ISSESG entschlüsselt: ISSB, ESRS und der ESG-Beauftragte im deutschen Mittelstand

Das Schlagwort ISSESG taucht seit 2024 in deutschen Fachdiskussionen auf und fasst drei Regulierungslinien zusammen, die das ESG-Reporting im Unternehmen heute prägen: erstens die globalen ISSB-Standards IFRS S1 (allgemeine Nachhaltigkeitsangaben) und IFRS S2 (klimabezogene Angaben), die das International Sustainability Standards Board am 26. Juni 2023 veröffentlicht hat. Zweitens die European Sustainability Reporting Standards (ESRS), die unter der Corporate Sustainability Reporting Directive (CSRD) ab dem Geschäftsjahr 2024 für große Unternehmen und schrittweise bis 2028 für mittelgroße und kapitalmarktorientierte Unternehmen verpflichtend werden. Drittens die operative Verantwortung im Unternehmen selbst, häufig in Form eines ESG-Beauftragten oder Nachhaltigkeitsbeauftragten, der die Berichtspflichten in laufende Prozesse übersetzt. Die Kombination dieser drei Welten ist das, wofür der Begriff ISSESG steht, und genau diese Kombination produziert in deutschen Mittelstandsunternehmen heute den größten Handlungsdruck.

Dieser Leitfaden ordnet die drei Standardwelten, zeigt welche Pflichten in welchem Geschäftsjahr greifen und wie ein ESG-Beauftragter die Berichtspflicht operativ umsetzt. Sie erfahren, welche Datenpunkte zu erheben sind, wie das doppelte Wesentlichkeitskonzept (Double Materiality) der CSRD funktioniert und wie sich ESRS, ISSB und CSRD-Berichtspflicht im Workspace abbilden lassen, statt in einer Excel-Tabelle mit 200 Reitern zu landen. Am Ende kennen Sie den Pfad von der ersten Wesentlichkeitsanalyse bis zur prüfungsfesten Nachhaltigkeitserklärung im Lagebericht.

ISSESG ist kein offizieller Standardname, sondern eine zusammenfassende Sprachregel für die Schnittmenge dreier Regulierungslinien. Erstens die ISSB-Standards. Das International Sustainability Standards Board wurde im November 2021 unter der IFRS Foundation gegründet und veröffentlichte am 26. Juni 2023 die ersten beiden Standards: IFRS S1 für allgemeine Anforderungen an Nachhaltigkeitsangaben und IFRS S2 für klimabezogene Angaben. Beide gelten freiwillig in Jurisdiktionen, die sie übernommen haben, und sind seit 2024 in mehr als 20 Ländern entweder verpflichtend oder als Best Practice anerkannt. Sie folgen einer Investor-Sichtweise und konzentrieren sich auf finanziell wesentliche Nachhaltigkeitsrisiken und -chancen.

Zweitens die ESRS. Die European Sustainability Reporting Standards wurden von der EFRAG entwickelt und von der EU-Kommission am 31. Juli 2023 als delegierter Rechtsakt verabschiedet. Sie sind die verbindliche Grundlage der CSRD-Berichtspflicht und umfassen zwölf Standards (ESRS 1, ESRS 2, fünf Umwelt-Standards, vier Sozial-Standards, ein Governance-Standard). Drittens die operative Rolle im Unternehmen. Während ISSB und ESRS die Standards setzen, verlangt die praktische Umsetzung eine verantwortliche Person mit definierter Berichtslinie an die Geschäftsleitung. Die Funktion des ESG-/Nachhaltigkeitsbeauftragten ist nicht durch ein einzelnes Gesetz vorgeschrieben, sondern entsteht aus dem Pflichtenmix von CSRD, LkSG, EU-Taxonomie und sektoralen Anforderungen. CIVAC als Compliance-Plattform und Officer-as-a-Service bündelt alle drei Welten in einem Workspace mit ESRS-Datenmodell, Wesentlichkeitsmatrix und 490 Audit-Vorlagen. Wer die drei Welten getrennt führt, doppelt seinen Aufwand und produziert Inkonsistenzen, die in der Prüfung auffallen. Auch die EU-Taxonomie-Verordnung und das LkSG laufen in vielen Mittelstandsunternehmen ohne Verknüpfung mit der ESG-Funktion, was die Audit-Vorbereitung deutlich verteuert und die Berichtsqualität schmälert.

