Die Europäische Kommission hat am 12. Juni 2026 die öffentliche Konsultation zu den Leitlinien der Corporate Sustainability Due Diligence Directive (CSDDD) eröffnet. Sie läuft noch bis zum 24. Juli 2026. Damit beginnt die Phase, in der sich entscheidet, was die europäische Lieferkettensorgfaltspflicht in der Praxis bedeuten wird.

In der medialen Berichterstattung klang die CSDDD nach dem Omnibus zeitweise wie ein erledigtes Thema. Tatsächlich ist es so, dass die Richtlinie enger gefasst ist und zeitlich gestreckt, aber sie gilt, und sie steuert auf die Anwendung ab 2029 zu. Viele Unternehmen sehen sich aufgrund der 5.000 Mitarbeiter-Grenze nicht betroffen, dies trifft allerdings wie auch schon beim LkSG nicht zu. Wer ist also betroffen, und was steht in den kommenden drei Jahren an?

Die Konsultation: 6 Wochen für einen breiten Fragebogen

Die Kommission konsultiert über einen detaillierten Fragebogen (Have-Your-Say-Initiative Nr. 14445). Angesprochen sind Unternehmen, Verbände, Investoren, Zivilgesellschaft und Gewerkschaften. Für die Aufsichtsbehörden gibt es einen eigenen Abschnitt zu Durchsetzung und Sanktionen. Die Rückmeldungen veröffentlicht die Kommission anschließend und legt einen Synopsebericht vor, der erklärt, wie sie die Beiträge berücksichtigt hat.

Inhaltlich geht es um die Leitlinien, welche die Kommission nach Artikel 19 der CSDDD erstellen muss. Sie sollen Unternehmen zeigen, wie sie ihre Pflichten erfüllen, und den Aufsichtsbehörden einen Maßstab für die Durchsetzung geben. Der Fragebogen reicht von der Ermittlung und Priorisierung von Risiken über Mustervertragsklauseln und den Umgang mit Konflikt- und Hochrisikogebieten bis zu den Schutzregeln für kleinere Unternehmen. Das Fenster ist mit 6 Wochen gemessen an dieser Themenbreite etwas knapp. Wer also einen Beitrag einbringen will, hat dafür relativ wenig Zeit.

Rechtlich bindend werden die Leitlinien nicht. Für die Praxis sind sie trotzdem das zentrale Referenzdokument, weil Aufsichtsbehörden sich bei der Bewertung von Unternehmen daran orientieren werden und auch Gerichte sie in den Mitgliedstaaten heranziehen dürften, wo nationale Haftungsregeln greifen. Aus unserer Sicht ist das ein zentraler Grund, die Entwicklung jetzt zu verfolgen, da gerade der Maßstab definiert wird, an dem später auch gemessen wird.

CSDDD: Wie war das nochmal mit Omnibus?

Die CSDDD ist als Richtlinie (EU) 2024/1760 am 25. Juli 2024 in Kraft getreten. Der Omnibus I hat sie in zwei Schritten geändert. Die Richtlinie (EU) 2025/794 verschob zunächst die Termine, die inhaltliche Richtlinie (EU) 2026/470 brachte dann die materiellen Änderungen. Sie wurde am 26. Februar 2026 im Amtsblatt veröffentlicht und ist am 18. März 2026 in Kraft getreten. Der Rahmen steht somit.

Die wichtigsten inhaltlichen Änderungen sind:

