EU-Omnibus zur CSRD: Was sich für den Mittelstand wirklich ändert

Am 26. Februar 2026 hat die Europäische Kommission das Omnibus-Simplification-Paket vorgelegt und am 14. April 2026 mit einer ersten Stop-the-Clock-Richtlinie die Fristen der CSRD und CSDDD verschoben. Für den Mittelstand verändert sich die Berichtslandschaft grundlegend: Schwellen ziehen auf rund 1.000 Beschäftigte an, Wellen 2 und 3 werden um 2 Jahre nach hinten geschoben.

Dieser Beitrag erklärt, was das Omnibus-Paket für KMU und mittelständische Konzerne konkret bedeutet, welche Berichtspflichten bleiben, welche entfallen und wie CIVAC als Compliance-Plattform und Officer-as-a-Service den Übergang strukturiert, damit aus politischer Unsicherheit ein belastbarer Fahrplan wird.

Die Corporate Sustainability Reporting Directive 2022/2464 hat die Berichtspflicht für rund 50.000 EU-Unternehmen ausgelöst. Mit der ersten Welle 2025 für 2024er Daten zeigte sich: ESRS-Datenpunkte, doppelte Wesentlichkeitsanalyse und Prüfungsumfang sind für mittlere Unternehmen kaum noch beherrschbar.

Die Kommission hat darauf mit dem Omnibus-Simplification-Paket vom 26. Februar 2026 reagiert. Ziel: Berichtspflichten konzentrieren, doppelte Anforderungen aus CSRD, CSDDD, Taxonomie und CBAM reduzieren, Verwaltungsaufwand senken. Politisch wurde das Paket als Reaktion auf den Draghi-Bericht und den Letta-Bericht zur Wettbewerbsfähigkeit positioniert.

Die Stop-the-Clock-Richtlinie 2026/794 vom 14. April 2026 verschob die Anwendung der CSRD-Wellen 2 und 3 um zwei Jahre. Welle 2 (große Unternehmen, die nicht Public-Interest-Entities sind) berichtet erstmals 2028 für 2027, Welle 3 (börsennotierte KMU) 2029 für 2028.

Das materielle Omnibus-Paket selbst, also die Anhebung der Schwellenwerte und die inhaltliche Reduktion von ESRS, durchläuft das ordentliche Gesetzgebungsverfahren. Endgültige Verabschiedung wird für Herbst 2026 erwartet. Bis dahin gilt vorläufig die ursprüngliche CSRD, soweit nicht durch Stop-the-Clock ausgesetzt.

Im CIVAC-Workspace verfolgen wir das Rechtssetzungsverfahren in einem versionierten Quellenregister. Bei jeder Änderung sehen Compliance, ESG-Beauftragter und Geschäftsleitung, was sich konkret für Berichtsjahr und Datenanforderungen verschiebt. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Das Omnibus-Paket schlägt vor, die CSRD nur noch auf Unternehmen mit mehr als 1.000 Beschäftigten und entweder 50 Mio. Euro Umsatz oder 25 Mio. Euro Bilanzsumme anzuwenden. Damit fallen rund 80 Prozent der ursprünglich erfassten 50.000 EU-Unternehmen aus dem direkten Anwendungsbereich heraus.

In Deutschland reduziert sich die Zahl von rund 15.000 berichtspflichtigen Unternehmen auf voraussichtlich 3.000 bis 4.000. Für Mittelstandsbetriebe mit 250 bis 999 Beschäftigten bedeutet das: Pflicht zur Berichterstattung nach CSRD entfällt, sobald das Paket beschlossen ist. Welle 2 ist durch Stop-the-Clock bereits ausgesetzt.

Wichtig ist die mittelbare Betroffenheit. Banken, Versicherer und Großkunden in den Lieferketten fragen weiterhin Nachhaltigkeitsdaten ab, schon wegen eigener CSRD-, EU-Taxonomie- und CSDDD-Pflichten. KMU stehen damit faktisch unter Datenanforderungsdruck, auch ohne eigene CSRD-Pflicht.

