Lieferantenbewertung nach LkSG und CSDDD: Kriterien, Fragebogen und Bewertungsmatrix

Ein Fragebogen allein genügt dafür nicht: Pauschale Fragebögen an alle Zulieferer erfüllen die Pflicht zur Risikoanalyse nach der BAFA-Handreichung „Zusammenarbeit in der Lieferkette“ nicht.

Die Seite ordnet die Bewertungskriterien, eine Bewertungsmatrix auf Grundlage der gesetzlichen Gewichtungskriterien, die Grenzen von Fragebögen und Selbstauskünften, die Informationsanfragen nach der Richtlinie (EU) 2026/470 und die Umsetzung in fünf Schritten ein, dazu Audits und Zertifikate als Hilfsmittel. Wie sich die Lieferantenbewertung in das gesamte Lieferkettengesetz einfügt, zeigt die Startseite.

Was die Lieferantenbewertung im Sinne der Sorgfaltspflichten ist

Die Lieferantenbewertung im Sinne der Sorgfaltspflichten ermittelt, gewichtet und priorisiert menschenrechtliche und umweltbezogene Risiken bei Zulieferern; im LkSG ist sie Teil der Risikoanalyse nach § 5 LkSG, in der CSDDD Teil der Ermittlung und Bewertung negativer Auswirkungen nach Art. 8 CSDDD. Die regelmäßige Bewertung erfasst nach § 5 Abs. 1 Satz 1 LkSG den eigenen Geschäftsbereich und die unmittelbaren Zulieferer. Ein mittelbarer Zulieferer gilt nach § 5 Abs. 1 Satz 2 LkSG als unmittelbarer Zulieferer, wenn das Unternehmen die Zulieferbeziehung missbräuchlich gestaltet oder ein Umgehungsgeschäft vorgenommen hat.

Die Bewertung ist Teil einer Bemühenspflicht, keiner Erfolgspflicht; so ordnen die FAQ des BAFA zum LkSG (Stand: 21. November 2025, Frage 8.4) die Sorgfaltspflichten ein. Beide Regelwerke beschreiben den Bewertungsraum mit eigenen Begriffen. Das LkSG spricht von der Lieferkette, die nach § 2 Abs. 5 LkSG von der Gewinnung der Rohstoffe bis zur Lieferung an den Endkunden reicht. Die CSDDD verwendet den Begriff der Aktivitätskette (Art. 3 Abs. 1 Buchst. g CSDDD). Die Begriffe decken sich nicht und stehen auf dieser Seite jeweils nur für ihr eigenes Regelwerk.

Unterschied zur Lieferantenbewertung im Einkauf

Die Lieferantenbewertung im Einkauf misst Leistung wie Qualität, Preis und Liefertreue, die Lieferantenbewertung nach den Sorgfaltspflichten misst Risiken für Menschen und Umwelt. Maßstab der Sorgfaltspflichten sind die geschützten Rechtspositionen des § 2 LkSG, etwa die Verbote der Kinderarbeit, der Zwangsarbeit und der Missachtung des Arbeitsschutzes oder die Regeln zu Quecksilber und gefährlichen Abfällen. Beide Bewertungen können in einem Prozess laufen. Eine gute Leistungsnote beantwortet die Risikofrage aber nicht.

Die Ergebnisse der Risikoanalyse gehen nach § 5 Abs. 3 LkSG an die maßgeblichen Entscheidungsträger, etwa an den Vorstand oder an die Einkaufsabteilung.

Rechtsgrundlagen im deutschen und europäischen Recht

Die Lieferantenbewertung stützt sich auf zwei Regelwerke: das LkSG, dessen Text unverändert gilt (Stand: 30. Oktober 2026), und die Richtlinie (EU) 2024/1760 (CSDDD), die Unternehmen erst über die nationalen Umsetzungsgesetze bindet. Das Lieferkettensorgfaltspflichtengesetz vom 16. Juli 2021 (BGBl. I S. 2959) gilt für Unternehmen mit in der Regel mindestens 1 000 Arbeitnehmern im Inland (§ 1 Abs. 1 LkSG, Konzernzurechnung nach § 1 Abs. 3 LkSG). Für die CSDDD müssen die Mitgliedstaaten nach Art. 2 Abs. 1 Buchst. a in der Fassung der Richtlinie (EU) 2026/470, in Kraft seit dem 18. März 2026, Unternehmen mit mehr als 5 000 Beschäftigten und mehr als 1,5 Mrd. Euro weltweitem Nettoumsatz erfassen.

