CSRD — Nachhaltigkeitsbericht als Pflicht

Die Corporate Sustainability Reporting Directive verpflichtet Unternehmen, jährlich über Nachhaltigkeit zu berichten — und zwar im Lagebericht, nach einheitlichen europäischen Standards, digital ausgezeichnet und von einem Prüfer geprüft. Sie löst die frühere Berichtspflicht zur nichtfinanziellen Erklärung ab und weitet sie erheblich aus: mehr betroffene Unternehmen, deutlich mehr Angaben, erstmals eine Prüfpflicht.

Der entscheidende Unterschied zu allem, was auf diesen Seiten sonst beschrieben wird: Die CSRD ist kein Standard, den man freiwillig anwendet, sondern Recht. Eine EU-Richtlinie wirkt nicht unmittelbar, sondern muss von jedem Mitgliedstaat in nationales Recht überführt werden. Was für Sie gilt, steht deshalb am Ende nicht in der Richtlinie, sondern im Handelsgesetzbuch.

Das hat zwei Folgen für die Praxis. Erstens gibt es keine Zertifizierungsstelle, keine Akkreditierung und keinen Dreijahreszyklus, sondern eine jährliche Prüfung durch einen Abschlussprüfer. Zweitens ist die Erfüllung nicht freiwillig und auch nicht verhandelbar: Wer unter die Pflicht fällt, berichtet, unabhängig davon, ob ein Kunde danach fragt.

Wer berichten muss — und warum die Antwort gerade schwer ist

Die Richtlinie sieht eine gestaffelte Einführung vor. Zuerst berichten große kapitalmarktorientierte Unternehmen, die bereits zuvor nichtfinanziell berichtet haben. Danach folgen die übrigen großen Kapitalgesellschaften, die zwei von drei Größenkriterien überschreiten. In einer dritten Stufe kommen kapitalmarktorientierte kleine und mittlere Unternehmen hinzu, für die ein reduzierter Standard vorgesehen ist. Eine eigene Regelung betrifft Unternehmen aus Drittstaaten mit erheblichem Umsatz in der Union.

Seit 2025 ist dieser Zeitplan in Bewegung. Die EU hat den Anwendungsbeginn für einen Teil der Stufen verschoben und parallel darüber verhandelt, Schwellenwerte anzuheben und den Umfang der Standards zu verkleinern. Auch die Überführung in deutsches Recht verzögerte sich gegenüber der ursprünglichen Frist. Das ist keine Randnotiz, sondern für die Planung entscheidend: Wer heute eine Übersicht mit Jahreszahlen liest, kann nicht sicher sein, dass sie noch gilt. Verbindlich klären lässt sich der eigene Anwendungsbeginn nur mit dem Abschlussprüfer.

Was von den Verschiebungen unberührt bleibt, ist der mittelbare Druck. Berichtspflichtige Unternehmen brauchen Daten aus ihrer Lieferkette, und sie fragen sie ab, sobald sie selbst berichten müssen. Für viele mittelständische Betriebe kommt die CSRD deshalb nicht als Gesetz, sondern als Fragebogen eines Kunden.

Doppelte Wesentlichkeit entscheidet über den Umfang

Der Bericht enthält nicht alle denkbaren Themen, sondern die wesentlichen. Wesentlich ist ein Thema, wenn eine von zwei Richtungen zutrifft.

Beide Richtungen sind gleichrangig. Ein Thema, das nur auf einer Seite wesentlich ist, gehört in den Bericht. Diese Analyse ist kein Vorspiel, sondern das inhaltlich anspruchsvollste Stück Arbeit: Sie bestimmt, welche Angaben überhaupt zu erheben sind, und sie muss nachvollziehbar dokumentiert sein. Der Prüfer beginnt hier, weil jede spätere Lücke auf eine schwache Wesentlichkeitsanalyse zurückfällt.

Methodisch ähnelt das Vorgehen der Ermittlung interessierter Parteien im Managementsystem, mit einem Unterschied: Es endet nicht am Werkstor. Wer die Wertschöpfungskette ausblendet, hat die Analyse nicht gemacht, sondern verkürzt.

Praktisch läuft die Analyse in vier Schritten ab: Zuerst wird das Geschäftsmodell entlang der Wertschöpfungskette beschrieben, von den Vorlieferanten bis zur Entsorgung. Dann werden mögliche Auswirkungen, Risiken und Chancen gesammelt, bewusst breit. Im dritten Schritt werden sie nach festgelegten Kriterien bewertet — Schwere, Umfang, Unumkehrbarkeit und Eintrittswahrscheinlichkeit auf der Auswirkungsseite, finanzielle Größenordnung und Zeithorizont auf der finanziellen Seite. Zuletzt wird der Schwellenwert festgelegt, ab dem ein Thema wesentlich ist. Genau dieser Schwellenwert fehlt in den meisten ersten Versuchen, und ohne ihn ist die Auswahl nicht begründbar.

Was die Standards verlangen

Die konkreten Angaben stehen in den europäischen Standards zur Nachhaltigkeitsberichterstattung, kurz ESRS. Sie gliedern sich in übergreifende und themenbezogene Standards.

