Wer nach der CSRD berichtet und ab wann: Schwellen, erste Welle und Drittlandsunternehmen

Problem in der Praxis

Viele Unternehmen haben ihre Betroffenheit 2023 nach den damaligen Kriterien bestimmt: groß im Sinne der Bilanzrichtlinie, also unter anderem mehr als 250 Beschäftigte. Diese Einordnung ist für die Zukunft wertlos. Zugleich unterschätzen Konzerne die Konsolidierungsebene: Maßgeblich sind die konsolidierten Werte der Gruppe, nicht die der einzelnen Gesellschaft. Und Unternehmen außerhalb der EU übersehen, dass ihre EU-Töchter oder Zweigniederlassungen ab 2028 eigene Pflichten auslösen können.

CISO-Einordnung

Die Anwendungslogik in Schritten:

• Schwelle prüfen: beide Grenzen am Bilanzstichtag, 450 Mio. Euro Nettoumsatz und durchschnittlich mehr als 1 000 Beschäftigte. Beim einzelnen Unternehmen zählen die Beschäftigten während des vorangegangenen Geschäftsjahres (Art. 19a Abs. 1), beim Mutterunternehmen die der Gruppe auf konsolidierter Basis während des Geschäftsjahres (Art. 29a Abs. 1).
• Zeitlich zuordnen: Für Geschäftsjahre ab dem 01.01.2027 gilt die neue Schwelle. Für Geschäftsjahre, die von 2024 bis 2026 beginnen, berichten nur die Unternehmen der ersten Welle; die Mitgliedstaaten dürfen davon für die Geschäftsjahre 2025 und 2026 Unternehmen ausnehmen, die entweder die 450-Mio.-Grenze oder die 1 000-Beschäftigten-Grenze nicht überschreiten.
• Befreiungen prüfen: Tochterunternehmen, die in den Konzernbericht eines Mutterunternehmens einbezogen sind, können sich unter den Voraussetzungen der Bilanzrichtlinie befreien lassen; diese Befreiung steht nach dem Omnibus auch Unternehmen von öffentlichem Interesse offen (Art. 19a Abs. 10, Art. 29a Abs. 9 n.F.). Ein Mutterunternehmen, das eine Beteiligungsgesellschaft mit Tochterunternehmen ist, deren Geschäftsmodelle und Tätigkeiten voneinander unabhängig sind, kann beschließen, die Angaben nicht in den Konzernlagebericht aufzunehmen (Art. 29a Abs. 7a n.F.). Bei Übernahmen, Verschmelzungen und im Geschäftsjahr ausscheidenden Töchtern gibt es Erleichterungen mit Angabe bedeutender Ereignisse (Art. 29a Abs. 4a n.F.).
• Drittlandsunternehmen: Für Geschäftsjahre ab dem 01.01.2028 (Art. 5 Abs. 2 CSRD) müssen EU-Tochterunternehmen oder Zweigniederlassungen von Unternehmen aus Drittländern einen Nachhaltigkeitsbericht des Drittlandsunternehmens veröffentlichen, wenn das Drittlandsunternehmen in den beiden letzten aufeinanderfolgenden Geschäftsjahren in der Union jeweils mehr als 450 Mio. Euro Nettoumsatz erzielt hat; die Tochter muss mehr als 200 Mio. Euro Nettoumsatz haben, die Zweigniederlassung ebenfalls, und für Zweigniederlassungen gilt die Pflicht nur, wenn es keine solche Tochter gibt (Art. 40a Abs. 1 n.F.). Ist das Drittlandsunternehmen eine Beteiligungsgesellschaft mit Tochterunternehmen, deren Geschäftsmodelle und Tätigkeiten voneinander unabhängig sind, können Tochterunternehmen und Zweigniederlassungen beschließen, den Bericht nicht zu veröffentlichen.

Die Schwellen sind dynamisch: Die Kommission überprüft sie mindestens alle fünf Jahre auf Inflation und kann sie per delegiertem Rechtsakt anpassen (Art. 3 Abs. 13 n.F.).

