ESG-Reporting-Software im DACH-Vergleich: Auswahlkriterien für CSRD und ESRS

Die Corporate Sustainability Reporting Directive (Richtlinie (EU) 2022/2464) verpflichtet ab dem Geschäftsjahr 2025 rund 15.000 Unternehmen in Deutschland zur Berichterstattung nach den European Sustainability Reporting Standards (ESRS), und der Prüfungsumfang wird gemäß § 324b HGB-E bis 2028 schrittweise auf reasonable assurance angehoben. Wer ESG-Daten weiter in Excel und SharePoint pflegt, riskiert nicht nur Versagensvermerke des Abschlussprüfers, sondern auch Doppelarbeit in jeder Auditrunde, jeder Lieferantenauskunft und jeder Investorenanfrage. ESG-Reporting-Software soll diese Lücke schließen, doch der Markt ist fragmentiert, die Auswahlkriterien sind technischer geworden, als viele Einkaufsabteilungen erwarten, und die Verkaufsdecks der Anbieter sehen einander zum Verwechseln ähnlich.

Dieser Vergleich richtet sich an Nachhaltigkeitsbeauftragte, CFOs, Compliance-Verantwortliche und ESG-Projektleitungen im DACH-Raum, die 2026 eine belastbare Tool-Entscheidung treffen müssen. Er beschreibt, welche Funktionsblöcke ESRS-konformes Reporting verlangt, wie sich Anbieter strukturell unterscheiden, welche Rolle EU-Datenresidenz und ISO 27001:2022 spielen, welche Kostenpositionen regelmäßig unterschätzt werden und warum Software allein nicht reicht, wenn der Umweltbeauftragte oder ESG-Officer nicht operativ angebunden ist. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der Beitrag liefert ein praxistaugliches Vergleichsraster mit sieben harten Fragen, die jede ESG-Software 2026 beantworten muss.

Die Pflicht zur Nachhaltigkeitsberichterstattung ergibt sich in Deutschland aus dem CSRD-Umsetzungsgesetz, das die Richtlinie (EU) 2022/2464 in §§ 289b ff. HGB und §§ 315b ff. HGB überführt. In Österreich erfolgt die Umsetzung über das Nachhaltigkeits- und Diversitätsverbesserungsgesetz, in der Schweiz über Art. 964a-c OR mit dem Verordnungsentwurf zur klimabezogenen Berichterstattung. Alle drei Regime verlangen Berichte nach den ESRS bzw. vergleichbaren Standards, eine doppelte Wesentlichkeitsanalyse und eine externe Prüfung mit zunächst limited assurance nach ISAE 3000 (Revised). Hinzu treten branchenspezifische Anforderungen, etwa für Finanzinstitute aus der Offenlegungsverordnung (EU) 2019/2088 (SFDR) und für emissionsintensive Unternehmen aus der EU-Taxonomie-Verordnung (EU) 2020/852.

Für die Software bedeutet das konkret: Sie muss die zwölf ESRS (zwei sektorübergreifende, fünf Umwelt, vier Sozial, einer Governance) als Datenmodell abbilden, die rund 1.144 quantitativen und qualitativen Datenpunkte verwalten und jeden Wert mit Quelle, Zeitstempel und Bearbeiter dokumentieren. Frist läuft ab Kenntnis, auch im ESG-Kontext: Wer Lieferantendaten nicht zeitnah erfasst, verliert Prüfspuren, die später nicht mehr rekonstruierbar sind. Ergänzend kommen Anforderungen aus dem Lieferkettensorgfaltspflichtengesetz (LkSG), das in Deutschland für Unternehmen ab 1.000 Mitarbeitenden gilt, und ab Geschäftsjahren nach dem 1. Januar 2028 aus der Corporate Sustainability Due Diligence Directive hinzu. Wer hier eine Plattform sucht, sollte den Umweltschutzbeauftragten und den ESG-/Nachhaltigkeitsbeauftragten als operative Anker mitdenken, nicht nur die Reporting-Engine. Eine reine Bilanzierungssoftware reicht nicht; gefragt ist ein Workspace, der Maßnahmen, Belege und Bestellungen in einem Audit-Trail bündelt und Berichtspflichten aus mindestens drei Regimes parallel bedient. Hinzu kommt, dass die ESRS 2026 voraussichtlich um sektorspezifische Standards erweitert werden, was die Zahl der Datenpunkte für Energie, Bergbau, Agrar und Finanzdienstleistungen weiter steigern wird.