Die Corporate Sustainability Reporting Directive (CSRD) wurde am 16. Dezember 2022 im Amtsblatt der EU veröffentlicht und ist in Deutschland durch das CSRD-Umsetzungsgesetz umzusetzen. Der Anwendungsbereich folgt einer gestuften Logik. Stufe eins betrifft große kapitalmarktorientierte Unternehmen mit mehr als 500 Mitarbeitenden, die bereits unter der NFRD berichteten, ab dem Geschäftsjahr 2024 (erste Berichte 2025). Stufe zwei betrifft alle großen Unternehmen, die zwei der drei Kriterien überschreiten: 250 Mitarbeitende, 50 Mio. Euro Umsatz, 25 Mio. Euro Bilanzsumme, ab Geschäftsjahr 2025 (erste Berichte 2026). Stufe drei betrifft kapitalmarktorientierte KMU ab Geschäftsjahr 2026, mit Opt-out-Möglichkeit bis 2028. Stufe vier betrifft Tochterunternehmen von Drittland-Konzernen mit signifikantem EU-Umsatz ab 2028.

Für Deutschland bedeutet das nach Schätzung des DRSC eine Vervielfachung der berichtspflichtigen Unternehmen von rund 500 unter der NFRD auf rund 15.000 unter der CSRD. Der größte Sprung fällt in Stufe zwei, also auf den Mittelstand mit 250 bis 5.000 Mitarbeitenden. Für viele dieser Unternehmen ist es die erste regulatorische Nachhaltigkeitsberichtspflicht überhaupt. Hinzu kommt die mittelbare Betroffenheit über Lieferketten: Wer als KMU einen großen CSRD-pflichtigen Kunden hat, muss Daten liefern, auch wenn er selbst nicht direkt berichtspflichtig ist. Der Workspace von CIVAC bringt für beide Konstellationen das richtige Datenmodell mit: Vollberichterstattung für direkt Pflichtige und KMU-Light-Reporting für mittelbar Betroffene, jeweils mit dokumentiertem Audit-Trail. Bestellurkunde, unterschrieben, abgelegt, belegbar. Wer die mittelbare Betroffenheit unterschätzt, verliert große Kundenverträge, weil die Daten nicht in der geforderten Form vorliegen. Die Auswirkungen reichen vom Ausschluss aus Vendor-Lists bis zur expliziten Aufforderung des Kunden, einen ESG-Officer zu benennen und eine standardisierte Datenlieferung zu garantieren, was viele KMU operativ überfordert.

Das Herz der ESRS ist das doppelte Wesentlichkeitskonzept, auf Englisch Double Materiality. Es verlangt zwei Sichtweisen gleichzeitig. Erstens die Outside-in-Sicht, also welche Nachhaltigkeitsthemen finanziell wesentlich auf das Unternehmen wirken (Risiken, Chancen, Kapitalkosten, Reputationswert). Zweitens die Inside-out-Sicht, also welche Auswirkungen das Unternehmen selbst auf Umwelt, Menschen und Gesellschaft hat (Emissionen, Lieferketten-Impacts, Sozialstandards). Ein Thema gilt als wesentlich, sobald es in mindestens einer der beiden Sichten wesentlich ist. Die ISSB-Standards beschränken sich dagegen auf die Outside-in-Sicht, was den entscheidenden inhaltlichen Unterschied zwischen ISSB und ESRS ausmacht.

