CSRD 2026: Welche Nachhaltigkeitsdaten braucht Ihr Industrieunternehmen jetzt wirklich?

Ein Zulieferer mit mehreren Werken erhält gleichzeitig einen ESG-Fragebogen seines Großkunden, eine Datenanforderung der Bank und den Auftrag der Geschäftsleitung, „CSRD-ready“ zu werden. Die alte Scope-Tabelle nennt andere Schwellen als die Richtlinie (EU) 2026/470; Deutschland war im offiziellen Kommissionsstand vom 8. Juni 2026 noch ohne vollständig gemeldete Umsetzung. Gleichzeitig hat die Kommission am 3. Juli 2026 vereinfachte ESRS und einen freiwilligen Standard für kleinere Unternehmen angenommen. Wer jetzt pauschal ein Reporting-System kauft, riskiert sowohl Überbau als auch fehlende Kernbelege. Die erste Entscheidung lautet deshalb nicht „Welches Tool?“, sondern „Welcher Rechts- und Nachfragepfad gilt für welches Geschäftsjahr, Unternehmen und Datenpaket?“. Ein sinnvoller Auftrag ist eine bezahlte Scope- und Datenbereitschaftsprüfung für eine Gesellschaft, einen Konzernkreis oder ein Kundenpaket. Sie liefert Prioritäten und einen kontrollierten Datenplan, aber keine Prüfungsbestätigung, Rechtsberatung oder Finanzierungsgarantie.

Zu trennen sind die ursprüngliche CSRD, die Stop-the-clock-Richtlinie 2025/794, die Änderungsrichtlinie 2026/470, die deutsche Umsetzung und die am 3. Juli 2026 angenommenen ESRS-Rechtsakte. Ein EU-Beschluss, eine Umsetzungsfrist und unmittelbar anwendbare Vorgaben sind nicht dasselbe.

Das Rechtsregister führt Rechtsakt, Inkrafttreten, Umsetzungsfrist, nationale Maßnahme, betroffenes Geschäftsjahr und verantwortliche Prüfung. Die Richtlinie 2026/470 setzt für künftige Wellen unter anderem einen Umfang von mehr als 1.000 Beschäftigten und mehr als 450 Millionen Euro Nettoumsatz; Übergänge und Konzerneinordnung brauchen jedoch eine fallbezogene Prüfung. Deutschland hatte laut Kommission Anfang Juni 2026 noch keine vollständigen CSRD-Maßnahmen gemeldet.

Deshalb erhält jede Scope-Aussage einen Stichtag. Eine aktuelle EU-Schwelle wird nicht automatisch als bereits vollständig in deutsches Recht umgesetzt bezeichnet. Unternehmen der ersten Welle, später vorgesehene Wellen und freiwillig antwortende Lieferanten werden in getrennten Spuren geführt.

Die Scope-Akte verbindet Rechtsform, Nettoumsatz, Beschäftigtenzahl, Kapitalmarkteigenschaft, Konzernrolle, Sitz und Geschäftsjahr mit der jeweils gültigen Rechtsquelle. Sie dokumentiert Datenstand, Berechnung und Freigabe. Eine alte Präsentation oder Selbsteinschätzung ersetzt diese Herleitung nicht.

Für Gruppen werden Einzelgesellschaft und konsolidierte Ebene getrennt betrachtet. Akquisitionen, Verkäufe und abweichende Geschäftsjahre erhalten eine Übergangsnotiz. Die Akte nennt außerdem, ob eine Gesellschaft bereits berichtet hat, von einer Übergangsmöglichkeit betroffen ist oder nur Daten an Mutter, Kunde oder Bank liefert.

Der Scope-Entscheid endet mit einem Status: Pflichtprüfung durch Rechts- und Abschlussberatung, Datenbereitschaft fortsetzen, freiwilliges Paket wählen oder Beobachtungstermin setzen. Eine technische Plattform entscheidet diesen Status nicht. Bei wesentlicher Unsicherheit wird kein verbindlicher Berichtstermin kommuniziert.

Die Freigabe wird mindestens bei Gesetzesänderung, Konzernumbau oder neuem Geschäftsjahr erneut geöffnet. So bleibt eine frühere Einschätzung nachvollziehbar, ohne dauerhaft fortgeschrieben zu werden.

Kunden, Banken oder Konzernmütter können weiterhin klar begrenzte Nachhaltigkeitsinformationen benötigen. Eine vertragliche Anfrage ist jedoch keine CSRD-Pflicht. Der Lieferant sollte Zweck, Empfänger, Standard, Geltungsbereich, Vertraulichkeit und Wiederverwendung klären, bevor er neue Daten erhebt.

Das Nachfrageinventar sammelt reale Fragebögen, Kreditunterlagen und Konzernmeldungen. Doppelte Fragen werden auf einen kanonischen Datenpunkt gemappt. Die neue Wertschöpfungskettenbegrenzung und der freiwillige KMU-Standard sollen kleinere Unternehmen vor unbegrenzten Informationsanforderungen schützen; daraus folgt dennoch kein Verbot jeder begründeten Vertragsinformation.

Ein Standardpaket kann Stammdaten, Energie, Emissionen, Belegschaft und grundlegende Leitlinien umfassen, wenn diese Angaben tatsächlich nachgefragt und kontrolliert werden. Kundenspezifische Erweiterungen erhalten Zweck, Kosten und Freigabe. Vertrauliche Prozessdaten werden nicht automatisch in ein allgemeines Portal hochgeladen.

