Łańcuch dostaw a dyrektywa CSDDD. Nowe unijne wymogi

Unia Europejska nakłada na duże przedsiębiorstwa najdalej idący obowiązek regulacyjny w historii. Przepisy znane jako Sustainability Due Diligence Directive, czyli dyrektywa CSDDD, tworzą zupełnie nowe ramy prawne dla zarządzania biznesem. Zmuszają one rynek do wdrożenia rygorystycznych procedur odpowiedzialnego zarządzania. Każde państwo członkowskie musi zintegrować te wytyczne z prawem krajowym. Sprawi to, że łańcuch dostaw na terenie całej wspólnoty będzie musiał spełniać jednolite i twarde standardy etyczne oraz środowiskowe.

Sama dyrektywa została uchwalona przez Parlament Europejski 24 kwietnia 2024 roku i weszła w życie 25 lipca 2024 roku. Niedawno przeszła ona jednak istotną rewizję. Wprowadził ją opublikowany 26 lutego 2026 roku pakiet Omnibus I, który wszedł w życie 18 marca 2026 roku. Nowe przepisy nakazują podmiotom identyfikować, zapobiegać, a także naprawiać negatywne skutki działalności w obszarze praw człowieka i ochrony środowiska. Ta odpowiedzialność korporacyjna dotyczy operacji własnych, spółek zależnych oraz całego łańcucha działań partnerów biznesowych. Nowe prawo zmienia dobrowolną społeczną odpowiedzialność biznesu w bezwzględny obowiązek. Regulacja ta bezpośrednio operacjonalizuje międzynarodowe standardy, takie jak Wytyczne ONZ (UNGPs), sześciokrokowy proces due diligence OECD oraz Trójstronną Deklarację MOP, nadając im moc prawną na poziomie unijnym.

Kogo obejmują nowe przepisy po rewizji Omnibus I

Proces legislacyjny charakteryzował się dużą zmiennością. Po burzliwych negocjacjach unijnych wprowadzono zmiany, które znacząco podniosły progi objęcia nowymi obowiązkami. Pakiet Omnibus I podniósł te limity z tysiąca pracowników i 450 milionów euro obrotu do 5000 pracowników oraz 1,5 miliarda euro obrotu netto rocznie. Zmiana ta drastycznie zawęziła grupę podmiotów podlegających bezpośrednio pod przepisy dyrektywy.

Według analizy SOMO z aktualizacji w kwietniu 2026 roku, w zasięgu przepisów pozostaje obecnie zaledwie 974 grup kapitałowych z siedzibą w Unii Europejskiej. Oznacza to spadek aż o 71% w stosunku do pierwotnych założeń. Łącznie z podmiotami spoza wspólnoty system zidentyfikował 1447 grup kapitałowych. Struktura geograficzna prezentuje się niezwykle nierówno. W Niemczech przepisy dotyczą 280 grup, we Francji to 153 podmioty, we Włoszech 85, a w Holandii 77. Cztery kraje unijne nie posiadają ani jednej firmy spełniającej te kryteria. Obowiązki te obejmą jednak również globalne koncerny spoza UE generujące obrót powyżej 1,5 miliarda euro na rynku unijnym, co zmusi korporacje z USA (przodujące ze 182 grupami), Japonii czy Szwajcarii do wdrożenia procedur w skali światowej.

Należyta staranność w sześciu krokach

Wdrożenie unijnych standardów opiera się bezpośrednio na sześciostopniowym modelu OECD. Pierwszym etapem jest integracja due diligence z wewnętrznymi politykami oraz systemami zarządzania. Dokument ten musi zawierać deklarację przestrzegania praw człowieka, kodeks postępowania dla pracowników i kontrahentów oraz opisy procesów monitorowania. Wymaga on także aktualizacji co 24 miesiące lub po wystąpieniu istotnych zmian rynkowych, takich jak wejście na rynek wysokiego ryzyka.

Kolejne kroki procesu wyglądają następująco:

• Identyfikacja i ocena rzeczywistych oraz potencjalnych negatywnych skutków. Po rewizji Omnibus I pogłębione mapowanie opiera się na analizie ryzyka (risk-based approach). Jest ono wymagane tylko tam, gdzie istnieją obiektywnie weryfikowalne informacje o negatywnych skutkach, co zastąpiło pełne mapowanie każdego ogniwa.
• Zapobieganie, powstrzymywanie i minimalizacja zagrożeń poprzez konkretne środki zaradcze. Zaliczają się do nich plany naprawcze, audyty dostawców oraz zapewnienia umowne od bezpośrednich partnerów zawierające klauzuly kaskadowe (cascading clauses).
• Regularny monitoring skuteczności wdrożonych procedur poprzez okresowe przeglądy i korekty.
• Transparentna komunikacja publiczna w formie rocznego oświadczenia na stronie internetowej, które będzie obowiązkowe od stycznia 2030 roku.
• Zapewnienie powszechnie dostępnego mechanizmu skargowego dla osób i społeczności dotkniętych negatywnymi skutkami działalności firmy.

Samo zawarcie klauzul nie zwalnia z odpowiedzialności, ponieważ firma musi wykazać faktyczne działania. Wykrywanie naruszeń ułatwia automatyzacja raportowania integrująca wymogi CSRD oraz CSDDD, co redukuje powielanie pracy. Nowoczesne technologie, takie jak sztuczna inteligencja, big data analizujące media i raporty NGO, blockchain oraz geolokalizacja, umożliwiają sprawne śledzenie pochodzenia surowców i monitorowanie dostawców w czasie rzeczywistym.

