Die CSRD ist die EU-Richtlinie zur Nachhaltigkeitsberichterstattung: Betroffene Unternehmen müssen im Lagebericht nach einheitlichen Standards (ESRS) über Umwelt, Soziales und Unternehmensführung berichten. Durch das EU-Omnibus-Paket wurden die Berichtspflichten für die zweite und dritte Welle um zwei Jahre verschoben und der Anwenderkreis deutlich verkleinert — die meisten Mittelständler sind nur indirekt über Datenanfragen ihrer Großkunden betroffen.
Kaum eine EU-Regulierung hat in den letzten Jahren so viel Verunsicherung im Mittelstand ausgelöst wie die CSRD. Erst hieß es, ab 2025 müssten auch Unternehmen ab 250 Mitarbeitenden umfangreiche Nachhaltigkeitsberichte vorlegen. Dann kam das Omnibus-Paket der EU-Kommission, verschob Fristen und stellte die Schwellenwerte neu zur Debatte. Das Ergebnis: Viele Geschäftsführungen wissen nicht mehr, ob und wann sie eigentlich betroffen sind.
Dieser Artikel bringt Ordnung hinein — mit dem Stand von September 2026. Er erklärt, was die CSRD verlangt, wer nach aktuellem Stand wann berichten muss, was durch die Omnibus-Änderungen gesichert ist und was noch im Gesetzgebungsverfahren steckt. Und er beantwortet die Frage, die für die meisten Leser entscheidend ist: Was bedeutet das alles für ein mittelständisches Unternehmen, das selbst gar nicht berichtspflichtig ist, aber Großkunden beliefert?
Was ist die CSRD?
Die Corporate Sustainability Reporting Directive — Richtlinie (EU) 2022/2464 — ist die EU-Richtlinie zur Nachhaltigkeitsberichterstattung. Sie ist seit Januar 2023 in Kraft und löst die frühere NFRD ab, die nur große kapitalmarktorientierte Unternehmen betraf. Der Kerngedanke: Nachhaltigkeitsinformationen sollen so verlässlich, vergleichbar und prüfbar werden wie Finanzzahlen.
Dafür verlangt die CSRD vier Dinge von berichtspflichtigen Unternehmen:
- Berichterstattung im Lagebericht: Der Nachhaltigkeitsbericht ist kein freiwilliges Hochglanz-PDF mehr, sondern Teil des Lageberichts im Jahresabschluss.
- Einheitliche Standards: Berichtet wird nach den European Sustainability Reporting Standards (ESRS), die Themen von Klima über Ressourcen bis zu Arbeitsbedingungen und Unternehmensführung strukturieren.
- Doppelte Wesentlichkeit: Unternehmen müssen zwei Blickrichtungen prüfen — wie Nachhaltigkeitsthemen das Unternehmen finanziell betreffen und wie das Unternehmen auf Mensch und Umwelt wirkt. Berichtet wird, was aus mindestens einer Perspektive wesentlich ist.
- Externe Prüfung: Der Bericht wird mit begrenzter Sicherheit (Limited Assurance) durch Wirtschaftsprüfer oder zugelassene Prüfer testiert.
Als EU-Richtlinie wirkt die CSRD nicht direkt, sondern muss in nationales Recht umgesetzt werden — in Deutschland durch Änderung des Handelsgesetzbuchs. Diese Umsetzung hat sich mehrfach verzögert; dazu unten mehr.
