Cybersicherheit in der CSRD: was die Berichterstattung verlangt und was nicht

Problem in der Praxis

Zwei gegenläufige Fehler sind verbreitet. Der eine überdehnt: Beratungsangebote und interne Projekte stellen die CSRD als Treiber für Cyber-Kennzahlen dar, und Unternehmen veröffentlichen Sicherheitsangaben, die weder gefordert noch geprüft sind, aber Angreifern Informationen liefern können. Der andere übersieht: Die Nachhaltigkeitserklärung wird ohne den CISO erstellt, obwohl die Wesentlichkeitsanalyse ein Cyberrisiko berühren kann, obwohl S4-Angaben zur Privatsphäre Daten aus Datenschutz und Sicherheit brauchen und obwohl die Datenkette der Berichterstattung geprüft wird.

CISO-Einordnung

Was belegt ist, und wie weit es reicht:

• Kein Cyberthema in den ESRS: Weder die bisherige noch die vereinfachte Fassung erwähnt Cybersicherheit oder Informationssicherheit. In der vereinfachten Fassung erscheint Datenschutz als Vorbehalt bei bestimmten Angaben zu Diskriminierungs- und Menschenrechtsvorfällen.
• Unternehmensspezifische Angaben (ESRS 1 Abs. 11): Gelangt ein Unternehmen zu dem Schluss, dass ein Thema mit wesentlichen Auswirkungen, Risiken oder Chancen durch die ESRS nicht oder nicht ausreichend abgedeckt ist, macht es unternehmensspezifische Angaben. Das ist der einzige Weg, auf dem Cybersicherheit als eigenes Thema in die Nachhaltigkeitserklärung gelangt, und nur, wenn die Wesentlichkeitsanalyse es so ergibt (Auslegung).
• Verbraucher und Endnutzer (ESRS S4): In der Themenliste steht das Unterthema "Informationsbezogene Auswirkungen für Verbraucher oder Nutzer (einschließlich Privatsphäre, Zugang zu Informationen, Meinungsfreiheit)". Ist es wesentlich, betreffen die Angaben auch, wie das Unternehmen mit Auswirkungen auf die Privatsphäre seiner Kunden umgeht; dafür liefern Datenschutz und Informationssicherheit zu (Auslegung).
• Governance (ESRS G1): Die Unterthemen sind Unternehmenskultur (einschließlich Korruptionsbekämpfung, Hinweisgeberschutz, Tierwohl), politische Einflussnahme und Lieferantenbeziehungen. Ein Cyberbezug steht dort nicht.
• Auslassungsrechte (Art. 19a Abs. 3 UAbs. 4 und Art. 29a Abs. 3 UAbs. 4 Bilanzrichtlinie n.F.): Auslassen dürfen Unternehmen ernsthaft geschäftsschädigende Informationen nur in Ausnahmefällen und nur, wenn die Auslassung ein den tatsächlichen Verhältnissen entsprechendes und ausgewogenes Verständnis von Geschäftsverlauf, Ergebnis, Lage, wichtigsten Risiken und Auswirkungen nicht verhindert, das Unternehmen festgestellt hat, dass es unmöglich ist, die Informationen in einer Weise offenzulegen (etwa auf aggregierter Basis), die die Ziele der Offenlegungspflicht erreicht, ohne der Geschäftslage ernsthaft zu schaden, die Inanspruchnahme offengelegt und zu jedem Berichtsstichtag überprüft wird; ferner Geschäftsgeheimnisse, Verschlusssachen im Sinne der Verordnung (EU) 2023/2418 sowie sonstige Informationen, die nach Unions- oder nationalem Recht oder zum Schutz der Privatsphäre einer natürlichen Person oder der Sicherheit einer natürlichen oder juristischen Person vor unbefugtem Zugriff oder unbefugter Offenlegung zu schützen sind; jeweils mit Offenlegung, dass die Befreiung genutzt wird, und erneuter Prüfung zu jedem Berichtsstichtag. Wie alle Regeln der Bilanzrichtlinie wirken sie über das nationale Umsetzungsrecht (Frist 19.03.2027; Deutschland am 10.10.2026 nicht umgesetzt).
• Prüfung und Datenqualität: Der Prüfer urteilt mit begrenzter Prüfungssicherheit auch über das Verfahren, mit dem das Unternehmen die zu berichtenden Informationen ermittelt (Art. 34 Abs. 1 UAbs. 2 Buchst. aa n.F.). Die CSRD stellt keine IT-Sicherheitsanforderungen auf; die Integrität und Nachvollziehbarkeit der Berichtsdaten ist aber Voraussetzung einer prüfbaren Erklärung (Auslegung).