Chronione prawa człowieka i ekologia

Załącznik dyrektywy precyzyjnie definiuje katalog chronionych dóbr. W obszarze praw człowieka w biznesie przepisy bezwzględnie wskazują na zakaz pracy przymusowej oraz pracy dzieci. Gwarantują prawo do bezpiecznych warunków pracy, godziwego wynagrodzenia, wolności zrzeszania się, rokowań zbiorowych oraz zakazują wszelkiej dyskryminacji. Chronione są także prawa ludności rdzennej.

W sferze ekologicznej przepisy przeciwdziałają zanieczyszczeniu powietrza, wody i gleby. Obejmują one również niewłaściwe gospodarowanie odpadami, wylesianie, utratę bioróżnorodności, degradację ekosystemów oraz stosowanie substancji szkodliwych, w tym rtęci i trwałych zanieczyszczeń organicznych. Warto zauważyć istotną lukę, jaką jest brak bezpośredniego odniesienia do emisji gazów cieplarnianych. Co więcej, pakiet Omnibus I całkowicie usunął z CSDDD obowiązek opracowania planu transformacji klimatycznej (transition plan). Obowiązek raportowania takich planów zachowano jedynie w ramach standardów ESRS, o ile firma taki plan w ogóle posiada.

Zasięg odpowiedzialności w łańcuchu działań

Dyrektywa wprowadza specyficzne pojęcie określane jako łańcuch działań (chain of activities), które odbiega od potocznego rozumienia. W obszarze upstream, czyli działań „w górę” łańcucha, odpowiedzialność korporacyjna ma pełny charakter. Obejmuje projektowanie, wydobycie, pozyskiwanie, wytwarzanie, transport, przechowywanie oraz dostarczanie surowców i komponentów. Firmy mają prawo i obowiązek badać źródła ryzyka głęboko w strukturze, przeskakując bezpośrednich dostawców pierwszej linii (Tier 1).

W obszarze downstream, czyli działań „w dół”, przepisy są znacznie bardziej restrykcyjne. Odpowiedzialność obejmuje wyłącznie dystrybucję, transport i przechowywanie produktu, i to tylko gdy partner biznesowy realizuje te działania dla firmy lub w jej imieniu. Utylizacja towarów po sprzedaży oraz usługi zostały całkowicie wyłączone z tego obowiązku. Sektor finansowy podlega regulacjom wyłącznie w zakresie upstream. Oznacza to całkowite wyłączenie z due diligence ich klientów oraz działalności inwestycyjnej. Co ważne, pakiet Omnibus I usunął klauzulę przeglądową, która miała w przyszłości rozszerzyć te obowiązki na downstream sektora finansowego.

System sankcji i egzekwowanie przepisów

Nadzór nad przestrzeganiem prawa opiera się na organach administracyjnych wyznaczonych przez poszczególne państwa członkowskie. Organy te zyskają uprawnienia do prowadzenia postępowań, wydawania nakazów i nakładania kar. Koordynację na poziomie wspólnoty zapewni Europejska Sieć Organów Nadzorczych. Rewizja Omnibus I zmieniła jednak strukturę kar, obniżając przewidywaną maksymalną sankcję finansową z co najmniej 5 do około 3 procent obrotu netto na rynku światowym.

Unijny, zharmonizowany reżim odpowiedzialności cywilnej został mocno rozmontowany przez pakiet Omnibus I. Usunięto z projektu wspólną unijną podstawę roszczeń, prawo organizacji pozarządowych i związków zawodowych do wnoszenia powództw reprezentacyjnych oraz przepis o nadrzędnym charakterze tych norm w kolizji z prawem państw trzecich. Poszkodowani mogą dochodzić odszkodowań wyłącznie na mocy przepisów krajowych, bez ułatwień dowodowych i regulacji kosztów na poziomie UE. Powtarzające się naruszenia grożą również wykluczeniem z zamówień publicznych. Analizy wskazują, że na kontrole i pozwy ze strony NGO najbardziej narażone będą branże odzieżowa, wydobywcza oraz motoryzacyjna. Pomoc dla biznesu w postaci helpdesków i portali informacyjnych mają oferować Komisja Europejska oraz państwa członkowskie.

Jak przygotować przedsiębiorstwo do nowych wyzwań

Chociaż formalne stosowanie przepisów dla objętych podmiotów rozpocznie się dopiero w 2029 roku, budowa skutecznego systemu to proces wieloletni. Pierwszym krokiem powinna być rzetelna ocena luk (gap assessment), która wykaże różnice między obecnymi procedurami a wymogami CSDDD. Równie ważna jest ocena istotności (saliency assessment), pomagająca zidentyfikować priorytetowe, nienegocjowalne ryzyka wymagające natychmiastowej reakcji.

Warto pamiętać, że polski projekt ustawy wdrażającej dyrektywę planowany jest na okres między drugim a czwartym kwartałem 2026 roku. Strategia przygotowań musi objąć także wdrożenie mechanizmu skargowego oraz budowę zróżnicowanego systemu nadzoru dostawców (od self-assessmentu po audyty). Typowym błędem firm jest izolowanie procedur należytej staranności od ogólnej strategii biznesowej i zarządzania na poziomie zarządu.

Nawet średnie przedsiębiorstwa, które nie spełniają progów wielkościowych, odczują te zmiany jako partnerzy biznesowi. Duże koncerny europejskie przeniosą te obowiązki na swoich kontrahentów w ramach efektu kaskadowego. Sprawi to, że bezpieczny łańcuch dostaw oraz spójna komunikacja ESG budująca wspólną tożsamość staną się warunkiem koniecznym do utrzymania kontraktów przez polskich dostawców i podwykonawców.

Przeczytaj także: Ryzyko klimatyczne a kryzys na rynku ubezpieczeń

Opracowanie na podstawie: akademiaesg.pl

Last Updated on 8 czerwca, 2026 by Karolina Bandulet