ist in Textform festzulegen und öffentlich zugänglich (§ 8 Abs. 2 LkSG), die Zuständigen arbeiten unparteiisch (§ 8 Abs. 3 LkSG), und das Verfahren steht auch für Hinweise zu mittelbaren Zulieferern offen (§ 9 Abs. 1 LkSG). Ein konzernweites Verfahren genügt nach FAQ 12.1, wenn es diese Anforderungen erfüllt. Die nationalen Vorschriften zur CSDDD müssen einen Meldemechanismus und ein Beschwerdeverfahren vorsehen (Art. 14 CSDDD).

Schritt 8: Dokumentieren und die Wirksamkeit regelmäßig prüfen

Das Unternehmen dokumentiert die Erfüllung seiner Sorgfaltspflichten fortlaufend und bewahrt die Dokumentation mindestens sieben Jahre auf (§ 10 Abs. 1 LkSG). Präventions- und Abhilfemaßnahmen überprüft es einmal im Jahr sowie anlassbezogen auf ihre Wirksamkeit (§ 6 Abs. 5, § 7 Abs. 4 LkSG), das Beschwerdeverfahren mindestens einmal im Jahr sowie anlassbezogen (§ 8 Abs. 5 LkSG).

Der jährliche Bericht nach § 10 Abs. 2 LkSG steht weiterhin im Gesetz; die Praxis des BAFA dazu fasst der Stand am Anfang dieser Seite zusammen. Die nationalen Vorschriften zur CSDDD müssen eine Aufbewahrung von mindestens fünf Jahren (Art. 5 Abs. 4 CSDDD), eine regelmäßige Bewertung mindestens alle fünf Jahre (Art. 15 CSDDD) und eine jährliche Erklärung (Art. 16 CSDDD) vorsehen.

Hilfsmittel und Unterstützung: alle Themen zur Umsetzung

Für die einzelnen Schritte gibt es neun vertiefende Seiten, von der Checkliste und der Lieferantenbewertung über Vertragsklauseln, Audits und Software bis zu Schulung, Beratung und Brancheninitiativen. Die Tabelle ordnet jede Seite den Schritten des Fahrplans zu.

Hilfsmittel unterstützen den Sorgfaltsprozess, ersetzen ihn aber nicht. Eine amtliche Checkliste gibt es nicht, und nach FAQ 6.7 gilt: „Checklisten allein können diesen Prozess nicht umfänglich abbilden.“ Ein LkSG-Zertifikat existiert nicht; Audits und Zertifikate sind nach der BAFA-Handreichung Standards, Audits und Zertifizierungen (1. Auflage, Dezember 2024) Anhaltspunkte, „weder hinreichend noch erforderlich“. Nach derselben Handreichung besteht keine gesetzliche Pflicht zu Software, und das BAFA schreibt Werkzeuge oder Anbieter nicht vor, bewertet sie nicht und bildet keine Rangfolge.

Wovon Angebote für die Umsetzung abhängen

Angebote für die Umsetzung hängen von Faktoren ab, die erst eine Anfrage beschreibt; Preise nennt diese Seite deshalb nicht. Zu den Faktoren zählen die Zahl und die Länder der unmittelbaren Zulieferer, die Branchen und die Risikolage aus der Risikoanalyse, bestehende Prozesse in Einkauf und Compliance oder ein vorhandener Beschwerdekanal, die Art der Unterstützung (Beratung, Kanzlei, Audit, Software, Schulung oder Beschwerdestelle), die Unternehmensgröße und der Zeitrahmen. Die Beauftragung Dritter entlastet das Unternehmen nach der BAFA-Handreichung Standards, Audits und Zertifizierungen nicht von seiner eigenen Verantwortung.

Einordnung: EU-Richtlinie, Regelwerksvergleich und internationale Leitlinien

Die Mitgliedstaaten müssen nach Art. 5 Abs. 1 CSDDD vorsehen, dass erfasste Unternehmen ihre Sorgfaltspflicht in acht Handlungen erfüllen, von der Einbindung in Unternehmenspolitik und Risikomanagement bis zur jährlichen Erklärung. Die Richtlinie (EU) 2024/1760 wurde durch die Richtlinien (EU) 2025/794 und (EU) 2026/470 geändert (konsolidierte Fassung auf EUR-Lex) und bindet Unternehmen erst über das nationale Recht. Die einzelnen Handlungen erklärt die Seite Sorgfaltspflichten der CSDDD.

Nach der Richtlinie (EU) 2026/470 erfasst das LkSG mehr Unternehmen als die CSDDD, weil es bei einer niedrigeren Beschäftigtenzahl ansetzt und keinen Umsatz voraussetzt. Art. 1 Abs. 2 Satz 2 CSDDD erlaubt den Mitgliedstaaten, bestehende nationale Sorgfaltspflichtengesetze anzupassen, insbesondere in ihrem Anwendungsbereich. Die Nachhaltigkeitsberichterstattung nach der CSRD ist ein eigenes EU-Regelwerk und nicht Teil dieser Schritte.

Zwei Unterschiede betreffen den Fahrplan unmittelbar. Die CSDDD kennt weder eine Grundsatzerklärung noch einen Menschenrechtsbeauftragten, und ihre Prüfzyklen sind länger, ihre Aufbewahrungsfrist kürzer als im LkSG, wie die Schritte 4 und 8 zeigen.

Weitere Unterschiede bestehen unter anderem bei Reichweite, Sanktionen und Haftung. Sie zeigt Punkt für Punkt die Seite CSDDD und LkSG im Vergleich.

Die fünf Kernelemente des Nationalen Aktionsplans

Der Nationale Aktionsplan Wirtschaft und Menschenrechte der Bundesregierung nennt fünf Kernelemente der unternehmerischen Sorgfaltspflicht, die die folgende Liste aufführt.

• Grundsatzerklärung
• Risiken ermitteln
• Maßnahmen
• Berichterstattung
• Beschwerdeverfahren

Die fünf Kernelemente beschreiben eine Erwartung der Bundesregierung und sind kein Gesetz. Das LkSG greift sie in den Schritten drei bis acht als Rechtspflichten auf.

Die OECD-Leitsätze für multinationale Unternehmen in der Fassung von 2023 nennen sechs Maßnahmen, von der Verankerung in Unternehmenspolitik und Managementsystemen bis zur Wiedergutmachung (Kommentar zu Kapitel II, Ziff. 15). Die sechs Schritte erläutert die Seite OECD-Leitsätze und OECD-Leitfaden für die Sorgfaltspflicht.