Die praktische Durchführung der Wesentlichkeitsanalyse folgt ESRS 1 Abschnitt 3 und ESRS 2 IRO-1. Sie identifizieren zunächst die Impacts, Risks und Opportunities (IROs) entlang der Wertschöpfungskette, bewerten jeden IRO nach Skala, Umfang, Unumkehrbarkeit (für Inside-out) und nach Eintrittswahrscheinlichkeit und finanzieller Auswirkung (für Outside-in). Die Bewertungen werden in einer Wesentlichkeitsmatrix dokumentiert und mit der Geschäftsleitung freigegeben. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Im CIVAC-Workspace ist die Wesentlichkeitsanalyse als strukturierter Prozess abgebildet, der die zehn ESRS-Themenstandards systematisch durchläuft und für jeden IRO eine dokumentierte Bewertung mit Stakeholder-Beteiligung und Geschäftsleitungsfreigabe erzeugt. Das Ergebnis ist eine prüfungsfeste Wesentlichkeitsmatrix, die als Grundlage für den gesamten Bericht dient und vom Wirtschaftsprüfer im Rahmen der Limited Assurance geprüft wird. Die Matrix wird jährlich aktualisiert, weil sich Wertschöpfungsketten, regulatorische Anforderungen und Stakeholder-Erwartungen verändern und eine veraltete Wesentlichkeitsanalyse einen der häufigsten Prüfungsbefunde in der ersten Berichtsperiode darstellt. Die Stakeholder-Beteiligung umfasst typischerweise Kunden, Lieferanten, Mitarbeiter, Investoren, Behörden und Nichtregierungsorganisationen, je nach Geschäftsmodell und geografischer Präsenz, und wird im Workspace mit Datum, Format und Inhalten der Beteiligung dokumentiert.

Die ESRS bestehen aus zwölf Einzelstandards. ESRS 1 (allgemeine Anforderungen) und ESRS 2 (allgemeine Angaben) sind verpflichtend für alle berichtspflichtigen Unternehmen. Die zehn Themenstandards sind ESRS E1 (Klimawandel), E2 (Umweltverschmutzung), E3 (Wasser und Meeresressourcen), E4 (Biodiversität und Ökosysteme), E5 (Ressourcennutzung und Kreislaufwirtschaft), S1 (eigene Belegschaft), S2 (Arbeitskräfte in der Wertschöpfungskette), S3 (betroffene Gemeinschaften), S4 (Verbraucher und Endnutzer) und G1 (Unternehmensführung). Die Anwendung der Themenstandards folgt der Wesentlichkeitsanalyse: Nur wesentliche Themen sind verpflichtend zu berichten, ein nicht-wesentliches Thema wird mit Begründung dokumentiert.

Die zwölf Standards umfassen zusammen über 1.100 quantitative und qualitative Datenpunkte. Davon sind etwa 250 Datenpunkte verpflichtend für alle Berichtspflichtigen, weitere etwa 850 anwendbar je nach Wesentlichkeit. Klimadaten nach ESRS E1 umfassen Scope-1-, Scope-2- und Scope-3-Emissionen nach GHG Protocol, Klimaziele in Tonnen CO2-Äquivalent, Transitionsplan und finanzielle Auswirkungen physischer und transitorischer Klimarisiken. Sozialdaten nach ESRS S1 umfassen Mitarbeiterstruktur, Vergütungsgleichheit, Arbeitsschutz, Schulungen und Hinweisgebersystem. Das Datenmodell des CIVAC-Workspace bildet die XBRL-Taxonomie der ESRS ab, sodass die Ausgabe direkt im geforderten iXBRL-Format für den elektronischen Lagebericht erfolgen kann. Der Prüfer ruft an, der Nachweis liegt bereit. Eine sauber strukturierte Datenerhebung im Workspace spart erfahrungsgemäß zwischen 30 und 50 Prozent der Berichtszeit gegenüber Excel-basierten Verfahren. Zusätzlich kann das Reporting interaktiv genutzt werden: Vorstand und Aufsichtsrat sehen die wesentlichen Kennzahlen auf einem Dashboard, das aus denselben Quelldaten gespeist wird wie die formale Nachhaltigkeitserklärung im Lagebericht, ohne dass die Datenkonsistenz manuell hergestellt werden muss. Das reduziert die Wahrscheinlichkeit, dass Vorstand und Lagebericht im Audit unterschiedliche Zahlen kommunizieren, was als typischer Befund einer Erstprüfung gilt.