Der DACH-Markt für ESG-Reporting-Software lässt sich in vier Cluster sortieren, die sich in Herkunft, Datentiefe und Integrationsbreite deutlich unterscheiden. Erstens: Carbon-Accounting-Spezialisten wie Plan A, Sweep, Tanso oder Greenly, die mit Scope 1, 2 und 3 starten und ESRS-Module nachrüsten. Sie überzeugen mit präzisen Emissionsfaktoren-Datenbanken, sind im sozialen und Governance-Teil der ESRS aber häufig schwächer. Zweitens: ESG-Plattformen wie VERSO, Cority, Sphera oder Position Green, die historisch aus EHS oder Nachhaltigkeitsberatung kommen und breite ESRS-Abdeckung bieten. Hier ist die Carbon-Bilanzierung solide, aber selten ähnlich tief wie bei Spezialisten.

Drittens: GRC-Suiten wie SAP Sustainability Control Tower, Workiva oder Diligent, die ESG als Modul innerhalb einer Compliance-Plattform führen. Diese sind für Konzerne mit existierender SAP- oder Oracle-Landschaft attraktiv, weil Stammdaten, Finanzdaten und Berichtslogik bereits konsolidiert vorliegen. Viertens: Consulting-getriebene Lösungen mit Excel-Add-on-Charakter, oft unter dem Namen einer Big-Four-Marke. Sie sind günstig im Einstieg, skalieren aber selten über den ersten Berichtszyklus hinaus. Für den Mittelstand mit 250 bis 5.000 Mitarbeitenden sind Cluster eins und zwei am häufigsten relevant, weil sie schneller einsatzfähig sind. Wichtig: Keine dieser Lösungen ersetzt die Bestellung eines internen oder externen Umweltbeauftragten nach § 59 BImSchG bzw. Abfallbeauftragten nach § 59 KrWG, falls die Anlagen- oder Mengenschwellen überschritten werden. Die Software dokumentiert, der Beauftragte verantwortet. Bestellurkunde, unterschrieben, abgelegt, belegbar, bleibt die Grundlage jeder ESG-Governance, auch wenn das schöne Dashboard etwas anderes suggeriert. Wer Cluster drei wählt, sollte zusätzlich prüfen, ob das ESG-Modul wirklich produktiv ist oder noch im Roadmap-Status verkauft wird. Eine Faustregel aus DACH-Vergabeverfahren: Wenn der Anbieter keinen Live-Demo-Mandanten mit echten ESRS-Datenpunkten zeigen kann, ist das Modul wahrscheinlich noch nicht reif.

Die doppelte Wesentlichkeitsanalyse nach ESRS 1 ist das Herzstück jedes CSRD-Berichts. Eine taugliche Software muss Inside-out- und Outside-in-Bewertungen getrennt erfassen, Stakeholder-Workshops dokumentieren und die Materialitätsmatrix versioniert speichern. Wer hier nur eine Excel-Tabelle hochladen kann, hat keine Software, sondern einen Datei-Server mit Branding. Prüfen Sie konkret: Lassen sich IROs (Impacts, Risks, Opportunities) als eigene Objekte mit Schwellenwerten, Eintrittswahrscheinlichkeit und Ergebnis pflegen? Gibt es eine Verknüpfung zu den Datenpunkten der jeweiligen ESRS-Standards, sodass jede materielle Auswirkung automatisch die zugehörigen Reporting-Pflichten triggert?

