CSRD-Berichtspflichten 2027: Was die zweite Welle für Ihr Unternehmen bedeutet
Die CSRD-Berichtspflichten 2027 betreffen einen deutlich kleineren Kreis an Unternehmen als ursprünglich vorgesehen. Omnibus I verkleinert den verpflichtenden Anwendungsbereich der CSRD um rund 90 Prozent, wirksam ab dem Geschäftsjahr 2027 für die Unternehmen, die weiterhin betroffen sind. Dieser Leitfaden erklärt, wer noch im Anwendungsbereich liegt, den genauen Zeitplan 2027–2028, was sich inhaltlich an den Berichtsstandards ändert, und warum auch Unternehmen außerhalb des Anwendungsbereichs weiterhin mit Datenanfragen aus der Wertschöpfungskette rechnen müssen.
Warum die zweite Welle Ihre Planung verändert
Die CSRD-Berichtspflichten 2027 betreffen einen deutlich kleineren Kreis an Unternehmen, als die Richtlinie ursprünglich vorsah. Die finale Omnibus-I-Einigung verkleinert den verpflichtenden CSRD-Anwendungsbereich um rund 90 Prozent, so die Kanzlei A&O Shearman. Eine erste Gruppe von Unternehmen, die größten kapitalmarktorientierten Unternehmen, berichtet bereits nach dem ursprünglichen Zeitplan seit dem Geschäftsjahr 2024. Eine zweite Gruppe, alle übrigen Unternehmen, die nach den geänderten Schwellenwerten weiterhin im Anwendungsbereich bleiben, berichtet erstmals für das Geschäftsjahr 2027.
Wenn Ihr Finanz- oder Nachhaltigkeitsteam einen CSRD-Projektplan auf Basis eines Termins in 2025 oder 2026 aufgestellt hat, muss dieser Plan überarbeitet werden. Schwellenwerte haben sich verschoben, Fristen haben sich verschoben, und die Berichtsstandards selbst werden noch überarbeitet, bevor die zweite Welle ihren ersten Bericht vorlegen muss.
Dieser Beitrag zeigt genau, wer weiterhin im Anwendungsbereich liegt, welche Termine bis zu Ihrem ersten Bericht wichtig sind, was sich inhaltlich ändert, und was zu tun ist, wenn Sie selbst nicht mehr verpflichtend berichten müssen, aber einen berichtspflichtigen Kunden beliefern.
Was ist die zweite CSRD-Welle?
Die zweite CSRD-Welle umfasst alle Unternehmen, die nicht zur ursprünglichen Berichtskohorte des Geschäftsjahres 2024 gehörten. Omnibus I hat die ursprüngliche Struktur aus vier Wellen in zwei Spuren zusammengeführt: eine Gruppe, die bereits berichtet, und eine Gruppe, die frühere Welle 2, 3 und 4 umfasst, die mit den Daten des Geschäftsjahres 2027 startet und 2028 erstmals berichtet.
Wie die CSRD ursprünglich in vier Wellen eingeführt wurde
Die CSRD sollte ursprünglich in vier Wellen eingeführt werden, gestaffelt nach Unternehmensgröße, Kapitalmarktorientierung und Sitz. Welle 1 umfasste große kapitalmarktorientierte Unternehmen, die bereits der Non-Financial Reporting Directive unterlagen, vor allem börsennotierte Unternehmen, Banken und Versicherungen mit mehr als 500 Beschäftigten. Diese Unternehmen berichten seit dem Geschäftsjahr 2024 und veröffentlichten ihre ersten Berichte Anfang 2025.
Welle 2 bis 4 betrafen zunehmend kleinere und entferntere Unternehmen: sonstige große EU-Unternehmen, kapitalmarktorientierte kleine und mittlere Unternehmen (KMU) sowie Nicht-EU-Konzerne mit EU-Geschäft. Weitere Informationen zum Gesamtbild finden Sie im carbmee-Überblick zu den CSRD-Anforderungen.
Wie Omnibus I daraus zwei Spuren gemacht hat
Omnibus I, die Änderungsrichtlinie, die am 26. Februar 2026 im Amtsblatt der Europäischen Union veröffentlicht wurde, hat diesen Zeitplan grundlegend neu geordnet. PwC bestätigt, dass die Richtlinie den CSRD-Anwendungsbereich verkleinert und zwanzig Tage nach Veröffentlichung in Kraft trat. Unternehmen, die bereits berichten, tun dies weiterhin nach Übergangsregelungen. Alle anderen, die die überarbeiteten Schwellenwerte weiterhin erfüllen, laufen in einer einzigen zweiten Welle zusammen und berichten erstmals für das Geschäftsjahr 2027.