ESRS E1 ist der mit Abstand umfangreichste Themenstandard. Er umfasst neun Disclosure Requirements von Klimaschutzpolitik über Klimaziele, Transitionsplan, Emissionsdaten bis zu finanziellen Effekten. Die Scope-1-Emissionen umfassen direkte Emissionen aus eigenen Anlagen und Fahrzeugen. Scope 2 umfasst indirekte Emissionen aus eingekauftem Strom und Wärme, getrennt nach Location-based und Market-based Methodik. Scope 3 umfasst alle weiteren vor- und nachgelagerten Emissionen entlang der Wertschöpfungskette, gegliedert in 15 Kategorien nach GHG Protocol. Für viele Mittelständler ist Scope 3 die größte Datenherausforderung, weil sie eine systematische Lieferantenabfrage und ein robustes Datenmodell erfordert.

Der Transitionsplan nach ESRS E1-1 ist die strategische Antwort auf das Pariser 1,5-Grad-Ziel. Er beschreibt, wie das Unternehmen seine Emissionen in Einklang mit einem 1,5-Grad-Pfad reduzieren will, mit Zwischenzielen für 2030 und 2040 sowie einem Netto-Null-Ziel für 2050. Die Wirtschaftsprüfer prüfen den Transitionsplan auf Plausibilität, nicht auf Erreichbarkeit, was den Unterschied zwischen einer ambitionierten Selbstverpflichtung und einer Wunschformulierung markiert. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. CIVAC bringt für ESRS E1 ein vollständiges Datenmodell mit, inklusive Scope-3-Lieferantenfragebogen, Emissionsfaktoren-Bibliothek und Plausibilitätschecks. Frist läuft ab Kenntnis. Der Workspace dokumentiert jede Datenherkunft, jede Annahme und jede Plausibilisierung, sodass die Limited Assurance des Prüfers zügig und ohne Nachforderungsschleifen abgeschlossen werden kann. Wer Scope 3 systematisch aufbaut, gewinnt nebenher eine valide Datenbasis für die EU-Taxonomie und für die LkSG-Risikoanalyse, weil die zugrunde liegenden Lieferantendaten in allen drei Regulierungen verwendet werden. Die Emissionsfaktoren werden aus anerkannten Datenbanken bezogen (DEFRA, ecoinvent, GHG-Protocol-Datenbank) und im Workspace mit Quelle und Stand dokumentiert, sodass im Audit die Nachvollziehbarkeit jeder Tonne CO2-Äquivalent gegeben ist.

Die Lieferkette ist der Ort, an dem die meisten ESG-Risiken sichtbar werden und an dem zwei deutsche Regulierungen zusammenwirken. Die ESRS S2 verlangt Angaben zu den Arbeitskräften in der Wertschöpfungskette, also zu Menschenrechtsthemen, Arbeitsbedingungen, Gesundheit und Sicherheit bei Lieferanten. Das Lieferkettensorgfaltspflichtengesetz (LkSG) verlangt seit 1. Januar 2023 für Unternehmen ab 3.000 Mitarbeitenden und seit 1. Januar 2024 ab 1.000 Mitarbeitenden eine Risikoanalyse, Präventionsmaßnahmen, Beschwerdeverfahren und einen jährlichen Bericht an das BAFA. Wer LkSG-pflichtig ist, deckt damit einen wesentlichen Teil der ESRS-S2-Anforderungen ab, muss aber das Datenmodell so führen, dass beide Berichtspflichten parallel bedient werden.