Für den CISO folgt daraus keine eigene Pflicht, aber eine Planungsgröße: Ist das Unternehmen ab 2027 berichtspflichtig, braucht die Nachhaltigkeitserklärung Daten und Prozesse, in die IT, Informationssicherheit und Datenschutz liefern (dazu csrd-005 und csrd-006). Ist es nicht berichtspflichtig, wird es dennoch als Zulieferer angefragt (dazu csrd-003).

Umsetzungsperspektive

• Betroffenheit auf der richtigen Ebene messen: Einzelunternehmen und konsolidierte Gruppe getrennt gegen beide Grenzen prüfen.
• Zeitachse festlegen: Geschäftsjahr, ab dem berichtet wird, und für Unternehmen der ersten Welle die Frage, ob der deutsche Gesetzgeber das Ausnahmewahlrecht für 2025 und 2026 nutzt.
• Befreiungen bewusst nutzen oder ablehnen und die Entscheidung dokumentieren.
• Drittlandsbezug klären: EU-Umsatz der Gruppe, Töchter und Zweigniederlassungen über 200 Mio. Euro.
• Schwellen jährlich nachmessen: Beschäftigtenzahl und Umsatz verändern sich, und die Kommission kann die Werte anpassen.

Typische Fehler

1. Die Einordnung aus 2023 (mehr als 250 Beschäftigte) wird fortgeschrieben.
2. Nur eine der beiden Grenzen wird geprüft; berichtspflichtig ist nur, wer beide überschreitet.
3. Die Prüfung erfolgt auf Ebene der Einzelgesellschaft statt auf konsolidierter Basis.
4. Die Konzernbefreiung wird für Unternehmen von öffentlichem Interesse ausgeschlossen, obwohl der Omnibus sie zulässt.
5. Pflichten von EU-Töchtern und Zweigniederlassungen außereuropäischer Gruppen ab 2028 werden übersehen.

Risiken und Trade-offs

Wer knapp unter einer Grenze liegt, spart zunächst den Aufwand, riskiert aber einen späteren Einstieg ohne Vorlauf; ein Wachstumsjahr kann die Pflicht auslösen. Die Nutzung von Befreiungen verlagert Arbeit auf das Mutterunternehmen, das dann vollständige Daten der Tochter braucht. Unternehmen der ersten Welle stehen vor der Wahl, ihre Berichterstattung trotz möglicher nationaler Ausnahme fortzuführen, weil Investoren und Kunden sie erwarten, oder den Aufwand für zwei Jahre einzusparen.

Entscheidungspunkte

• Überschreitet das Unternehmen oder die Gruppe beide Grenzen am Bilanzstichtag?
• Gehört es zur ersten Welle, und nutzt Deutschland das Ausnahmewahlrecht?
• Wird eine Konzernbefreiung in Anspruch genommen?
• Bestehen Drittlandsbezüge mit Pflichten ab 2028?
• Wer misst die Schwellen jährlich nach?

Praktische Empfehlungen

1. Prüfen Sie beide Grenzen auf Einzel- und Konzernebene und dokumentieren Sie das Ergebnis.
2. Legen Sie das erste Berichtsjahr fest und beobachten Sie das deutsche Umsetzungsgesetz zu Wahlrechten.
3. Entscheiden Sie bewusst über Befreiungen und halten Sie die Datenlieferung an das Mutterunternehmen sicher.
4. Klären Sie Drittlandsbezüge früh.
5. Messen Sie die Schwellen jährlich nach.

Relevante Normreferenzen

• Richtlinie 2013/34/EU i.d.F. RL (EU) 2026/470: Art. 1 Abs. 3, Art. 3 Abs. 13, Art. 19a Abs. 1 und 10, Art. 29a Abs. 1, 4a, 7a und 9, Art. 40a Abs. 1.
• Richtlinie (EU) 2022/2464, Art. 5 Abs. 2 i.d.F. RL (EU) 2025/794 und RL (EU) 2026/470 (Art. 3).
• HGB §§ 289b ff., 315b ff. (bis zur Umsetzung).