Wen die CSRD ursprünglich treffen sollte — der Zeitplan vor Omnibus
Um die aktuellen Änderungen einzuordnen, hilft der ursprüngliche Stufenplan der Richtlinie. Er sah vier Wellen vor:
| Welle | Unternehmen (ursprüngliche Kriterien) | Erstes Berichtsjahr (ursprünglich) | Stand nach Omnibus (09/2026) |
|---|---|---|---|
| 1 | Große kapitalmarktorientierte Unternehmen mit über 500 Beschäftigten (bisherige NFRD-Anwender) | Geschäftsjahr 2024, Bericht 2025 | berichtet bereits, Pflicht besteht fort |
| 2 | Alle großen Unternehmen: zwei von drei Kriterien erfüllt — über 250 Beschäftigte, über 50 Mio. Euro Umsatz, über 25 Mio. Euro Bilanzsumme | Geschäftsjahr 2025, Bericht 2026 | um zwei Jahre verschoben: frühestens Geschäftsjahr 2027, Bericht 2028; Anwenderkreis wird zusätzlich deutlich verkleinert |
| 3 | Kapitalmarktorientierte kleine und mittlere Unternehmen | Geschäftsjahr 2026, Bericht 2027 | um zwei Jahre verschoben: frühestens Geschäftsjahr 2028, Bericht 2029; Herausnahme im Gespräch |
| 4 | Außereuropäische Konzerne mit wesentlichem EU-Geschäft | Geschäftsjahr 2028, Bericht 2029 | Anpassungen im Gesetzgebungsverfahren |
Wichtig zur Einordnung: Nicht kapitalmarktorientierte Unternehmen unter 250 Beschäftigten waren zu keinem Zeitpunkt direkt berichtspflichtig — die verbreitete Sorge „CSRD trifft jeden Handwerksbetrieb" war schon vor Omnibus falsch. Für den klassischen Mittelstand war und ist die indirekte Betroffenheit über die Lieferkette der relevante Kanal.
Das Omnibus-Paket: Was gesichert ist — und was noch im Verfahren steckt
Im Februar 2025 hat die EU-Kommission mit dem sogenannten Omnibus-Paket eine deutliche Entschärfung der Nachhaltigkeitsberichtspflichten vorgeschlagen. Seither muss man zwei Ebenen auseinanderhalten.
Gesichert ist die Verschiebung: Mit der im April 2025 in Kraft getretenen „Stop-the-clock"-Richtlinie wurden die Berichtspflichten der zweiten Welle um zwei Jahre auf das Geschäftsjahr 2027 (Bericht 2028) und die der dritten Welle auf das Geschäftsjahr 2028 (Bericht 2029) verschoben. Unternehmen der ersten Welle berichten dagegen weiter.
Im Gesetzgebungsverfahren steckt die inhaltliche Reform: Kommission, Rat und Parlament verhandeln über eine deutliche Anhebung der Schwellenwerte — die Kommission schlug vor, nur noch Unternehmen mit mehr als 1.000 Beschäftigten zu erfassen, im Verlauf der Verhandlungen wurden auch höhere Werte bis 1.750 Beschäftigte sowie zusätzliche Umsatzschwellen um 450 Millionen Euro diskutiert. Parallel werden die ESRS überarbeitet mit dem erklärten Ziel, die Zahl der Pflichtdatenpunkte drastisch zu reduzieren. Die politische Richtung ist eindeutig: deutlich weniger betroffene Unternehmen, deutlich schlankere Berichte. Die endgültigen Schwellenwerte und Details sollten Sie vor konkreten Entscheidungen tagesaktuell prüfen (Stand dieses Artikels: September 2026).
Deutschland hinkt bei der Umsetzung hinterher: Die ursprüngliche Umsetzungsfrist im Juli 2024 wurde verpasst, ein erstes Umsetzungsgesetz scheiterte am Ende der damaligen Regierungskoalition. Die Umsetzung ins HGB erfolgt nun auf Basis der geänderten EU-Vorgaben. Für die Praxis heißt das: Wer seine Betroffenheit klären will, muss sowohl den EU-Stand als auch den Stand des deutschen Umsetzungsgesetzes prüfen — oder schlicht abwarten, bis beide final sind, denn vor dem Berichtsjahr 2027 passiert für neue Anwender ohnehin nichts.
Was die CSRD für nicht berichtspflichtige KMU bedeutet
Die meisten mittelständischen Unternehmen werden nach den Omnibus-Änderungen nie einen eigenen CSRD-Bericht abgeben müssen. Trotzdem kommt die Regulierung bei ihnen an — über drei Kanäle:
- Datenanfragen der Großkunden: Berichtspflichtige Konzerne müssen über ihre Wertschöpfungskette berichten, insbesondere über Treibhausgasemissionen ihrer Lieferanten. Diese Daten fragen sie per Fragebogen, Lieferantenportal oder Plattform ab. Wer nicht liefert, riskiert Nachteile bei der Lieferantenbewertung — unabhängig von jeder eigenen Rechtspflicht.
