ESRS nach dem Omnibus: was für nicht berichtspflichtige Mittelständler gilt

„Wir sind gar nicht berichtspflichtig. Warum schickt uns unser größter Kunde trotzdem eine Excel mit ESRS-Datenpunkten und einer Frist?“ Solche Mails landen bei uns regelmäßig, seit dem Omnibus eher häufiger als seltener. Der Absender hat in der Sache recht. Berichtspflichtig ist er nicht. Die Anfrage ist trotzdem echt, und die Frist steht.

An dieser Stelle haben sich viele Mittelständler zu früh beruhigt. Die Berichtspflicht fällt für die allermeisten Unternehmen tatsächlich weg, und der Omnibus legt sogar ein Ablehnungsrecht gegenüber datenhungrigen Kunden an. Nur greift dieses Recht frühestens 2027. Und selbst dann nicht dort, wo die meisten Anfragen herkommen: im Einkauf Ihres Kunden.

Stand dieses Beitrags ist Ende September 2026. Die beiden delegierten Rechtsakte vom 3. Juli 2026 zu den überarbeiteten ESRS und zum freiwilligen Standard haben das Einspruchsverfahren von Parlament und Rat passiert und stehen seit dem 21. September 2026 im Amtsblatt. Die deutsche Umsetzung der CSRD steht dagegen weiter aus.

Was seit dem 18. März 2026 auf EU-Ebene gilt

Der Omnibus I ist geltendes EU-Recht: Richtlinie (EU) 2026/470, veröffentlicht am 26. Februar 2026 im Amtsblatt, in Kraft seit dem 18. März 2026. Sie ändert mehrere Rechtsakte auf einmal, darunter die Bilanzrichtlinie 2013/34/EU, die CSRD (Richtlinie (EU) 2022/2464) und die Lieferkettenrichtlinie CSDDD (Richtlinie (EU) 2024/1760).

Eine Richtlinie wirkt nicht unmittelbar. Die Mitgliedstaaten müssen die CSRD-Änderungen bis zum 19. März 2027 in nationales Recht überführen, die CSDDD-Änderungen bis zum 26. Juli 2028. Bis dahin gilt in jedem Land das, was dort im Gesetzbuch steht. Und das ist nicht überall dasselbe.

Die neuen Schwellenwerte, konkret

Berichtspflichtig nach CSRD ist künftig nur noch, wer mehr als 1.000 Beschäftigte im Jahresdurchschnitt und mehr als 450 Millionen Euro Nettoumsatz erreicht. Beides zusammen, nicht wahlweise. Im Verfahren standen zwischenzeitlich 1.750 Beschäftigte im Raum; durchgesetzt hat sich die niedrigere Kopfzahl in Kombination mit der Umsatzhürde.

Kapitalmarktorientierte KMU sind vollständig raus. Für Konzerne aus Drittstaaten liegt die Schwelle bei 450 Millionen Euro EU-Umsatz auf Gruppenebene, mit 200 Millionen Euro für die einzelne EU-Tochter oder Zweigniederlassung. Die Kommission rechnet damit, dass rund 80 Prozent der ursprünglich erfassten Unternehmen herausfallen.

Die neuen Schwellen gelten für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen; die ersten Berichte nach dieser Fassung erscheinen 2028. Daraus folgt aber nicht, dass bis dahin Ruhe ist. Die bereits erfassten Großunternehmen der ersten Welle berichten weiter, also für 2025 und 2026, sofern ihr Mitgliedstaat die im Omnibus vorgesehene Übergangsbefreiung nicht nutzt. Deshalb landen die Datenabfragen schon heute bei Ihnen und nicht erst 2028.