So legen Sie los: Klären Sie zuerst, welche Spur für Ihr Unternehmen gilt, bevor Sie einen Berichtszeitplan aufstellen. Der Rest dieses Beitrags zeigt Ihnen, wie das geht.
CSRD-Berichtspflichten 2027: Sind Sie betroffen?
Ein EU-Unternehmen unterliegt den überarbeiteten Regeln, wenn es mehr als 1.000 Beschäftigte und einen Nettoumsatz von mehr als 450 Millionen Euro hat. Nicht-EU-Konzerne sind betroffen, wenn ihr EU-Umsatz 450 Millionen Euro übersteigt und eine EU-Tochtergesellschaft oder -Niederlassung mehr als 200 Millionen Euro EU-Umsatz erzielt.
Überarbeitete Schwellenwerte für EU-Unternehmen
Die ursprüngliche CSRD nutzte den üblichen handelsrechtlichen Test für "große Unternehmen": zwei von drei Kriterien aus mehr als 250 Beschäftigten, mehr als 40 Millionen Euro Nettoumsatz und mehr als 20 Millionen Euro Bilanzsumme. Omnibus I hat die Hürde deutlich angehoben: mehr als 1.000 Beschäftigte und mehr als 450 Millionen Euro Nettoumsatz, wobei beide Bedingungen jetzt gemeinsam erfüllt sein müssen. BDO bestätigt, dass Unternehmen der ursprünglichen Welle 2, die diese höhere Hürde erreichen, ab 2028 für das Geschäftsjahr 2027 berichten müssen.
Überarbeitete Schwellenwerte für Nicht-EU-Unternehmen
Nicht-EU-Konzerne benötigen jetzt einen EU-Umsatz von mehr als 450 Millionen Euro, gegenüber bisher 150 Millionen Euro, sowie eine EU-Tochtergesellschaft oder -Niederlassung mit mehr als 200 Millionen Euro EU-Umsatz, gegenüber bisher 40 Millionen Euro. Die European Financial Reporting Advisory Group schätzt, dass der überarbeitete Test die Zahl der Nicht-EU-Unternehmen im CSRD-Anwendungsbereich von rund 10.000 auf etwa 1.200 senkt, ein Rückgang um 88 Prozent, wie ESG Today berichtet.
Was passiert, wenn ein Welle-1-Unternehmen unter die Schwelle fällt
Manche Unternehmen, die bereits nach dem ursprünglichen Zeitplan berichten, erreichen die überarbeiteten Schwellenwerte nicht mehr. Ihre CSRD-Pflichten enden nicht sofort. Gibson Dunn weist darauf hin, dass diese Unternehmen für die Geschäftsjahre 2025 und 2026 von der Berichtspflicht ausgenommen werden können, jedoch nur, wenn der jeweilige EU-Mitgliedstaat diese Erleichterung ins nationale Recht übernommen hat.
So legen Sie los: Prüfen Sie Ihre aktuellen EU-Umsatz- und Beschäftigtenzahlen gegen die überarbeiteten Schwellenwerte, bevor Sie davon ausgehen, dass die Einordnung vom Vorjahr weiterhin gilt.
Der CSRD-Zeitplan 2027: Die wichtigsten Termine
Die CSRD-Berichtspflichten 2027 beginnen formal am 1. Januar 2027, dem ersten Tag des Geschäftsjahres, über das Unternehmen der zweiten Welle berichten müssen. Unternehmen können die überarbeiteten Regeln freiwillig bereits für das Geschäftsjahr 2026 anwenden. Die Pflichtberichterstattung beginnt 2028, mit ersten Berichten in der ersten Jahreshälfte.
Freiwillige Frühanwendung und der verpflichtende Starttermin
Unternehmen der zweiten Welle können die überarbeitete CSRD freiwillig bereits für Daten des Geschäftsjahres 2026 anwenden, so BDO. Der verpflichtende Berichtszeitraum beginnt am 1. Januar 2027, sodass die ersten Pflichtberichte 2028 vorliegen.
Erste Berichte fällig 2028
In der ersten Jahreshälfte 2028 veröffentlichen die Unternehmen der ehemaligen Welle 2 ihre ersten CSRD-Berichte nach den überarbeiteten Regeln, rund zwei Jahre später als ursprünglich für 2026 vorgesehen.