Zweite Prüfdimension ist das Datenmodell. ESRS verlangt rund 1.144 Datenpunkte, davon etwa 270 mit XBRL-Tagging-Pflicht ab dem European Single Electronic Format (ESEF). Die Software muss alle Datenpunkte als Felder kennen, Tagging vorbereiten und Mehrfachvergleiche über Geschäftsjahre erlauben, einschließlich Restatement-Logik, wenn Zahlen rückwirkend korrigiert werden müssen. Dritte Dimension ist der Audit-Trail: Jeder Wert mit Quelle, Quellsystem, Erfasser, Freigeber und Zeitstempel, jede Änderung versioniert, jede Begründung im Kommentarfeld. Der Prüfer ruft an, der Nachweis liegt bereit. Vierte Dimension ist die Anbindung an die 25 Beauftragten-Rollen, die ESG-Daten zuliefern: Gefahrstoffbeauftragter für Chemikalien, Datenschutzbeauftragter für Mitarbeiterdaten, Compliance-Beauftragter für Governance-Kennzahlen, Hygienebeauftragter für Lebensmittel- und Pharmaproduktion. Eine Plattform ohne diese Rollenlogik produziert Berichte, die im Audit auseinanderfallen, sobald die Prüfer nach Verantwortlichkeiten, Bestellurkunden und Berichtslinien fragen, was im zweiten Pilotjahr regelmäßig die Eingangsfrage des Audits ist. Fünfte Dimension, oft übersehen: Maßnahmenmanagement. ESRS verlangt nicht nur Status quo, sondern Transition-Pläne, Zielsetzungen und Fortschrittsmessung. Die Software muss Maßnahmen mit Verantwortlichen, Budget, Frist und Wirkungsindikator verwalten und beim Schwenk in den nächsten Berichtszyklus automatisch Soll-Ist-Vergleiche liefern, ohne dass eine separate Projektmanagement-Software parallel gepflegt werden muss.

ESG-Daten sind nicht nur Nachhaltigkeitsdaten, sie enthalten Lieferanteninformationen, Mitarbeiterzahlen, Standortdaten, Energieverbräuche pro Anlage und Finanzkennzahlen. Damit fallen sie unter die DSGVO und je nach Unternehmensgröße unter die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555), die in Deutschland über das NIS-2-Umsetzungsgesetz scharfgestellt wird und rund 29.500 Unternehmen unmittelbar betrifft. Die Software-Auswahl hat damit eine harte IT-Sicherheits-Komponente, die mit der reinen Reporting-Funktionalität nichts zu tun hat, aber jedes Vergabeverfahren scheitern lassen kann.

Drei Kriterien sind nicht verhandelbar. Erstens: EU-Datenresidenz mit Vertragsgarantie, idealerweise im DACH-Raum. Anbieter, die Daten in US-Regionen spiegeln, sind nach Schrems II nur mit erheblichem Zusatzaufwand nutzbar, der in der Praxis oft eine Transfer Impact Assessment erfordert. Zweitens: Zertifizierung nach ISO/IEC 27001:2022 mit aktuellem Statement of Applicability, das die 93 Controls inklusive der elf neuen Annex-A-Controls (z. B. Threat Intelligence, Information Security for Cloud Services, Data Masking, Data Leakage Prevention) abdeckt. Drittens: NIS-2-Tauglichkeit, wenn das Unternehmen unter die rund 29.500 betroffenen Organisationen in Deutschland fällt. Die Software muss Vorfälle, die ESG-Berichtsprozesse stören, in den 24h-Frühwarn- und 72h-Folgemeldepfad einspeisen können. Bußgelder bis 10 Mio. Euro oder 2 % des Konzernumsatzes treffen nicht nur Energieversorger, sondern auch Lebensmittelhersteller, Logistiker, Chemieunternehmen und Gesundheitsanbieter. CIVAC betreibt seinen Workspace ausschließlich in EU-Rechenzentren, ist nach ISO/IEC 27001:2022 zertifiziert und liefert den 24/72-Meldepfad als Standardprozess, nicht als Customizing-Projekt mit Aufpreis. Audit-fest, dokumentiert, § 32 BSIG-fest. Hinzu kommt ein praxisrelevantes Detail: Subunternehmer-Transparenz. Viele Anbieter setzen US-Hyperscaler als Sub-Provider ein, ohne dass dies aus dem Hauptvertrag hervorgeht. Verlangen Sie ein vollständiges Subunternehmer-Register inklusive Verarbeitungstätigkeiten und prüfen Sie, ob Backup- und Disaster-Recovery-Systeme ebenfalls in der EU liegen. Andernfalls verlagern sich die DSGVO-Risiken nicht, sie verstecken sich nur in der zweiten Reihe der Lieferkette.