  • Engerer Anwendungsbereich. Direkt erfasst sind EU-Unternehmen mit mehr als 5.000 Beschäftigten und mehr als 1,5 Mrd. EUR Nettoumsatz weltweit. Bei Nicht-EU-Unternehmen zählt ein Nettoumsatz von mehr als 1,5 Mrd. EUR in der EU. Vorher war der Anwendungsbeginn gestaffelt und reichte bis hinunter zu Unternehmen mit mehr als 1.000 Beschäftigten und einem Nettoumsatz über 450 Mio. EUR.
  • Risikobasierter Fokus. Die Sorgfaltspflicht erstreckt sich auf die eigenen Tätigkeiten, die der Tochterunternehmen und die Geschäftspartner in der Wertschöpfungskette. Unternehmen dürfen sich aber auf die Bereiche konzentrieren, in denen negative Auswirkungen am wahrscheinlichsten und am schwerwiegendsten sind, gestützt auf verfügbaren Informationen. Eine vollständige Abbildung der gesamten Kette verlangt die Richtlinie nicht.
  • Längerer Prüfzyklus. Die regelmäßige Überprüfung der Sorgfaltsmaßnahmen ist von jährlich auf alle fünf Jahre gestreckt.
  • Haftung nach nationalem Recht. Die EU-weit einheitliche zivilrechtliche Haftungsregel ist gestrichen. Es gilt das nationale Haftungsrecht der Mitgliedstaaten.
  • Kein Transformationsplan in der CSDDD. Die Pflicht, einen Klima-Transformationsplan aufzustellen und umzusetzen, ist aus der Richtlinie entfallen. Die Berichterstattung über solche Pläne nach der CSRD bleibt davon unberührt.

Mit der engeren Fassung sinkt die Zahl der direkt erfassten Unternehmen deutlich. Schätzungen von Kanzleien zufolge fallen rund 70 Prozent der zuvor erfassten Unternehmen aus dem direkten Anwendungsbereich. Im Kern bleiben die sehr großen Konzerne.

Fahrplan bis 2029

Die Termine sind gesetzt. Die operativ wichtigsten Leitlinien muss die Kommission bis zum 26. Juli 2027 vorlegen. Sie decken den Kern ab, also den Sorgfaltsprozess mit Risikoermittlung und Priorisierung, geeignete Maßnahmen, den verantwortlichen Rückzug aus Geschäftsbeziehungen und die Einbindung von Stakeholdern, dazu Datenquellen und digitale Hilfsmittel sowie Hinweise zu Risikofaktoren. Eine zweite Tranche folgt bis zum 26. Juli 2028, unter anderem zum Informationsaustausch mit Schutz von Geschäftsgeheimnissen und zum Schutz vor Repressalien.

Bis zum selben Datum, dem 26. Juli 2028, müssen die Mitgliedstaaten die Richtlinie in nationales Recht umsetzen. Anwenden müssen die Unternehmen sie ab dem 26. Juli 2029. Die Berichtspflichten nach Artikel 16 greifen für Geschäftsjahre, die am oder nach dem 1. Januar 2030 beginnen.

Bemerkenswert ist die Reihenfolge. Die Leitlinien zum Kern der Sorgfaltspflicht liegen rund zwei Jahre vor dem Anwendungsstart vor. Unternehmen im Anwendungsbereich können ihre Prozesse also an fertigen Vorgaben ausrichten und müssen nicht auf Verdacht planen.

Wer direkt und wer indirekt betroffen ist

Für die Frage „Was kommt auf mich zu“ ist die neue Schwelle entscheidend.  Direkt erfasst sind allein die sehr großen Unternehmen mit mehr als 5.000 Beschäftigten.

Erledigt ist das Thema für den Mittelstand damit allerdings nicht. Die direkt erfassten Konzerne geben ihre Pflichten an die Wertschöpfungskette weiter, über Verträge und Informationsanfragen. Wer große Unternehmen beliefert, bekommt die CSDDD also als Anforderung des Kunden auf den Tisch, ohne selbst direkt betroffen zu sein. Genau hier setzen die Schutzregeln der Richtlinie an. Sie begrenzen, welche Informationen große Unternehmen von kleineren Geschäftspartnern verlangen dürfen, und sehen Mustervertragsklauseln vor. Wie sich das konkret ausgestaltet, wird mit den Leitlinien geklärt, die jetzt zur Konsultation stehen.

