CSRD — Nachhaltigkeitsberichterstattung trifft den Mittelstand. Die ersten Berichte laufen, die nächste Welle kommt, und trotz Omnibus-Debatte gilt: wer jetzt nicht aufbaut, holt nicht mehr auf.

Die stille Welle, die bereits läuft

Während die öffentliche Debatte um die Corporate Sustainability Reporting Directive von den Vereinfachungsversprechen des EU-Omnibus-Pakets dominiert wird, ist in Unternehmen der ersten Betroffenheitswelle längst Realität: Die großen kapitalmarktorientierten Unternehmen ab 500 Mitarbeitern berichten bereits. Ihre CSRD-konformen Nachhaltigkeitsberichte für das Geschäftsjahr 2024 sind in Vorbereitung oder bereits veröffentlicht.

Was dabei kaum beachtet wird: Diese erste Welle ist nicht isoliert. Sie ist der Startschuss für etwas, das den gesamten Lieferketten-Kosmos erfasst. Mittelständische Zulieferer, Dienstleister und Geschäftspartner dieser Unternehmen werden seit Monaten mit Fragebögen, Datenabfragen und Anforderungen konfrontiert, die faktisch dieselbe Substanz haben wie der CSRD-Bericht — nur ohne den Namen.

Die CSRD ist im deutschen Mittelstand angekommen. Nur eben durch die Hintertür.

Wer direkt betroffen ist — und wann

Die direkte Berichtspflicht nach CSRD folgt einem gestuften Zeitplan, der trotz Omnibus-Diskussion in seiner Grundstruktur bestehen bleibt.

Die erste Welle — große kapitalmarktorientierte Unternehmen ab 500 Mitarbeitern — berichtet für das Geschäftsjahr 2024, also erstmals 2025. Das läuft bereits.

Die zweite Welle erfasst alle großen Unternehmen ab zwei der drei Kriterien — mehr als 250 Mitarbeiter, mehr als 50 Millionen Euro Umsatz, mehr als 25 Millionen Euro Bilanzsumme — mit Berichtspflicht für das Geschäftsjahr 2025, Veröffentlichung 2026. Das ist jetzt. Wer in dieser Kategorie liegt und noch nicht strukturiert aufgebaut hat, ist bereits in Verzug.

Die dritte Welle — kapitalmarktorientierte KMU — folgt ab 2027, mit einem Opt-out bis 2028.

Der Omnibus-Vorschlag der Kommission zielt darauf, diese Schwellenwerte anzuheben und den Kreis der direkt Betroffenen zu verkleinern. Aber: Er ist noch kein Gesetz. Er ist ein Vorschlag, der Trilog, Rat und Parlament noch vor sich hat. Und selbst wenn er kommt — die indirekte Betroffenheit durch Lieferketten-Anforderungen bleibt, unabhängig davon, ob das eigene Unternehmen direkt berichtspflichtig ist oder nicht.

Was CSRD-konformes Berichten tatsächlich bedeutet

Die CSRD ist kein ESG-Fragebogen, den man in drei Nachmittagen ausfüllt. Sie ist eine vollständige Überarbeitung der Art, wie Unternehmen über nichtfinanzielle Aspekte ihres Geschäfts berichten — mit einem Detaillierungsgrad, einer Prüfungspflicht und einem Haftungsrahmen, die mit klassischen Nachhaltigkeitsberichten älterer Prägung nichts gemein haben.

Im Zentrum stehen die European Sustainability Reporting Standards — kurz ESRS. Zwölf thematische Standards, die von Klimawandel über Biodiversität, Wasser, Kreislaufwirtschaft, Arbeitnehmerrechte, Menschenrechte bis hin zu Unternehmensführung und Unternehmenspolitik reichen. Für jeden Standard gilt eine sogenannte Wesentlichkeitsbewertung: Das Unternehmen muss analysieren, welche Nachhaltigkeitsthemen für sein Geschäftsmodell wesentlich sind — nicht pauschal, sondern auf Basis einer doppelten Wesentlichkeitsperspektive, die sowohl finanzielle als auch gesellschaftliche Auswirkungen berücksichtigt.

Das ist methodisch anspruchsvoll. Es erfordert Daten, die in den meisten Unternehmen nicht in dieser Form vorliegen. Es erfordert interne Prozesse, die Scope-1-, Scope-2- und Scope-3-Emissionen erfassen, Sozialstandards entlang der Lieferkette abfragen und Governance-Strukturen dokumentieren. Und es erfordert eine externe Prüfung — zunächst mit begrenzter, ab 2028 mit hinreichender Sicherheit.