Der VSME-Standard (Voluntary Standard for Non-Listed SMEs) der EFRAG wird zum vorgesehenen Rahmen. Er bündelt Datenpunkte, die typischerweise von Banken und Großkunden abgefragt werden, in einem schlanken Berichtsformat. Wer den VSME pflegt, kann Anfragen standardisiert beantworten.

CIVAC führt im Workspace eine Schwellenwert-Matrix, die Beschäftigte, Umsatz und Bilanzsumme aufnimmt und je Geschäftsjahr Pflichten und Erleichterungen ableitet. Wer aus Welle 2 herausfällt, sieht das direkt mit Begründung im Dashboard.

Das Omnibus-Paket soll die Zahl der ESRS-Datenpunkte deutlich reduzieren. Aktuell umfasst das ESRS-Set über 1.100 Datenpunkte, eine Reduktion um geschätzt 25 bis 50 Prozent ist in Diskussion. Die Standards werden konsolidiert, Wahlrechte erweitert, die Trennung in stark wesentlich und nur erweitert wesentlich entfällt.

Die doppelte Wesentlichkeitsanalyse bleibt das methodische Rückgrat. Sie bewertet, ob Themen aus Inside-out-Perspektive (Wirkung des Unternehmens auf Umwelt und Gesellschaft) oder Outside-in-Perspektive (finanzielle Auswirkungen auf das Unternehmen) wesentlich sind. Nur wesentliche Themen sind detailliert zu berichten.

Pflichtdatenpunkte wie Klimaziele, Scope-1- und Scope-2-Emissionen, Energieverbrauch und Wasserentnahme bleiben für berichtspflichtige Unternehmen. Scope-3-Emissionen und Lieferkettendaten werden durch den Wegfall vieler nachgelagerter Pflichtbetriebe einfacher, weil weniger Daten aus dem Mittelstand abgefragt werden.

Für die Prüfung bleibt limited assurance vorerst Standard, der Sprung auf reasonable assurance wird verschoben. Wirtschaftsprüfer benötigen weiterhin belastbare Datengrundlagen, also Datenquellen, Methodik und Kontrollen. Die Beweislast für Datenqualität liegt beim Unternehmen.

Im CIVAC-Workspace strukturieren wir die Wesentlichkeitsanalyse, Datenpunkte und Methodik je Geschäftsjahr versioniert. 490 Audit-Vorlagen decken ESRS-Aufbau, Lieferantendatenabfragen und Prüfungsvorbereitung ab. Audit-fest, dokumentiert, ESRS-fest.

Die Corporate Sustainability Due Diligence Directive (EU 2024/1760) wird ebenfalls überarbeitet. Anwendungsbeginn verschiebt sich um ein Jahr, Anwendungsschwelle steigt, Bußgeldrahmen wird gedeckelt. Die materielle Pflicht zur Risikoanalyse und Sorgfalt entlang der Lieferkette bleibt aber bestehen.

In Deutschland gilt zusätzlich das Lieferkettensorgfaltspflichtengesetz LkSG. Mit dem Omnibus laufen LkSG und kommende CSDDD nicht mehr synchron, der nationale Gesetzgeber muss entscheiden, ob das LkSG den europäischen Rahmen abwartet oder eigene Schritte geht. Der Bundestag diskutiert das in 2026.

Für Mittelständler in den Lieferketten großer Konzerne bedeutet das praktisch: Datenanfragen zu Menschenrechten, Umwelt und Korruption bleiben. Großkunden werden eigene Lieferantenkodexe pflegen und Erklärungen, Audits und Mängelbeseitigung verlangen. Wer professionell antwortet, gewinnt Aufträge.

Der LkSG-Beauftragte behält seine Rolle. Er führt Risikoanalyse, Präventionsmaßnahmen, Beschwerdeverfahren und Berichterstattung. Die Übergänge zur CSDDD werden im Workspace dokumentiert, sodass bei Inkrafttreten kein Datenbruch entsteht.

CIVAC integriert LkSG, CSDDD und VSME in einer Plattform. Lieferantenmatrix, Beschwerdeverfahren und Maßnahmenkatalog sind miteinander verzahnt. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Das Omnibus-Paket ordnet auch die EU-Taxonomieverordnung neu. Berichtspflichten werden auf Unternehmen mit mehr als 1.000 Beschäftigten konzentriert. Für KMU entfallen direkte Taxonomie-Pflichten, mittelbar bleiben sie durch Bankenanforderungen aus der Sustainable Finance Disclosure Regulation (SFDR) relevant.

