Was bedeutet die CSRD 2026 für den Mittelstand?

Was CSRD ist

Die EU-Richtlinie 2022/2464 hat die alte NFRD ersetzt und die Nachhaltigkeits-Berichterstattung zunächst stark ausgeweitet. Die Omnibus-Richtlinie (EU) 2026/470 hat diesen Kreis wieder deutlich verengt. Sie ist seit dem 18. März 2026 in Kraft. Wirksam wird sie aber erst über nationales Recht: Die Mitgliedstaaten müssen sie bis zum 19. März 2027 umsetzen. Ziel der CSRD bleibt, vergleichbare und prüfbare ESG-Informationen zu liefern.

Wer berichtspflichtig ist

• Erste Welle, Geschäftsjahre 2024 bis 2026, erster Fall: große Unternehmen von öffentlichem Interesse mit durchschnittlich mehr als 500 Beschäftigten. Unternehmen von öffentlichem Interesse sind nicht nur börsennotierte Firmen. Dazu zählen auch Kreditinstitute und Versicherungsunternehmen.

• Erste Welle, zweiter Fall: Unternehmen von öffentlichem Interesse, die Mutterunternehmen einer großen Gruppe sind und bei denen die Gruppe auf konsolidierter Basis im Jahresdurchschnitt mehr als 500 Beschäftigte hat. Hier zählt die Zahl der Gruppe. Das Mutterunternehmen muss dafür weder selbst groß sein noch selbst mehr als 500 Beschäftigte haben.

• Für die Geschäftsjahre 2025 und 2026 dürfen die Mitgliedstaaten Unternehmen befreien, die die neue Schwelle nicht erreichen.

• Geschäftsjahre ab 2027: nur Unternehmen mit mehr als 450 Mio. Euro Nettoumsatz UND durchschnittlich mehr als 1.000 Beschäftigten. Beide Schwellen müssen zusammen überschritten sein, die Bilanzsumme zählt nicht mehr.

• Achtung bei Konzernen: Dieselbe Grenze gilt konsolidiert für die Gruppe. Ein Mutterunternehmen kann also berichtspflichtig sein, obwohl es allein darunter liegt. „Mittelstand“ allein befreit dich nicht.

• Kapitalmarktorientierte KMU sind ganz aus dem Anwendungsbereich gestrichen. Die früher geplante Welle für sie entfällt.

• Geschäftsjahre ab 2028: Drittlandsunternehmen, die in den beiden letzten aufeinanderfolgenden Geschäftsjahren jeweils mehr als 450 Mio. Euro Umsatz in der EU gemacht haben, über ihre EU-Tochter mit mehr als 200 Mio. Euro Umsatz. Gibt es keine solche Tochter, greift die Regel für eine Zweigniederlassung dieser Größe.

Stand in Deutschland

Das deutsche CSRD-Umsetzungsgesetz ist noch nicht in Kraft. Bis dahin gelten die alten Regeln weiter, und die können dich treffen, obwohl die neuen CSRD-Schwellen viel höher liegen. Zur nichtfinanziellen Erklärung verpflichtet sind heute: große kapitalmarktorientierte Kapitalgesellschaften mit mehr als 500 Arbeitnehmern (§ 289b HGB), große Kreditinstitute mit mehr als 500 Arbeitnehmern (§ 340a Abs. 1a HGB) und große Versicherungsunternehmen mit mehr als 500 Arbeitnehmern (§ 341a Abs. 1a HGB). Bei Banken und Versicherern kommt es dabei nicht auf eine Börsennotierung an.

Inhaltliche Anforderungen (ESRS)

• Umwelt: Klima (E1), Verschmutzung (E2), Wasser (E3), Biodiversität (E4), Kreislauf (E5).

• Soziales: Eigene Belegschaft (S1), Wertschöpfungs-Kette-Beschäftigte (S2), Gemeinwesen (S3), Konsumenten (S4).

• Governance: Geschäftsgebaren (G1).

• Querschnitt: Strategie + Governance + Wesentlichkeit (ESRS 1+2).

• Für Geschäftsjahre ab 2027 gilt die überarbeitete Fassung der ESRS (Del. VO (EU) 2026/1563). Sie hat weniger Datenpunkte und trennt verpflichtende und freiwillige Angaben klarer. Die zwölf Standards bleiben.

• Welche Themen in den Bericht kommen, entscheidet die Wesentlichkeit. Vorgeschriebene Angaben, die nicht wesentlich sind, darfst du grundsätzlich nicht berichten. Zusätzliche Angaben sind unter den Voraussetzungen von ESRS 1 Abschnitt 8.2 Nr. 107 bis 109 zulässig: etwa aus anderen Rechtsvorschriften, aus anerkannten Rahmenwerken oder für den Informationsbedarf bestimmter Nutzer. Du musst sie als Angaben außerhalb der Wesentlichkeitsbewertung kennzeichnen, wahrheitsgetreu darstellen und darfst damit keine wesentlichen Informationen verschleiern.