ESG-Daten entstehen selten dort, wo sie berichtet werden. Energieverbrauch kommt aus dem Gebäudemanagement und dem Energiemanagementsystem nach ISO 50001, Personalkennzahlen aus dem HRIS, Lieferantendaten aus dem Einkaufssystem und LkSG-Risikoportal, Finanzkennzahlen aus dem ERP, Hinweisgeber-Meldungen aus der internen Meldestelle nach HinSchG, Gefahrstoffmengen aus dem Gefahrstoffkataster, Abfallmengen aus dem Entsorgungs-Cockpit. Eine ESG-Reporting-Software ohne saubere Konnektoren wird zur manuellen Re-Tipp-Maschine, und genau dort entstehen die Fehler, die der Prüfer findet, weil Soll-Werte aus dem ERP und Ist-Werte aus dem Bericht nicht zusammenpassen.

Prüfen Sie deshalb drei Integrationsschichten. Erstens: Standard-Konnektoren zu SAP S/4HANA, Microsoft Dynamics 365, Oracle Fusion, Workday, Salesforce, idealerweise mit zertifizierten Schnittstellen und Referenzkunden im DACH-Raum. Zweitens: Generische APIs (REST, GraphQL) mit Webhooks und Bulk-Import, damit auch Nischensysteme wie ein dediziertes Gefahrstoffkataster, ein Energiemanagementsystem nach ISO 50001 oder ein BImSchV-Anlagenregister angebunden werden. Drittens: Belegmanagement mit Versionierung, damit hochgeladene Rechnungen, Lieferscheine oder Auditberichte nicht im freien E-Mail-Ordner verschwinden und der Wirtschaftsprüfer die Originalquelle eines jeden Wertes innerhalb von Sekunden öffnen kann. Erst auf dieser Basis lassen sich Bestellurkunden, etwa für den Gefahrstoffbeauftragten oder den Abfallbeauftragten, mit den von ihnen verantworteten Datenpunkten verknüpfen. Audit-fest, dokumentiert, ESRS-fest. Wer dieses Mapping erst im Prüfungszeitraum versucht, verliert pro Datenpunkt mehrere Stunden Recherchezeit, mal 1.144 Datenpunkte, mal mehrere Geschäftsbereiche und Tochtergesellschaften. Wichtig ist außerdem die Lieferanten-Schnittstelle: ESRS E1, S1 und S2 verlangen Daten Dritter, die selten in einem Cloud-System bereitliegen. Eine reife ESG-Software stellt deshalb ein Lieferanten-Portal bereit, in dem Zulieferer eigene Daten direkt eintragen, mit Mehrsprachigkeit, Mahnstufen und Fortschrittsanzeige. Wer Lieferantendaten weiterhin per E-Mail-Excel sammelt, akzeptiert manuelle Übertragungsfehler im Prüfungs-Quellpfad.

Listenpreise für ESG-Reporting-Software bewegen sich im DACH-Raum 2026 typischerweise zwischen 18.000 Euro pro Jahr für Mittelstandslösungen und 250.000 Euro pro Jahr für Konzern-Plattformen. Diese Spanne ist wenig aussagekräftig, solange Total Cost of Ownership nicht erfasst ist. Drei Posten werden regelmäßig unterschätzt und sprengen das ursprüngliche Budget, sobald die Implementierung beginnt.

Erstens: Implementierungskosten. Datenmodell-Anbindung, Rollenkonzept, Initial-Befüllung, Lieferantenkommunikation und Schulung kosten häufig das Eineinhalb- bis Dreifache der ersten Jahreslizenz. Wer ein Festpreisangebot ohne Datenpunkt-Mapping erhält, sollte nachfragen, ob das Mapping Bestandteil der Implementierung oder separat zu beauftragen ist. Zweitens: Beratungskosten für Wesentlichkeitsanalyse, Lückenanalyse und Prüfungsvorbereitung. Diese fallen zusätzlich an, oft bei der gleichen Beratung, die die Software verkauft hat, und liegen pro Berichtsjahr im sechsstelligen Bereich. Drittens: Officer-Kosten. Wenn das Unternehmen meldepflichtige Anlagen oder Mengen bewegt, ist die Bestellung eines Umweltbeauftragten, Gefahrstoffbeauftragten oder Abfallbeauftragten Pflicht; klassische Marktpreise liegen bei 4.500 bis 18.000 Euro pro Jahr und Rolle, dazu Stundensätze von 180 bis 320 Euro für Audit-Begleitung. CIVAC kombiniert beide Welten: Workspace-Lizenz für den internen Beauftragten oder Officer-as-a-Service durch bestellte Externe, mit SLA von zwei Werktagen statt zwei bis sechs Wochen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle liegen in einem Vertrag, der die Bestellurkunde, das Berichtswesen und die Audit-Vorlagen mitliefert, ohne separates Beratungsmandat oder Tagessatz-Verhandlung im Krisenmoment. Vierter, häufig übersehener TCO-Posten: Exit-Kosten. Wer den Anbieter wechselt, muss Datenmodell, Historie und Belege exportieren, oft in proprietären Formaten. Verlangen Sie eine vertraglich zugesicherte Datenexport-Klausel mit ESEF-XBRL-konformer Ausgabe und einer Frist von höchstens vier Wochen. Andernfalls wird der zweite Berichtszyklus durch reinen Lock-in teurer als der erste.