Für deutsche Unternehmen kommt das Lieferkettensorgfaltspflichtengesetz (LkSG) hinzu. Es gilt bislang ab 1.000 Beschäftigten und damit für einen Teil des Mittelstands, der unter der EU-Schwelle liegt. Die Bundesregierung hat im Koalitionsvertrag angekündigt, das LkSG abzuschaffen und im Zuge der CSDDD-Umsetzung durch ein neues Gesetz zu ersetzen. Die Berichtspflicht nach dem LkSG ist weggefallen, das BAFA prüft die Berichte seit Oktober 2025 nicht mehr. Die Sanktionen sind entschärft, die Kernpflichten bestehen vorerst weiter. Es ist davon auszugehen, dass das deutsche Gesetz an die europäische Richtlinie angepasst wird.

Was die Leitlinien konkret bedeuten

Für Unternehmen im Anwendungsbereich liefern die Leitlinien den Maßstab, an dem die Aufsicht ihre Sorgfaltsprozesse misst. Besonders relevant ist die Priorisierung. Die Richtlinie erlaubt, sich auf die schwersten und wahrscheinlichsten Risiken zu konzentrieren, gestützt auf vernünftigerweise verfügbare Informationen. Der Fragebogen geht hier ins Detail und fragt, welche Informationen als verfügbar gelten und wie ein Unternehmen indirekte Geschäftspartner überhaupt identifizieren soll. Ein dokumentierter, nachvollziehbarer Priorisierungsprozess wird damit zum Kernstück der Compliance.

In unseren Mandaten zur Lieferkettenumsetzung der LkSG haben wir gesehen, dass die Anforderungen großer Kunden oft weit über das hinausgehen, was das Gesetz verlangt. Genau deshalb lohnt es sich, sich mit der Thematik zu befassen.

Besteht aktueller Handlungsbedarf für Unternehmen?

Konkrete Handlungsempfehlungen lassen sich erst ableiten, wenn die Leitlinien vorliegen.

Was jetzt schon sinnvoll ist, betrifft Unternehmen, die das LkSG bereits umgesetzt haben. Sie haben die Basis für die CSDDD im Grunde schon gelegt. Risikoanalyse, Grundsatzerklärung, Präventions- und Abhilfemaßnahmen und das Beschwerdeverfahren folgen derselben Logik, die auch die CSDDD verlangt. Die CSDDD reicht an einzelnen Stellen weiter, etwa bei den Umweltpflichten, aber der Kern des Sorgfaltsprozesses steht. Diese Unternehmen sollten ihre Prozesse halten, auch wenn die Berichtspflicht nach dem LkSG weggefallen ist. Wer hier sauber aufgestellt ist, kann auf die fertigen Leitlinien reagieren statt von vorne anzufangen.

Unabhängig der gesetzlichen Pflichten ist ein solches Risikomanagement ein Werkzeug, um geschäftlichen Risiken entgegenzuwirken, wie wir bei der LkSG-Umsetzung weitreichend beobachten durften.

Fazit: Genug Zeit sich adäquat vorzubereiten

Die CSDDD ist nach dem Omnibus enger und später, aber sie kommt. Der politische Teil ist entschieden, jetzt folgt die handwerkliche Ausgestaltung über die Leitlinien, und die Konsultation dazu läuft bis zum 24. Juli 2026. Direkt betroffen sind allein sehr große Unternehmen mit mehr als 5.000 Beschäftigten. Der Mittelstand spürt die Richtlinie vor allem über die Anforderungen seiner großen Kunden, abgefedert durch Schutzregeln, deren Reichweite gerade festgelegt wird.

Für den Mittelstand entscheidet sich die konkrete Betroffenheit damit an zwei Stellen: an den Verträgen der großen Kunden und an der Frage, wie Deutschland das LkSG ablöst. Wer das LkSG bereits umgesetzt hat, baut dabei auf vorhandenen Prozessen auf. Beides sollten betroffene Unternehmen in den kommenden Monaten verfolgen.

Quellennachweise

Über LinWang Consulting
Team Discussion

Wir kommen aus dem Beratungskontext und haben langjährige Projekterfahrung in den Bereichen Nachhaltigkeit, ESG, digitale Transformation und Change Management.