CSDDD & CSRD nach dem Omnibus: Was 2026 wirklich gilt

Was sind CSRD und CSDDD?

Die CSRD (Corporate Sustainability Reporting Directive, Richtlinie (EU) 2022/2464) ist die EU-Richtlinie zur Nachhaltigkeitsberichterstattung: Große Unternehmen müssen nach einheitlichen Standards (ESRS) über Umwelt, Soziales und Unternehmensführung berichten. Die CSDDD (Corporate Sustainability Due Diligence Directive, Richtlinie (EU) 2024/1760) ist die EU-Lieferkettenrichtlinie: Sehr große Unternehmen müssen Menschenrechts- und Umweltrisiken in ihren Aktivitätsketten erkennen, verhindern und beheben. Beide wurden durch die Omnibus-I-Richtlinie (EU) 2026/470, in Kraft seit dem 18.03.2026, deutlich eingeschränkt.

Die Kernbotschaft für den Mittelstand: Direkt betrifft Sie das vermutlich nicht. Ihre Konzernkunden schon. Und die reichen es weiter.

Wer ist betroffen?

CSRD (Berichterstattung), nach Omnibus:

• Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. € Nettoumsatz. Vorher galt die Pflicht ab 250 Beschäftigten; nach Schätzung der Kommission fallen rund 80 % der ursprünglich erfassten Unternehmen heraus.
• Nicht betroffen: alle anderen, einschließlich börsennotierter KMU, die zuvor ab 2026 berichten sollten.

CSDDD (Sorgfaltspflichten), nach Omnibus:

• Unternehmen mit mehr als 5.000 Beschäftigten und mehr als 1,5 Mrd. € weltweitem Nettoumsatz (vorher 1.000 Beschäftigte und 450 Mio. €). Die Kommission rechnet mit rund 6.000 statt rund 13.000 Unternehmen EU-weit.
• Nicht betroffen: der gesamte Mittelstand. Die EU-weite zivilrechtliche Haftung und die Pflicht zum Klimatransitionsplan wurden gestrichen.

Indirekt betroffen sind Zulieferer der verpflichteten Unternehmen. Die CSDDD verlangt von den Konzernen, ihre direkten Geschäftspartner einzubeziehen und bei begründeten Hinweisen auch tiefer in die Kette zu schauen. Das heißt für Sie: Verhaltenskodex unterschreiben, Selbstauskunft ausfüllen, Nachweise liefern, gegebenenfalls Audits zulassen. Die Richtlinie sieht Schutz für kleinere Geschäftspartner vor: Verpflichtete Unternehmen sollen von ihnen nur Informationen verlangen, die über den freiwilligen Berichtsstandard hinaus wirklich nötig sind, und bei KMU die Kosten unabhängiger Prüfungen tragen.

Ab wann gilt was?

Deutschland hatte die ursprüngliche CSRD nicht fristgerecht umgesetzt; das Umsetzungsgesetz wird nun an die Omnibus-Fassung angepasst. Bis dahin gilt für deutsche Unternehmen weiterhin das HGB mit der bisherigen nichtfinanziellen Erklärung.

Welche Pflichten entstehen konkret?

Für die direkt erfassten Unternehmen:

1. CSRD: Nachhaltigkeitsbericht im Lagebericht nach ESRS 2.0, Wesentlichkeitsanalyse, externe Prüfung mit begrenzter Sicherheit, digitale Kennzeichnung.
2. CSDDD: Risikoanalyse der Aktivitätskette, Präventions- und Abhilfemaßnahmen, Beschwerdeverfahren, Wirksamkeitskontrolle, öffentliche Berichterstattung. Aufsicht durch nationale Behörden mit umsatzbezogenen Bußgeldern.

Für den Mittelstand als Zulieferer:

1. Anfragen beantworten können: Selbstauskünfte zu Menschenrechten, Arbeitsbedingungen, Umwelt, Verhaltenskodex, Beschwerdemechanismus.
2. Nachweise vorhalten: Zertifikate, Richtlinien, Audit-Ergebnisse, Vorfälle und deren Bearbeitung.
3. Die eigene Lieferkette kennen: Weil Konzerne bei Hinweisen tiefer fragen und Sie die Antwort von Ihren Lieferanten brauchen.
4. Grenzen kennen: Was Kunden ab Geschäftsjahr 2027 von Lieferanten mit bis zu 1.000 Beschäftigten für ihre CSRD-Berichte verlangen dürfen, begrenzt der Value Chain Cap des freiwilligen Standards VS.

Was viele falsch machen

• Auf alte Schwellen reagieren. Viele Unternehmen haben 2024 und 2025 CSRD-Projekte gestartet, weil sie ab 250 Beschäftigten berichtspflichtig gewesen wären. Diese Pflicht ist weg. Wer trotzdem freiwillig berichtet, sollte den VS nutzen, nicht die vollen ESRS.
• Konzernfragebögen ungeprüft ausfüllen. Kunden fragen oft nach Daten, die sie gar nicht mehr verlangen dürfen. Der Value Chain Cap gibt Ihnen ein Recht, überzogene Anfragen abzulehnen.
• Die CSDDD abschreiben. Sie kommt, ab 2029, für die Konzerne. Deren Einkaufsabteilungen bereiten die Lieferantenprozesse jetzt vor. Die Kaskade beginnt, bevor die Pflicht greift.
• ESRS 2.0 als Kleinigkeit abtun. Der Standard wurde stark vereinfacht, aber Wesentlichkeitsanalyse, Wertschöpfungsketten-Angaben und Prüfpflicht bleiben. Wer als Lieferant Daten liefert, sollte wissen, welche Datenpunkte übrig sind.

So hilft SCRM Guard

Der CSRD/CSDDD-Radar auf der Plattform zeigt Ihnen, welche Ihrer Kunden unter die Pflichten fallen und welche Anfragen berechtigt sind. Ihre Selbstauskünfte, Verhaltenskodex-Bestätigungen, Zertifikate und Vorfälle liegen strukturiert an einem Ort, sodass Sie Kundenfragebögen aus dem System beantworten statt jedes Mal neu zu sammeln. Für Ihre eigene Lieferkette liefert das Ereignis-Monitoring die Hinweise, die Konzerne von Ihnen erwarten.

Im Full Service beantworten wir die Kundenanfragen mit Ihnen, bauen den Nachweisordner auf und halten Sie darüber auf dem Laufenden, was sich an Schwellen, Standards und Fristen ändert. Und wir sagen Ihnen, welche Anfragen Sie ablehnen dürfen.

Quellen

• Richtlinie (EU) 2026/470 (Omnibus I), Amtsblatt der EU (26.02.2026)
• Richtlinie (EU) 2024/1760 (CSDDD), EUR-Lex (05.07.2024)
• Europäische Kommission: Delegierte Rechtsakte zur CSRD (ESRS 2.0, C(2026) 5010) (03.07.2026)
• BMAS / CSR in Deutschland: Omnibus-I-Richtlinie in Kraft getreten (18.03.2026)
• Ebner Stolz: CSRD/CSDDD — Einigungen zum Omnibus final veröffentlicht (27.02.2026)
• Rödl & Partner: Veröffentlichung der überarbeiteten ESRS als delegierter Rechtsakt (06.07.2026)

Diese Seite ist eine redaktionelle Einordnung für Einkauf und Compliance im Mittelstand, keine Rechtsberatung. Fristen und Schwellen prüfen wir gegen Primärquellen; der Stand steht oben auf der Seite.