Risikoanalyse und Lieferantenauswahl im deutschen Gesetz

Das LkSG verlangt die Lieferantenbewertung an zwei Stellen: in der Risikoanalyse nach § 5 LkSG und bei der Auswahl unmittelbarer Zulieferer nach § 6 Abs. 4 Nr. 1 LkSG. Nach § 5 Abs. 2 LkSG gewichtet und priorisiert das Unternehmen die ermittelten Risiken; nach § 5 Abs. 4 LkSG wiederholt es die Analyse einmal im Jahr sowie anlassbezogen, wenn es mit einer wesentlich veränderten oder wesentlich erweiterten Risikolage rechnen muss. Die anlassbezogene Analyse reicht nach FAQ 8.6 weiter als die regelmäßige: Sie erfasst neu auftretende oder wesentlich veränderte Risiken in der gesamten Lieferkette einschließlich mittelbarer Zulieferer.

Das Vorgehen beschreibt die BAFA-Handreichung „Risiken ermitteln, gewichten und priorisieren“ (1. Auflage, August 2022) in drei Schritten: abstrakte Risikobetrachtung, konkrete Risikobetrachtung sowie Gewichtung und Priorisierung. Die Handreichung „Zusammenarbeit in der Lieferkette“ folgt derselben Reihenfolge, zuerst abstrakt, dann konkret. Ablauf und Turnus im Einzelnen beschreibt die Seite zur Risikoanalyse nach § 5 LkSG.

Eine fehlende oder fehlerhafte Risikoanalyse ist eine Ordnungswidrigkeit nach § 24 Abs. 1 Nr. 2 LkSG mit einem Bußgeld bis zu 500 000 Euro, für juristische Personen bis zu 5 Mio. Euro (§ 24 Abs. 2 LkSG mit § 30 Abs. 2 Satz 3 OWiG); die Umsatzregel des § 24 Abs. 3 LkSG (bis zu 2 % des durchschnittlichen Jahresumsatzes, nur bei mehr als 400 Mio. Euro durchschnittlichem Jahresumsatz) gilt für diesen Tatbestand nicht. Seit dem 1. Oktober 2025 verhängt das BAFA auf Weisung des Bundesministeriums für Wirtschaft und Energie in Abstimmung mit dem Bundesministerium für Arbeit und Soziales Bußgelder nur noch bei schweren Verstößen und verfolgt diesen Tatbestand nicht (Kurzmeldung des BAFA vom 1. Oktober 2025); das ist Verwaltungspraxis, keine Gesetzesänderung. Der Regierungsentwurf BT-Drs. 21/2474 würde § 5 LkSG nicht ändern; er wurde am 16. Januar 2026 in erster Lesung beraten, an den Ausschuss für Arbeit und Soziales überwiesen und ist nicht verkündet (Stand: 30. Oktober 2026).

Risikoermittlung nach der EU-Richtlinie seit dem Omnibus

Die Mitgliedstaaten müssen nach Art. 8 Abs. 2 CSDDD in der Fassung der Richtlinie (EU) 2026/470 vorsehen, dass Unternehmen zuerst auf Grundlage der nach vernünftigem Ermessen verfügbaren Informationen allgemeine Bereiche mit den wahrscheinlichsten und schwersten Auswirkungen ermitteln und diese Bereiche dann eingehend bewerten. Diese zweistufige Risikoermittlung nach Art. 8 CSDDD ersetzt seit dem 18. März 2026 die ursprüngliche Fassung des Art. 8 Abs. 2 Buchst. a, die eine Kartierung der eigenen Tätigkeiten, der Tochtergesellschaften und der Geschäftspartner ohne Grenzen für Informationsanfragen vorsah.