Bei der CSDDD ist der Schnitt noch tiefer. Sie greift erst ab 5.000 Beschäftigten und 1,5 Milliarden Euro weltweitem Nettoumsatz, die Anwendung ist auf den 26. Juli 2029 verschoben. Gestrichen wurden außerdem die EU-weit harmonisierte zivilrechtliche Haftung und die Pflicht zum Klimatransformationsplan insgesamt: Artikel 22 CSDDD ist vollständig entfallen, also auch die Pflicht, einen solchen Plan überhaupt aufzustellen. Bestehen bleibt nur die Berichterstattung über einen vorhandenen Plan, und die läuft über die CSRD. Die Sorgfaltsprüfung selbst ist jetzt risikobasiert: erst ein grobes Scoping mit vernünftigerweise verfügbaren Informationen, vertieft wird nur dort, wo die Risiken sitzen.

Die ESRS sind kürzer geworden und stehen jetzt im Amtsblatt

Am 3. Juli 2026 hat die Kommission den delegierten Rechtsakt mit den überarbeiteten ESRS angenommen. Er ändert die bisherige Delegierte Verordnung (EU) 2023/2772. Die Zahl der verpflichtenden Datenpunkte sinkt um über 60 Prozent, die Gesamtzahl um über 70 Prozent, weil zusätzlich sämtliche freiwilligen Datenpunkte gestrichen wurden. Die doppelte Wesentlichkeit bleibt, darf aber nun auch top-down hergeleitet werden. Sektorspezifische ESRS wird es nicht geben, das Mandat der Kommission dafür ist entfallen. Bei der Prüfung bleibt es dauerhaft bei begrenzter Prüfungssicherheit.

Inzwischen ist der Rechtsakt endgültig. Parlament und Rat hätten ihn im Einspruchsverfahren nur vollständig ablehnen, nicht nachbessern können, einen Widerspruch gab es nicht. Am 21. September 2026 erschien er als Delegierte Verordnung (EU) 2026/1563 im Amtsblatt. In Kraft tritt er am 10. November 2026, anzuwenden ist er auf Geschäftsjahre ab dem 1. Januar 2027. Für Geschäftsjahre, die 2026 beginnen, haben berichtspflichtige Unternehmen die Wahl: die bisherigen ESRS, die neuen oder die bisherigen mit einzelnen Erleichterungen aus der Neufassung (Artikel 2 der Verordnung).

Der Value Chain Cap, Ihr künftiges Recht auf ein Nein

Für Zulieferer ist das die eigentliche Neuerung. Der Omnibus hat in die Bilanzrichtlinie 2013/34/EU (Artikel 19a und 29a, die die CSRD seinerzeit neu gefasst hat) eine Obergrenze für Datenabfragen eingezogen, den Value Chain Cap. Ein berichtspflichtiger Kunde darf von Geschäftspartnern mit 1.000 oder weniger Beschäftigten nicht mehr Nachhaltigkeitsinformationen verlangen, als der freiwillige Berichtsstandard dafür vorsieht. Fragt er mehr ab, muss er kennzeichnen, dass er den Cap überschreitet, und auf das Ablehnungsrecht hinweisen.

Der Haken gleich vorweg: Das ist Richtlinienrecht mit Umsetzungsfrist. Heute können Sie sich darauf noch nicht berufen. Warum nicht, steht weiter unten.

Den freiwilligen Standard hat die Kommission am selben 3. Juli 2026 als zweiten delegierten Rechtsakt angenommen: den Voluntary Standard (VS), aufgesetzt auf dem von EFRAG entwickelten VSME. Am 21. September 2026 erschien er als Delegierte Verordnung (EU) 2026/1560 im Amtsblatt, seit dem 24. September 2026 ist er in Kraft. Er richtet sich an alle Unternehmen bis 1.000 Beschäftigte, börsennotiert oder nicht, und behält die Zweiteilung in Basismodul und Zusatzmodul, im VSME noch „umfassendes Modul“ genannt. In den Cap fallen nur die Pflichtangaben, die Anhang II der Verordnung auflistet. Was der Standard nur unter bestimmten Umständen verlangt oder als freiwillig führt, ist nicht gedeckt. Für Betriebe mit zehn oder weniger Beschäftigten sind zusätzliche Angaben auf freiwillig herabgestuft, entsprechend kürzer ist ihre Liste.