Beim CO2-Grenzausgleich CBAM hebt das Paket die Schwelle für berichtspflichtige Importeure auf 50 Tonnen Importmasse je Jahr an. Damit fallen rund 90 Prozent der bisher erfassten KMU heraus, große Importeure decken weiterhin etwa 99 Prozent der CO2-Importmenge ab. Die quartalsweise Berichtsperiode bleibt.

Praktisch reduziert das die doppelte Belastung. Wer bisher CSRD, Taxonomie, CBAM und LkSG parallel pflegte, kann seine Compliance-Arbeit in 2026 deutlich verschlanken, sofern die Schwellen erreicht oder unterschritten werden. Sorgfältige Schwellenanalyse je Geschäftsjahr ist Pflicht.

Die Verzahnung mit der CSRD bleibt eng. Wer noch berichtspflichtig ist, integriert Taxonomie-Anteile, CBAM-Datenpunkte und Lieferkettendaten in den Nachhaltigkeitsbericht. Wirtschaftsprüfer prüfen Konsistenz zwischen den Regimen, Abweichungen werden im Bestätigungsvermerk angesprochen.

Im CIVAC-Workspace verknüpfen wir CSRD, Taxonomie, CBAM und LkSG in einem gemeinsamen Daten- und Audit-Backbone. 490 Audit-Vorlagen decken die Schnittstellen ab, EU-Datenresidenz und ISO 27001:2022 ISMS sind Standard. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Erstens: Schwellenwerte ehrlich prüfen. Beschäftigte, Umsatz, Bilanzsumme je Geschäftsjahr und je relevanter Schwelle aufnehmen. Konzernlogik beachten, da Mutter- und Tochterunternehmen anders zählen. Wer knapp über 1.000 Beschäftigte hat, plant zwei Szenarien.

Zweitens: Bestehende Berichtsarbeit nicht verwerfen. Wer 2025 Daten gesammelt hat, behält sie für Bankanfragen, Lieferkettenfragen und freiwilligen VSME. Die Investition ist nicht verloren, sondern wird in einen schlankeren Rahmen überführt.

Drittens: VSME als Default-Standard für KMU prüfen. Er ist von der EFRAG entwickelt, wird von Banken anerkannt und reduziert den Datenaufwand auf ein vertretbares Maß. Wer ihn pflegt, beantwortet Datenanfragen standardisiert und zügig.

Viertens: Berichtslinie und Verantwortlichkeiten festigen. Auch ohne CSRD-Pflicht bleibt Nachhaltigkeit Teil des Risikomanagements. Ein ESG-Beauftragter bündelt Anfragen, koordiniert mit Finanzen, Einkauf und Vertrieb und führt das Reporting auch unterhalb der Pflichtschwelle.

Fünftens: Datenarchitektur sauber halten. Energieverbrauch, Emissionen, Lieferantendaten und Mitarbeiterzahlen sollten einmal erhoben und mehrfach verwendet werden. CIVAC führt Daten und Audit-Vorlagen in einer Plattform, sodass Bank, Großkunde und Aufsicht denselben Stand sehen.

Die Sorgfalts- und Berichtspflichten verschwinden nicht, sie konzentrieren sich. Das Omnibus-Paket entlastet KMU formal, verschiebt aber die Anforderungen in den vertraglichen Bereich. Banken, Versicherer und Großkunden machen ihre Pflichten zu Ihren über Lieferantenkodexe und Finanzierungsverträge.

Greenwashing-Risiken bleiben unter der Empowering Consumers Directive (EU 2024/825) und der Green Claims Directive in Verhandlung. Wer ohne saubere Datengrundlage mit Nachhaltigkeit wirbt, riskiert wettbewerbsrechtliche Abmahnungen und Bußgelder. Behauptungen sind belegbar zu machen.

Auch der Aufsichtsrat darf das Thema nicht abhaken. ESG-Risiken gehören weiterhin in die Risikoberichterstattung nach § 91 AktG und § 289c HGB für große Kapitalgesellschaften. Die Sorgfaltspflicht der Geschäftsleitung nach § 93 AktG und § 43 GmbHG erfasst auch nachhaltigkeitsbezogene Risiken.