- Banken und Versicherer: Auch Finanzpartner erheben zunehmend Nachhaltigkeitsdaten für ihre eigenen Berichts- und Risikopflichten. ESG-Angaben fließen in Kreditentscheidungen ein.
- Ausschreibungen und Rahmenverträge: Nachhaltigkeitskriterien tauchen als Eignungs- oder Zuschlagskriterien auf, teils mit Verweis auf CSRD-Kategorien.
Die EU hat dieses Weiterreichen erkannt und gegengesteuert: Mit dem freiwilligen VSME-Standard existiert ein bewusst schlanker Berichtsrahmen für KMU, und die Omnibus-Vorschläge sehen vor, dass berichtspflichtige Unternehmen von kleineren Lieferanten grundsätzlich nicht mehr Informationen verlangen sollen, als dieser Standard vorsieht — ein Schutzschild gegen ausufernde Fragebögen. In der Praxis empfiehlt sich für KMU mit Konzernkunden: die häufigsten Datenpunkte — Energieverbräuche, CO₂-Bilanz der Scopes 1 und 2, Abfallmengen, Arbeitssicherheitskennzahlen — einmal sauber aufbereiten und wiederverwenden, statt jeden Fragebogen einzeln zu beantworten.
CSRD und ISO 14001: Was das Umweltmanagement beiträgt — und was nicht
Ein verbreitetes Missverständnis vorweg: Ein ISO-14001-Zertifikat ersetzt keinen CSRD-Bericht, und die CSRD verlangt kein zertifiziertes Umweltmanagementsystem. Beide Instrumente haben unterschiedliche Aufgaben — sie ergänzen sich aber an entscheidenden Stellen:
- Datenbasis: Ein gelebtes Umweltmanagementsystem erfasst genau die Kennzahlen, die CSRD-Fragebögen und Kundenanfragen abfragen — Energie, Emissionen, Wasser, Abfall — samt definierter Erhebungsprozesse. Wer das System hat, beantwortet Anfragen aus dem Bestand statt in Sonderschichten.
- Wesentlichkeitslogik: Die Bewertung der Umweltaspekte nach ISO 14001 ist methodisch ein enger Verwandter der Wesentlichkeitsanalyse — die Vorarbeit lässt sich weiterverwenden.
- Rechtskonformität: Das Rechtskataster und die Einhaltungsbewertung liefern belastbare Aussagen zur Compliance, die in Governance-Angaben einfließen.
- Glaubwürdigkeit: Ein extern auditiertes System untermauert Nachhaltigkeitsaussagen gegenüber Kunden und Banken besser als Selbstauskünfte.
Ehrlich bleibt festzuhalten: Wer ausschließlich einen formalen CSRD-Bericht braucht, braucht dafür kein Zertifikat. Und wer als KMU nur gelegentliche Kundenfragebögen erhält, kann diese auch ohne Managementsystem beantworten. Das Umweltmanagementsystem lohnt sich dort, wo ohnehin Kunden- oder Rechtsdruck besteht — die CSRD-Tauglichkeit der Daten gibt es dann als Nebeneffekt dazu.
Praktische Empfehlung: Was Mittelständler jetzt tun sollten
Aus dem aktuellen Stand ergibt sich eine klare Prioritätenfolge:
- Eigene Betroffenheit nüchtern klären: Unter 250 Beschäftigten ohne Kapitalmarktbezug besteht keine direkte Berichtspflicht — und nach den Omnibus-Beschlüssen wird die Schwelle eher deutlich steigen. Unternehmen zwischen 250 und 1.000 Beschäftigten sollten das Gesetzgebungsverfahren verfolgen, aber keine voreiligen Berichtsprojekte starten: Vor dem Geschäftsjahr 2027 ist keine neue Pflicht zu erfüllen, und der Anwenderkreis kann sich noch ändern.
- Kundenanforderungen ernster nehmen als Rechtspflichten: Die realen Fristen setzen nicht Brüssel und Berlin, sondern die Einkaufsabteilungen der Konzernkunden. Sichten Sie eingehende ESG-Fragebögen systematisch und klären Sie, welche Daten wiederkehrend verlangt werden.
