CSRD und Nachhaltigkeitsbericht: Was auf den Mittelstand zukommt

Kaum ein Regulierungsvorhaben hat den Mittelstand in den vergangenen Jahren so beschäftigt wie die europäische Nachhaltigkeitsberichtspflicht – und kaum eines wurde so oft umgebaut. Die Corporate Sustainability Reporting Directive (CSRD) von 2022 hätte nach ursprünglicher Planung Zehntausende deutsche Unternehmen zur Berichterstattung verpflichtet. Mit dem Omnibus-Paket hat die EU seit 2025 kräftig zurückgeschnitten: Fristen wurden verschoben, Schwellenwerte deutlich angehoben. Für die meisten Mittelständler bedeutet das Entwarnung bei der direkten Pflicht – aber keine Entwarnung in der Sache. Denn Banken, Versicherer und Großkunden fragen die Daten längst ab, Pflicht hin oder her.

Wer wann berichten muss

Die CSRD löst die ältere, nur für große kapitalmarktorientierte Unternehmen geltende NFRD ab und verlangt einen Nachhaltigkeitsbericht als Teil des Lageberichts, erstellt nach den europäischen Berichtsstandards ESRS und extern geprüft. Berichtet wird nach dem Prinzip der doppelten Wesentlichkeit: Unternehmen legen offen, wie Nachhaltigkeitsthemen ihr Geschäft beeinflussen – und wie ihr Geschäft Umwelt und Gesellschaft beeinflusst.

Gestartet ist die Pflicht mit der ersten Welle: Große kapitalmarktorientierte Unternehmen, die schon unter die NFRD fielen, berichten seit dem Geschäftsjahr 2024. Die ursprünglich für 2025 beziehungsweise 2026 vorgesehenen weiteren Wellen – alle großen Unternehmen sowie kapitalmarktorientierte KMU – wurden durch die „Stop-the-clock“-Richtlinie des Omnibus-Pakets um zwei Jahre verschoben. In Deutschland kam hinzu, dass die nationale Umsetzung der CSRD erst mit Verzögerung erfolgte; für viele Unternehmen herrschte dadurch lange Rechtsunsicherheit.

Omnibus: Die Entlastungen der EU

Mit den Omnibus-Vorschlägen vom Februar 2025 verfolgt die EU-Kommission das Ziel, die Berichtslasten spürbar zu senken. Kernpunkte des Pakets: Der Anwendungsbereich der CSRD soll deutlich verengt werden – diskutiert wird eine Schwelle von mindestens 1.000 Beschäftigten, das Europäische Parlament brachte in den Verhandlungen sogar höhere Schwellen ins Spiel. Damit fiele die große Mehrheit der zunächst erfassten Unternehmen aus der direkten Pflicht. Zudem sollen die ESRS-Standards vereinfacht, die Zahl der Datenpunkte reduziert und die geplante Ausweitung der Prüfungsintensität gestoppt werden.

Zentral für den Mittelstand ist ein zweites Element: Für Unternehmen unterhalb der Pflichtgrenze soll der freiwillige KMU-Standard VSME („Voluntary Standard for SMEs“) der EFRAG als Schutzschild dienen. Große berichtspflichtige Unternehmen sollen von ihren kleineren Geschäftspartnern grundsätzlich nicht mehr Daten verlangen dürfen, als der VSME vorsieht – ein Deckel gegen den Fragebogen-Wildwuchs. Da die Gesetzgebung bei Redaktionsschluss noch nicht in allen Details abgeschlossen war, sollten Unternehmen den Stand der Umsetzung laufend verfolgen.

Der Trickle-down-Effekt: Warum KMU trotzdem liefern müssen

Wer glaubt, mit der Omnibus-Entlastung sei das Thema erledigt, übersieht den Mechanismus, über den die Anforderungen tatsächlich im Mittelstand ankommen: die Wertschöpfungskette. Berichtspflichtige Konzerne müssen Emissionen und Risiken ihrer Lieferkette ausweisen – also fragen sie ihre Zulieferer. Banken müssen ESG-Risiken im Kreditportfolio bewerten – also fragen sie ihre Firmenkunden, spätestens bei der nächsten Kreditverlängerung. Öffentliche und private Ausschreibungen vergeben Punkte für Nachhaltigkeitsnachweise. Und Versicherer preisen Klimarisiken zunehmend in Prämien ein.

Für ein nicht berichtspflichtiges KMU ist die relevante Frage deshalb nicht „Müssen wir berichten?“, sondern „Welche unserer Stakeholder brauchen welche Daten – und können wir sie liefern, ohne jedes Mal ein Projekt zu starten?“ Der Mechanismus ähnelt dem der Lieferkettenregulierung, die wir im Beitrag zu den Compliance-Pflichten im Mittelstand beschreiben: Recht, das formal nur Große bindet, wird über Verträge zum Standard für alle.

Die Frage kommt nicht vom Gesetzgeber, sie kommt von der Hausbank und vom größten Kunden. Und die warten nicht auf Brüsseler Übergangsfristen.

Pragmatischer Einstieg in die Datenerfassung

Der Einstieg muss kein Beratungsgroßprojekt sein. Bewährt hat sich ein Vorgehen in vier Schritten. Erstens: Anfragen sichten – welche ESG-Fragebögen von Kunden und Banken liegen bereits vor? Sie definieren den realen Bedarf präziser als jeder Standard. Zweitens: Am VSME orientieren – der freiwillige EFRAG-Standard bündelt die Basisdaten, die in fast allen Abfragen wiederkehren: Energieverbrauch, Treibhausgasemissionen (zunächst Scope 1 und 2), Wasser, Abfall, Belegschaftsstruktur, Arbeitsunfälle, Weiterbildung. Drittens: Datenquellen anzapfen, die es längst gibt – Energiedaten aus den Versorgerabrechnungen, Fuhrparkverbräuche aus Tankkarten, Personalkennzahlen aus der Lohnbuchhaltung. Ein Verantwortlicher, eine strukturierte Tabelle und ein fester jährlicher Stichtag genügen für den Anfang. Viertens: Einmal beantworten, mehrfach verwenden – aus dem Datensatz entsteht ein kurzes Standardprofil, das jede neue Anfrage in Stunden statt Wochen beantwortet.

Wer die Erfassung geschickt aufsetzt, verbindet sie mit der eigenen Digitalisierung: Dieselben Zähler- und Prozessdaten, die das Reporting füttern, machen auch Einsparpotenziale sichtbar. Wie ein solches Vorgehen in eine Gesamtplanung passt, zeigt unser Beitrag zur Digitalstrategie für KMU.

Vom Pflichtprogramm zum Nutzen

So berechtigt die Kritik an der Berichtsbürokratie ist – die zugrunde liegenden Daten sind betriebswirtschaftlich wertvoll. Energie- und Emissionsdaten zeigen Kostentreiber, Unfall- und Fluktuationszahlen decken organisatorische Schwächen auf, und ein belastbares ESG-Profil wird in Kreditgesprächen und Ausschreibungen zunehmend zum Differenzierungsmerkmal. Mittelständler, die früh eine schlanke Datenroutine aufgebaut haben, berichten übereinstimmend: Der erste Durchlauf ist mühsam, ab dem zweiten Jahr ist es Routine – und die Zahlen werden intern häufiger genutzt als erwartet.