ESRS nach der Vereinfachung: doppelte Wesentlichkeit, Prüfung und Verantwortung

Problem in der Praxis

Zwei Missverständnisse prägen viele Projekte. Das erste: Die ESRS werden als Checkliste aller Datenpunkte abgearbeitet, statt mit der Wesentlichkeitsanalyse zu beginnen; das erzeugt Aufwand ohne Aussage. Das zweite: Die Wesentlichkeitsanalyse wird als einmalige Workshop-Übung behandelt, ohne nachvollziehbare Dokumentation, und hält dann der Prüfung nicht stand. Für IT und Informationssicherheit kommt ein drittes hinzu: Die Daten der Nachhaltigkeitserklärung stammen aus Systemen, deren Zuverlässigkeit bei einer Prüfung mitbetrachtet wird, aber die Verantwortung für diese Datenkette ist oft ungeklärt.

CISO-Einordnung

Was die vereinfachten ESRS nach ihrem eigenen Text ausmacht (Anhang I der DelVO 2026/1563, ESRS 1):

• Gegenstand: Die ESRS legen die Nachhaltigkeitsinformationen fest, die Unternehmen nach der Bilanzrichtlinie in der Fassung der CSRD und des Omnibus angeben (ESRS 1 Abs. 1).
• Doppelte Wesentlichkeit: Auswirkungen auf Mensch und Umwelt sowie nachhaltigkeitsbezogene Risiken und Chancen (ESRS 1 Abs. 2); Ziel ist eine wahrheitsgetreue Darstellung, die für Nutzer entscheidungsrelevant ist (Abs. 3).
• Gliederung: nach Themen, mit den Bereichen Governance, Strategie, Management von Auswirkungen, Risiken und Chancen sowie Kennzahlen und Ziele (Abs. 5).
• Keine Verhaltenspflichten: Die ESRS schreiben außer der Berichterstattung kein bestimmtes Verhalten vor und befreien nicht von anderen Unionspflichten, einschließlich Sorgfaltspflichten (Abs. 6).
• Unternehmensspezifische Angaben: für wesentliche Themen, die nicht oder nur unzureichend abgedeckt sind, etwa wegen sektorspezifischer Besonderheiten (Abs. 11).
• Übergang 2026: Die Delegierte Verordnung (EU) 2026/1563 ist am 21.09.2026 im Amtsblatt veröffentlicht und tritt nach ihrem Art. 3 am 10.11.2026 in Kraft; am 10.10.2026 ist sie verkündet, aber noch nicht in Kraft. Ab dann gilt: Wer für ein 2026 beginnendes Geschäftsjahr die alten ESRS anwendet, darf bestimmte Erleichterungen der neuen Fassung nutzen, darunter einen Top-down-Ansatz für die Wesentlichkeitsbewertung und Erleichterungen zu unangemessenen Kosten und Anstrengungen sowie zur Wertschöpfungskette; die gewählte Fassung ist anzugeben (Art. 2 DelVO 2026/1563).

Die Rahmenvorschriften der Bilanzrichtlinie in der Fassung des Omnibus:

• Prüfung: Urteil mit begrenzter Prüfungssicherheit, ob die Nachhaltigkeitsberichterstattung den Anforderungen und den Standards entspricht, einschließlich des Verfahrens zur Ermittlung der zu berichtenden Informationen, der Auszeichnungspflicht und der Taxonomie-Angaben (Art. 34 Abs. 1 UAbs. 2 Buchst. aa); Standards für die Bestätigung per delegiertem Rechtsakt bis 01.07.2027 (Art. 26a Abs. 3 RL 2006/43/EG n.F.).
• Format: Lagebericht im einheitlichen elektronischen Berichtsformat; die Nachhaltigkeitsberichterstattung ist erst auszuzeichnen, wenn die Auszeichnungsvorschriften erlassen sind (Art. 29d n.F.).
• Verantwortung: gemeinsame Verantwortung der Mitglieder der Verwaltungs-, Leitungs- und Aufsichtsorgane im Rahmen ihrer nationalen Zuständigkeiten (Art. 33 Abs. 1 n.F.).
• Standards: Qualitätsanforderungen (verständlich, relevant, überprüfbar, vergleichbar, wahrheitsgetreu), Vermeidung unverhältnismäßigen Aufwands, Vorrang quantitativer Angaben (Art. 29b Abs. 2 n.F.).
• Unterstützung: ein Portal der Kommission mit Informationen, Leitlinien und Vorlagen (Art. 29e n.F.).