Rechtsstreitigkeiten zu Klimaschäden und unternehmerischer Verantwortung nehmen zu. Anlegerklagen wegen fehlerhafter Nachhaltigkeitsangaben sind in Vorbereitung. Eine sauber dokumentierte Datenbasis und eine belastbare Wesentlichkeitsanalyse schützen vor späteren Vorwürfen.

Im CIVAC-Workspace verbinden wir ESG, LkSG, Risikomanagement und Datenschutz zu einem belastbaren Set. 490 Audit-Vorlagen, klare Berichtslinien und EU-Datenresidenz machen aus politisch volatilen Regeln eine prüfbare Pflichtenliste. Der Prüfer ruft an, der Nachweis liegt bereit.

Der Wirtschaftsprüfer bleibt zentraler Begleiter, auch wenn die formale Pflicht entfällt. Er prüft, ob freiwillige VSME-Angaben mit dem Jahresabschluss konsistent sind, ob Datenpunkte methodisch nachvollziehbar sind und ob die doppelte Wesentlichkeitsanalyse dokumentiert ist. Vergleichbarkeit zwischen den Berichtsjahren ist gefordert.

Banken nutzen Nachhaltigkeitsdaten in Kreditprüfung, Pricing und Berichterstattung nach SFDR und CRR III. Wer Standardformate liefert, etwa über VSME oder über bankinterne Datenanforderungen wie das Standardisierte Datenformular der Initiative ESG-Datenanforderungen, beschleunigt Entscheidungen und reduziert Folgefragen.

Versicherer fragen ESG-Daten für Underwriting, Sachversicherung und D&O-Deckung ab. Klimarisiken, Lieferkettenrisiken und Reputationsrisiken fließen in Prämien und Selbstbehalte ein. Wer Daten transparent liefert, gewinnt bessere Konditionen, wer ausweicht, riskiert Risikozuschläge.

Großkunden bauen Lieferanten-Scorecards mit Nachhaltigkeitsdimensionen. Diese gehen häufig über VSME hinaus und verlangen sektorspezifische Daten, etwa für Pharma, Automotive oder Bau. Wer hier proaktiv liefert, wird in Listen gehalten, wer ausweicht, verliert Aufträge.

CIVAC strukturiert die Datenflüsse zu Prüfer, Bank, Versicherer und Großkunde in einer Plattform. Anfragen werden zentral verwaltet, Antworten versioniert. So entsteht ein Datenarchiv, das Compliance, Vertrieb und Finanzen gleichermaßen nutzen. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Omnibus-Reform ist Chance und Aufgabe zugleich. Wer den Übergang nutzt, baut Nachhaltigkeit als belastbares Datenfeld auf, ohne unter der Last des ursprünglichen CSRD-Vollanspruchs zu ersticken. Wer den Übergang verschläft, gerät zwischen Vertragsanforderungen und unklarer Pflichtenlage.

CIVAC ist als Compliance-Plattform und Officer-as-a-Service gebaut, um genau diesen Übergang zu strukturieren. 25 Beauftragten-Rollen laufen im selben Workspace, 490 Audit-Vorlagen decken CSRD, VSME, LkSG, Taxonomie und CBAM ab, EU-Datenresidenz und ISO 27001:2022 ISMS sind Standard.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. SLA für die Erstbesetzung: zwei Werktage statt zwei bis sechs Wochen klassisch. So ist der ESG-Beauftragte handlungsfähig, bevor die nächste Bankanfrage oder Lieferanten-Scorecard eintrifft.

Im Onboarding scannen wir bestehende Berichte, Daten, Lieferantenanfragen und offene Bankzusagen. Sie sehen sofort, welche Schwellenwerte erreicht werden, welche Standards zu pflegen sind und wo Datenlücken bestehen. Aufgaben werden mit Frist und Verantwortlichem hinterlegt, Berichtslinie und Eskalationspfad sind verankert.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de, und Sie haben binnen zwei Werktagen ein Erstgespräch und einen Fahrplan, der zu Ihrem Geschäftsjahr passt.