CSRD nach dem Omnibus: welcher Rechtsstand gilt und warum Deutschland noch nach dem HGB berichtet

Problem in der Praxis

Viele Programme stehen noch auf dem Stand von 2023: Welle-2-Unternehmen mit 250 Beschäftigten, Pflicht zu sektorspezifischen Standards, Aussicht auf hinreichende Prüfungssicherheit. Alle drei Annahmen sind durch den Omnibus überholt. Umgekehrt wird aus der Vereinfachung oft geschlossen, die CSRD sei "abgeschafft" oder betreffe nur noch Konzerne; für große Unternehmen oberhalb der neuen Schwellen gilt sie unverändert, und Zulieferer spüren sie über Datenanfragen ihrer Kunden. In Deutschland kommt die Lücke der Umsetzung dazu: Ohne Gesetz gilt das HGB, aber die Richtlinie gibt bereits den Rahmen vor, an dem sich das Gesetz orientieren muss.

CISO-Einordnung

Die Rechtsgrundlagen in der zeitlichen Abfolge:

• CSRD (RL (EU) 2022/2464 vom 14.12.2022, ABl. L 322 vom 16.12.2022, S. 15): eine Änderungsrichtlinie. Die Pflichten selbst stehen in der Bilanzrichtlinie 2013/34/EU (insbesondere Art. 19a für das einzelne Unternehmen, Art. 29a für den Konzern, Art. 29b für die Standards, Art. 34 für die Prüfung). Umsetzungsfrist war der 06.07.2024 (Art. 5 Abs. 1 CSRD).
• RL (EU) 2025/794 vom 14.04.2025 ("Stop-the-clock"): verschiebt die zweite Welle auf Geschäftsjahre ab dem 01.01.2027 und die damalige KMU-Welle auf ab dem 01.01.2028; Umsetzung bis 31.12.2025.
• RL (EU) 2026/470 vom 24.02.2026 (Omnibus I), veröffentlicht am 26.02.2026, in Kraft am zwanzigsten Tag danach: neue kumulative Schwelle (1 000 Beschäftigte und 450 Mio. Euro), Schutz kleinerer Unternehmen in der Wertschöpfungskette, Streichung der sektorspezifischen Standards (Art. 29c), Prüfung nur mit begrenzter Prüfungssicherheit, erweiterte Auslassungsrechte. Umsetzung der Art. 1 bis 3 bis 19.03.2027.
• ESRS: Delegierte Verordnung (EU) 2023/2772, geändert durch die Delegierte Verordnung (EU) 2025/1416 und ab Geschäftsjahren, die am oder nach dem 01.01.2027 beginnen, durch die vereinfachten Standards der Delegierten Verordnung (EU) 2026/1563. Für Geschäftsjahre, die 2026 beginnen, sieht Art. 2 DelVO 2026/1563 ein Wahlrecht zwischen den bisherigen ESRS, den neuen ESRS oder den bisherigen ESRS mit bestimmten Erleichterungen der neuen vor, mit Pflicht zur Angabe der gewählten Fassung. Die Delegierte Verordnung (EU) 2026/1563 ist am 21.09.2026 im Amtsblatt veröffentlicht und tritt nach ihrem Art. 3 am 10.11.2026 in Kraft; am 10.10.2026 ist sie verkündet, aber noch nicht in Kraft.
• Freiwilliger Standard und Obergrenze für Datenanfragen in der Wertschöpfungskette: Delegierte Verordnung (EU) 2026/1560, die Obergrenze ab Geschäftsjahren ab dem 01.01.2027 (dazu csrd-003).

Die deutsche Lage, Stand 10.10.2026: Der Bundesrat hat zum Regierungsentwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2464 in der durch die Richtlinie (EU) 2025/794 geänderten Fassung (BR-Drs. 435/25, eingegangen am 05.09.2025) in seiner Sitzung am 17.10.2025 Stellung genommen. Ein verkündetes Gesetz war am 10.10.2026 im Bundesgesetzblatt nicht auffindbar. Bis zur Umsetzung gelten die HGB-Vorschriften zur nichtfinanziellen Erklärung: für große kapitalmarktorientierte Kapitalgesellschaften mit mehr als 500 Arbeitnehmern (§ 289b HGB) und für entsprechende Mutterunternehmen im Konzern (§ 315b HGB). Weil der Regierungsentwurf auf der Fassung vor dem Omnibus beruht, ist zu erwarten, dass das Gesetz im Verfahren an die Richtlinie 2026/470 angepasst werden muss; das ist eine Einschätzung, keine Beschreibung eines belegten Verfahrensstands.