Praktisch heißt das: Eine Lieferantenabfrage muss beide Welten berücksichtigen, also Menschenrechte und Arbeitsstandards (LkSG, ESRS S2), aber auch Emissionen (ESRS E1 Scope 3) und Umweltauswirkungen (ESRS E2 bis E5). Wer drei separate Lieferantenfragebögen verschickt, verliert die Compliance-Beziehung zum Lieferanten und produziert inkonsistente Daten. Der CIVAC-Workspace nutzt einen integrierten Lieferantenfragebogen, der LkSG, ESRS und EU-Taxonomie in einem Datenmodell konsolidiert. Die Funktion des LkSG-Beauftragten wird im Workspace mit der ESG-Funktion verzahnt, sodass Risikoanalyse, Präventionsmaßnahmen und Berichterstattung für beide Pflichten aus einer Quelle bedient werden. Audit-fest, dokumentiert, § 6 LkSG-fest. Diese Konsolidierung spart bei mittelständischen Strukturen rund 40 bis 60 Prozent des Abfrageaufwands gegenüber getrennten Verfahren. Lieferanten reagieren zudem häufiger und mit höherer Datenqualität, weil sie nicht mehrfach kontaktiert werden und einen klaren Adressaten für Rückfragen haben, der das gesamte Datenmodell überblickt. Ein gestufter Abfrageprozess mit risikobasierter Priorisierung der Hochrisikolieferanten reduziert den Aufwand zusätzlich, weil nicht jeder C-Lieferant denselben Fragebogen erhält wie ein strategischer A-Lieferant.

Die CSRD verlangt eine Prüfung der Nachhaltigkeitserklärung mit dem Prüfungsmaßstab Limited Assurance (begrenzte Prüfungssicherheit). Spätestens ab 2028 wird die EU-Kommission entscheiden, ob auf Reasonable Assurance (hinreichende Prüfungssicherheit) umgestellt wird. Limited Assurance bedeutet, dass der Prüfer mit kritischer Grundhaltung zu der Aussage gelangen muss, dass ihm nichts zur Kenntnis gekommen ist, was gegen die Konformität des Berichts mit den ESRS spricht. Reasonable Assurance würde dagegen eine deutlich höhere Prüfungstiefe verlangen, ähnlich der Jahresabschlussprüfung. Beide Maßstäbe basieren auf den ISAE 3000-Standards des IAASB.

Für die Prüfung relevant sind drei Bereiche: erstens die Wesentlichkeitsanalyse mit ihrer methodischen Nachvollziehbarkeit, zweitens die Datenpunkte mit ihrer Datenherkunft und Plausibilität, drittens die qualitativen Erläuterungen mit ihrer Konsistenz zum Lagebericht und Jahresabschluss. Ein häufiger Stolperstein in der Erstprüfung ist die fehlende Dokumentation der Wesentlichkeitsanalyse: Wer die Methodik nicht schriftlich nachweisen kann, scheitert an der Prüfung, auch wenn die berichteten Daten korrekt sind. Der CIVAC-Workspace dokumentiert die Wesentlichkeitsanalyse mit allen Stakeholder-Beteiligungen, Bewertungen und Geschäftsleitungsfreigaben revisionssicher, sodass die Methodik in der Prüfung in unter einer Stunde nachvollziehbar wird. Bestellurkunde, unterschrieben, abgelegt, belegbar. Eine saubere Audit-Vorbereitung reduziert die Prüfungskosten um zehn bis dreißig Prozent, weil die Nachforderungsschleifen entfallen. Der Workspace liefert dem Prüfer einen separaten Audit-View mit Zugriff auf alle relevanten Belege, ohne dass operative Daten oder personenbezogene Informationen freigegeben werden müssen, was die DSGVO-Konformität der Prüfung absichert. Die meisten Prüfer schätzen diese Form der Vorbereitung, weil sie ihre eigene Effizienz steigert und das Risiko verringert, dass im Prüfungsbericht Vorbehalte zur Datenqualität dokumentiert werden müssen.

Die ESRS schreiben keine namentliche Funktion vor, aber sie verlangen eine verantwortliche Person mit ausreichend Ressourcen, Berichtsweg an die Geschäftsleitung und Zugang zu allen relevanten Daten. In der Praxis hat sich die Rolle des ESG-Beauftragten oder Nachhaltigkeitsbeauftragten etabliert, je nach Branche und Unternehmensgröße als hauptamtliche oder als Teilfunktion. Die zentralen Aufgaben sind erstens die Steuerung der Wesentlichkeitsanalyse, zweitens die Datenerhebung und Plausibilisierung, drittens die Erstellung der Nachhaltigkeitserklärung im Lagebericht, viertens die Koordination mit Wirtschaftsprüfer, Aufsichtsrat und Stakeholdern, fünftens die Integration der ESG-Themen in die Strategie und das Risikomanagement.

