EU-Reform: Was der Mittelstand bis 2026 beachten muss
4 Min. Lesezeit
Am 18. März 2026 ist die EU-Omnibus-Änderungsrichtlinie in Kraft getreten. Sie reduziert die Zahl der CSRD-pflichtigen Unternehmen in Europa von rund 50.000 auf etwa 5.000. Für den deutschen Mittelstand bedeutet das: Wer weniger als 1.000 Mitarbeiter oder weniger als 450 Millionen Euro Umsatz hat, ist von der Nachhaltigkeitsberichtspflicht befreit. Gleichzeitig entsteht ein neuer Schutzschild für KMU in Lieferketten.
Das Wichtigste in Kürze
- Die EU-Omnibus-Richtlinie (RL 2026/470) ist am 18. März 2026 in Kraft getreten. Rund 90 Prozent der bisher CSRD-pflichtigen Unternehmen fallen aus dem Anwendungsbereich (EUR-Lex).
- Neue Schwellenwerte: Nur Unternehmen mit mehr als 1.000 Mitarbeitern UND mehr als 450 Millionen Euro Nettoumsatz müssen berichten (kumulativ, nicht alternativ).
- Neuer KMU-Schutz: Unternehmen unter 1.000 Mitarbeitern dürfen ESG-Datenanfragen ablehnen, die über den freiwilligen VSME-Standard hinausgehen (Wertschöpfungskettenschutz).
- 🇩🇪 Deutschland hat bis 19. März 2027 Zeit für die nationale Umsetzung. Die bisherige CSRD-Umsetzung war bereits überfällig (Frist war Juli 2024).
- Auch die CSDDD (Lieferkettenrichtlinie) wurde verschärft: Neue Schwelle 5.000 Mitarbeiter + 1,5 Milliarden Euro. Rund 70 Prozent weniger Unternehmen betroffen.
Was die Omnibus-Richtlinie ändert
Die Richtlinie 2026/470 wurde am 26. Februar 2026 im EU-Amtsblatt veröffentlicht und trat 20 Tage später in Kraft. Sie ist das Ergebnis eines politischen Kurswechsels: Die EU-Kommission hatte erkannt, dass die ursprüngliche CSRD-Regelung den Mittelstand unverhältnismäßig belastete. Der BDI sprach von einer „einmaligen Gelegenheit“ für eine gezielte Reform.
Die Zahlen sind eindeutig. Vor der Reform waren europaweit rund 50.000 Unternehmen berichtspflichtig, in Deutschland geschätzt 15.000. Nach der Omnibus-Richtlinie schrumpft der Kreis auf etwa 5.000 EU-weit. In Deutschland dürften es nach Verbandsschätzungen rund 1.500 bleiben. Das ist eine Reduktion um 90 Prozent.
Die neuen Schwellenwerte im Detail
Die entscheidende Änderung betrifft die Schwellenwerte. Bisher galt ein gestaffeltes System: Welle 1 für börsennotierte Unternehmen über 500 Mitarbeiter, Welle 2 für große Unternehmen, Welle 3 für kapitalmarktorientierte KMU. Die Omnibus-Richtlinie ersetzt das durch eine klare, kumulative Schwelle.
Berichtspflichtig ist nur noch, wer beide Kriterien gleichzeitig erfüllt: mehr als 1.000 Mitarbeiter im Jahresdurchschnitt und mehr als 450 Millionen Euro Nettoumsatz. Ein Unternehmen mit 2.000 Mitarbeitern aber nur 300 Millionen Euro Umsatz fällt nicht unter die Pflicht. Ein Unternehmen mit 800 Millionen Umsatz aber 500 Mitarbeitern auch nicht. Die UND-Verknüpfung ist der Schlüssel.
Welle 3 für kapitalmarktorientierte KMU wurde vollständig gestrichen. Für Drittstaatenmuttergesellschaften gilt: mehr als 450 Millionen Euro EU-Nettoumsatz in beiden der letzten zwei Geschäftsjahre.
Der VSME-Standard: Schutzschild für den Mittelstand
Die Omnibus-Richtlinie führt ein neues Schutzkonzept ein: den Wertschöpfungskettenschutz. Unternehmen mit weniger als 1.000 Mitarbeitern gelten als „geschützte Unternehmen“. Sie haben das gesetzlich verankerte Recht, ESG-Datenanfragen abzulehnen, die über den freiwilligen VSME-Standard hinausgehen.
Der Voluntary SME Standard (VSME) wurde vom EFRAG entwickelt und enthält rund 100 Datenpunkte in zwei Modulen: ein Basis-Modul für grundlegende ESG-Angaben und ein Erweiterungsmodul für branchenspezifische Zusatzangaben. Zum Vergleich: Die vollständigen ESRS umfassen über 1.000 Datenpunkte.