Der CSRD-Bericht ist prüfungspflichtig, zunächst mit limited assurance gemäß ISAE 3000 (Revised). Ab Geschäftsjahren, die nach dem 1. Januar 2028 beginnen, soll die EU-Kommission den Standard für reasonable assurance vorlegen, was die Prüfungstiefe etwa der einer Jahresabschlussprüfung nach ISA 200 ff. annähert. Für die Software heißt das: Sie muss heute schon so dokumentieren, wie der Prüfer in drei Jahren fragen wird, und nicht erst dann, wenn die Frage gestellt ist. Wer das Datenmodell und den Audit-Trail nachträglich umbaut, verliert mindestens einen Berichtszyklus.

Konkret bedeutet das fünf Anforderungen. Erstens: Vollständige Datenherkunft für jeden Wert, vom ESEF-Tagging über das Quellsystem bis zum Originalbeleg, mit klickbarem Pfad. Zweitens: Rollen- und Freigabeworkflow mit Vier-Augen-Prinzip für kritische Datenpunkte, insbesondere Scope-3-Emissionen, Lieferantenkennzahlen und Diversitätsangaben. Drittens: Versionierung von Methoden und Annahmen, damit Änderungen im zweiten Berichtsjahr nachvollziehbar bleiben und Restatements sauber dokumentiert sind. Viertens: Ein vollständiges Logbuch der Wesentlichkeitsanalyse, einschließlich der nicht-materiellen Themen mit Begründung, weil ESRS 1 ausdrücklich verlangt, auch das Ausklammern zu dokumentieren. Fünftens: Eine Schnittstelle zur Bestellurkunde des verantwortlichen Beauftragten, damit der Prüfer sieht, wer die Daten verantwortet und ob die Person formal bestellt ist. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Aus 490 einsatzbereiten Audit-Vorlagen lassen sich Wesentlichkeitsanalyse, IRO-Bewertung, ESRS-Datenpunkt-Matrix und Prüfungs-Q&A direkt erzeugen, statt sie vor jedem Audit neu zu bauen, und das spart in der ersten Prüfungsrunde nachweisbar mehrere Wochen. Eine Beobachtung aus realen Prüfungen 2025: Wirtschaftsprüfer fragen zunehmend nach Stichproben auf Belegebene, nicht mehr nur nach Kontrollnachweisen. Eine Software, die jeden Wert per Klick zum Originaldokument öffnet, verkürzt die Prüfungsdauer signifikant und reduziert die Zahl der Findings. Wer dagegen jede Stichprobe manuell aus E-Mail-Anhängen und SharePoint-Ordnern rekonstruieren muss, kassiert Findings für Prozessmängel, selbst wenn die Zahlen inhaltlich korrekt sind.

Statt einer Anbietertabelle, die nach drei Monaten veraltet ist, hilft ein robustes Vergleichsraster mit sieben Fragen, die jede ESG-Software 2026 beantworten können muss. Wer auch nur eine davon ausweichend beantwortet, sortiert sich selbst aus der Shortlist. Die Fragen stammen aus realen Vergabeverfahren im DACH-Raum und decken die Bereiche Daten, Sicherheit, ESRS-Tiefe, Rollen und Service-Level ab.