Wie sich VSME, CSRD und EcoVadis zueinander verhalten, haben wir in einem eigenen Beitrag zu CSRD, VSME und EcoVadis auseinandergezogen. An der Grundlogik hat der Omnibus nichts geändert, an den Zahlen dahinter sehr viel.

Wo der Cap nicht hilft

Hier wird es unangenehm. Der Cap gilt ausschließlich für Abfragen, die ein Kunde zur Erfüllung seiner eigenen CSRD-Berichtspflicht stellt. Für andere Zwecke gilt er nicht, das hat die Kommission am 6. Mai 2026 in einer eigenen Erläuterung noch einmal ausdrücklich festgehalten. Dazu kommen Ausnahmen für Informationen, die in einer Branche ohnehin üblicherweise geteilt werden, für andere gesetzliche Pflichten und für produktbezogene Vorgaben.

In Ihren Alltag übersetzt: Ein Einkäufer, der eine EcoVadis-Bewertung verlangt, beruft sich nicht auf die CSRD. Er betreibt Lieferantenmanagement. Er darf das in den Rahmenvertrag schreiben, an die Lieferantenfreigabe koppeln oder zum Zuschlagskriterium in der nächsten Ausschreibung machen. Der Value Chain Cap steht dem nicht entgegen, heute nicht und 2027 auch nicht. Und ein Kunde, der durch den Omnibus selbst unter die Schwelle gerutscht ist, darf es genauso, weil er die Anforderung gar nicht aus einer Pflicht ableitet, sondern aus seiner Marktposition.

Was in Deutschland noch offen ist

Nach dem Stand, den wir für diesen Artikel belegen konnten, hat Deutschland die CSRD noch nicht umgesetzt. Formal gilt weiter das CSR-RUG von 2017. Die Umsetzungsfrist lief am 6. Juli 2024 ab; die Kommission hat daraufhin am 26. September 2024 ein Vertragsverletzungsverfahren gegen Deutschland eröffnet. Der Regierungsentwurf des CSRD-Umsetzungsgesetzes liegt seit dem 3. September 2025 vor, am 13. April 2026 fand die öffentliche Anhörung im Rechtsausschuss statt, samt Änderungsantrag, der die neuen Schwellen ab dem Geschäftsjahr 2027 nachzieht und den Value Chain Cap als § 289c HGB-E ins deutsche Recht holt, ebenfalls ab 2027. Laut der Parlamentsdatenbank DIP ist der Entwurf (Bundestagsdrucksache 21/1857) seit der ersten Lesung am 9. Oktober 2025 an die Ausschüsse überwiesen, zweite und dritte Lesung standen Ende September 2026 weiter aus. Prüfen Sie den Stand, bevor Sie eine Entscheidung darauf stützen.

Ähnlich beweglich ist das Lieferkettensorgfaltspflichtengesetz. Die jährliche Berichtspflicht soll entfallen, die Sorgfaltspflichten selbst bleiben bestehen, Bußgelder soll es nur noch bei schweren Verstößen geben. Auch dieses Vorhaben steckt im parlamentarischen Verfahren. Wer heute in Lieferantenverträgen auf LkSG-Klauseln trifft, sollte deshalb genau lesen, worauf sich die Klausel bezieht.

Warum die Fragen trotzdem kommen

Der Einkauf braucht seine Lieferantendaten unabhängig davon, was in Brüssel beschlossen wird. Bankenratings, Konzernvorgaben, Ausschreibungsbedingungen und die eigene Risikoabsicherung laufen weiter. In unseren Projekten ist der häufigste Auslöser kein Gesetz, sondern eine Mail mit dem Betreff „Lieferantenbewertung“ und einem Link zu EcoVadis.