Für den CISO bedeutet das: Die ESRS verlangen keine Sicherheitsmaßnahmen, aber die Nachhaltigkeitserklärung wird geprüft, und das Verfahren zur Ermittlung der Informationen ist ausdrücklich Prüfgegenstand. Die Zuverlässigkeit der Datenquellen, Zugriffsrechte, Änderungsnachweise und die Integrität der Berichtsdaten sind damit ein Thema der internen Kontrollen der Berichterstattung, auch ohne dass die CSRD IT-Sicherheitsanforderungen aufstellt (dazu csrd-005).

Umsetzungsperspektive

• Wesentlichkeitsanalyse zuerst: nachvollziehbar dokumentieren, mit Begründung für jedes wesentliche und jedes verworfene Thema, und regelmäßig überprüfen.
• Fassungswahl 2026 festlegen und angeben.
• Datenkette absichern: Quellsysteme, Verantwortliche, Zugriffs- und Änderungskontrollen für Berichtsdaten benennen; die Prüfungsbereitschaft vorbereiten.
• Governance klären: Zuständigkeiten in Vorstand und Aufsichtsrat für die Nachhaltigkeitserklärung festhalten.
• Format vorbereiten: einheitliches elektronisches Berichtsformat; Auszeichnung beobachten.

Typische Fehler

1. Datenpunkte werden vollständig abgearbeitet, bevor die Wesentlichkeit bestimmt ist.
2. Die Wesentlichkeitsanalyse ist nicht dokumentiert und nicht prüfungsfest.
3. Es wird mit sektorspezifischen Standards gerechnet, deren Grundlage gestrichen ist.
4. Es wird eine Pflicht zu hinreichender Prüfungssicherheit erwartet, obwohl die Richtlinie nur begrenzte Prüfungssicherheit vorsieht.
5. Die Verantwortung für die Integrität der Berichtsdaten bleibt zwischen Finanzen, Nachhaltigkeit und IT ungeklärt.

Risiken und Trade-offs

Eine schlanke Wesentlichkeitsanalyse spart Aufwand, birgt aber das Risiko, dass der Prüfer die Auswahl beanstandet; eine zu weite Analyse erzeugt Angaben ohne Entscheidungsrelevanz. Die Wahl der alten ESRS für 2026 erhält die Vergleichbarkeit mit dem Vorjahr, die Wahl der neuen spart Umstellungsaufwand im Folgejahr. Bei der Datenkette steht Pragmatismus (Tabellen, manuelle Sammlungen) gegen Prüfbarkeit (Systeme mit Zugriffskontrolle und Änderungsnachweis).

Entscheidungspunkte

• Ist die Wesentlichkeitsanalyse dokumentiert und prüfungsfest?
• Welche ESRS-Fassung gilt für 2026?
• Wer verantwortet die Integrität der Berichtsdaten und ihrer Quellsysteme?
• Sind Vorstand und Aufsichtsrat über ihre gemeinsame Verantwortung informiert?
• Ist das Unternehmen für die begrenzte Prüfungssicherheit vorbereitet?

Praktische Empfehlungen

1. Beginnen Sie mit einer dokumentierten Wesentlichkeitsanalyse und überprüfen Sie sie regelmäßig.
2. Dokumentieren Sie die ESRS-Fassung für 2026.
3. Benennen Sie Quellsysteme und Verantwortliche für Berichtsdaten und sichern Sie Zugriff und Änderungen ab.
4. Stimmen Sie die Prüfungsvorbereitung mit dem Abschlussprüfer ab.
5. Informieren Sie die Organe über ihre gemeinsame Verantwortung.

Relevante Normreferenzen

• Delegierte Verordnung (EU) 2023/2772 (ESRS) i.d.F. DelVO (EU) 2025/1416 und DelVO (EU) 2026/1563: Anhang I, ESRS 1 Abs. 1 bis 6 und 11; Art. 2 und 3 DelVO 2026/1563.
• Richtlinie 2013/34/EU i.d.F. RL (EU) 2026/470: Art. 29b Abs. 2, Art. 29c (gestrichen), Art. 29d, Art. 29e, Art. 33 Abs. 1, Art. 34 Abs. 1 UAbs. 2 Buchst. aa.
• Richtlinie 2006/43/EG i.d.F. RL (EU) 2026/470: Art. 26a Abs. 3.