Erstens: In welchem Rechenzentrum liegen die Daten, und welche EU-Mitgliedstaaten sind als Standort vertraglich zugesichert? Zweitens: Liegt eine aktuelle ISO/IEC 27001:2022-Zertifizierung vor, und welche Annex-A-Controls sind im Statement of Applicability ausgenommen? Drittens: Welche ESRS-Datenpunkte sind nativ abgebildet, welche über Custom-Felder, welche gar nicht? Verlangen Sie die Mapping-Tabelle vor Vertragsabschluss, nicht danach. Viertens: Wie wird die doppelte Wesentlichkeitsanalyse technisch unterstützt, und gibt es ein versioniertes IRO-Register mit Verknüpfung zu Datenpunkten? Fünftens: Welche Standard-Konnektoren existieren zu den ERP-, HR- und EHS-Systemen, die im Unternehmen laufen, und welche werden für die nächste Roadmap-Phase versprochen, ohne heute zu existieren? Sechstens: Wie wird die Bestellung von Umwelt-, ESG- oder Abfallbeauftragten dokumentiert, und kann die Bestellurkunde im System hinterlegt und mit den verantworteten Datenpunkten verknüpft werden? Siebtens: Welche SLAs gelten für Incident-Meldungen im Sinne der NIS-2-Richtlinie, und wie sind die 24h- und 72h-Fristen abgebildet? Eine Software, die diese sieben Fragen sauber beantwortet, ist Kandidat für die Shortlist. Eine, die ausweicht, kostet im Audit mehr, als sie an Lizenzpreis spart, und das gilt unabhängig von Unternehmensgröße und Branche. Ergänzend lohnt ein Reality-Check über Referenzkunden: Verlangen Sie zwei bis drei DACH-Referenzen aus der eigenen Branche und führen Sie 30-Minuten-Calls ohne Anbieter-Beisein. Fragen Sie konkret nach Implementierungsdauer, nach Findings im ersten Prüfungszyklus und nach der Reaktionszeit des Supports im Tagesgeschäft. Die Antworten weichen regelmäßig deutlich von den Marketing-Aussagen ab und entscheiden, ob die Plattform den eigenen Berichtszyklus übersteht.

Eine ESG-Reporting-Software ist immer nur die halbe Antwort. Die andere Hälfte sind die Personen, die nach BImSchG, KrWG, WHG, GefStoffV, CSRD und LkSG formal bestellt werden müssen, damit Berichte und Maßnahmen rechtssicher tragen. CIVAC ist deshalb keine reine Software, sondern eine Compliance-Plattform und Officer-as-a-Service in einem Vertrag. Der Workspace bildet 25 Beauftragten-Rollen, 93 Controls nach ISO/IEC 27001:2022 und 490 Audit-Vorlagen ab, die EU-Datenresidenz und der 24/72-Meldepfad nach NIS-2 sind Teil des Standards, nicht Aufpreis-Optionen. Bestellurkunden, Berichtslinien und Audit-Trails liegen in derselben Oberfläche wie ESRS-Datenpunkte, IRO-Register und Wesentlichkeitsanalyse.

Für ESG-Verantwortliche ergeben sich zwei klare Wege. Weg eins: Sie haben bereits einen internen Umwelt- oder Nachhaltigkeitsbeauftragten und brauchen einen Workspace, der ESRS-Datenpunkte, IRO-Register, Bestellurkunden und Audit-Trails bündelt. Weg zwei: Sie wollen einen externen, bestellten Umweltschutzbeauftragten, ESG-/Nachhaltigkeitsbeauftragten oder Abfallbeauftragten mit klarer Berichtslinie, statt eine weitere Beratungsstelle ohne Verantwortung. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen, oder kombinieren Sie beides rollenscharf. Aus dem Lesen einen Auftrag machen: Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular, beschreiben Sie die meldepflichtigen Anlagen, Standorte und den Berichtsumfang. Die Bestellurkunde, die Berichtslinie und der Workspace-Zugang stehen innerhalb von zwei Werktagen, nicht zwei bis sechs Wochen. Damit verschiebt sich die Auswahlentscheidung von der reinen Tool-Frage auf die operative Frage, wer welche Datenpunkte verantwortet, prüft und freigibt. Für die erste Kontaktaufnahme reichen drei Angaben: Branche und Standorte, geschätzte Mitarbeiterzahl und die Information, ob das Unternehmen bereits CSRD-pflichtig ist oder freiwillig berichtet. Auf dieser Grundlage erstellt CIVAC einen Vorschlag, der Workspace-Lizenz, mögliche Officer-Bestellungen, EU-Datenresidenz und 24/72-NIS-2-Meldepfad in einem Dokument zusammenführt, statt vier Verträge mit vier Lieferanten zu verhandeln.