Gilt die CSRD-Berichtspflicht für KMU?

Wer berichtspflichtig ist

Die Corporate Sustainability Reporting Directive (CSRD) trifft KMU nicht. Die Omnibus-Richtlinie (EU) 2026/470 hat den Anwendungsbereich zusammengezogen. Sie ist seit dem 18. März 2026 in Kraft, die Mitgliedstaaten müssen sie bis zum 19. März 2027 umsetzen. Die Pflicht läuft gestaffelt:

• Erste Welle, Geschäftsjahre 2024 bis 2026, erster Fall: große Unternehmen von öffentlichem Interesse mit durchschnittlich mehr als 500 Beschäftigten. Unternehmen von öffentlichem Interesse sind nicht nur börsennotierte Firmen. Dazu zählen auch Kreditinstitute und Versicherungsunternehmen.

• Erste Welle, zweiter Fall: Unternehmen von öffentlichem Interesse, die Mutterunternehmen einer großen Gruppe sind und bei denen die Gruppe auf konsolidierter Basis im Jahresdurchschnitt mehr als 500 Beschäftigte hat. Hier zählt die Zahl der Gruppe. Das Mutterunternehmen muss dafür weder selbst groß sein noch selbst mehr als 500 Beschäftigte haben.

• Für die Geschäftsjahre 2025 und 2026 dürfen die Mitgliedstaaten Unternehmen befreien, die die neue Schwelle nicht erreichen.

• Geschäftsjahre ab 2027: nur Unternehmen mit mehr als 450 Mio. Euro Nettoumsatz UND durchschnittlich mehr als 1.000 Beschäftigten. Beide Schwellen müssen zusammen überschritten sein, die Bilanzsumme zählt nicht mehr.

• Achtung bei Konzernen: Dieselbe Grenze gilt konsolidiert für die Gruppe. Ein Mutterunternehmen kann also berichtspflichtig sein, obwohl es allein darunter liegt. „Mittelstand“ allein befreit dich nicht.

• Kapitalmarktorientierte KMU sind ganz aus dem Anwendungsbereich gestrichen. Die früher geplante Welle für sie entfällt.

• Geschäftsjahre ab 2028: Drittlandsunternehmen, die in den beiden letzten aufeinanderfolgenden Geschäftsjahren jeweils mehr als 450 Mio. Euro Umsatz in der EU gemacht haben, über ihre EU-Tochter mit mehr als 200 Mio. Euro Umsatz. Gibt es keine solche Tochter, greift die Regel für eine Zweigniederlassung dieser Größe.

Stand in Deutschland

Das CSRD-Umsetzungsgesetz ist nicht in Kraft. Deshalb gelten die alten HGB-Regeln weiter: die nichtfinanzielle Erklärung für große kapitalmarktorientierte Kapitalgesellschaften (§ 289b HGB), für große Kreditinstitute (§ 340a Abs. 1a HGB) und für große Versicherungsunternehmen (§ 341a Abs. 1a HGB), jeweils ab mehr als 500 Arbeitnehmern. Für ein KMU greift keine dieser Pflichten.

Deine Obergrenze in der Lieferkette

Hier liegt der Hebel, der für KMU wirklich zählt. Als geschütztes Unternehmen gilt, wer in der Wertschöpfungskette eines berichtspflichtigen Unternehmens steht und im Schnitt nicht mehr als 1.000 Beschäftigte hat:

• Die Obergrenze umfasst nur die Datenpunkte aus Anhang II der Del. VO (EU) 2026/1560. Das ist eine Auswahl aus dem Basis- und aus dem Zusatzmodul, gestaffelt nach Unternehmen mit bis zu zehn und mit mehr als zehn Beschäftigten. Sie ist also weder der ganze freiwillige Standard noch einfach das Basismodul.

• Diese Obergrenze gilt erst für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen.

• Das Recht, mehr abzulehnen, und die Unwirksamkeit entgegenstehender Vertragsbestimmungen stehen in der Richtlinie. Beides wirkt erst über das deutsche Umsetzungsgesetz, das noch fehlt. Frist dafür ist der 19. März 2027.

• Geschützt sind nur Anfragen, die der CSRD-Berichterstattung deines Kunden dienen. Fragt er Daten für Sorgfaltspflichten, für sein Risikomanagement oder aufgrund anderer Gesetze ab, hilft die Obergrenze nicht.

• Zur Größe genügt deine Selbsterklärung. Dein Kunde muss sie nicht prüfen. Er darf sich aber nicht auf sie verlassen, wenn er ihre Unrichtigkeit kannte oder kennen musste.

Der freiwillige EU-Standard

Die Del. VO (EU) 2026/1560 legt den freiwilligen Standard fest. Er stützt sich auf den VSME-Standard und bleibt modular: ein Basismodul mit den Angaben B1 bis B11 und ein Zusatzmodul für Banken, Investoren und Firmenkunden. Freiwillig anwenden kannst du ihn seit dem 24. September 2026. Nur die Regel zur Obergrenze gilt erst für Geschäftsjahre ab 2027. Verwechsle den Standard nicht mit der Obergrenze: Die Obergrenze ist die kürzere Liste in Anhang II.

Was berichtet werden muss (ESRS)

Die European Sustainability Reporting Standards definieren 12 Standards:

• ESRS 1 + 2: allgemeine Anforderungen + übergreifende Offenlegungen.

• ESRS E1-E5: Umwelt (Klima, Verschmutzung, Wasser, Biodiversität, Ressourcen).

• ESRS S1-S4: Soziales (eigene Belegschaft, Wertschöpfungskette, betroffene Communities, Verbraucher).

• ESRS G1: Unternehmensführung.

• Für Geschäftsjahre ab 2027 gilt die überarbeitete Fassung (Del. VO (EU) 2026/1563) mit weniger Datenpunkten.

• Welche Themen berichtet werden, entscheidet die Wesentlichkeit. Die ESRS begründen keine eigene Lieferketten-Sorgfaltspflicht.

Doppelte Materialität

Kern-Konzept: Unternehmen müssen nicht nur über Auswirkungen AUF sich berichten (Outside-In, klassisch), sondern auch über Auswirkungen VON sich auf Umwelt + Gesellschaft (Inside-Out). Diese doppelte Perspektive bleibt auch in den überarbeiteten ESRS der Kern.

Was du jetzt tun solltest

• Lieferketten-Inventur: welche Nachhaltigkeits-Daten fragt wer bei dir ab?

• Jede Anfrage gegen Anhang II der Del. VO (EU) 2026/1560 spiegeln und Mehrforderungen kennzeichnen.

• Laufende Verträge auf ESG-Datenklauseln prüfen, die über diese Liste hinausgehen.

• Die Kennzahlen aus Anhang II einmal sauber erheben, zum Beispiel Energieverbrauch, Treibhausgasemissionen und Beschäftigtenzahlen.

• Erst dann über ein Tool nachdenken. Für diesen Umfang reicht meist eine Tabelle.

Reporting-Tools

• EcoVadis: weit verbreitet bei Mittelstand, gute Branchen-Vergleiche.

• IntegrityNext: Fokus auf Lieferketten.

• Cority / Sphera: Enterprise-Grade.

• Excel + Beratung: KMU-tauglich für den ersten freiwilligen Bericht.

Was dir wirklich droht

Ein CSRD-Bußgeldrisiko hast du als KMU nicht, weil für dich keine Berichtspflicht besteht. In Deutschland fehlt zudem das Umsetzungsgesetz. Relevant bleibt der geschäftliche Druck: Kunden und Banken fragen ESG-Daten ab, und wer gar nichts liefern kann, fällt im Vergleich zurück.