LkSG und CSDDD: Stop-the-Clock – die neuen Fristen ab 2027

Wer in Deutschland unter das Lieferkettensorgfaltspflichtengesetz (LkSG) fällt, fragt sich seit 2025 vor allem eines: Was passiert mit den EU-Plänen? Die Antwort steht inzwischen fest – und sie lautet: Die EU-Richtlinie kommt, aber später und voraussichtlich schlanker. Mit der Stop-the-Clock-Richtlinie (EU) 2025/794 wurden die Anwendungsfristen der CSDDD um jeweils ein Jahr verschoben; parallel verhandeln Parlament und Rat über das Vereinfachungspaket der Kommission. Für betroffene Unternehmen heißt das: Das LkSG gilt unverändert weiter, aber die strategische Ausrichtung der Lieferantenprozesse verschiebt sich.

Der Stand: LkSG gilt weiter, CSDDD kommt verschoben

Das LkSG gilt seit dem 1. Januar 2023 für Unternehmen mit in der Regel 3.000 oder mehr Beschäftigten und seit dem 1. Januar 2024 für alle Unternehmen mit in der Regel 1.000 oder mehr Beschäftigten im Inland. Zuständige Aufsichtsbehörde ist das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA), das Verstöße mit Bußgeldern von bis zu 8 Millionen Euro oder – bei Unternehmen mit mehr als 400 Millionen Euro Jahresumsatz – von bis zu 2 % des durchschnittlichen weltweiten Jahresumsatzes ahnden kann.

Auf EU-Ebene steht die CSDDD-Richtlinie (EU) 2024/1760, die am 5. Juli 2024 im Amtsblatt veröffentlicht wurde. Sie verpflichtet große Unternehmen zu menschenrechtlichen und umweltbezogenen Sorgfaltspflichten entlang der gesamten Wertschöpfungs- und Lieferkette – mit einem deutlich weiteren Anwendungsbereich und schärferen Sanktionen als das LkSG (Bußgelder von bis zu 5 % des weltweiten Nettoumsatzes).

Doch bevor der ursprüngliche Zeitplan griff, hat die EU die Uhr angehalten: Die Richtlinie (EU) 2025/794 vom 14. April 2025 verschob sowohl die Umsetzungsfrist als auch die Anwendungsdaten der CSDDD um jeweils ein Jahr. Mitgliedstaaten mussten diese Änderungen bis zum 31. Dezember 2025 national nachvollziehen.

Die neuen Fristen nach der Stop-the-Clock-Richtlinie

Nach Artikel 2 der Richtlinie (EU) 2025/794 gilt nun folgender Zeitplan:

• 26. Juli 2027: Mitgliedstaaten müssen die Rechts- und Verwaltungsvorschriften zur Umsetzung der CSDDD erlassen und veröffentlichen.
• 26. Juli 2028: Die Pflichten gelten für die erste Gruppe – EU-Unternehmen mit mehr als 3.000 Beschäftigten und mehr als 900 Millionen Euro weltweitem Nettoumsatz sowie entsprechende Drittlandsunternehmen mit mehr als 900 Millionen Euro Umsatz in der Union. Die Berichtspflicht nach Artikel 16 CSDDD greift für diese Gruppe für Geschäftsjahre ab dem 1. Januar 2029.
• 26. Juli 2029: Die Pflichten gelten für alle übrigen Unternehmen im Anwendungsbereich – für EU-Unternehmen ab den Schwellenwerten von 1.000 Beschäftigten und 450 Millionen Euro Nettoumsatz. Die Berichtspflicht greift für Geschäftsjahre ab dem 1. Januar 2030.

Wichtig für die Einordnung: Die Verschiebung ändert nichts am Anwendungsbereich der Richtlinie selbst – sie verschiebt nur den Kalender. Wer heute unter das LkSG fällt, fällt mit denselben Schwellenwerten künftig auch unter die CSDDD.

Wer betroffen ist: die Schwellenwerte

Die CSDDD erfasst in der ursprünglichen Fassung drei Gruppen, gestaffelt nach Größe:

• Gruppe 1: mehr als 5.000 Beschäftigte und mehr als 1,5 Milliarden Euro weltweiter Nettoumsatz.
• Gruppe 2: mehr als 3.000 Beschäftigte und mehr als 900 Millionen Euro weltweiter Nettoumsatz.
• Gruppe 3: mehr als 1.000 Beschäftigte und mehr als 450 Millionen Euro weltweiter Nettoumsatz – hierunter fallen auch die meisten LkSG-pflichtigen Unternehmen in Deutschland.