Qualifikatorisch verlangt die Rolle eine Kombination aus Nachhaltigkeitswissen, betriebswirtschaftlichem Verständnis und Reporting-Erfahrung. Ein reiner Umwelttechniker reicht ebenso wenig wie ein reiner Controller. In der Praxis bewährt sich eine Dualstruktur: Ein interner ESG-Beauftragter mit Funktionskenntnis und ein externer Berater oder Officer-as-a-Service mit ESRS-Expertise, der die methodische Tiefe einbringt. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. CIVAC liefert beide Modelle: einen Workspace mit ESRS-Datenmodell, Wesentlichkeitsmatrix und Auditvorlagen oder einen externen ESG-Beauftragten mit Bestellurkunde, Berichtspflicht und SLA von zwei Werktagen. Der Berichtsweg führt formal an den Vorstand oder die Geschäftsführung, fachlich häufig an den Finanzvorstand, weil die Nachhaltigkeitserklärung Teil des Lageberichts wird und mit dem Jahresabschluss kongruent sein muss. Eine sauber dokumentierte Bestellurkunde mit klarer Berichtslinie ist die organisatorische Voraussetzung für die spätere Prüfung. In Konzernstrukturen wird die ESG-Verantwortung häufig zentral in der Holding gebündelt, mit lokalen ESG-Koordinatoren in den Tochtergesellschaften, die als Datenlieferanten in den Workspace eingebunden sind.

ISSESG bleibt ein Schlagwort, solange die drei Welten ISSB, ESRS und operative Verantwortung nicht in einem System zusammenlaufen. Wer ISSB- und ESRS-Daten getrennt erhebt, doppelt seinen Aufwand. Wer die operative Verantwortung nicht klar regelt, verliert die Prüfungsfähigkeit. Wer die Berichtspflicht in Excel führt, scheitert spätestens beim zweiten Berichtsjahr an Versionskontrolle und Datenkonsistenz. Genau dafür haben wir CIVAC als Compliance-Plattform und Officer-as-a-Service gebaut: einen Workspace mit ESRS-Datenmodell, Wesentlichkeitsmatrix, Scope-3-Lieferantenfragebogen, iXBRL-Export, 490 Audit-Vorlagen und EU-Datenresidenz. Sie entscheiden selbst, wie tief Sie einsteigen: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen dasselbe Datenmodell und liefern dieselbe Prüfungssicherheit.

Der Aufbau einer produktiven Berichtsorganisation dauert in einem strukturierten Vorgehen sechs bis zwölf Monate, je nach Ausgangslage und Berichtsstufe. Aus dem Lesen einen Auftrag machen. Schreiben Sie uns an info@civac.de oder buchen Sie ein Erstgespräch über das Kontaktformular auf civac.de. Sie erhalten eine ehrliche Reifegradbewertung, eine Lückenanalyse gegen die ESRS, einen Stufenplan für die ersten zwölf Monate und ein transparentes Angebot. In den ersten 30 Tagen entstehen die Wesentlichkeitsanalyse-Methodik und die Bestellurkunde des ESG-Beauftragten. In den folgenden 60 bis 120 Tagen wird das Datenmodell aufgesetzt, die Stakeholder-Beteiligung durchgeführt und die Lieferantenabfrage gestartet. Der Prüfer ruft an, der Nachweis liegt bereit. Ein gut vorbereiteter Erstbericht spart in der späteren Prüfung nicht nur Geld, sondern auch das Risiko, dass die Nachhaltigkeitserklärung im Lagebericht beanstandet wird und der Prüfer einen eingeschränkten Bestätigungsvermerk erteilen muss. Wer den Erstbericht souverän abliefert, gewinnt zudem Reputation bei Banken, Versicherern und Großkunden, weil eine prüfungsfeste Nachhaltigkeitserklärung als Indikator für die operative Reife des Unternehmens insgesamt gilt.