Zu berücksichtigen sind dabei die Risikofaktoren des Art. 3 Abs. 1 Buchst. u CSDDD, die die Tabelle der Prüffelder unten aufschlüsselt. Als geeignete Ressourcen nennt Art. 8 Abs. 3 CSDDD unter anderem unabhängige Berichte, digitale Lösungen, Branchen- und Multi-Stakeholder-Initiativen sowie Informationen aus den Verfahren nach Art. 14 CSDDD. Die Einzelheiten der Scoping-Untersuchung zeigt die Seite zur Risikoermittlung nach Art. 8 CSDDD.

Art. 8 CSDDD gehört nach Art. 4 Abs. 1 CSDDD zu den Vorschriften mit Vollharmonisierung, von denen das nationale Umsetzungsrecht nicht abweichen darf. Der Vorschlag COM(2025) 81, die eingehende Bewertung auf unmittelbare Geschäftspartner zu beschränken, wurde mit der Richtlinie (EU) 2026/470 nicht übernommen. Einen Vorrang für Bereiche mit unmittelbaren Geschäftspartnern lassen die Mitgliedstaaten nach Art. 8 Abs. 2a Buchst. c CSDDD nur zu, wenn Auswirkungen in mehreren Bereichen gleich wahrscheinlich oder gleich schwer sind.

Bewertungskriterien: Welche Risiken bei Lieferanten geprüft werden

Bewertet werden bei Lieferanten nicht Preis oder Qualität, sondern die Risiken für die geschützten Rechtspositionen des § 2 LkSG, also 12 menschenrechtsbezogene und 8 umweltbezogene Verbote, und zwar nach Branche, Land, Produkt und dem einzelnen Geschäftspartner. Für das EU-Recht fassen die Risikofaktoren des Art. 3 Abs. 1 Buchst. u CSDDD dieselben Fragen: Faktoren auf Ebene des Geschäftspartners, geografische und kontextbezogene Faktoren sowie Faktoren des Sektors, der Geschäftstätigkeit und der Produkte und Dienstleistungen.

Gewichtet werden die Risiken nach den vier Kriterien der Angemessenheit in § 3 Abs. 2 LkSG: Art und Umfang der Geschäftstätigkeit, Einflussvermögen des Unternehmens auf den unmittelbaren Verursacher, typischerweise zu erwartende Schwere, Umkehrbarkeit und Wahrscheinlichkeit der Verletzung sowie Art des Verursachungsbeitrages. Wie diese vier Kriterien der Angemessenheit nach § 3 Abs. 2 LkSG im Einzelnen wirken, erklärt die eigene Seite.

Für die abstrakte Einschätzung von Branche, Produkt und Land verweist das BAFA in FAQ 17.6 auf den CSR Risiko-Check des Helpdesk Wirtschaft und Menschenrechte, ein Online-Werkzeug, das Branchen-, Produkt- und Länderrisiken anzeigt. Der Helpdesk Wirtschaft und Menschenrechte ist ein kostenloses Unterstützungsangebot der Bundesregierung für Unternehmen jeder Größe.

Die sechs Prüffelder der Tabelle zeigen, wonach Unternehmen Risiken bei Lieferanten bewerten.

Stand: 30. Oktober 2026.

Bewertungsmatrix: Schwere und Wahrscheinlichkeit gewichten

Eine Bewertungsmatrix ordnet jedes Lieferantenrisiko nach Schwere und Wahrscheinlichkeit ein, so wie § 3 Abs. 2 Nr. 3 LkSG und Art. 9 Abs. 2 CSDDD die Gewichtung vorgeben. Zur Schwere zählt nach § 3 Abs. 2 Nr. 3 LkSG auch die Umkehrbarkeit der Verletzung. Das Ergebnis der Gewichtung bestimmt nach § 5 Abs. 2 LkSG die Reihenfolge, in der das Unternehmen Risiken angeht, nicht die Frage, ob ein Risiko erfasst wird. Für das EU-Recht stellen die Mitgliedstaaten nach Art. 9 Abs. 4 CSDDD sicher, dass allein der Umstand, eine weniger bedeutende Auswirkung nach der Priorisierung noch nicht angegangen zu haben, keine Sanktion auslöst.

