Die Wertschöpfungskette nach dem Omnibus: geschützte Unternehmen, Verweigerungsrecht und Datenanfragen an Zulieferer

Problem in der Praxis

Vor dem Omnibus haben berichtspflichtige Unternehmen umfangreiche Fragebögen an ihre gesamte Lieferkette verschickt, oft mit Klauseln, die Lieferanten zu ESRS-Daten verpflichteten. Für kleinere Lieferanten war das eine faktische Berichtspflicht durch die Hintertür. Nach dem Omnibus entsteht das umgekehrte Risiko: Lieferanten lehnen pauschal alles ab, was nach Nachhaltigkeit klingt, auch Anfragen, die auf anderen Pflichten beruhen. Und Einkaufsabteilungen schreiben alte Klauseln weiter in neue Verträge, ohne zu bemerken, dass sie insoweit unwirksam sind.

CISO-Einordnung

Die Regeln für berichtspflichtige Unternehmen (Art. 19a Abs. 3, 29a Abs. 3 n.F.), die die Mitgliedstaaten bis zum 19.03.2027 umsetzen müssen:

• Begriffe: "berichtspflichtiges Unternehmen" ist das nach Abs. 1 berichtende Unternehmen; "geschütztes Unternehmen" ist ein Unternehmen mit höchstens durchschnittlich 1 000 Beschäftigten im vorangegangenen Geschäftsjahr in dessen Wertschöpfungskette; "freiwillige Standards" sind die Standards nach Art. 29ca.
• Größenbestimmung: Berichtspflichtige Unternehmen dürfen sich auf eine Selbsterklärung des Zulieferers stützen und müssen sie nicht überprüfen, dürfen sich aber nicht darauf verlassen, wenn sie deren Unrichtigkeit kannten oder kennen mussten.
• Verweigerungsrecht: Geschützte Unternehmen dürfen Informationen ablehnen, die über die freiwilligen Standards hinausgehen, wenn sie für die Nachhaltigkeitsberichterstattung angefordert werden.
• Vertragsgrenze: Bei vertraglichen und sonstigen Vereinbarungen zur Erfüllung der Berichtsanforderungen dürfen solche Informationen nicht verlangt werden; widersprechende Klauseln sind unwirksam, ohne die übrigen Klauseln zu berühren.
• Informationspflicht: Fordert ein berichtspflichtiges Unternehmen direkt oder indirekt mehr an, muss es das geschützte Unternehmen darüber informieren, welche Informationen über die freiwilligen Standards hinausgehen und dass es sie verweigern darf.
• Erfüllungsfiktion: Die Pflicht zur Berichterstattung über die Wertschöpfungskette gilt als erfüllt, wenn das berichtspflichtige Unternehmen die erforderlichen Angaben zur Wertschöpfungskette macht, ohne dass darin Angaben geschützter Unternehmen eingehen, die über die freiwilligen Standards hinausgehen. Das Weglassen allein erfüllt die Pflicht nicht.
• Grenzen: Die Regeln berühren keine Anfragen zu anderen Zwecken, einschließlich der Erfüllung von Sorgfaltspflichten, und begründen keine Pflicht von Unternehmen in der Wertschöpfungskette, Nachhaltigkeitsinformationen bereitzustellen.
• Übergang: In den ersten drei Berichtsjahren erläutert das berichtspflichtige Unternehmen bei fehlenden Daten seine Anstrengungen, die Gründe und seine Pläne; danach nutzt es direkt erhaltene Daten oder Schätzungen.

Flankierend: Die Standards dürfen keine Angaben vorsehen, die darüber hinausgehende Anfragen an Unternehmen bis 1 000 Beschäftigte erfordern würden (Art. 29b Abs. 4 n.F.), und der Prüfer achtet bei seinem Urteil das Verweigerungsrecht (Art. 34 Abs. 2a n.F.). Die Delegierte Verordnung (EU) 2026/1560 legt den freiwilligen Standard (Anhang I) und die Obergrenze als abschließende Liste von Datenpunkten (Anhang II) fest; nicht berichtspflichtige Unternehmen können ihn freiwillig anwenden (Art. 2), Grundlage ist der VSME-Standard der Empfehlung (EU) 2025/1710.