Doppelte Wesentlichkeit

Bericht muss nach 2 Achsen erfolgen: Auswirkungen des Unternehmens auf Umwelt + Mensch (Impact) UND finanzielle Auswirkungen von Nachhaltigkeit auf das Unternehmen (Risiken + Chancen). Beide Sichten sind verpflichtend.

Prüfung + Testat

• Begrenzte Prüfungssicherheit (limited assurance) ist Pflicht. Der Wirtschaftsprüfer bestätigt mit eingeschränkter Sicherheit.

• Der geplante Wechsel auf hinreichende Prüfungssicherheit (reasonable assurance) ist mit dem Omnibus gestrichen.

• Der Lagebericht entsteht im XHTML-Format. Auszeichnungen werden darin mit Inline XBRL eingebettet.

• Für die Nachhaltigkeitsangaben greift die Auszeichnungspflicht erst, wenn die EU die Regeln dafür erlassen hat.

• Die Angaben stehen im Lagebericht. Ein Stand-alone-Bericht ist nicht mehr vorgesehen.

Wenn du nicht berichtspflichtig bist

Dann erreicht dich die CSRD über deine Kunden. Dafür hat die EU eine Obergrenze eingeführt. Du musst aber wissen, was sie umfasst und ab wann sie greift.

• Geschützt sind Unternehmen in der Wertschöpfungskette mit durchschnittlich nicht mehr als 1.000 Beschäftigten.

• Die Obergrenze umfasst nur die Datenpunkte aus Anhang II der Del. VO (EU) 2026/1560. Das ist eine Auswahl aus dem Basis- und aus dem Zusatzmodul, gestaffelt nach Unternehmen mit bis zu zehn und mit mehr als zehn Beschäftigten. Sie ist also weder der ganze freiwillige Standard noch einfach das Basismodul.

• Diese Obergrenze gilt erst für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen.

• Das Recht, mehr abzulehnen, und die Unwirksamkeit entgegenstehender Vertragsbestimmungen stehen in der Richtlinie. Beides wirkt erst über das deutsche Umsetzungsgesetz, das noch fehlt. Frist dafür ist der 19. März 2027.

• Geschützt sind nur Anfragen, die der CSRD-Berichterstattung deines Kunden dienen. Fragt er Daten für Sorgfaltspflichten, für sein Risikomanagement oder aufgrund anderer Gesetze ab, hilft die Obergrenze nicht.

• Zur Größe genügt deine Selbsterklärung. Dein Kunde muss sie nicht prüfen. Er darf sich aber nicht auf sie verlassen, wenn er ihre Unrichtigkeit kannte oder kennen musste.

• Freiwillig berichten kannst du schon heute nach dem EU-Standard aus der Del. VO (EU) 2026/1560. Er ist seit 24. September 2026 anwendbar und hat ein Basismodul und ein Zusatzmodul.

Was Mittelstand jetzt tun sollte

• Betroffenheit auf beiden Ebenen prüfen, im eigenen Unternehmen und in der Gruppe. Mehr als 450 Mio. Euro Umsatz UND mehr als 1.000 Beschäftigte? Dann prüfe die mögliche Berichtspflicht und zugleich die Konzernbefreiungen. Wer als Tochterunternehmen in den konsolidierten Lagebericht eines Mutterunternehmens einbezogen ist, kann befreit sein.

• Die heutigen HGB-Pflichten getrennt davon prüfen. Sie gelten weiter, solange das Umsetzungsgesetz fehlt.

• Kunden-Anfragen sammeln und gegen Anhang II der Del. VO (EU) 2026/1560 spiegeln.

• Daten-Erhebung aufbauen, vor allem Scope-1/2-Emissionen, MA-Kennzahlen, Lieferkette.

• Wenn du nach den ESRS berichtest, brauchst du eine Bewertung der doppelten Wesentlichkeit. Sie ist die Grundlage jedes ESRS-Berichts, ob verpflichtend oder freiwillig. Der freiwillige EU-Standard verlangt sie nicht. Er arbeitet stattdessen mit Modulen und mit Angaben, die nur bei Zutreffen fällig werden.

• Software erst wählen, wenn der Datenbedarf klar ist. Für den Anfang reicht meist eine saubere Tabelle.

Anti-Patterns

• Pflicht annehmen, ohne Einzel- und Gruppenschwelle geprüft zu haben.

• Die heutigen HGB-Pflichten mit der künftigen CSRD-Pflicht verwechseln.

• Sich jetzt schon auf das Ablehnungsrecht berufen, obwohl die Umsetzung fehlt.

• Jeden Kunden-Fragebogen vollständig ausfüllen, ohne ihn gegen Anhang II zu prüfen.

• Nur Compliance-Sicht. Damit verschenkst du die Chance zur Differenzierung.

• Niemand verantwortlich. Dann sind die Daten am Ende nicht belegbar.