ESRS nach dem Omnibus: was für nicht berichtspflichtige Mittelständler gilt

„Wir sind gar nicht berichtspflichtig. Warum schickt uns unser größter Kunde trotzdem eine Excel mit ESRS-Datenpunkten und einer Frist?” Solche Mails landen bei uns regelmäßig, seit dem Omnibus eher häufiger als seltener. Der Absender hat in der Sache recht. Berichtspflichtig ist er nicht. Die Anfrage ist trotzdem echt, und die Frist steht.

An dieser Stelle haben sich viele Mittelständler zu früh beruhigt. Die Berichtspflicht fällt für die allermeisten Unternehmen tatsächlich weg, und der Omnibus legt sogar ein Ablehnungsrecht gegenüber datenhungrigen Kunden an. Nur greift dieses Recht frühestens 2027. Und selbst dann nicht dort, wo die meisten Anfragen herkommen: im Einkauf Ihres Kunden.

Stand dieses Beitrags ist der 11. August 2026. Noch nicht endgültig sind die beiden delegierten Rechtsakte vom 3. Juli 2026 zu den überarbeiteten ESRS und zum freiwilligen Standard, beide stecken im Einspruchsverfahren von Parlament und Rat, und die deutsche Umsetzung der CSRD steht ebenfalls weiter aus.

Was seit dem 18. März 2026 auf EU-Ebene gilt

Der Omnibus I ist geltendes EU-Recht: Richtlinie (EU) 2026/470, veröffentlicht am 26. Februar 2026 im Amtsblatt, in Kraft seit dem 18. März 2026. Sie ändert mehrere Rechtsakte auf einmal, darunter die Bilanzrichtlinie 2013/34/EU, die CSRD (Richtlinie (EU) 2022/2464) und die Lieferkettenrichtlinie CSDDD (Richtlinie (EU) 2024/1760).

Eine Richtlinie wirkt nicht unmittelbar. Die Mitgliedstaaten müssen die CSRD-Änderungen bis zum 19. März 2027 in nationales Recht überführen, die CSDDD-Änderungen bis zum 26. Juli 2028. Bis dahin gilt in jedem Land das, was dort im Gesetzbuch steht. Und das ist nicht überall dasselbe.

Die neuen Schwellenwerte, konkret

Berichtspflichtig nach CSRD ist künftig nur noch, wer mehr als 1.000 Beschäftigte im Jahresdurchschnitt und mehr als 450 Millionen Euro Nettoumsatz erreicht. Beides zusammen, nicht wahlweise. Im Verfahren standen zwischenzeitlich 1.750 Beschäftigte im Raum; durchgesetzt hat sich die niedrigere Kopfzahl in Kombination mit der Umsatzhürde.

Kapitalmarktorientierte KMU sind vollständig raus. Für Konzerne aus Drittstaaten liegt die Schwelle bei 450 Millionen Euro EU-Umsatz auf Gruppenebene, mit 200 Millionen Euro für die einzelne EU-Tochter oder Zweigniederlassung. Die Kommission rechnet damit, dass rund 80 Prozent der ursprünglich erfassten Unternehmen herausfallen.

Die neuen Schwellen gelten für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen; die ersten Berichte nach dieser Fassung erscheinen 2028. Daraus folgt aber nicht, dass bis dahin Ruhe ist. Die bereits erfassten Großunternehmen der ersten Welle berichten weiter, also für 2025 und 2026, sofern ihr Mitgliedstaat die im Omnibus vorgesehene Übergangsbefreiung nicht nutzt. Deshalb landen die Datenabfragen schon heute bei Ihnen und nicht erst 2028.

Bei der CSDDD ist der Schnitt noch tiefer. Sie greift erst ab 5.000 Beschäftigten und 1,5 Milliarden Euro weltweitem Nettoumsatz, die Anwendung ist auf den 26. Juli 2029 verschoben. Gestrichen wurden außerdem die EU-weit harmonisierte zivilrechtliche Haftung und die Pflicht zum Klimatransformationsplan insgesamt: Artikel 22 CSDDD ist vollständig entfallen, also auch die Pflicht, einen solchen Plan überhaupt aufzustellen. Bestehen bleibt nur die Berichterstattung über einen vorhandenen Plan, und die läuft über die CSRD. Die Sorgfaltsprüfung selbst ist jetzt risikobasiert: erst ein grobes Scoping mit vernünftigerweise verfügbaren Informationen, vertieft wird nur dort, wo die Risiken sitzen.

Die ESRS sind kürzer geworden, endgültig sind sie noch nicht

Am 3. Juli 2026 hat die Kommission den delegierten Rechtsakt mit den überarbeiteten ESRS angenommen. Er ändert die bisherige Delegierte Verordnung (EU) 2023/2772. Die Zahl der verpflichtenden Datenpunkte sinkt um über 60 Prozent, die Gesamtzahl um über 70 Prozent, weil zusätzlich sämtliche freiwilligen Datenpunkte gestrichen wurden. Die doppelte Wesentlichkeit bleibt, darf aber nun auch top-down hergeleitet werden. Sektorspezifische ESRS wird es nicht geben, das Mandat der Kommission dafür ist entfallen. Bei der Prüfung bleibt es dauerhaft bei begrenzter Prüfungssicherheit.

Jetzt der Teil, den viele Zusammenfassungen weglassen: Der Rechtsakt steckt im Einspruchsverfahren. Parlament und Rat haben zwei Monate Zeit, verlängerbar auf vier, und sie können den Text nur vollständig ablehnen, nicht nachbessern. Sein Inkrafttreten setzt der Rechtsakt selbst auf vier Monate und eine Woche nach der Annahme, also auf den 10. November 2026, mit Anwendung ab Geschäftsjahren ab dem 1. Januar 2027 und freiwilliger Frühanwendung für 2026. Vorausgesetzt, das Einspruchsverfahren endet ohne Widerspruch. Wer Projektpläne auf dieses Datum stellt, sollte den Vorbehalt mitschreiben.

Der Value Chain Cap, Ihr künftiges Recht auf ein Nein

Für Zulieferer ist das die eigentliche Neuerung. Der Omnibus hat in die Bilanzrichtlinie 2013/34/EU (Artikel 19a und 29a, die die CSRD seinerzeit neu gefasst hat) eine Obergrenze für Datenabfragen eingezogen, den Value Chain Cap. Ein berichtspflichtiger Kunde darf von Geschäftspartnern mit 1.000 oder weniger Beschäftigten nicht mehr Nachhaltigkeitsinformationen verlangen, als der freiwillige Berichtsstandard als notwendig kennzeichnet. Fragt er mehr ab, muss er kennzeichnen, dass er den Cap überschreitet, und auf das Ablehnungsrecht hinweisen.

Der Haken gleich vorweg: Das ist Richtlinienrecht mit Umsetzungsfrist. Heute können Sie sich darauf noch nicht berufen. Warum nicht, steht weiter unten.

Den freiwilligen Standard hat die Kommission am selben 3. Juli 2026 als zweiten delegierten Rechtsakt angenommen: den Voluntary Standard (VS), aufgesetzt auf dem von EFRAG entwickelten VSME. Er richtet sich an alle Unternehmen bis 1.000 Beschäftigte, börsennotiert oder nicht, und behält die Zweiteilung in Basismodul und umfassendes Modul. In den Cap fallen ausdrücklich nur die als notwendig gekennzeichneten Angaben. Was der Standard als „notwendig, falls anwendbar” oder als freiwillig führt, ist nicht gedeckt. Für Betriebe mit zehn oder weniger Beschäftigten sind zusätzliche Angaben auf freiwillig herabgestuft.

Wie sich VSME, CSRD und EcoVadis zueinander verhalten, haben wir in einem eigenen Beitrag zu CSRD, VSME und EcoVadis auseinandergezogen. An der Grundlogik hat der Omnibus nichts geändert, an den Zahlen dahinter sehr viel.

Wo der Cap nicht hilft

Hier wird es unangenehm. Der Cap gilt ausschließlich für Abfragen, die ein Kunde zur Erfüllung seiner eigenen CSRD-Berichtspflicht stellt. Für andere Zwecke gilt er nicht, das hat die Kommission am 6. Mai 2026 in einer eigenen Erläuterung noch einmal ausdrücklich festgehalten. Dazu kommen Ausnahmen für Informationen, die in einer Branche ohnehin üblicherweise geteilt werden, für andere gesetzliche Pflichten und für produktbezogene Vorgaben.

In Ihren Alltag übersetzt: Ein Einkäufer, der eine EcoVadis-Bewertung verlangt, beruft sich nicht auf die CSRD. Er betreibt Lieferantenmanagement. Er darf das in den Rahmenvertrag schreiben, an die Lieferantenfreigabe koppeln oder zum Zuschlagskriterium in der nächsten Ausschreibung machen. Der Value Chain Cap steht dem nicht entgegen, heute nicht und 2027 auch nicht. Und ein Kunde, der durch den Omnibus selbst unter die Schwelle gerutscht ist, darf es genauso, weil er die Anforderung gar nicht aus einer Pflicht ableitet, sondern aus seiner Marktposition.

Was in Deutschland noch offen ist

Nach dem Stand, den wir für diesen Artikel belegen konnten, hat Deutschland die CSRD noch nicht umgesetzt. Formal gilt weiter das CSR-RUG von 2017. Die Umsetzungsfrist lief am 6. Juli 2024 ab; die Kommission hat daraufhin am 26. September 2024 ein Vertragsverletzungsverfahren gegen Deutschland eröffnet. Der Regierungsentwurf des CSRD-Umsetzungsgesetzes liegt seit dem 3. September 2025 vor, am 13. April 2026 fand die öffentliche Anhörung im Rechtsausschuss statt, samt Änderungsantrag, der die neuen Schwellen ab dem Geschäftsjahr 2027 nachzieht und den Value Chain Cap als § 289c HGB-E ins deutsche Recht holt, ebenfalls ab 2027. Zweite und dritte Lesung im Bundestag stehen seither aus. Prüfen Sie den Stand, bevor Sie eine Entscheidung darauf stützen.