In der Praxis bedeutet das: Wenn ein Großkonzern seinen Zulieferer mit 300 Mitarbeitern auffordert, einen umfassenden ESG-Fragebogen mit 500 Datenpunkten auszufüllen, kann dieser die Anfrage rechtswirksam ablehnen. Der Zulieferer muss maximal den VSME-Standard bedienen. Der Konzern kann keinen Vertragsbruch geltend machen.
„Nachdem das Europäische Parlament seine Position festgelegt hat, ist es entscheidend, dass der Entlastungsgedanke im anstehenden Trilog konsequent verfolgt wird. Europa braucht eine praxistaugliche, verhältnismäßige Lösung.“
Achim Dercks, stellvertretender Hauptgeschäftsführer DIHK (April 2025)
CSDDD: Auch die Lieferkettenrichtlinie wird entschärft
Die Omnibus-Richtlinie reformiert nicht nur die CSRD, sondern auch die Corporate Sustainability Due Diligence Directive (CSDDD). Die neuen Schwellenwerte: mehr als 5.000 Mitarbeiter und mehr als 1,5 Milliarden Euro Umsatz. Vorher lag die Grenze bei 1.000 Mitarbeitern und 450 Millionen Euro.
Drei wesentliche Pflichten wurden gestrichen: die Klimaschutzplan-Pflicht (Transition Plan), das EU-weite zivilrechtliche Haftungsregime und die Pflicht zur Geschäftsbeziehungsbeendigung als letztes Mittel. Die Bußgeldobergrenze sank von fünf auf drei Prozent des weltweiten Nettoumsatzes. Die CSDDD-Compliance wird erst ab dem Geschäftsjahr 2030 greifen.
Für den Mittelstand heißt das doppelte Entlastung: Weder die direkte CSRD-Berichtspflicht noch die Sorgfaltspflichten der CSDDD treffen Unternehmen unter den neuen Schwellenwerten. Das deutsche Lieferkettengesetz (LkSG) wird entsprechend angepasst werden müssen.
Timeline: Was gilt wann?
Die Übergangsphase ist komplex. Hier die relevanten Daten für deutsche Unternehmen:
Sofort (seit 18. März 2026): Die Omnibus-Richtlinie ist EU-Recht. Sie muss noch national umgesetzt werden. Bis dahin gilt formal das bisherige deutsche Recht, aber: Die „Stop-the-Clock“-Direktive vom April 2025 hatte bereits alle Fristen um zwei Jahre verschoben. Berater empfehlen betroffenen Unternehmen, die unter die neuen Schwellenwerte fallen, mit der Berichterstattung abzuwarten.
Bis 18. September 2026: Die EU-Kommission muss überarbeitete European Sustainability Reporting Standards (ESRS) als delegierten Rechtsakt vorlegen. Die Datenpunkte werden voraussichtlich um mindestens 57 Prozent reduziert.
Bis 19. März 2027: Deutschland muss die CSRD-Bestimmungen in nationales Recht umsetzen. Bisher hat Deutschland die ursprüngliche CSRD nicht fristgerecht umgesetzt (Frist war Juli 2024). Mit der Omnibus-Reform bekommt die Bundesregierung eine zweite Chance für einen angepassten Gesetzentwurf.
Geschäftsjahr 2027: Erste Berichtspflicht unter dem neuen Recht für Unternehmen, die noch in den Anwendungsbereich fallen. Berichte werden 2028 fällig.
Bis 26. Juli 2028: Frist für die nationale Umsetzung der CSDDD-Änderungen. Compliance-Datum für Unternehmen: Juli 2029. Erste CSDDD-Berichte: ab Geschäftsjahr 2030.
Checkliste: Was Mittelständler jetzt tun sollten
Die Omnibus-Reform entlastet, aber sie erfordert trotzdem Handeln. Diese fünf Schritte helfen bei der Einordnung:
- Schwellenwerte prüfen: Haben Sie mehr als 1.000 Mitarbeiter UND mehr als 450 Millionen Euro Umsatz? Nur wenn beides zutrifft, besteht weiterhin CSRD-Pflicht. Prüfen Sie auf Einzel- und Gruppenebene.
- Laufende ESG-Projekte evaluieren: Wer unter die Schwellenwerte fällt, kann bestehende Berichtsprojekte auf Notwendigkeit prüfen. Freiwillige Berichterstattung nach VSME kann trotzdem sinnvoll sein, besonders für Unternehmen mit internationalen Kunden.