Für den CISO ergeben sich zwei Rollen. Als Teil eines berichtspflichtigen Unternehmens steuert er mit, welche Daten von IT- und Sicherheitsdienstleistern für die Nachhaltigkeitserklärung angefragt werden, und achtet darauf, dass Sicherheitsanforderungen an Lieferanten auf ihrer eigenen Rechtsgrundlage stehen (etwa NIS-2, DORA, Verträge) und von CSRD-Anfragen getrennt gestellt werden: Maßgeblich für den Schutz ist der Zweck einer Anfrage, nicht der Fragebogen, in dem sie steht, und gemischte Fragebögen erzeugen Streit über den Zweck. Als Teil eines geschützten Zulieferers hilft er, Anfragen nach Zweck zu trennen: Nachhaltigkeitsdaten bis zur Obergrenze, Sicherheits- und Aufsichtsdaten nach ihrer eigenen Grundlage.

Umsetzungsperspektive

• Zweck jeder Anfrage bestimmen: Nachhaltigkeitsberichterstattung oder andere Rechtsgrundlage (Sorgfaltspflichten, Cyber- und Aufsichtsrecht, Vertrag).
• Fragebögen und Vertragsklauseln überarbeiten: CSRD-Anfragen an geschützte Unternehmen auf die Datenpunkte der Obergrenze begrenzen, alte Klauseln prüfen.
• Größenselbsterklärungen einholen und dokumentieren.
• Als Zulieferer: Standardantwort auf Basis des freiwilligen Standards vorbereiten und das Verweigerungsrecht kennen.
• Sicherheitsanforderungen an Lieferanten getrennt von Nachhaltigkeitsfragen führen.

Typische Fehler

1. Alte ESRS-Datenklauseln werden in Verträge mit kleineren Lieferanten übernommen, obwohl sie insoweit unwirksam sind.
2. Zulieferer verweigern pauschal jede Anfrage, auch solche auf anderer Rechtsgrundlage.
3. Die Form der Anfrage wird mit ihrem Zweck verwechselt: Maßgeblich ist der tatsächliche Zweck. Eine auf anderer Grundlage beruhende Sicherheitsanforderung wird nicht dadurch verweigerbar, dass sie in einem Nachhaltigkeitsfragebogen steht, und eine Anfrage zur CSRD-Berichterstattung wird nicht dadurch geschützt, dass sie als Sicherheitsfrage bezeichnet ist; gemischte Fragebögen schaffen Streit über den Zweck.
4. Die Größe des Lieferanten wird nicht festgestellt, obwohl eine Selbsterklärung genügt.
5. Berichtspflichtige Unternehmen informieren nicht über den überschießenden Teil ihrer Anfrage und das Verweigerungsrecht.

Risiken und Trade-offs

Die Obergrenze schützt kleinere Lieferanten, erschwert aber berichtspflichtigen Unternehmen die vollständige Darstellung der Wertschöpfungskette; das Gesetz nimmt das mit der Erfüllungsfiktion bewusst in Kauf. Ein Lieferant, der freiwillig mehr liefert, kann Kundenbindung gewinnen, gibt aber Daten heraus, zu denen er nicht verpflichtet ist. Für Sicherheitsdaten gilt die Abwägung nach ihrer eigenen Rechtsgrundlage, nicht nach der CSRD.

Entscheidungspunkte

• Welche Lieferanten sind geschützte Unternehmen, und ist das per Selbsterklärung belegt?
• Gehen bestehende Fragebögen und Klauseln über die Obergrenze hinaus?
• Sind Sicherheitsanforderungen an Lieferanten von Nachhaltigkeitsanfragen getrennt?
• Wie antwortet das eigene Unternehmen als Zulieferer auf CSRD-Anfragen?
• Wer informiert Lieferanten über überschießende Anfragen und ihr Verweigerungsrecht?

Praktische Empfehlungen

1. Ordnen Sie jede Lieferantenanfrage einem Zweck und einer Rechtsgrundlage zu.
2. Begrenzen Sie CSRD-Anfragen an Lieferanten mit bis zu 1 000 Beschäftigten auf die Datenpunkte der Delegierten Verordnung (EU) 2026/1560.
3. Prüfen Sie bestehende Vertragsklauseln auf unwirksame Datenpflichten.
4. Führen Sie Sicherheitsanforderungen an Lieferanten auf eigener Grundlage.
5. Bereiten Sie als Zulieferer eine Antwort nach dem freiwilligen Standard vor.

Relevante Normreferenzen

• Richtlinie 2013/34/EU i.d.F. RL (EU) 2026/470: Art. 19a Abs. 3, Art. 29a Abs. 3, Art. 29b Abs. 4, Art. 29ca, Art. 34 Abs. 2a.
• Delegierte Verordnung (EU) 2026/1560 (freiwilliger Standard, Obergrenze; Art. 3 ab Geschäftsjahren 01.01.2027).
• Empfehlung (EU) 2025/1710 (VSME).