Die Rolle des CISO in der Nachhaltigkeitsberichterstattung: ein Programm ohne Mandatsanmaßung

Problem in der Praxis

In vielen Unternehmen erfährt der CISO von der Nachhaltigkeitserklärung erst, wenn der Prüfer nach den IT-Kontrollen der Datenquellen fragt, oder wenn ein Großkunde einen ESRS-Fragebogen mit Sicherheitsfragen schickt. Umgekehrt gibt es Sicherheitsorganisationen, die die CSRD als Hebel für Budgets nutzen und Pflichten behaupten, die nicht bestehen. Beides beschädigt die Glaubwürdigkeit: das eine die der Erklärung, das andere die des CISO.

CISO-Einordnung

Die vier Beiträge mit ihrer Grundlage:

• Wesentlichkeitsanalyse: Die ESRS verlangen eine doppelte Wesentlichkeitsanalyse (ESRS 1 Abs. 2) und unternehmensspezifische Angaben für wesentliche, nicht abgedeckte Themen (Abs. 11). Der CISO liefert die Bewertung von Cyber- und Datenrisiken nach der Methodik des Unternehmens und dokumentiert, ob sie wesentlich sind (dazu csrd-005).
• Privatsphäre (ESRS S4): Ist das Unterthema informationsbezogene Auswirkungen für Verbraucher einschließlich Privatsphäre wesentlich, liefern Datenschutz und Sicherheit die Grundlage der Angaben.
• Datenintegrität: Der Prüfer urteilt mit begrenzter Prüfungssicherheit auch über das Verfahren zur Ermittlung der Informationen (Art. 34 Abs. 1 UAbs. 2 Buchst. aa n.F.). Zugriffs- und Änderungskontrollen der Berichtssysteme sind damit Teil einer prüfbaren Erklärung (Auslegung).
• Auslassung: Informationen zum Schutz der Sicherheit vor unbefugtem Zugriff oder unbefugter Offenlegung und Verschlusssachen dürfen unter Bedingungen ausgelassen werden (Art. 19a Abs. 3 UAbs. 4 n.F.); der CISO bewertet, welche Informationen darunter fallen.

Die Lieferkettenrolle: Nach der RL (EU) 2026/470 dürfen geschützte Unternehmen (höchstens durchschnittlich 1 000 Beschäftigte im vorangegangenen Geschäftsjahr, in der Wertschöpfungskette eines berichtspflichtigen Unternehmens) CSRD-Anfragen über die Obergrenze der Delegierten Verordnung (EU) 2026/1560 hinaus verweigern (Obergrenze ab Geschäftsjahren 2027, Wirkung über das nationale Umsetzungsrecht); Anfragen zu anderen Zwecken bleiben unberührt (dazu csrd-003). Für den CISO heißt das, Sicherheitsanforderungen an Lieferanten auf ihre eigene Grundlage zu stellen und getrennt von CSRD-Anfragen zu führen; maßgeblich ist der Zweck einer Anfrage, nicht der Fragebogen, in dem sie steht.

Der zeitliche Rahmen: Unternehmen oberhalb der neuen Schwelle berichten für Geschäftsjahre ab dem 01.01.2027 nach den vereinfachten ESRS; in Deutschland steht das Umsetzungsgesetz am 10.10.2026 noch aus (dazu csrd-001, csrd-002).

Umsetzungsperspektive

Ein schlankes Programm in fünf Schritten:

1. Betroffenheit klären: Berichtet das Unternehmen selbst, ist es Zulieferer berichtspflichtiger Kunden, oder beides?
2. Beitrag zur Wesentlichkeitsanalyse: Cyber- und Datenrisiken nach der Unternehmensmethodik bewerten, Ergebnis begründen, jährlich überprüfen.
3. Datenkette: Quellsysteme der Berichtsdaten erfassen, Zugriff und Änderungen kontrollieren, Nachweise für den Prüfer bereithalten.
4. Auslassungsprozess: sicherheitsrelevante Informationen identifizieren, Entscheidung über Auslassung mit Offenlegung und jährlicher Überprüfung.
5. Lieferkette: CSRD-Anfragen und Sicherheitsanforderungen trennen; als Zulieferer eine Antwort nach dem freiwilligen Standard vorbereiten.

Typische Fehler

1. Der CISO wird erst bei der Prüfung einbezogen.
2. Es werden CSRD-Pflichten zur Cybersicherheit behauptet, die nicht bestehen.
3. Sicherheitsanforderungen und CSRD-Anfragen werden in einem Fragebogen gemischt; das erzeugt Streit darüber, welcher Teil unter die Obergrenze fällt.
4. Die Datenkette der Berichterstattung läuft über ungeschützte Tabellen.
5. Sicherheitsrelevante Informationen werden veröffentlicht, ohne das Auslassungsrecht zu prüfen.

Risiken und Trade-offs

Ein früher Einstieg in die Wesentlichkeitsanalyse kostet Zeit, verhindert aber Nacharbeit vor der Prüfung. Ein enger Zuschnitt des Beitrags schützt vor Überdehnung, birgt aber das Risiko, dass Cyberrisiken unterbewertet werden, wenn niemand sie einbringt. Bei der Lieferkette steht Vollständigkeit der Kundendaten gegen den gesetzlichen Schutz kleinerer Zulieferer.

Entscheidungspunkte

• Wann und wie ist der CISO in die Wesentlichkeitsanalyse eingebunden?
• Wer verantwortet die Integrität der Berichtsdaten?
• Wer entscheidet über die Auslassung sicherheitsrelevanter Informationen?
• Wie werden Sicherheitsanforderungen an Lieferanten von CSRD-Anfragen getrennt?
• Ist das Programm an die deutsche Umsetzung und die ESRS-Fassung angepasst?

Praktische Empfehlungen

1. Verankern Sie den Beitrag des CISO in der Wesentlichkeitsanalyse mit dokumentierter Bewertung.
2. Sichern Sie die Datenkette der Berichterstattung mit Zugriffs- und Änderungskontrollen ab.
3. Legen Sie einen Prozess für die Auslassung sicherheitsrelevanter Informationen fest.
4. Trennen Sie Sicherheitsanforderungen an Lieferanten von CSRD-Anfragen.
5. Behaupten Sie keine Pflichten, die die CSRD nicht enthält.

Relevante Normreferenzen

• Richtlinie 2013/34/EU i.d.F. RL (EU) 2026/470: Art. 19a Abs. 3, Art. 29a Abs. 3, Art. 33 Abs. 1, Art. 34 Abs. 1 UAbs. 2 Buchst. aa.
• Delegierte Verordnung (EU) 2026/1563 (ESRS 1 Abs. 2 und 11, Themenliste S4); Delegierte Verordnung (EU) 2026/1560 (Obergrenze der Wertschöpfungskette).
• Cyberpflichten: nis2-, dora- und cra-Track; Datenschutz: dsgvo-Track.