Die Omnibus-I-Richtlinie (EU) 2026/470 hebt die Schwellenwerte von CSDDD und CSRD deutlich an und verschiebt Fristen. Die deutsche Änderung des Lieferkettengesetzes ist noch im parlamentarischen Verfahren.
Mit der Verordnung (EU) 2025/2650 wurde die EUDR um ein weiteres Jahr verschoben: Anwendung ab 30. Dezember 2026, für Kleinst- und Kleinunternehmen ab 30. Juni 2027. Nachgelagerte Akteure werden entlastet.
Mit dem NIS-2-Umsetzungsgesetz gelten seit dem 6. Dezember 2025 erweiterte Cybersicherheitspflichten für viele Unternehmen – inklusive Registrierung, Meldepflichten und Verantwortung der Geschäftsleitung.
Seit dem 2. Juli 2023 gilt das Hinweisgeberschutzgesetz. Arbeitgeber ab 50 Beschäftigten müssen interne Meldestellen betreiben; für kleinere Unternehmen galt eine Frist bis 17. Dezember 2023.