Die überarbeitete CSDDD gilt für EU-Unternehmen mit mehr als 5.000 Beschäftigten und einem weltweiten Nettoumsatz von über 1,5 Milliarden Euro. Sie gilt außerdem für Unternehmen aus Drittländern, die in der EU einen Nettoumsatz von mehr als 1,5 Milliarden Euro erzielen. Die Schwellenwerte werden je nach Unternehmensstruktur auf Einzelunternehmens- oder Konzernebene bewertet. Auch Unternehmen, die unterhalb dieser Schwellenwerte liegen, können von betroffenen Kunden weiterhin CSDDD-bezogene Datenanfragen erhalten.

Die CSDDD verpflichtet betroffene Unternehmen dazu, eine risikobasierte Sorgfaltsprüfung für den eigenen Geschäftsbereich, ihre Tochtergesellschaften und ihre Wertschöpfungskette durchzuführen. Der Sorgfaltspflichtenzyklus umfasst sechs zentrale Bereiche: die Integration der Sorgfaltspflichten in Unternehmensrichtlinien und das Risikomanagement, die Ermittlung und Priorisierung negativer Auswirkungen, die Vermeidung oder Minderung potenzieller Auswirkungen, die Behebung tatsächlicher Auswirkungen, den Dialog mit Interessengruppen sowie die Einrichtung und den Betrieb eines Beschwerdemechanismus. Unternehmen müssen die Wirksamkeit der Maßnahmen mindestens alle fünf Jahre überprüfen. Neue Informationen können zusätzliche anlassbezogene Überprüfungen erforderlich machen.

Die eingehende Bewertung negativer Auswirkungen konzentriert sich auf direkte Geschäftspartner auf Tier-1-Ebene. Eine vertiefte Prüfung von Tier-2-Partnern und weiteren vorgelagerten Stufen wird erforderlich, wenn plausible Hinweise auf entsprechende Risiken vorliegen. Die Richtlinie behält das umfassendere Konzept der „Aktivitätskette“ bei, das sowohl vorgelagerte Tätigkeiten als auch bestimmte nachgelagerte Geschäftsbeziehungen umfasst. Der operative Schwerpunkt der detaillierten Sorgfaltsprüfung liegt jedoch auf den direkten Geschäftspartnern. Dies ist eine strukturelle Änderung gegenüber der ursprünglichen CSDDD, die eine weitergehende proaktive Prüfung entlang der gesamten Wertschöpfungskette vorsah.

Die einzelnen Mitgliedstaaten legen Sanktionen fest, die wirksam, verhältnismäßig und abschreckend sein müssen. Die überarbeitete Richtlinie sieht für schwerwiegende Verstöße eine Obergrenze von 3 Prozent des weltweiten Nettoumsatzes vor. Die ursprüngliche CSDDD sah dagegen vor, dass der Höchstbetrag der Geldbußen mindestens 5 Prozent des weltweiten Nettoumsatzes betragen musste.

Die Mitgliedstaaten benennen zuständige Aufsichtsbehörden, die Ermittlungen durchführen, Abhilfemaßnahmen anordnen und Informationen über Verstöße veröffentlichen können. Seit der Aufhebung der harmonisierten EU-Regelung zur zivilrechtlichen Haftung im Rahmen von Omnibus I richtet sich die zivilrechtliche Haftung nach dem jeweiligen nationalen Recht.

In mehreren Mitgliedstaaten gelten bereits nationale Gesetze zur Sorgfaltspflicht in der Lieferkette, darunter das deutsche LkSG und das französische Loi de Vigilance. Diese erfassen in der Regel einen breiteren Kreis von Unternehmen und sehen risikobasierte Sorgfaltspflichten vor, deren Schwerpunkt häufig auf direkten Lieferanten liegt. Die CSDDD gilt dagegen für eine kleinere Gruppe deutlich größerer Unternehmen, bezieht jedoch die gesamte Wertschöpfungskette ein und umfasst zusätzlich Beschwerdemechanismen, die Einbindung von Interessengruppen sowie Abhilfemaßnahmen, die über viele bestehende nationale Regelwerke hinausgehen. Unternehmen, die unter beide Regelungen fallen, können ein gemeinsames Sorgfaltspflichtenprogramm nutzen, da die zugrunde liegende Datenbasis weitgehend identisch ist.

Die heute in den Beschaffungsprozessen festgelegten Rahmenbedingungen für die Einbindung von Lieferanten, Vertragsklauseln und Risikobewertungsmethoden bestimmen, welche Nachweise verfügbar sind, wenn die CSDDD-Anforderungen im Jahr 2029 gelten. Unternehmen, die erst 2028 mit der Vorbereitung beginnen, müssen innerhalb kurzer Zeit ein umfassendes Programm für Tausende von Geschäftspartnern aufbauen. Dadurch bleibt nur wenig Zeit, vor dem ersten Berichtszyklus eine belastbare Dokumentation zu schaffen. Der Aufbau einer zentralen Lieferantendatenbasis während der Übergangsphase, parallel zu bestehenden CSRD-, EUDR- oder nationalen Sorgfaltspflichtenprogrammen, schafft eine einheitliche Grundlage für alle anwendbaren Regelwerke.

Eigenständige CSDDD-Lösungen bilden die Sorgfaltsprüfung häufig isoliert ab. Der osapiens HUB for Supply Chain Compliance ist dagegen Teil der Supplier Intelligence Suite. Das Lieferantenprofil, die Risikobewertungsmethoden und die für die CSDDD entwickelten Prozesse zur Einbindung von Lieferanten lassen sich direkt mit der EUDR-Rückverfolgbarkeit, den Angaben zur Wertschöpfungskette im Rahmen der CSRD, dem Reporting Cockpit, dem Carbon Management und weiteren verbundenen Lösungen verknüpfen. Das osapiens Lieferantenportal bündelt Datenanfragen aus allen geltenden Vorschriften in einem einzigen Fragebogen pro Lieferant und vermeidet so wiederholte Kontaktaufnahmen.

CSDDD, CSRD, EUDR und nationale Lieferkettengesetze wie das LkSG überschneiden sich deutlich bei den erforderlichen Lieferantendaten. Unternehmen, die bereits Daten zur Wertschöpfungskette für die CSRD-Berichterstattung erheben oder Sorgfaltsprüfungen nach dem LkSG durchführen, verfügen daher bereits über eine teilweise Datengrundlage für die CSDDD. Ein wesentlicher struktureller Unterschied besteht darin, dass die CSDDD die vertiefte Sorgfaltsprüfung auf die gesamte Aktivitätskette ausweitet, statt sie auf direkte Lieferanten zu beschränken. Zudem stellt sie höhere Anforderungen an die Einbindung von Interessengruppen bei der Ausgestaltung von Beschwerdemechanismen als die meisten nationalen Regelwerke.