Rund 40.000 Unternehmen in Europa sind seit Februar aus einer Berichtspflicht herausgefallen, auf die sie sich drei Jahre lang vorbereitet haben. Wer daraus schließt, dass Nachhaltigkeitsdaten damit erledigt sind, hat den unscheinbarsten Absatz der Reform überlesen. Er heißt Wertschöpfungsketten-Deckel und macht aus einer Pflicht für wenige einen Standard für viele.
Was der Omnibus tatsächlich entschieden hat
Das Europäische Parlament hat der Einigung im Dezember 2025 zugestimmt, der Rat hat den Rechtsakt am 24. Februar 2026 endgültig angenommen. Am 26. Februar erschien er als Richtlinie (EU) 2026/470 im Amtsblatt und ist am 18. März 2026 in Kraft getreten. Die Mitgliedstaaten haben bis zum 19. März 2027 Zeit, ihn umzusetzen.
Mehr zum Thema: Finanzen & Kryptowerte – Grundlagen, Praxis und alle Artikel an einer Stelle.
Inhaltlich stehen zwei Zahlen im Mittelpunkt. Berichtspflichtig nach der CSRD ist künftig nur noch, wer mehr als 1.000 Beschäftigte und mehr als 450 Millionen Euro Nettoumsatz hat. Beide Kriterien müssen zusammen erfüllt sein. Das Parlament wollte ursprünglich 1.750 Beschäftigte, der Rat 1.000; durchgesetzt hat sich der Rat.
Für die Lieferkettenrichtlinie CSDDD liegt die Schwelle bei mehr als 5.000 Beschäftigten und mehr als 1,5 Milliarden Euro Umsatz, mit einer Umsetzungsfrist bis zum 26. Juli 2029.
Dazu kommen Erleichterungen, die weniger Schlagzeilen gemacht haben: vereinfachte Berichtsstandards binnen sechs Monaten, bei der Taxonomie rund 70 Prozent weniger Datenpunkte und eine Wesentlichkeitsschwelle von zehn Prozent.
Zurück auf Anfang
Die eigentliche Pointe sieht man erst, wenn man drei Zahlen nebeneinanderlegt.
Unter der alten Berichtsrichtlinie NFRD waren rund 11.700 Unternehmen europaweit erfasst. Die CSRD sollte diese Zahl auf rund 50.000 heben. Nach dem Omnibus rechnet die EU-Kommission mit einer Reduktion um rund 80 Prozent, andere Schätzungen gehen sogar von rund 90 Prozent aus. Je nach Rechnung bleiben also zwischen 8.000 und 10.000 Unternehmen übrig.
Europa landet damit ungefähr dort, wo es 2014 gestartet ist. Drei Jahre Vorbereitung, Softwarekäufe, Stellenbesetzungen und Beraterverträge liegen dazwischen. Für Deutschland lag die ursprüngliche Schätzung bei rund 13.000 betroffenen Unternehmen; nach den neuen Schwellen bleiben davon nach Branchenschätzungen deutlich weniger als tausend. Eine amtliche Zahl gibt es dafür bisher nicht, was auch daran liegt, dass Deutschland die Richtlinie noch nicht umgesetzt hat.
Der Wertschöpfungsketten-Deckel ist die eigentliche Nachricht
Und jetzt der Absatz, der in fast jeder Zusammenfassung fehlt. Der Omnibus schützt kleinere Unternehmen ausdrücklich davor, über die Lieferkette doch wieder in die Pflicht gezogen zu werden. Von Geschäftspartnern mit bis zu 1.000 Beschäftigten dürfen berichtspflichtige Unternehmen grundsätzlich keine Angaben mehr verlangen, die über den Umfang des freiwilligen KMU-Standards hinausgehen.
Dieser freiwillige Standard heißt VSME und wird von der EFRAG derzeit zum Voluntary Standard weiterentwickelt. Er ist damit nicht mehr nur ein Angebot, sondern eine Obergrenze. Und eine Obergrenze, an der sich alle orientieren, ist in der Praxis dasselbe wie ein Standard.
Es lohnt sich, kurz hinzusehen, woraus so ein Datensatz eigentlich besteht, weil daran die ganze Geschäftsfrage hängt. Es sind im Kern Verbrauchs- und Bestandszahlen: bezogene Elektrizität und Brennstoffe, die daraus abgeleiteten Emissionen, Wasserverbrauch, Abfallmengen, Beschäftigtenzahlen, Unfälle, Weiterbildung, ein paar Angaben zu Geschäftspraktiken. Nichts davon ist geistige Arbeit. Fast alles davon liegt bereits irgendwo, nur nicht an einer Stelle und nicht in der Form, in der jemand danach fragt.