Umsetzungsfrist und Verabschiedung der vereinfachten ESRS
Die EU-Mitgliedstaaten haben bis zum 19. März 2027 Zeit, die Änderungen aus Omnibus I in nationales Recht umzusetzen, so Global Policy Watch. Die Europäische Kommission hat sich verpflichtet, die vereinfachten ESRS bis zum 18. September 2026 zu verabschieden, sechs Monate nach Inkrafttreten von Omnibus I, so Gibson Dunn.
So legen Sie los: Planen Sie Ihre internen Meilensteine rückwärts vom Berichtstermin in H1 2028, nicht vom Kalenderstart am 1. Januar 2027.
Was sich inhaltlich wirklich ändert
Die zweite Welle ist nicht einfach das alte Regelwerk mit neuem Termin. Die zugrunde liegenden Standards selbst werden neu gefasst.
Vereinfachte ESRS: weniger, aber wesentlichere Datenpunkte
EFRAG hat der Europäischen Kommission am 3. Dezember 2025 seine fachliche Empfehlung zu den vereinfachten Europäischen Standards für die Nachhaltigkeitsberichterstattung (ESRS) vorgelegt. Die Überarbeitung senkt die Pflicht-Datenpunkte um 61 Prozent, so EFRAG selbst. Da zusätzlich alle bisher freiwilligen Angaben entfallen, steigt die Gesamtkürzung auf 71 Prozent, so Herbert Smith Freehills Kramer.
Doppelte Wesentlichkeit: weiterhin Pflicht, aber stärker prinzipienbasiert
Die Analyse der doppelten Wesentlichkeit bleibt gesetzlich vorgeschrieben. Der Prozess selbst wird stärker prinzipienbasiert, was Unternehmen mehr Ermessensspielraum lässt, wie sie Auswirkungs- und finanzielle Wesentlichkeit dokumentieren.
Prüfung: nur begrenzte Sicherheit, Standards fällig Mitte 2027
Der geplante Übergang von einer Prüfung mit begrenzter zu einer Prüfung mit hinreichender Sicherheit wurde vollständig gestrichen. Die Prüfung mit begrenzter Sicherheit bleibt die Anforderung, und die Kommission muss bis zum 1. Juli 2027 harmonisierte Standards für diese Prüfung verabschieden.
Engerer Rahmen für Datenanfragen entlang der Wertschöpfungskette
Branchenspezifische ESRS wurden vollständig gestrichen. Unternehmen mit weniger als 1.000 Beschäftigten sind jetzt vor umfassenden Datenanfragen größerer berichtspflichtiger Unternehmen aus ihrer Wertschöpfungskette geschützt.
Ein kleineres, stärker auf Wesentlichkeit ausgerichtetes Regelwerk setzt trotzdem voraus, dass Unternehmen jede offengelegte Zahl bis zur Quelle zurückverfolgen können. Weniger Datenpunkte ändern, was Sie berichten. Sie ändern nicht, ob die zugrunde liegenden Daten einer Prüfung standhalten.
Wenn Sie nicht mehr im Anwendungsbereich sind, sind Sie nicht aus der Pflicht
Außerhalb der überarbeiteten CSRD-Schwellenwerte zu liegen, entfernt keine Nachhaltigkeitsdatenanfragen von Ihrem Schreibtisch.
Warum berichtspflichtige Kunden weiterhin Scope-3- und PCF-Daten anfragen
Große Hersteller, die weiterhin im CSRD-Anwendungsbereich liegen, müssen ihre Scope-3-Emissionen entlang der Wertschöpfungskette offenlegen. Coolset weist darauf hin, dass viele Unternehmen aus dem gehobenen Mittelstand, die aus dem verpflichtenden Anwendungsbereich herausfallen, weiterhin CSRD-ähnliche Datenanfragen von Kunden, Banken und dem Einkauf erhalten. Der Wegfall der Berichtspflicht entfernt nicht die Anfrage, sie verschiebt sich lediglich eine Stufe die Lieferkette hinauf.
VSME als neuer freiwilliger Standard
Der freiwillige EFRAG-Standard für KMU, VSME (Voluntary SME Standard), etabliert sich als Referenzformat für Unternehmen, die solche Anfragen beantworten wollen, ohne ein vollständiges CSRD-Programm aufzusetzen. Er gibt kleineren Zulieferern eine strukturierte Möglichkeit, die Datenanfrage eines Kunden in einem Format zu beantworten, das Einkäufer bereits kennen.