- Kerndaten einmal sauber aufbauen: Energieverbräuche, CO₂-Bilanz für Scope 1 und 2, Abfall- und Wasserdaten, Arbeitssicherheitskennzahlen — dieser Datensatz beantwortet den Großteil aller Anfragen und ist in wenigen Wochen erstellt. Der freiwillige VSME-Standard bietet dafür eine sinnvolle Struktur.
- Vorhandene Systeme nutzen: Wer bereits ISO 14001 oder ISO 50001 betreibt, hat die Datengrundlage weitgehend im Haus und sollte Doppelstrukturen vermeiden — ein Datensatz, viele Verwendungen.
Kurz: Panik war gestern, Ignorieren wäre morgen falsch. Die CSRD erreicht den Mittelstand nicht als Berichtspflicht, sondern als Datenerwartung seiner Marktpartner — und darauf lässt sich mit überschaubarem Aufwand solide reagieren.
Häufige Fragen
Direkt berichtspflichtig sind nach der Verschiebung durch das Omnibus-Paket zunächst weiterhin die großen kapitalmarktorientierten Unternehmen der ersten Welle. Große Unternehmen der zweiten Welle müssen frühestens für das Geschäftsjahr 2027 berichten; parallel wird der Anwenderkreis im EU-Gesetzgebungsverfahren deutlich verkleinert — diskutiert wurden Schwellen ab 1.000 Beschäftigten. Nicht kapitalmarktorientierte Unternehmen unter 250 Beschäftigten waren nie direkt betroffen (Stand: September 2026).
Ja. Mit der im April 2025 in Kraft getretenen Stop-the-clock-Richtlinie hat die EU die Berichtspflichten der zweiten Welle um zwei Jahre auf das Geschäftsjahr 2027 mit Bericht 2028 verschoben, die der dritten Welle auf das Geschäftsjahr 2028 mit Bericht 2029. Die erste Welle berichtet unverändert weiter. Zusätzlich werden Schwellenwerte und Berichtsstandards im Omnibus-Verfahren entschärft.
Berichtspflichtige Unternehmen müssen Nachhaltigkeitsthemen aus zwei Richtungen bewerten: Erstens, welche finanziellen Chancen und Risiken Nachhaltigkeitsthemen für das Unternehmen bedeuten — etwa Klimarisiken für Standorte. Zweitens, welche Auswirkungen das Unternehmen auf Umwelt und Menschen hat — etwa Emissionen oder Arbeitsbedingungen in der Lieferkette. Berichtet werden muss über alle Themen, die aus mindestens einer der beiden Perspektiven wesentlich sind.
Die European Sustainability Reporting Standards sind die verbindlichen Berichtsstandards der CSRD. Sie gliedern die Berichterstattung in übergreifende Standards und Themenstandards zu Umwelt (unter anderem Klima, Wasser, Kreislaufwirtschaft), Sozialem und Unternehmensführung. Im Zuge des Omnibus-Pakets werden die ESRS deutlich verschlankt; erklärtes Ziel ist eine drastische Reduktion der Pflichtdatenpunkte. Für KMU existiert mit dem VSME ein freiwilliger, stark vereinfachter Standard.
Nicht kapitalmarktorientierte KMU sind nicht direkt berichtspflichtig — daran ändert auch die laufende Reform nichts, sie verkleinert den Anwenderkreis eher weiter. Relevant ist die indirekte Betroffenheit: Berichtspflichtige Großkunden, Banken und Versicherer fragen Nachhaltigkeitsdaten ab, vor allem Energieverbräuche und CO₂-Emissionen. Dafür genügt ein schlanker, wiederverwendbarer Datensatz, etwa nach dem freiwilligen VSME-Standard.
Nein. Die ISO 14001 zertifiziert ein Umweltmanagementsystem, die CSRD verlangt einen geprüften Nachhaltigkeitsbericht im Lagebericht — das eine ersetzt das andere nicht. Ein gelebtes Umweltmanagementsystem liefert aber einen Großteil der Datenbasis: Kennzahlen zu Energie, Emissionen und Abfall, eine Wesentlichkeitslogik über die Umweltaspekte und belastbare Compliance-Aussagen über das Rechtskataster. Das reduziert den Berichtsaufwand erheblich.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT