Prüffristen für Business Continuity und Lieferkettensorgfalt

Die Business-Impact-Analyse (BIA) zeigt, welche Prozesse wie schnell wieder laufen müssen und welche Ressourcen sie brauchen: Engpassanlagen, Werkzeuge, Schlüsselpersonal, Energie, IT-Systeme und kritische Lieferanten. Daraus leiten sich tolerierbare Ausfallzeiten, Wiederanlaufziele und Geschäftsfortführungspläne ab – etwa Ausweichfertigung, Notbetrieb ohne MES oder Pufferbestände.

Für private Unternehmen gibt es dafür keine allgemeine gesetzliche Frist. Der BSI-Standard 200-4 empfiehlt, BIA, Soll-Ist-Vergleich und Risikoanalyse im gleichen Rhythmus zu aktualisieren, zum Beispiel jährlich, und das BCM-System jährlich sowie anlassbezogen zu überprüfen. ISO 22301 verlangt Bewertungen in geplanten Abständen und bei wesentlichen Änderungen.

Typischer Fehler: Die BIA entsteht als einmaliges Projekt, während sich Produktmix, Lieferanten und Abhängigkeiten laufend ändern. Verknüpfen Sie die jährliche Aktualisierung mit der Budget- und Kapazitätsplanung. Für NIS-2-Einrichtungen sind Aufrechterhaltung des Betriebs und Krisenmanagement zudem gesetzliche Mindestmaßnahmen.

Quellen: BSI – BSI-Standard 200-4 Business Continuity Management · Gesetze im Internet – BSIG § 30 Risikomanagementmaßnahmen

Notfallpläne, die nie geübt wurden, scheitern meist an Kleinigkeiten: veraltete Telefonnummern, fehlende Befugnisse, unklare Reihenfolgen beim Wiederanlauf. Der BSI-Standard 200-4 verlangt deshalb eine Jahresübungsplanung, mit der alle Prozesse, Ressourcen und Verfahren der Notfallbewältigung über einen längeren Zeitraum vollständig geübt werden.

Als Beispiel nennt der Standard eine Stabsübung mindestens einmal jährlich mit allen Stabsmitgliedern und Stellvertretungen sowie Funktionstests mindestens jährlich für Prozesse und Ressourcen mit einer tolerierbaren Ausfallzeit unter 24 Stunden und mindestens alle drei Jahre bei unter fünf Tagen. In der Produktion eignen sich Szenarien wie Ausfall einer Engpassanlage, Stromausfall, Brand im Lager, Insolvenz eines Single-Source-Lieferanten oder ein Cyberangriff.

Typischer Fehler: Übungen bleiben reine Planbesprechungen am Tisch und werden nie unter realistischen Bedingungen getestet. Werten Sie jede Übung aus und übertragen Sie die Erkenntnisse in Pläne und Ressourcen. Für Störfallbetriebe gelten zusätzlich die Fristen der Störfall-Verordnung.

Quellen: BSI – BSI-Standard 200-4 Business Continuity Management

Unternehmen, die unter das LkSG fallen, müssen jährlich und zusätzlich anlassbezogen eine angemessene Risikoanalyse durchführen. Sie erfasst menschenrechtliche und umweltbezogene Risiken – etwa Kinder- und Zwangsarbeit, mangelnden Arbeitsschutz, Diskriminierung oder verbotene Chemikalien – im eigenen Geschäftsbereich und bei unmittelbaren Zulieferern und gewichtet sie. Die Ergebnisse sind den maßgeblichen Entscheidungsträgern, etwa Geschäftsleitung und Einkauf, mitzuteilen. Bei mittelbaren Zulieferern ist eine Analyse unverzüglich erforderlich, sobald tatsächliche Anhaltspunkte für mögliche Verletzungen vorliegen.

Unmittelbar gilt das Gesetz ab 1.000 Beschäftigten im Inland. Mittelständische Zulieferer spüren es über Fragebögen, Verhaltenskodizes und Vertragsklauseln ihrer Kunden.

Stand Oktober 2026: Die geplante Änderung des LkSG ist noch nicht in Kraft; die Sorgfaltspflichten einschließlich der jährlichen Risikoanalyse gelten unverändert. Typischer Fehler: Die Analyse beschränkt sich auf Länderrisiken und lässt Warengruppen, Einkaufsvolumen und Einflussmöglichkeiten außer Acht.

Quellen: Gesetze im Internet – LkSG § 5 Risikoanalyse · Gesetze im Internet – LkSG § 9 Mittelbare Zulieferer

Maßnahmen zur Vorbeugung und Abhilfe sind nach dem LkSG kein einmaliger Akt. Präventionsmaßnahmen – Umsetzung der Menschenrechtsstrategie, angepasste Beschaffungsstrategien und Einkaufspraktiken, Schulungen, vertragliche Zusicherungen und risikobasierte Kontrollen bei Zulieferern – sind einmal im Jahr und anlassbezogen auf ihre Wirksamkeit zu überprüfen. Dasselbe gilt für Abhilfemaßnahmen, wenn Verletzungen bereits eingetreten sind oder unmittelbar bevorstehen. Erkenntnisse aus dem Beschwerdeverfahren sind einzubeziehen; bei Bedarf sind die Maßnahmen unverzüglich zu aktualisieren.

Wirksamkeit lässt sich zum Beispiel an Auditergebnissen, behobenen Abweichungen, Schulungsquoten bei Lieferanten oder eingegangenen Hinweisen messen. Legen Sie die Kennzahlen vorab fest, statt die Wirksamkeit nachträglich zu begründen.

Typischer Fehler: Lieferanten unterschreiben einen Verhaltenskodex, aber niemand prüft, ob er eingehalten wird. Ein Kodex ohne Kontrolle ist kaum als wirksame Präventionsmaßnahme zu belegen.

Quellen: Gesetze im Internet – LkSG § 6 Präventionsmaßnahmen · Gesetze im Internet – LkSG § 7 Abhilfemaßnahmen

Unternehmen im Anwendungsbereich des LkSG müssen ein Beschwerdeverfahren einrichten, über das Beschäftigte, Mitarbeitende von Zulieferern oder Dritte auf Risiken und Verletzungen hinweisen können – auch solche bei mittelbaren Zulieferern. Dazu gehören eine öffentlich zugängliche Verfahrensordnung in Textform, verständliche Informationen zu Erreichbarkeit und Ablauf sowie unparteiische, weisungsunabhängige und zur Verschwiegenheit verpflichtete Bearbeiter. Hinweisgebende müssen vor Benachteiligung geschützt werden.

Die Wirksamkeit des Verfahrens ist mindestens einmal im Jahr und anlassbezogen zu überprüfen – etwa daran, ob Zielgruppen in den Lieferländern das Verfahren kennen und nutzen und wie schnell Hinweise bearbeitet werden. Viele Unternehmen bündeln es mit der internen Meldestelle nach dem Hinweisgeberschutzgesetz; dann müssen die Anforderungen beider Gesetze erfüllt sein.

Typischer Fehler: Das Verfahren existiert nur auf Deutsch auf der Unternehmenswebsite und ist für Beschäftigte von Zulieferern praktisch unerreichbar.

Quellen: Gesetze im Internet – LkSG § 8 Beschwerdeverfahren · Gesetze im Internet – LkSG § 9 Mittelbare Zulieferer

Das LkSG verlangt, die Erfüllung aller Sorgfaltspflichten unternehmensintern fortlaufend zu dokumentieren und diese Dokumentation mindestens sieben Jahre aufzubewahren. Sie ist die Grundlage, wenn das BAFA anlassbezogen prüft, etwa nach einer Beschwerde.

Nach dem Gesetzeswortlaut ist außerdem jährlich ein Bericht über das vergangene Geschäftsjahr zu erstellen, spätestens vier Monate nach dessen Ende auf der Website zu veröffentlichen und beim BAFA einzureichen. Tatsächlich hat das BAFA im November 2025 die Prüfung der Berichte eingestellt und die Einreichung geschlossen; die Bundesregierung hat die Streichung der Berichtspflicht beschlossen, das Änderungsgesetz war im Oktober 2026 aber noch nicht in Kraft. Klären Sie mit Ihrer Rechtsberatung, wie Sie bis dahin verfahren.

Typischer Fehler: Die Dokumentation verteilt sich auf E-Mails und Einzeldateien. Ein zentrales Verzeichnis mit Risikoanalysen, Maßnahmen, Prüfergebnissen und Beschwerden erleichtert jede Prüfung – und bleibt auch nach einer Gesetzesänderung nützlich.

Quellen: Gesetze im Internet – LkSG § 10 Dokumentations- und Berichtspflicht · BAFA – Lieferketten: Berichtspflicht

ISO 9001 verlangt Kriterien für Beurteilung, Auswahl, Leistungsüberwachung und Neubeurteilung externer Anbieter sowie Aufzeichnungen über die Ergebnisse und daraus folgende Maßnahmen. Eine Frist nennt die Norm nicht; üblich ist eine jährliche Bewertung nach Qualität, Liefertreue, Reaktionsfähigkeit und Preis.

Aus Resilienzsicht reicht ein Rückblick auf Kennzahlen nicht. Für kritische und Single-Source-Lieferanten gehören wirtschaftliche Stabilität, Standort- und Länderrisiken, Abhängigkeiten von Vorlieferanten und Informationssicherheit dazu; NIS-2-Einrichtungen müssen die Sicherheit ihrer Lieferkette ohnehin als Mindestmaßnahme berücksichtigen. Unternehmen im Anwendungsbereich des LkSG verknüpfen die Bewertung mit ihrer Risikoanalyse.

Typischer Fehler: Bewertet wird nur, wer im Lieferantenstamm gepflegt ist – Dienstleister für Wartung, Fernwartung oder Software fallen durchs Raster. Nehmen Sie alle externen Anbieter mit Einfluss auf Produkt, Lieferfähigkeit oder Sicherheit auf und legen Sie fest, was bei schlechter Bewertung passiert.

Quellen: WEKA – Externe Bereitstellung: Rechtsverhältnis zum Lieferanten (ISO 9001, 8.4) · Gesetze im Internet – BSIG § 30 Risikomanagementmaßnahmen