Lieferkettengesetz 2026: Welche Pflichten gelten für wen?

Das Lieferkettensorgfaltspflichtengesetz (LkSG) gilt auch Ende Oktober 2026 fort. Unmittelbar verpflichtet sind Unternehmen mit Sitz oder Zweigniederlassung in Deutschland und mindestens 1.000 Beschäftigten im Inland; sie müssen menschenrechtliche und bestimmte umweltbezogene Risiken in ihrem eigenen Geschäftsbereich und bei ihren Zulieferern angemessen ermitteln, vorbeugen und abstellen. Kleinere Unternehmen sind keine Adressaten des Gesetzes. Als Zulieferer spüren sie dessen Anforderungen trotzdem über Fragebögen, Verhaltenskodizes und Vertragsklauseln ihrer Kunden.

Die Lage ist 2026 unübersichtlicher als zum Start im Jahr 2023. Der Gesetzestext gilt unverändert weiter, während die Behördenpraxis seit Herbst 2025 deutlich zurückhaltender ist. Eine Gesetzesänderung liegt im parlamentarischen Verfahren, und die EU hat ihre Lieferkettenrichtlinie grundlegend überarbeitet. Wer im Einkauf, in der Compliance oder in der Geschäftsführung Verantwortung trägt, muss diese Ebenen sauber auseinanderhalten. Nur so lässt sich entscheiden, welcher Aufwand heute erforderlich ist und welcher sich mit Blick auf 2029 lohnt.

Mit den folgenden Einordnungen können Sie die eigene Betroffenheit klären, Pflichten nach Einflussbereich gewichten und die Lieferantensteuerung auf ein belastbares Maß bringen.

Das Wichtigste in Kürze:

• Das LkSG verpflichtet Unternehmen ab 1.000 Inlandsbeschäftigten, kleinere Zulieferer sind nur mittelbar betroffen.
• Geschuldet ist angemessenes, risikobasiertes Bemühen und keine lückenlose Kontrolle aller Lieferanten.
• Berichtsprüfung und Bußgeldpraxis sind ausgesetzt beziehungsweise stark eingeschränkt, die materiellen Sorgfaltspflichten bestehen weiter.

Das LkSG erfasst Unternehmen, die ihre Hauptverwaltung, Hauptniederlassung, ihren Verwaltungssitz, satzungsmäßigen Sitz oder eine Zweigniederlassung in Deutschland haben und dort in der Regel mindestens 1.000 Arbeitnehmerinnen und Arbeitnehmer beschäftigen. Seit dem 1. Januar 2023 galt die Schwelle von 3.000 Beschäftigten, seit dem 1. Januar 2024 liegt sie bei 1.000. Die Rechtsform spielt keine Rolle.

Bei der Zählung gibt es zwei Punkte, die in der Praxis häufig übersehen werden:

• Leiharbeitskräfte zählen beim Entleiher mit, wenn ihr Einsatz länger als sechs Monate dauert.
• Konzerne: Beschäftigte konzernangehöriger Gesellschaften im Inland werden der Obergesellschaft zugerechnet. Damit kann eine Holding verpflichtet sein, obwohl keine Einzelgesellschaft die Schwelle erreicht.

Kleine und mittlere Unternehmen unterhalb der Schwelle haben keine eigenen gesetzlichen Pflichten und sind keine Adressaten von Bußgeldern. Sie sind dennoch mittelbar betroffen, sobald ein verpflichteter Kunde sie in seine Risikoanalyse einbezieht. Verpflichtete Unternehmen dürfen ihre Pflichten dabei nicht pauschal nach unten weiterreichen. Das BAFA hat in seinen Handreichungen klargestellt, dass Anfragen an Zulieferer risikobasiert und verhältnismäßig sein müssen. Für Zulieferer bedeutet das: Ein umfangreicher Standardfragebogen ohne erkennbaren Risikobezug lässt sich im Kundengespräch durchaus hinterfragen.

Welche Sorgfaltspflichten müssen Unternehmen praktisch umsetzen?

Verpflichtete Unternehmen müssen einen Kreislauf aus Risikoerkennung, Vorbeugung, Abhilfe und Dokumentation aufbauen, dessen Intensität vom eigenen Einfluss abhängt. Das Gesetz unterscheidet drei Ebenen:

Ebene	Was verlangt wird
Eigener Geschäftsbereich (inklusive beherrschter Konzerngesellschaften)	Jährliche und anlassbezogene Risikoanalyse, Präventionsmaßnahmen, Abhilfe mit dem Ziel, Verletzungen zu beenden
Unmittelbare Zulieferer (direkte Vertragspartner)	Regelmäßige Risikoanalyse, vertragliche Zusicherungen, Schulungen, risikobasierte Kontrollen, bei Verstößen ein Konzept zur Minimierung
Mittelbare Zulieferer	Tätigwerden erst bei substantiierter Kenntnis, also bei tatsächlichen Anhaltspunkten für eine Verletzung

Hinzu kommen übergreifende Pflichten: ein Risikomanagement mit festgelegter Zuständigkeit (häufig eine menschenrechtsbeauftragte Person), eine von der Geschäftsleitung verabschiedete Grundsatzerklärung, ein Beschwerdeverfahren, das auch Externen offensteht, sowie eine fortlaufende interne Dokumentation, die sieben Jahre aufzubewahren ist.

Den Rahmen bildet das Prinzip der Angemessenheit. Unternehmen dürfen sich zunächst auf die wesentlichen Risiken konzentrieren und nachrangige zurückstellen; Gebäudereinigung oder Büromaterial lassen sich oft mit geringem Aufwand bearbeiten. Geschuldet ist eine Bemühenspflicht. Kommt es trotz angemessener Maßnahmen zu einer Verletzung, haftet das Unternehmen dafür nach dem LkSG nicht. In unserer Arbeit mit Einkaufsteams sehen wir, dass eine gut begründete Priorisierung von zehn Hochrisikolieferanten mehr Substanz hat als ein Fragebogenversand an alle.