Daraus folgt eine klare Haltung: Der CISO ist kein Berichtspflichtiger der CSRD, aber Zulieferer der Wesentlichkeitsanalyse, der S4-Angaben, der Datenintegrität und der Entscheidung, welche sicherheitsrelevanten Informationen unter das Auslassungsrecht fallen. Cyberpflichten selbst stehen in NIS-2, DORA, CRA und Fachrecht (Nachbartracks).

Umsetzungsperspektive

• In die Wesentlichkeitsanalyse einbringen: Cyberrisiken und -auswirkungen mit derselben Methodik bewerten wie andere Themen und das Ergebnis dokumentieren, ob wesentlich oder nicht.
• S4 vorbereiten: falls Privatsphäre von Verbrauchern wesentlich ist, Datenquellen und Verantwortliche zwischen Datenschutz, Sicherheit und Nachhaltigkeit klären.
• Auslassung steuern: sicherheitsrelevante Informationen identifizieren, die unter das Auslassungsrecht fallen können, und den Prozess für Offenlegung und jährliche Überprüfung festlegen.
• Datenkette absichern: Berichtsdaten in Systemen mit Zugriffs- und Änderungskontrolle führen.
• Nicht überdehnen: keine Sicherheitskennzahlen veröffentlichen, die weder wesentlich noch gefordert sind.

Typische Fehler

1. Es wird ein CSRD-Cyberreporting eingeführt, obwohl die ESRS kein Cyberthema kennen.
2. Sicherheitsdetails werden veröffentlicht, ohne das Auslassungsrecht zu prüfen.
3. Die Wesentlichkeitsanalyse wird ohne den CISO durchgeführt und Cyberrisiken werden weder bewertet noch begründet verworfen.
4. S4-Angaben zur Privatsphäre entstehen ohne Abstimmung mit Datenschutz und Sicherheit.
5. Die Integrität der Berichtsdaten wird nicht abgesichert, obwohl das Ermittlungsverfahren geprüft wird.

Risiken und Trade-offs

Mehr Transparenz über Sicherheit kann Vertrauen bei Investoren und Kunden schaffen, gibt aber Angreifern Hinweise; das Auslassungsrecht verlangt dabei Offenlegung der Inanspruchnahme und jährliche Überprüfung. Eine Wesentlichkeitsanalyse, die Cyber als wesentlich einstuft, zieht unternehmensspezifische Angaben mit Prüfaufwand nach sich; eine, die es verwirft, muss das begründen können. Für die Datenkette gilt: Jeder manuelle Schritt ist ein Prüfrisiko.

Entscheidungspunkte

• Ist Cybersicherheit in der Wesentlichkeitsanalyse bewertet, und mit welchem Ergebnis?
• Ist Privatsphäre von Verbrauchern (S4) wesentlich, und wer liefert die Daten?
• Welche sicherheitsrelevanten Informationen sollen unter das Auslassungsrecht fallen?
• Wer verantwortet die Integrität der Berichtsdaten?
• Welche Sicherheitsangaben werden freiwillig veröffentlicht, und ist das abgewogen?

Praktische Empfehlungen

1. Bringen Sie Cyberrisiken mit dokumentierter Bewertung in die Wesentlichkeitsanalyse ein.
2. Klären Sie bei Wesentlichkeit von S4 die Datenlieferung zwischen Datenschutz, Sicherheit und Nachhaltigkeit.
3. Legen Sie einen Prozess für das Auslassungsrecht bei sicherheitsrelevanten Informationen fest.
4. Sichern Sie die Datenkette der Berichterstattung mit Zugriffs- und Änderungskontrollen ab.
5. Veröffentlichen Sie keine Sicherheitsdetails, die weder wesentlich noch gefordert sind.

Relevante Normreferenzen

• Delegierte Verordnung (EU) 2026/1563 (vereinfachte ESRS): ESRS 1 Abs. 11, Themenliste (S4, G1); ebenso Delegierte Verordnung (EU) 2023/2772.
• Richtlinie 2013/34/EU i.d.F. RL (EU) 2026/470: Art. 19a Abs. 3 UAbs. 4, Art. 29a Abs. 3 UAbs. 4, Art. 34 Abs. 1 UAbs. 2 Buchst. aa.
• Verordnung (EU) 2023/2418 (Begriff der Verschlusssache); Richtlinie (EU) 2016/943 (Geschäftsgeheimnisse).
• Cyberpflichten: nis2-, dora- und cra-Track.