Das ist der Unterschied zu einem CSRD-Bericht. Der große Bericht war ein Projekt mit Wesentlichkeitsanalyse, Stakeholder-Dialog und Prüfung. Der kleine Datensatz ist eine Zusammenstellung. Projekte verkauft man einmal an wenige, Zusammenstellungen verkauft man jährlich an viele.
Für die CSDDD gilt eine ähnliche Logik: Risikobewertungen müssen auf öffentlich verfügbare Daten gestützt werden, direkte Lieferantenabfragen sind auf identifizierte Risikobereiche beschränkt, und für Lieferanten unter 5.000 Beschäftigten gelten zusätzliche Schutzregeln.
Warum die Nachfrage trotzdem bleibt
Die Berichtspflicht ist nur einer von vier Gründen, aus denen jemand nach Nachhaltigkeitsdaten fragt. Die anderen drei sind vom Omnibus unberührt.
Banken. Kreditinstitute brauchen die Daten für ihre eigene Offenlegung und für ihre Risikomodelle. Sie fragen nicht, weil ihr Kunde berichtspflichtig ist, sondern weil sie es sind.
Große Kunden. Ein Automobilhersteller mit 1.500 Zulieferern bleibt berichtspflichtig und braucht Daten aus der Kette. Der Deckel begrenzt, was er verlangen darf, nicht ob er fragt.
Ausschreibungen. Öffentliche Auftraggeber und Konzerneinkauf haben Nachhaltigkeitskriterien in ihren Vergabeprozessen. Diese Kriterien verschwinden nicht, weil eine Richtlinie ihren Anwendungsbereich verkleinert.
Das Ergebnis ist eine ziemlich präzise Marktverschiebung: weniger sehr aufwendige Berichte, dafür sehr viel mehr schlanke Datensätze. Aus 500 dicken Berichten werden zehntausend dünne.
Wo daraus ein Geschäft wird
Software für den kleinen Datensatz. Der bisherige ESG-Software-Markt ist auf die großen Berichte ausgelegt, mit Preisen und Einführungsprojekten, die dazu passen. Ein Werkzeug, mit dem ein Mittelständler mit 200 Leuten seinen VSME-Datensatz in zwei Tagen erstellt und an fünf Kunden ausliefert, ist ein anderes Produkt in einem anderen Preissegment. Genau dieses Segment ist gerade entstanden.
Der Datensatz als Produkt. Interessanter als der Bericht ist die Datenlieferung. Wer einmal jährlich einen geprüften Satz Kennzahlen bereitstellt, den seine Kunden direkt übernehmen können, spart auf beiden Seiten Arbeit. Das ist ein Abo, kein Projekt.
Und die Stelle, an der ich selbst arbeite: die Datenquelle. Ein erheblicher Teil eines VSME-Datensatzes besteht aus Verbrauchswerten und den daraus abgeleiteten Emissionen. Diese Werte liegen nicht in der Buchhaltung, sondern beim Versorger, im Zähler und in den Verträgen. Wer diese Daten ohnehin strukturiert vorhält, weil er Angebote vergleichbar machen will, liefert die halbe Berichterstattung als Nebenprodukt. Genau deshalb baue ich gerade eine Vergleichsplattform für die gesamte Energiewelt, von Photovoltaik über Speicher und Wärmepumpen bis zur Kreislaufwirtschaft, nach der Regel: kein Wert ohne Quelle. Die technische Seite davon steht im Überblick zu BESS und Energiespeichern.
Beratung, aber schlank. Der klassische Prüfungs- und Beratungsmarkt verliert hier Mandate. Was entsteht, ist etwas anderes: standardisierte, bezahlbare Begleitung für Unternehmen, die keinen Bericht schulden, aber trotzdem antworten müssen.
Wie man da reinkommt
Der Fehler wäre, jetzt eine ESG-Beratung zu gründen. Der Markt für Erklärung ist gesättigt, der Markt für Erledigung nicht.
Die Frage, die ich stellen würde, lautet: Welche Zahl in diesem Datensatz habe ich ohnehin schon? Wer Energieverträge verwaltet, hat Verbräuche. Wer Fuhrparks betreut, hat Kilometer. Wer Abfall entsorgt, hat Mengen. Aus jeder dieser Positionen wird eine Kennzahl, und der Weg von der eigenen Datenbank zum fertigen Feld im Standard ist kurz.