Nach der Stop-the-Clock-Systematik starten Gruppe 1 und 2 gemeinsam am 26. Juli 2028, alle übrigen am 26. Juli 2029. Auch Drittlandsunternehmen sind erfasst, wenn sie die Umsatzschwellen in der Union überschreiten – deutsche Tochtergesellschaften ausländischer Konzerne sollten die Betroffenheit daher auf Konzernebene prüfen.

Omnibus-Paket: Vereinfachung weiter in Arbeit

Die Verschiebung war kein Selbstzweck. Die Kommission hatte am 11. Februar 2025 ihre Mitteilung zur Umsetzung und Vereinfachung vorgelegt und parallel einen Gesetzentwurf zur Entlastung bei den Nachhaltigkeitspflichten angekündigt – das sogenannte Omnibus-Paket, das neben der CSRD-Berichterstattung auch die CSDDD betrifft. Der ausdrückliche Zweck der Stop-the-Clock-Richtlinie war es, den Ausgang dieser Vereinfachung abzuwarten, bevor Unternehmen in die Umsetzung gehen müssen.

Für die Praxis heißt das: Das Gesetzgebungsverfahren zum Omnibus ist noch nicht abgeschlossen, und die Kommission hat Leitlinien zur Erfüllung der Sorgfaltspflichten angekündigt. Unternehmen sollten den weiteren Verlauf beobachten, aber nicht darauf bauen, dass die CSDDD vollständig entfällt – die Zielrichtung der Richtlinie (Sorgfalts- pflichten, Beschwerdemechanismus, Sanktionen) ist im Grundsatz beschlossen. Wer seine LkSG-Prozesse heute sauber aufstellt, baut auf einem Fundament, das auch unter der CSDDD tragfähig bleibt.

Was jetzt zu tun ist: fünf Schritte

• 1. LkSG-Status prüfen: Stellen Sie sicher, dass Risikoanalyse, Grundsatzerklärung, Präventions- und Abhilfemaßnahmen, Beschwerdeverfahren und Jahresbericht vollständig und aktuell sind – das BAFA prüft anlassbezogen und auf Antrag.
• 2. Betroffenheit auf Konzernebene klären: Prüfen Sie die CSDDD-Schwellenwerte inklusive ausländischer Mutter- und Tochtergesellschaften, insbesondere bei Drittlandsbezug.
• 3. Prozesse CSDDD-fest gestalten: Richten Sie Risikomanagement und Lieferantenbewertung so aus, dass sie den erweiterten Anforderungen (u. a. Umweltbezug, Kette der Tätigkeit) genügen können – Nachrüsten ist teurer als Mitdenken.
• 4. Beschwerdekanäle konsolidieren: Das LkSG verlangt ein Beschwerdeverfahren, das HinSchG eine interne Meldestelle. Prüfen Sie, ob sich beide Kanäle technisch bündeln und prozessual sauber trennen lassen.
• 5. Omnibus-Verfahren verfolgen: Beobachten Sie Leitlinien und Gesetzgebungsstand auf EU-Ebene und justieren Sie den Projektplan, sobald die vereinfachten Anforderungen feststehen.

Einordnung: Lieferketten-Compliance im Gesamtsystem

Die Lieferketten-Compliance ist kein Solitär. Wer Produkte mit digitalen Elementen herstellt, muss über den Cyber Resilience Act ohnehin die Sicherheit seiner Lieferkette bewerten – die Lieferantenanforderungen beider Regelwerke überschneiden sich in der Praxis. Und auch das Hinweisgeberschutzgesetz spielt hinein: Die CSDDD-Beschwerdeverfahren und die HinSchG-Meldestellen adressieren unterschiedliche Personenkreise, lassen sich aber in einer zentralen Compliance-Architektur zusammenführen. Unternehmen, die diese Bausteine gemeinsam denken, vermeiden Doppelstrukturen und widersprüchliche Prozesse. Praktisch heißt das: ein einheitlicher Lieferanten-Fragebogen bedient CRA-, LkSG- und NIS2-Lieferketten-Pflichten gleichzeitig.

Fazit

Die Stop-the-Clock-Richtlinie hat der CSDDD ein Jahr Aufschub verschafft – mehr nicht. Umsetzungsfrist ist nun der 26. Juli 2027, die Anwendung beginnt am 26. Juli 2028 für die größten Unternehmen und am 26. Juli 2029 für alle übrigen im Anwendungsbereich. Das LkSG gilt bis dahin unverändert weiter und bleibt die operative Messlatte für deutsche Unternehmen ab 1.000 Beschäftigten.

Wer die gewonnene Zeit nutzt, um LkSG-Prozesse zu konsolidieren und CSDDD-fest zu gestalten, vermeidet doppelte Arbeit. Wer abwartet, bis das Omnibus-Verfahren abgeschlossen ist, sollte zumindest eines nicht tun: die laufenden LkSG-Pflichten darüber vernachlässigen.