Die Matrix unten ist eine beispielhafte Darstellung, keine gesetzlich vorgeschriebene Form. Nach FAQ 6.7 können Checklisten allein diesen Prozess nicht umfänglich abbilden. Die Matrix ordnet ein Risiko nach Wahrscheinlichkeit und Schwere einer von drei Prioritäten zu.

Beispielhafte Darstellung. Maßgeblich sind § 3 Abs. 2 Nr. 3 und § 5 Abs. 2 LkSG sowie Art. 9 Abs. 2 CSDDD.

Fragebogen und Selbstauskunft: Wo das BAFA Grenzen zieht

Ein Fragebogen ersetzt die Risikoanalyse nicht: Pauschale Fragebögen an alle Zulieferer erfüllen die Pflicht nach der BAFA-Handreichung „Zusammenarbeit in der Lieferkette“ nicht, und eine unterschriebene Selbstauskunft erfüllt sie nach FAQ 10.4 nicht automatisch. Die Handreichung „Zusammenarbeit in der Lieferkette zwischen verpflichteten Unternehmen und ihren Zulieferern“ (1. Auflage, August 2023) hat das BAFA nach § 20 LkSG gemeinsam mit dem Helpdesk Wirtschaft und Menschenrechte herausgegeben.

Die Handreichung ist eine Information der Behörde, kein Gesetz. Wie das BAFA und LkSG im Vollzug zusammenhängen, zeigt die Seite zur Behörde.

Warum ein Fragebogen an alle Lieferanten nicht genügt

Ein Fragebogen an alle Lieferanten genügt nicht, weil die Risikoanalyse risikobasiert ist: Nach den „Fragen und Antworten zum risikobasierten Vorgehen“ des BAFA (Stand: Februar 2025) gibt es keine Mindestzahl, Höchstzahl oder Quote geprüfter Zulieferer, sondern eine Priorisierung. Unternehmen müssen danach weder alle Zulieferer prüfen noch alle Risiken gleichzeitig angehen. Unterschiedslose Anschreiben und Fragebögen erfüllen nach demselben Dokument die Anforderungen des Gesetzes nicht. Die Handreichung „Zusammenarbeit in der Lieferkette“ fügt hinzu, dass pauschale Fragebögen an alle Zulieferer Maßnahmen des BAFA auslösen können.

Auch inhaltlich setzt die Handreichung Grenzen. Eine schriftliche Zusicherung des Zulieferers, alle menschenrechtlichen und umweltbezogenen Vorgaben entlang der gesamten Lieferkette einzuhalten, ist danach zu weitreichend. Die Handreichung hält fest: „Eine Übertragung von Pflichten aus dem LkSG an Zulieferer ist nicht zulässig.“ Fragebögen von Wirtschaftsverbänden sind keine Vorgabe des BAFA und keine Quelle gesetzlicher Anforderungen.

Gezielte Informationsanfragen und die Schwelle von 5 000 Beschäftigten

Die Mitgliedstaaten müssen nach Art. 8 Abs. 2a Buchst. a CSDDD in der Fassung der Richtlinie (EU) 2026/470 vorsehen, dass Unternehmen Informationen von Geschäftspartnern nur anfordern, wenn dies erforderlich ist, und von Partnern mit weniger als 5 000 Beschäftigten nur, wenn sich die Informationen nicht auf anderem zumutbarem Weg beschaffen lassen. Nach Art. 8 Abs. 2a Buchst. b CSDDD sehen die Mitgliedstaaten außerdem vor, dass solche Anfragen vorrangig an die Geschäftspartner gehen, bei denen negative Auswirkungen am wahrscheinlichsten sind. Unternehmen bindet diese Regel erst über das nationale Umsetzungsrecht.

Für das LkSG gilt heute: Informationsanfragen an Zulieferer folgen aus der Risikoanalyse, nicht umgekehrt. Die Handreichung „Zusammenarbeit in der Lieferkette“ empfiehlt, die Kosten solcher Anfragen mit den Zulieferern zu teilen und den Datenschutz zu beachten.