Eine Datenanfrage beantworten, ohne volle CSRD-Pflichten zu haben
Die Scope-3- oder Produkt-CO2-Fußabdruck-Anfrage eines einzelnen Kunden mit einer Excel-Tabelle zu beantworten, funktioniert einmal. Es skaliert nicht über Dutzende Kundenaudits im Jahr. Genau diese Lücke schließt carbmee EIS™, das Environmental-Intelligence-System von carbmee: Produkt-CO2-Fußabdruck- und Scope-3-Daten auf Lieferantenebene, die belastbar sind, unabhängig davon, ob die Anfrage von einem CSRD-berichtspflichtigen Kunden oder aus einem Einkaufsfragebogen kommt.
So bereiten Sie sich auf die CSRD-Berichtspflichten 2027 vor
Unternehmen, die sich auf die zweite Welle vorbereiten, sollten bei den Scope-3-Daten beginnen, nicht bei den Berichtsvorlagen. Vorlagen ändern sich weiter, bis die vereinfachten ESRS endgültig verabschiedet sind. Eine belastbare Emissionsbasis auf Lieferantenebene ändert sich nicht.
Bauen Sie Ihre Scope-3-Basis auf, bevor die ESRS endgültig sind
Wer erst nach dem delegierten Rechtsakt vom 18. September 2026 mit der Datenarbeit beginnt, lässt sich kaum noch Vorlaufzeit vor Beginn des Geschäftsjahres 2027. Scope 3 macht bei den meisten Herstellern den größten Anteil des Fußabdrucks aus und braucht am längsten, um belastbar aufgebaut zu werden.
Bringen Sie PCF-Daten auf Lieferantenebene früh zum Fließen
KWS, der Saatgutkonzern, hat mit carbmee EIS 30.000 CO2-Fußabdrücke auf Lieferantenebene berechnet und im Herbst 2024 erstmals EY-geprüfte Scope-3-Emissionen veröffentlicht, wobei Produkt-CO2-Fußabdrücke 94 Prozent schneller entstanden als im bisherigen manuellen Prozess. Die Lehre für Unternehmen der zweiten Welle: prüfungssichere Scope-3-Daten sind erreichbar, lange bevor eine Pflichtfrist die Frage erzwingt.
Was tun mit der Arbeit, die schon für den ursprünglichen Termin 2025 geleistet wurde
Unternehmen, die bereits Datenpipelines für den ursprünglichen Welle-2-Zeitplan aufgebaut haben, haben diese Arbeit nicht umsonst investiert. Die überarbeiteten ESRS verlangen weiterhin Emissionsdaten, Lieferanteneinbindung und Dokumentation der Wesentlichkeitsanalyse. Diese Vorarbeit fließt direkt in einen Berichtszyklus 2027 ein, auch wenn sich das genaue Berichtsformat ändert. Viele Hersteller der zweiten Welle bauen diese Datenbasis parallel auch für CBAM auf; wie sich CSRD- und CBAM-Anforderungen überschneiden, zeigt ein einheitliches Emissionsdatenfundament für beide.
Wie es jetzt weitergeht
Die CSRD-Berichtspflichten 2027 betreffen einen kleineren, klarer definierten Kreis an Unternehmen als die ursprüngliche Richtlinie. Prüfen Sie Ihren Anwendungsbereich gegen die überarbeiteten Schwellenwerte, behandeln Sie den 18. September 2026 als Planungstermin statt als Deadline, und beginnen Sie jetzt mit Ihrer Scope-3- und Produkt-CO2-Fußabdruck-Datenarbeit, unabhängig von Ihrem endgültigen Berichtsstatus.
Drei Probleme tauchen dabei immer wieder auf: Unsicherheit über den Anwendungsbereich, Datenbereitschaft für das Geschäftsjahr 2027, und Datenanfragen aus der Wertschöpfungskette berichtspflichtiger Kunden. Alle drei laufen auf denselben Kernbedarf hinaus: ein prüfungssicheres Datenfundament, das von der Stückliste bis zum Vorstand reicht (BOM to Boardroom). carbmee EIS baut dieses Fundament auf einer Transactional Data Foundation und Carbontology™, der Klassifizierungs-Engine von carbmee für Kohlenstoffdaten, sodass dieselben Scope-3- und PCF-Zahlen belastbar sind, egal ob eine Aufsichtsbehörde, ein Prüfer oder der Einkauf eines Kunden nachfragt. KWS hat seine geprüfte Scope-3-Berichterstattung deutlich vor der eigentlichen Frist auf carbmee EIS aufgebaut, und Heraeus hat auf derselben Plattform in zwei Monaten eine vollständige CSRD-fähige Datenpipeline errichtet.