- VSME-Standard kennenlernen: Der VSME wird zum De-facto-Standard für Lieferantenauskünfte. Rund 100 Datenpunkte, modular aufgebaut. Wer den VSME proaktiv bedient, hat gegenüber Großkunden eine professionelle Antwort.
- ESG-Fragebögen kritisch prüfen: Wenn ein Großkunde Daten verlangt, die über den VSME hinausgehen, besteht ab sofort ein Ablehnungsrecht. Das Unternehmen muss keine proprietären ESG-Fragebögen mit 500 Datenpunkten mehr ausfüllen.
- Nationale Umsetzung beobachten: Die Bundesregierung hat bis März 2027 Zeit. Bis dahin gilt formal noch das alte Recht, aber die „Stop-the-Clock“-Richtlinie hat die praktischen Fristen ohnehin verschoben.
Fazit: Entlastung ja, Entwarnung nein
Die Omnibus-Reform ist die größte Kurskorrektur in der europäischen Nachhaltigkeitsregulierung seit Verabschiedung der CSRD. 90 Prozent weniger betroffene Unternehmen, ein gesetzlicher Schutzschild für KMU, gestrichene Haftungsregeln bei der CSDDD. Für den Mittelstand ist das eine echte Entlastung.
Aber Entlastung ist keine Entwarnung. ESG-Anforderungen verschwinden nicht, sie werden lediglich proportionaler. Großkunden, Banken und Investoren werden weiterhin Nachhaltigkeitsdaten verlangen. Der Unterschied: Jetzt gibt es einen rechtlichen Rahmen, der verhindert, dass der Mittelstand zum unbezahlten Datenlieferanten der Konzerne wird. Der VSME ist dieser Rahmen. Wer ihn kennt, hat einen Vorteil.
Häufige Fragen
Bin ich als Unternehmen mit 500 Mitarbeitern noch CSRD-pflichtig?
Nein, sofern Sie nicht gleichzeitig mehr als 450 Millionen Euro Nettoumsatz haben. Die neuen Schwellenwerte der Omnibus-Richtlinie (RL 2026/470) erfordern, dass beide Kriterien kumulativ erfüllt sind: mehr als 1.000 Mitarbeiter UND mehr als 450 Millionen Euro Umsatz.
Was ist der VSME-Standard und muss ich ihn anwenden?
Der Voluntary SME Standard ist ein freiwilliger Nachhaltigkeitsberichtsstandard des EFRAG mit rund 100 Datenpunkten. Anwenden müssen Sie ihn nicht. Aber er hat eine Schutzfunktion: Wenn ein Großkunde ESG-Daten verlangt, die über den VSME hinausgehen, können Sie die Anfrage rechtswirksam ablehnen.
Was passiert mit dem deutschen Lieferkettengesetz (LkSG)?
Das LkSG wird angepasst werden müssen, sobald Deutschland die CSDDD-Änderungen umsetzt (Frist: Juli 2028). Die CSDDD-Schwellenwerte steigen auf 5.000 Mitarbeiter und 1,5 Milliarden Euro Umsatz. Bußgeldobergrenze sinkt von fünf auf drei Prozent.
Ab wann gilt das neue Recht in Deutschland?
Die EU-Richtlinie ist seit dem 18. März 2026 in Kraft, muss aber noch national umgesetzt werden. Deutschland hat bis zum 19. März 2027 Zeit. Die „Stop-the-Clock“-Direktive hat die praktischen Berichtsfristen bereits um zwei Jahre verschoben.
Sollte ich trotzdem freiwillig berichten?
Wenn Sie Zulieferer für CSRD-pflichtige Großkonzerne sind oder Bankfinanzierung mit ESG-Kriterien nutzen, ist freiwillige Berichterstattung nach VSME sinnvoll. Der Aufwand ist überschaubar (rund 100 statt über 1.000 Datenpunkte). Für rein regionale B2B-Unternehmen ist die Priorität niedriger.
Weiterführende Artikel
- CSRD-Berichtspflicht: Was der CFO jetzt wissen muss – Strategische CFO-Perspektive (Digital Chiefs)
- DORA und NIS2 gleichzeitig: Compliance-Doppeldruck – Regulatorischer Kontext (SecurityToday)
- Daten-Governance im Mittelstand: Praxischeck zum DGG – Verwandte Governance-Themen (MyBusinessFuture)
Mehr aus dem MBF Media Netzwerk
- Sovereignty-Washing: Warum EU-Rechenzentrum keine Datensouveränität bedeutet – Cloud-Regulierung aktuell (cloudmagazin)
- NIS2 in Deutschland: Was Unternehmen wissen müssen – Compliance-Überblick (SecurityToday)
Quelle Titelbild: Jack Sparrow / Pexels