Quer über alle Themen zieht sich dieselbe Bauweise: Zu jedem wesentlichen Thema sind Konzepte, Maßnahmen, Ziele und Kennzahlen zu beschreiben. Fehlt eines davon, ist das ebenfalls anzugeben — die Standards akzeptieren Lücken, aber keine Auslassung.

Zwei Anforderungen unterschätzen Erstberichter regelmäßig. Der Bericht ist im Lagebericht zu veröffentlichen, nicht als separate Broschüre, und er ist digital auszuzeichnen, damit die Angaben maschinell auswertbar sind. Und die Klimaangaben verlangen Emissionsdaten samt Wertschöpfungskette. Wer hier belastbar liefern will, braucht eine Bilanz nach ISO 14064 oder eine vergleichbare Methodik im Hintergrund, für einzelne Artikel gegebenenfalls Produktfußabdrücke nach ISO 14067.

Warum es kein Zertifikat gibt und was stattdessen geprüft wird

Die CSRD beschreibt kein Managementsystem. Sie enthält keine Anforderungen an Führung, Kompetenz oder Verbesserung, die eine Zertifizierungsstelle über einen Zyklus hinweg überwachen könnte. Der Ablauf einer Zertifizierung mit Stufe-1-Audit, Stufe-2-Audit und Überwachungsaudit hat hier kein Gegenstück.

Geprüft wird stattdessen der Bericht eines Geschäftsjahres, zunächst mit begrenzter Sicherheit. Der Prüfer verschafft sich ein Verständnis der Prozesse, beurteilt die Wesentlichkeitsanalyse, greift Angaben heraus und verfolgt sie bis zum Beleg zurück. Das Urteil ist negativ formuliert: Ihm ist nichts bekannt geworden, was gegen die Angaben spricht. Ein Übergang zu hinreichender Sicherheit, wie er bei Abschlussprüfungen üblich ist, war in der Richtlinie angelegt, ist aber Teil der laufenden Überarbeitung.

Der Unterschied zum Managementsystemaudit zeigt sich im Vorgehen. Ein Auditor fragt, ob ein Verfahren festgelegt ist und wirksam angewendet wird. Der Prüfer fragt, ob eine konkrete Zahl im Bericht stimmt und woher sie kommt. Aus einer Tonne CO2-Äquivalent wird die Verbrauchsabrechnung, aus einer Unfallkennzahl die Meldung an den Unfallversicherungsträger, aus einer Quote im Personalbereich die Auswertung aus dem Abrechnungssystem. Was sich nicht bis zum Ursprung zurückverfolgen lässt, wird zur Feststellung. Die Prüfbarkeit entscheidet sich damit nicht am Text des Berichts, sondern an der Ordnung der Datenhaltung dahinter.

Was Unternehmen freiwillig zusätzlich nachweisen können, sind die Systeme dahinter: ein Umweltmanagementsystem nach ISO 14001, ein Energiemanagementsystem nach ISO 50001, ein Antikorruptionssystem nach ISO 37001. Diese Zertifikate erfüllen die Berichtspflicht nicht, machen die Angaben aber prüfbarer, weil Datenherkunft und Zuständigkeiten geregelt sind. Als Orientierung für die inhaltliche Breite dient ISO 26000, die ebenfalls kein Zertifikat kennt.

Woran die erste Berichterstattung scheitert

Die Wesentlichkeitsanalyse ist eine Meinungsumfrage. Fünf Führungskräfte bewerten Themen auf einer Skala, ein Ergebnis entsteht per Durchschnitt. Was fehlt, sind Kriterien, Schwellenwerte und die Einbeziehung Betroffener außerhalb des Hauses.

Die Wertschöpfungskette bleibt außen vor. Berichtet wird über eigene Standorte, weil dort Daten vorliegen. Genau dort liegt aber bei den meisten Unternehmen der kleinere Teil der Auswirkungen.

Datenerhebung ohne Spur. Zahlen entstehen in Tabellen, die jemand einmal gebaut hat. Weder Quelle noch Berechnungsweg noch Freigabe sind dokumentiert. Für eine Prüfung ist das der teuerste Fehler, weil er sich in jeder Angabe wiederholt.

Der Zeitplan unterschätzt das Testjahr. Die Erhebung startet im Berichtsjahr, obwohl Vorjahresvergleiche gebraucht werden. Wer nicht mindestens ein Jahr Probelauf einplant, berichtet aus Schätzungen.

Marketing schreibt den Bericht. Der Text nennt Fortschritte und verschweigt Lücken. Die Standards verlangen aber ausdrücklich auch die Angabe, dass ein Konzept oder ein Ziel fehlt.

Zuständigkeit ohne Mandat. Die Aufgabe landet bei einer Stelle ohne Zugriff auf Einkauf, Personal und Controlling. Die Verantwortungsfrage ist vor der Methodenfrage zu klären, sonst scheitert die Datenbeschaffung an Zuständigkeitsgrenzen.

Abgrenzung zu Normen und anderen Regelwerken

Der praktische Einstieg ist nicht die Normauswahl, sondern eine Bestandsaufnahme: Welche Daten liegen bereits vor, wer erhebt sie, und wie belastbar sind sie? Erst danach entscheidet sich, ob ein Managementsystem der richtige Unterbau ist — oder ob zunächst die Datenhaltung geordnet werden muss.