Der zweite Weg ist der Kanal. Steuerberater, Hausbanken und Verbände sitzen am selben Mittelstand, den jetzt zehntausende Datenanfragen erreichen. Sie haben die Beziehung und kein Produkt. Das ist eine Partnerschaft, keine Kundenakquise.
Und Deutschland?
Ein Punkt, den man beim Planen kennen sollte: Deutschland hat die CSRD bis heute nicht umgesetzt. Der Regierungsentwurf stammt vom 3. September 2025, die Koalitionsfraktionen haben am 31. März 2026 einen Änderungsantrag eingebracht, um ihn an die neuen europäischen Vorgaben anzupassen, und am 13. April 2026 fand die öffentliche Anhörung im Rechtsausschuss statt. Der Abschluss war für die Sommermonate angestrebt. Stand Anfang August 2026 ist das Gesetz nicht verkündet.
Für Unternehmen ist das eine unangenehme Zwischenlage, die inzwischen ins vierte Jahr geht. Die ursprüngliche Umsetzungsfrist der CSRD lief am 6. Juli 2024 ab, verstrichen sind seither zwei Jahre. In dieser Zeit haben Unternehmen Berichte gebaut, für die es keine nationale Grundlage gab, und Prüfer Mandate angenommen, deren Prüfungsmaßstab unklar war.
Praktisch heißt das: Wer heute in Deutschland freiwillig nach den europäischen Standards berichtet, tut das ohne nationale Rechtsgrundlage, und wer wartet, hat weiterhin die alten Vorschriften des Handelsgesetzbuchs im Rücken. Beides ist unbefriedigend, und beides ist ein guter Grund, sich lieber am tatsächlichen Bedarf der Kunden zu orientieren als am Gesetzgebungskalender.
Das Muster, um das es eigentlich geht
Ich schreibe über solche Reformen nicht, weil ich Berichtspflichten mag, sondern weil sie ein verlässliches Muster haben. Eine Regel entsteht, sie erzeugt eine Aufgabe, und zwischen Regel und Aufgabe entsteht ein Markt. Bei der DSGVO waren es Consent-Banner und Datenschutz-Software. Beim EU AI Act ist es Dokumentation und Klassifizierung, siehe EU AI Act ab August 2026. Und beim Altersvorsorgedepot ist es die Verwaltung von Zulagen, siehe Das Altersvorsorgedepot.
Beim Omnibus ist die Besonderheit, dass der Markt nicht durch eine neue Pflicht entsteht, sondern durch deren Rücknahme. Das ist selten und es ist lehrreich: Nachfrage nach Daten verschwindet nicht, wenn die Pflicht verschwindet. Sie ändert nur ihren Absender.
Häufige Fragen
Wer muss nach dem Omnibus noch einen Nachhaltigkeitsbericht erstellen?
Nur Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Millionen Euro Nettoumsatz. Beide Kriterien müssen zusammen erfüllt sein. Grundlage ist die Richtlinie (EU) 2026/470, veröffentlicht am 26. Februar 2026 und in Kraft seit dem 18. März 2026.
Wie viele Unternehmen fallen aus der CSRD heraus?
Die EU-Kommission rechnet mit rund 80 Prozent weniger berichtspflichtigen Unternehmen, manche Schätzungen gehen von bis zu 90 Prozent aus. Von den ursprünglich rund 50.000 Unternehmen bleiben damit etwa 8.000 bis 10.000 übrig, also ungefähr so viele wie unter der Vorgängerrichtlinie NFRD.
Was ist der Wertschöpfungsketten-Deckel?
Eine Schutzregel: Berichtspflichtige Unternehmen dürfen von Geschäftspartnern mit bis zu 1.000 Beschäftigten grundsätzlich keine Angaben mehr verlangen, die über den freiwilligen KMU-Standard hinausgehen. Damit wird dieser Standard faktisch zur Obergrenze für Datenanfragen entlang der Lieferkette.
Was ist der VSME-Standard?
Ein freiwilliger Berichtsstandard der EFRAG für kleine und mittlere Unternehmen. Er wird derzeit zum sogenannten Voluntary Standard weiterentwickelt und dient als einheitlicher Rahmen für Datenanfragen von Banken, Kunden und Investoren.
Gilt die CSRD in Deutschland bereits?
Nein. Der Regierungsentwurf des Umsetzungsgesetzes stammt vom 3. September 2025, die Anhörung im Rechtsausschuss fand am 13. April 2026 statt. Stand Anfang August 2026 ist das Gesetz nicht verkündet. Die Umsetzungsfrist für die Omnibus-Änderungen läuft bis zum 19. März 2027.
Herzlich,
Euer Dennis Weidner