Die Lieferantenbewertung in fünf Schritten umsetzen

Eine Lieferantenbewertung nach LkSG läuft in fünf Schritten ab, von der Abgrenzung der Lieferkette über die abstrakte und die konkrete Risikobetrachtung bis zur Gewichtung und zur Weitergabe der Ergebnisse an die maßgeblichen Entscheidungsträger. Die fünf Schritte folgen in dieser Reihenfolge.

1. Grenzen Sie die Lieferkette ab, einschließlich des indirekten Einkaufs, der nach FAQ 8.5 zur Lieferkette gehört.
2. Betrachten Sie die Risiken zuerst abstrakt nach Branche, Land und Produkt, etwa mit dem oben genannten CSR Risiko-Check.
3. Betrachten Sie die abstrakt ermittelten Risiken danach konkret beim einzelnen Lieferanten, mit gezielten Informationen statt pauschaler Abfragen.
4. Gewichten und priorisieren Sie die Risiken nach § 5 Abs. 2 und § 3 Abs. 2 LkSG, zum Beispiel mit einer Matrix wie oben.
5. Geben Sie die Ergebnisse weiter und handeln Sie: Ergreifen Sie unverzüglich angemessene Präventionsmaßnahmen nach § 6 LkSG (§ 6 Abs. 1 LkSG) und berücksichtigen Sie die Erwartungen bei der Auswahl unmittelbarer Zulieferer. Wiederholen Sie die Bewertung im Turnus des § 5 Abs. 4 LkSG, bei substantiierter Kenntnis auch für mittelbare Zulieferer nach § 9 LkSG, und dokumentieren Sie sie fortlaufend (§ 10 Abs. 1 LkSG).

Die fünf Schritte sind eine redaktionelle Gliederung der BAFA-Methode, keine gesetzliche Reihenfolge. Die erste Bewertung fällt nach FAQ 8.1 in das Jahr, in dem das Unternehmen in den Anwendungsbereich des LkSG fällt. Substantiierte Kenntnis liegt nach § 9 Abs. 3 LkSG vor, wenn tatsächliche Anhaltspunkte eine Verletzung bei einem mittelbaren Zulieferer möglich erscheinen lassen.

Audits, Zertifikate und Werkzeuge als Hilfsmittel

Audits, Zertifikate und Software sind Hilfsmittel der Lieferantenbewertung, aber kein Nachweis: Ein LkSG-Zertifikat gibt es nicht, und nach der BAFA-Handreichung „Standards, Audits und Zertifizierungen als Instrumente im Sorgfaltsprozess“ (1. Auflage, Dezember 2024) sind Standards, Audits und Zertifizierungen im Verfahren Anhaltspunkte, die „weder hinreichend noch erforderlich“ sind. Die Handreichung unterscheidet First-Party-, Second-Party- und Third-Party-Audits.

Nach FAQ 13.1 sind Siegel, Audits und Zertifikate wichtige Anhaltspunkte, wenn sie nachweislich die gesetzlichen Anforderungen erfüllen. Die CSDDD definiert die Überprüfung durch Dritte in Art. 3 Abs. 1 Buchst. h. Wie BAFA und EU-Recht Lieferantenaudits und Zertifikate einordnen, vertieft die eigene Seite.

Eine Software schreibt das Gesetz nicht vor (Handreichung „Standards, Audits und Zertifizierungen“). Werkzeuge allein befreien nach der Handreichung „Zusammenarbeit in der Lieferkette“ (Infobox 3) nicht von der eigenen Sorgfaltspflicht, und die Beauftragung von Beratern oder Auditoren entlastet das Unternehmen nach der Handreichung zu Audits ebenfalls nicht. Für die CSDDD sieht Art. 19 Abs. 2 Buchst. e Leitlinien der Kommission zu Datenquellen und digitalen Werkzeugen vor.

Einordnung: Zulieferer, Kodex, Verträge und Fristen

Die Lieferantenbewertung ist der Ausgangspunkt für die weiteren Umsetzungsschritte, vom Lieferantenkodex über vertragliche Zusicherungen nach § 6 Abs. 4 Nr. 2 LkSG bis zu den CSDDD-Fristen; die nationalen Vorschriften zur CSDDD gelten ab dem 26. Juli 2029.