Dabei lohnt eine Unterscheidung, die im Alltag ständig verrutscht: EcoVadis ist ein Rating, keine Zertifizierung nach einer Norm. Ein Audit vor Ort gehört nicht zum regulären Verfahren, und es gibt keinen Prüfer, der Ihnen einen Prozess bescheinigt. Bewertet werden vor allem die Nachweise, die Sie einreichen, ergänzt um öffentliche Quellen wie Medienberichte und NGO-Veröffentlichungen, die EcoVadis über den sogenannten 360° Watch auswertet. Eine gelebte Praxis ohne Dokument bringt null Punkte. Eine Richtlinie mit Datum, Unterschrift und Geltungsbereich bringt welche. Was genau in die vier Themenfelder einfließt, haben wir unter was EcoVadis bewertet aufgeschlüsselt, und die Begriffe aus den Fragebögen stehen im EcoVadis-Glossar.

Der Omnibus nimmt dem Mittelstand also die Berichtspflicht ab, nicht den Nachweis gegenüber Kunden. Wer den Aufwand einmal sauber aufsetzt, bedient damit mehrere Kanäle: den VS-Bericht für datenhungrige Kunden, die EcoVadis-Einreichung für den Einkauf, die üblichen Bankfragebögen. Drei Kanäle, eine Datenbasis. Wo Bauunternehmen dabei typischerweise punkten und wo sie Punkte liegen lassen, steht in unserem Beitrag zur Bauwirtschaft.

Was Sie in den nächsten Wochen tun können

Wenn eine Anfrage auf dem Tisch liegt, klären Sie drei Dinge, bevor Sie anfangen zu sammeln.

Erstens: Fragt der Kunde für seine CSRD-Berichterstattung oder für sein Lieferantenmanagement? Nur im ersten Fall wird der Cap überhaupt je relevant.

Zweitens: Liegen Sie selbst bei 1.000 Beschäftigten oder darunter? Dann fallen Sie unter den Cap, allerdings erst, wenn er greift. Das ist noch nicht der Fall. Die CSRD-Änderungen sind bis zum 19. März 2027 in deutsches Recht umzusetzen und gelten für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen; der Änderungsantrag zum CSRD-Umsetzungsgesetz sieht den Cap entsprechend ab 2027 vor. Der Voluntary Standard, auf den der Cap verweist, ist zwar seit dem 24. September 2026 in Kraft, seine Obergrenze gilt nach Artikel 4 der Verordnung aber ebenfalls erst für Geschäftsjahre ab dem 1. Januar 2027. Auf ein gesetzliches Ablehnungsrecht können Sie sich heute also noch nicht berufen. Im Gespräch mit dem Einkauf lässt sich aber sehr wohl darauf verweisen, wohin die Regel läuft.

Drittens: Was davon haben Sie ohnehin schon, nur an fünf verschiedenen Orten?

Der teuerste Fehler ist selten das fehlende Dokument. Es ist der Schnellschuss unter Zeitdruck, bei dem irgendetwas hochgeladen wird, das die Anforderung nicht trifft, und der Score dann zwölf Monate steht. Die typischen Fehler wiederholen sich erstaunlich zuverlässig. Wer noch gar nichts hat und trotzdem eine Frist am Hals, findet die realistische Reihenfolge unter Großkunde fordert EcoVadis.

Wenn die Frist Ihres Kunden schon läuft

Sagen Sie uns, was Ihr Kunde konkret verlangt hat, und wir ordnen es ein: Cap oder kein Cap, Voluntary Standard oder EcoVadis, und was davon in Ihrer Frist realistisch machbar ist. Im 15-minütigen Erstgespräch klären wir das am konkreten Fall. Wenn Ihnen eine schriftliche Einschätzung lieber ist, bevor Sie telefonieren, nutzen Sie den Potenzialcheck. Beides ist ehrlicher, als einen Fragebogen auf Verdacht auszufüllen und danach zwölf Monate mit dem Ergebnis zu leben.