Für den CISO ist der Rechtsstand aus zwei Gründen wichtig: Erstens hängt von ihm ab, ob und ab wann das eigene Unternehmen berichtet und damit Daten aus IT, Sicherheit und Datenschutz für die Nachhaltigkeitserklärung liefern muss. Zweitens bestimmt er, welche Datenanfragen das Unternehmen als Zulieferer beantworten muss und welche es ablehnen darf.

Umsetzungsperspektive

• Rechtsstand dokumentieren: die Bewertung mit Datum führen (hier 10.10.2026) und die drei Ebenen HGB, geänderte Richtlinie und Regierungsentwurf getrennt halten.
• Betroffenheit neu prüfen: alte Welleneinordnungen gegen die neue Schwelle halten (dazu csrd-002).
• ESRS-Fassung vorbereiten: für Geschäftsjahre 2026 die Wahl nach Art. 2 DelVO 2026/1563 (anwendbar ab deren Inkrafttreten am 10.11.2026) vorbereiten und festhalten.
• Gesetzgebung beobachten: Verkündung des deutschen Umsetzungsgesetzes und dessen Inhalt zu Übergangs- und Wahlrechten.
• Zuliefererrolle mitdenken: auch nicht berichtspflichtige Unternehmen erhalten Anfragen ihrer berichtspflichtigen Kunden.

Typische Fehler

1. Planung nach dem Stand von 2023 (250 Beschäftigte, Sektorstandards, hinreichende Prüfungssicherheit).
2. Annahme, die CSRD sei mit dem Omnibus abgeschafft.
3. Annahme, in Deutschland gelte die CSRD bereits unmittelbar; maßgeblich ist bis zur Umsetzung das HGB.
4. Die Schwelle wird verkürzt auf "mehr als 1 000 Beschäftigte" gelesen, obwohl beide Grenzen überschritten sein müssen.
5. Die Wahl der ESRS-Fassung für 2026 wird nicht dokumentiert.

Risiken und Trade-offs

Wer auf das deutsche Gesetz wartet, spart Vorbereitung, riskiert aber eine knappe Umsetzung, sobald es verkündet ist. Wer früh nach den neuen ESRS aufbaut, investiert in einen Stand, der durch das deutsche Gesetz und die Standards für die Bestätigung noch konkretisiert wird. Der vertretbare Mittelweg ist eine schlanke Wesentlichkeitsanalyse und Datenbasis nach den vereinfachten ESRS, die auch die HGB-Erklärung trägt.

Entscheidungspunkte

• Auf welchem datierten Rechtsstand beruht die eigene Einordnung?
• Fällt das Unternehmen unter die neue Schwelle, und gehörte es zur ersten Welle?
• Welche ESRS-Fassung wird für das Geschäftsjahr 2026 angewendet?
• Wer beobachtet das deutsche Gesetzgebungsverfahren?
• Welche Datenanfragen von Kunden sind zu erwarten oder liegen vor?

Praktische Empfehlungen

1. Führen Sie den Rechtsstand mit Datum und den drei Ebenen HGB, Richtlinie und Entwurf.
2. Prüfen Sie die Betroffenheit gegen die kumulative Schwelle neu.
3. Entscheiden und dokumentieren Sie die ESRS-Fassung für 2026.
4. Beobachten Sie die Verkündung des deutschen Umsetzungsgesetzes und passen Sie dann die Planung an.
5. Bereiten Sie sich auf Datenanfragen von Kunden vor, auch wenn Sie selbst nicht berichtspflichtig sind.

Relevante Normreferenzen

• Richtlinie (EU) 2022/2464 (CSRD), Art. 5; Richtlinie (EU) 2025/794, Art. 1 und 3; Richtlinie (EU) 2026/470, Art. 2, 3, 5 und 6.
• Richtlinie 2013/34/EU, Art. 19a, 29a, 29b, 29c (gestrichen), 34.
• Delegierte Verordnungen (EU) 2023/2772, 2025/1416, 2026/1563 (ESRS) und 2026/1560 (freiwilliger Standard).
• HGB §§ 289b ff., 315b ff. (nichtfinanzielle Erklärung).
• BR-Drs. 435/25 (Regierungsentwurf CSRD-Umsetzung).