Nach Art. 10 Abs. 2 Buchst. b CSDDD müssen die Mitgliedstaaten vorsehen, dass Unternehmen unmittelbare Geschäftspartner um vertragliche Zusicherungen ersuchen; gegenüber KMU gelten nach Art. 10 Abs. 5 CSDDD faire, angemessene und nichtdiskriminierende Bedingungen, und die Kosten einer Überprüfung durch Dritte trägt das Unternehmen. Die regelmäßige Bewertung verlangt die CSDDD mindestens alle fünf Jahre und nach wesentlichen Änderungen (Art. 15 CSDDD), die Dokumentation mindestens fünf Jahre (Art. 5 Abs. 4 CSDDD), das LkSG dagegen mindestens sieben Jahre (§ 10 Abs. 1 Satz 2 LkSG). Die Tabelle führt zu den Seiten, die diese Schritte vertiefen.

Was die Bewertung für Zulieferer bedeutet

Für Zulieferer bedeutet die Lieferantenbewertung ihrer Kunden keine eigene LkSG-Pflicht: Unternehmen unterhalb der Schwelle des § 1 LkSG haben aus dem Gesetz keine Pflichten. Die KMU-FAQ des BAFA „Zusammenarbeit in der Lieferkette“ (1. Auflage, Juni 2023) hält fest, das BAFA „kann und wird KMU auch nicht daraufhin kontrollieren oder mit Sanktionen, wie Bußgeldern, belegen“. KMU sollen danach keine pauschalen vertraglichen Zusicherungen abgeben, alle Pflichten aus dem LkSG zu erfüllen; verlangt ein Kunde solche Zusicherungen, kann das selbst gegen das LkSG verstoßen und eine Kontrolle durch das BAFA auslösen.

Was Zulieferer von ihren Kunden erhalten, ist deshalb keine gesetzliche Pflicht des Zulieferers, sondern eine Anforderung aus der Risikoanalyse und den Präventionsmaßnahmen des Kunden nach § 6 Abs. 4 LkSG. Welche Anforderungen Kunden weitergeben dürfen, erklärt die Seite LkSG für KMU und Zulieferer.

Häufige Fragen zur Lieferantenbewertung

Die vier häufigsten Fragen zur Lieferantenbewertung beantworten die folgenden Abschnitte.

Reicht eine Excel-Vorlage für die Lieferantenbewertung aus?

Nein: Eine Vorlage strukturiert die Lieferantenbewertung, ersetzt aber nicht die risikobasierte Analyse, denn Checklisten allein können diesen Prozess nach FAQ 6.7 nicht umfänglich abbilden. Die Handreichung „Standards, Audits und Zertifizierungen“ nennt einen reinen Checklisten-Ansatz „nicht zielführend“.

Muss jeder Lieferant bewertet werden?

Nein: Das BAFA verlangt nach den „Fragen und Antworten zum risikobasierten Vorgehen“ keine Mindestzahl, Höchstzahl oder Quote geprüfter Lieferanten; Unternehmen priorisieren nach dem Risiko. Die regelmäßige Analyse erfasst nach § 5 Abs. 1 LkSG den eigenen Geschäftsbereich und die unmittelbaren Zulieferer.

Wie oft wird die Lieferantenbewertung wiederholt?

Die Lieferantenbewertung wird nach § 5 Abs. 4 LkSG einmal im Jahr sowie anlassbezogen wiederholt, etwa bei einer wesentlich veränderten oder erweiterten Risikolage. Nach der CSDDD sehen die Mitgliedstaaten regelmäßige Bewertungen mindestens alle fünf Jahre und nach wesentlichen Änderungen vor (Art. 15 CSDDD).

Ab wann gilt die Lieferantenbewertung nach der EU-Richtlinie?

Die Mitgliedstaaten müssen die CSDDD bis zum 26. Juli 2028 umsetzen, und die nationalen Vorschriften gelten ab dem 26. Juli 2029. Bis dahin gilt in Deutschland für die Lieferantenbewertung das LkSG (Stand: 30. Oktober 2026).