Ähnlich beweglich ist das Lieferkettensorgfaltspflichtengesetz. Die jährliche Berichtspflicht soll entfallen, die Sorgfaltspflichten selbst bleiben bestehen, Bußgelder soll es nur noch bei schweren Verstößen geben. Auch dieses Vorhaben steckt im parlamentarischen Verfahren. Wer heute in Lieferantenverträgen auf LkSG-Klauseln trifft, sollte deshalb genau lesen, worauf sich die Klausel bezieht.

Warum die Fragen trotzdem kommen

Der Einkauf braucht seine Lieferantendaten unabhängig davon, was in Brüssel beschlossen wird. Bankenratings, Konzernvorgaben, Ausschreibungsbedingungen und die eigene Risikoabsicherung laufen weiter. In unseren Projekten ist der häufigste Auslöser kein Gesetz, sondern eine Mail mit dem Betreff „Lieferantenbewertung” und einem Link zu EcoVadis.

Dabei lohnt eine Unterscheidung, die im Alltag ständig verrutscht: EcoVadis ist ein Rating, keine Zertifizierung nach einer Norm. Es gibt kein Audit vor Ort und keinen Prüfer, der Ihnen einen Prozess bescheinigt. Bewertet wird ausschließlich das, was Sie belegbar dokumentiert einreichen. Eine gelebte Praxis ohne Dokument bringt null Punkte. Eine Richtlinie mit Datum, Unterschrift und Geltungsbereich bringt welche. Was genau in die vier Themenfelder einfließt, haben wir unter was EcoVadis bewertet aufgeschlüsselt, und die Begriffe aus den Fragebögen stehen im EcoVadis-Glossar.

Der Omnibus nimmt dem Mittelstand also die Berichtspflicht ab, nicht den Nachweis gegenüber Kunden. Wer den Aufwand einmal sauber aufsetzt, bedient damit mehrere Kanäle: den VS-Bericht für datenhungrige Kunden, die EcoVadis-Einreichung für den Einkauf, die üblichen Bankfragebögen. Drei Kanäle, eine Datenbasis. Wo Bauunternehmen dabei typischerweise punkten und wo sie Punkte liegen lassen, steht in unserem Beitrag zur Bauwirtschaft.

Was Sie in den nächsten Wochen tun können

Wenn eine Anfrage auf dem Tisch liegt, klären Sie drei Dinge, bevor Sie anfangen zu sammeln.

Erstens: Fragt der Kunde für seine CSRD-Berichterstattung oder für sein Lieferantenmanagement? Nur im ersten Fall wird der Cap überhaupt je relevant.

Zweitens: Liegen Sie selbst bei 1.000 Beschäftigten oder darunter? Dann fallen Sie unter den Cap, allerdings erst, wenn er greift. Das ist noch nicht der Fall. Die CSRD-Änderungen sind bis zum 19. März 2027 in deutsches Recht umzusetzen und gelten für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen; der Änderungsantrag zum CSRD-Umsetzungsgesetz sieht den Cap entsprechend ab 2027 vor. Auch der Voluntary Standard, auf den der Cap verweist, tritt erst drei Tage nach seiner Veröffentlichung im Amtsblatt in Kraft, je nach Länge des Einspruchsverfahrens also frühestens im September 2026. Auf ein gesetzliches Ablehnungsrecht können Sie sich heute also noch nicht berufen. Im Gespräch mit dem Einkauf lässt sich aber sehr wohl darauf verweisen, wohin die Regel läuft.

Drittens: Was davon haben Sie ohnehin schon, nur an fünf verschiedenen Orten?

Der teuerste Fehler ist selten das fehlende Dokument. Es ist der Schnellschuss unter Zeitdruck, bei dem irgendetwas hochgeladen wird, das die Anforderung nicht trifft, und der Score dann zwölf Monate steht. Die typischen Fehler wiederholen sich erstaunlich zuverlässig. Wer noch gar nichts hat und trotzdem eine Frist am Hals, findet die realistische Reihenfolge unter Großkunde fordert EcoVadis.

Wenn die Frist Ihres Kunden schon läuft

Sagen Sie uns, was Ihr Kunde konkret verlangt hat, und wir ordnen es ein: Cap oder kein Cap, Voluntary Standard oder EcoVadis, und was davon in Ihrer Frist realistisch machbar ist. Im 15-minütigen Erstgespräch klären wir das am konkreten Fall. Wenn Ihnen eine schriftliche Einschätzung lieber ist, bevor Sie telefonieren, nutzen Sie den Potenzialcheck. Beides ist ehrlicher, als einen Fragebogen auf Verdacht auszufüllen und danach zwölf Monate mit dem Ergebnis zu leben.