Wer das im Berichtsjahr aufbauen will, hat zu wenig Zeit. CSRD-fähige Datenstrukturen und Prozesse brauchen einen Vorlauf von mindestens einem Jahr.

Der Omnibus als Entschuldigung — eine Warnung

Die häufigste Reaktion, die man derzeit in mittelständischen Unternehmen hört, ist: „Wir warten auf den Omnibus.“

Das ist die gefährlichste Strategie, die ein Unternehmen der zweiten Welle wählen kann. Nicht weil der Omnibus keine Auswirkungen hätte — er wird das Anwendungsfeld der CSRD sehr wahrscheinlich verkleinern. Sondern weil die Befreiung nicht rückwirkend gilt.

Wer im Geschäftsjahr 2025 direkt berichtspflichtig ist, ist es — bis ein anderes Gesetz gilt. Das Warten auf den Omnibus ist juristisch kein Argument. Es ist eine Entscheidung, im Risiko zu bleiben.

Und selbst wenn die direkte Berichtspflicht durch den Omnibus entfällt: Die indirekten Anforderungen bleiben. Große Unternehmen werden ihre Lieferanten weiterhin nach ESG-Daten befragen — nicht aus Goodwill, sondern weil sie selbst berichten müssen. Wer diese Daten nicht liefern kann, verliert Aufträge.

Warum das juristisch und nicht nur operativ ein Thema ist

Der juristische Kern der CSRD wird in der Debatte oft ausgeblendet, weil das Thema so stark durch Nachhaltigkeits- und Kommunikationsabteilungen geprägt ist. Aber er ist erheblich.

Erstens: Die CSRD-Berichte werden Teil des Lageberichts — und damit Teil der geprüften, haftungsrelevanten Unternehmensberichterstattung. Falsche Angaben im CSRD-Bericht sind keine PR-Fehler. Sie sind Fehler in einem Dokument, für das Vorstand und Aufsichtsrat persönlich haften.

Zweitens: Die Wesentlichkeitsbewertung ist eine juristische Entscheidung, keine Marketingentscheidung. Ob ein Nachhaltigkeitsthema als wesentlich eingestuft wird oder nicht, hat Konsequenzen für den Berichtsumfang, für die Prüfungspflicht und für potenzielle Haftungsansprüche von Investoren und Stakeholdern.

Drittens: Die Lieferkettenintegration der CSRD überschneidet sich direkt mit dem LkSG und der CSDDD — und schafft eine Gemengelage, die ohne juristische Koordination systematisch falsch bearbeitet wird. Doppelarbeit, Lücken, Widersprüche in der Dokumentation — das ist die Regel, nicht die Ausnahme, wenn CSRD, LkSG und CSDDD als separate Projekte behandelt werden.

CSRD-Implementierung als Projektaufgabe

CSRD-Implementierung ist klassisches Projektarbeit: begrenzt in der Zeit, klar im Scope, mit einem definierten Ergebnis — einem prüffähigen Bericht, der die Anforderungen der ESRS erfüllt.

Was gebraucht wird, ist ein Profil, das die rechtlichen Anforderungen der CSRD, die methodischen Anforderungen der ESRS und die operative Umsetzung in Datenstrukturen, Prozesse und Governance-Strukturen zusammendenkt. Das ist eine Schnittstellenaufgabe zwischen Legal, Controlling, ESG und Unternehmensführung — und sie braucht jemanden, der diese Schnittstelle koordiniert, nicht vier Abteilungen, die aneinander vorbeikommunizieren.

Ein Projektjurist mit Erfahrung im Nachhaltigkeitsrecht, in der nichtfinanziellen Berichterstattung und in der Lieferkettenregulierung kann diese Koordinationsrolle übernehmen — die Implementierung von der Wesentlichkeitsbewertung über die Datenarchitektur bis zur prüfungsfähigen Dokumentation führen und das Ergebnis übergeben.

Kein laufendes Mandat. Kein Dauerberater. Ein Bericht, der trägt.

Fazit: Berichten ist keine Kür mehr

Die CSRD hat die Nachhaltigkeitsberichterstattung aus der Kategorie der freiwilligen Kommunikation in die Kategorie der haftungsrelevanten Pflichtberichterstattung verschoben. Das ändert alles — den Detaillierungsgrad, die Prüfungspflicht, die Verantwortung und den Zeitdruck.

Wer jetzt aufbaut, hat die Chance, eine CSRD-Architektur zu schaffen, die über den ersten Bericht hinaus trägt — effizient, integriert, belastbar. Wer wartet, holt diesen Vorsprung nicht mehr auf.

Nachhaltig berichten ist keine Option. Es ist Pflicht — und sie gilt bereits.