Doppelte Wesentlichkeit verbindet Auswirkungen auf Menschen und Umwelt mit finanziellen Risiken und Chancen. Ein Thema kann über einen der beiden Wege wesentlich sein. Die Bewertung braucht Aktivitäten, Wertschöpfungskette, Stakeholder, Zeithorizont, Kriterien, Evidenz und eine dokumentierte Entscheidung durch zuständige Gremien.

Der erste Auftrag verkauft keine vollständige Wesentlichkeitsanalyse für einen komplexen Konzern. Er prüft, ob Prozess, Rollen und Evidenz vorhanden sind. Ein IRO-Register verbindet Auswirkung, Risiko oder Chance mit Ursache, Ort, Betroffenen, Bewertung und Datenquelle. Pauschale Themenlisten und kopierte Branchenmatrizen dienen höchstens als Suchhilfe.

Konflikte werden sichtbar. Ein Thema kann finanziell klein, aber wegen schwerer Auswirkungen wesentlich sein; ein finanzielles Risiko kann ohne unmittelbare eigene Auswirkung relevant werden. Entscheidungen, Schwellen und Auslassungen erhalten Begründung und Freigabedatum. So kann eine spätere Prüfung den Weg nachvollziehen.

Priorität haben wesentliche, häufig angefragte und prüfungsrelevante Daten mit hohem Fehlerrisiko: etwa Energie, Emissionen, Beschäftigte oder standortbezogene Angaben. Jeder Datenpunkt braucht Definition, Systemgrenze, Einheit, Quelle, Transformation, Eigentümer, Kontrolle und Freigabe.

Das Dateninventar unterscheidet Messwert, Stammdatum, Schätzung und externe Information. Ein CO₂-Wert ohne Aktivitätsdaten, Faktorversion und Organisationsgrenze ist nicht wiederholbar. Manuelle Anpassungen bleiben protokolliert. Fehlende Lieferantendaten werden als Lücke oder begründete Schätzung ausgewiesen, nicht als gemessener Wert.

Die Kontrolle passt zum Risiko: Zählerabgleich, Periodenvergleich, Vier-Augen-Freigabe oder Stichprobe. Bestehende Finanz- und Qualitätskontrollen werden genutzt, wenn sie fachlich passen. Ein Tool schafft keine Kontrolle, wenn niemand Definition und Abweichung verantwortet.

Die Kommission hat am 3. Juli 2026 vereinfachte ESRS angenommen. Unternehmen sollten einen Versionsvergleich durchführen und Übergang, Veröffentlichung sowie nationale Einbindung prüfen. Vorhandene Daten, Methoden und Kontrollen werden nicht vorschnell gelöscht, nur weil eine einzelne Angabe entfallen oder freiwillig geworden sein könnte.

Die Delta-Matrix markiert weiterhin erforderlich, geändert, freiwillig, entfallen oder noch zu klären. Sie verknüpft jede Änderung mit Datenprozess, Berichtstext und Vorjahresvergleich. Ein reduzierter Pflichtumfang kann Aufwand senken, beseitigt aber nicht automatisch Kundenfragen oder interne Steuerungsbedürfnisse.

Für kleinere Lieferanten wird der freiwillige Standard als begrenztes Antwortpaket bewertet. Er ist kein Marketingzertifikat und keine automatische Erfüllung jedes Kundenportals. Das Unternehmen entscheidet, welche Angaben es mit ausreichender Qualität und angemessenem Aufwand wiederholbar liefern kann.

Der Auftrag liefert Rechts- und Scope-Register, Nachfrageinventar, Datenpunkt-Stichprobe, Kontrolllücken und einen priorisierten 90-Tage-Plan. Er umfasst eine Gesellschaft, einen Konzernkreis oder ein klar definiertes Kundenpaket. Berichtserstellung, Abschlussprüfung, Rechtsgutachten und Softwareimplementierung sind getrennte Leistungen.

Der Kick-off legt Stichtag, Unternehmen, Geschäftsjahr und Entscheider fest. Dokumente werden stichprobenartig bis zur Quelle verfolgt. Jeder Befund nennt Risiko, Eigentümer und Abnahmekriterium. Eine offene Rechtsfrage geht an zuständige Beratung; eine technische Datenlücke an Werk, IT oder Controlling. So bleibt das Projekt lieferbar, obwohl sich das Regelwerk weiterentwickelt.

Preis und Dauer hängen von Gesellschaften, Standorten, Datenpunkten und vorhandenen Kontrollen ab. Die Übergabe endet mit Entscheidungen: Scope bestätigen lassen, Kernprozess stabilisieren, freiwilliges Paket bauen, Systemauswahl vorbereiten oder Arbeit stoppen. Keine Folgeleistung wird als zwangsläufig dargestellt.

Benötigt werden Gesellschafts- und Konzernstruktur, Geschäftsjahr, Umsatz- und Beschäftigtendaten, bisherige Berichte, Kunden- und Bankanfragen, Wesentlichkeitsunterlagen, Dateninventar, Methoden, Kontrollen und verantwortliche Rollen. Fehlende Belege bleiben als Lücke sichtbar und werden nicht durch Branchendurchschnitte ersetzt.

Die private Recherche stützt sich auf die Richtlinien (EU) 2025/794 und 2026/470, den aktuellen CSRD-Umsetzungsstand der Europäischen Kommission sowie die am 3. Juli 2026 angenommene ESRS-Revision. Vor einer Entscheidung werden Amtsblatt, nationale Umsetzung und geltende delegierte Rechtsakte erneut geprüft. Diese Lektüre ersetzt keine Rechts-, Prüfungs- oder Finanzierungsberatung.