Was gilt 2026 und was ändert sich durch die EU-Lieferkettenrichtlinie?

Geltendes Recht ist 2026 weiterhin das LkSG in seiner bisherigen Fassung. Für die Einordnung lohnt es sich, vier Ebenen zu trennen:

• Geltendes Gesetz: Schwelle von 1.000 Beschäftigten, alle Sorgfaltspflichten einschließlich der gesetzlich noch verankerten Berichtspflicht nach §§ 12, 13 LkSG.
• Behördliche Vollzugspraxis: Seit dem 1. Oktober 2025 prüft das BAFA auf Weisung der Bundesregierung keine Unternehmensberichte mehr; das Einreichungsportal ist geschlossen.
• Beschlossene, aber noch nicht verkündete Änderung: Das Bundeskabinett hat am 3. September 2025 eine Novelle beschlossen. Sie sieht vor, die Berichtspflicht rückwirkend zu streichen und neun von dreizehn Bußgeldtatbeständen aufzuheben. Nach der Mitteilung des BMAS vom 23. Juni 2026 befand sich der Entwurf noch im parlamentarischen Verfahren. Verantwortliche sollten den Stand vor internen Entscheidungen im Bundesgesetzblatt prüfen.
• Politisches Vorhaben: Der Koalitionsvertrag sieht vor, das LkSG durch ein Gesetz zur internationalen Unternehmensverantwortung abzulösen, das die EU-Richtlinie umsetzt.

Diese Richtlinie (CSDDD) wurde durch das Omnibus-I-Paket stark verändert; die Änderungsrichtlinie (EU) 2026/470 erschien am 26. Februar 2026 im Amtsblatt. Erfasst werden künftig Unternehmen mit mehr als 5.000 Beschäftigten und mehr als 1,5 Milliarden Euro weltweitem Nettoumsatz. Die Pflicht zum Klimaübergangsplan, ein EU-weit harmonisiertes Haftungsregime und die Pflicht zur Beendigung von Geschäftsbeziehungen sind entfallen. Mitgliedstaaten müssen bis zum 26. Juli 2028 umsetzen, die Pflichten greifen ab Juli 2029. Viele heute verpflichtete Unternehmen zwischen 1.000 und 5.000 Beschäftigten fallen danach voraussichtlich aus dem Anwendungsbereich, sofern der deutsche Gesetzgeber nicht strenger umsetzt.

Wie kontrolliert das BAFA die Einhaltung und welche Sanktionen drohen?

Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) überwacht das LkSG von seiner Außenstelle in Borna aus und setzt derzeit auf einen dialogbasierten Prüfansatz. Es kann Kontrollen von Amts wegen oder auf Antrag Betroffener einleiten, Auskünfte und Unterlagen verlangen und Zwangsgelder festsetzen. Daneben veröffentlicht es Handreichungen, etwa zur Risikoanalyse, zum Beschwerdeverfahren, zur Angemessenheit sowie zu Standards, Audits und Zertifizierungen.

Der gesetzliche Sanktionsrahmen bleibt bis zu einer Änderung bestehen: Bußgelder bis zu 800.000 Euro, bei Unternehmen mit mehr als 400 Millionen Euro Jahresumsatz bis zu 2 Prozent des weltweiten Umsatzes, außerdem ein möglicher Ausschluss von öffentlichen Aufträgen für bis zu drei Jahre.

In der Praxis hat das BAFA die Verfolgung seit Oktober 2025 stark eingeschränkt. Bußgelder kommen nur noch als letztes Mittel bei besonders gravierenden Menschenrechtsverletzungen in Betracht, gemessen an Ausmaß, Tragweite oder irreversiblem Charakter. Genannt werden vor allem fehlende Abhilfemaßnahmen nach § 7 Abs. 1 LkSG und ein fehlendes Minimierungskonzept nach § 7 Abs. 2 oder § 9 Abs. 3 Nr. 3 LkSG. Verfahren zu den zur Streichung vorgesehenen Tatbeständen werden eingestellt. Eine zivilrechtliche Haftung begründet das LkSG selbst nicht; andere Anspruchsgrundlagen bleiben unberührt.

Sorgfaltspflichten risikobasiert und nachvollziehbar umsetzen

Die materiellen Sorgfaltspflichten gelten weiter, auch wenn Berichtsprüfung und Bußgeldpraxis zurückgefahren wurden. Für verpflichtete Unternehmen ergibt sich daraus ein klarer Arbeitsauftrag mit zwei Zeithorizonten.

Kurzfristig sollten vor allem die Elemente belastbar sein, an denen das BAFA weiterhin ansetzt: ein funktionierendes Beschwerdeverfahren, dokumentierte Abhilfe bei festgestellten Verstößen und ein Minimierungskonzept, wenn ein Problem bei einem Zulieferer nicht sofort lösbar ist. Die Risikoanalyse sollte nachvollziehbar zeigen, warum bestimmte Länder, Warengruppen und Lieferanten priorisiert wurden und andere nicht.

Mittelfristig lohnt der Blick auf die CSDDD ab 2029. Wer Zuständigkeiten, Vertragsklauseln und Dokumentation heute sauber aufsetzt, kann diese Strukturen später übernehmen, selbst wenn sich Schwellenwerte ändern. Kleinere Zulieferer profitieren davon, ihre wichtigsten Nachweise (Verhaltenskodex, Zertifikate, Ansprechperson) einmal gebündelt bereitzuhalten und Kundenanfragen auf deren tatsächlichen Risikobezug zu prüfen.