CSRD-Kriterien: Welche Unternehmen sind berichtspflichtig?

Überblick über die CSRD

Die Corporate Sustainability Reporting Directive (CSRD, Richtlinie (EU) 2022/2464) regelt, welche Unternehmen in der EU einen geprüften Nachhaltigkeitsbericht nach den European Sustainability Reporting Standards (ESRS) veröffentlichen müssen. Anders als bei vielen anderen Regelwerken reicht dabei ein einzelnes Merkmal – etwa nur der Umsatz oder nur die Mitarbeiterzahl – nicht aus, um die Betroffenheit zu bestimmen.

Die CSRD-Berichtspflicht ergibt sich aus dem Zusammenspiel mehrerer Kriterien: der wirtschaftlichen Größe eines Unternehmens, seiner Kapitalmarktorientierung, seiner Branche sowie seiner Stellung innerhalb eines Konzerns. Erst die Kombination dieser Faktoren entscheidet, ob ein Unternehmen direkt berichtspflichtig ist, indirekt betroffen ist, oder ganz außen vor bleibt.

Dieser Artikel ordnet die einzelnen Kriterien ein und zeigt anhand von Beispielen, wie sie in der Praxis zusammenwirken.

Die wichtigsten Kriterien im Überblick

1. Größenkriterien: Mitarbeitende und Umsatz

Das zentrale, aber nicht alleinige Kriterium ist die Unternehmensgröße. Nach der Omnibus-Richtlinie (EU) 2026/470 gilt seit März 2026 ein kumulativer Schwellenwert: Ein Unternehmen muss sowohl mehr als 1.000 Mitarbeitende im Jahresdurchschnitt als auch mehr als 450 Mio. € Jahresumsatz aufweisen, um direkt berichtspflichtig zu sein. Beide Werte müssen gleichzeitig überschritten werden – die frühere „2-von-3-Kriterien“-Logik (die zusätzlich die Bilanzsumme berücksichtigte) gilt für diese Schwelle nicht mehr.

2. Kapitalmarktorientierung

Ob ein Unternehmen an einem geregelten Markt in der EU notiert ist, spielt weiterhin eine eigenständige Rolle. Börsennotierte kleine und mittlere Unternehmen (sogenannte „Welle 3“) unterliegen einer eigenen, schlankeren Regelung über den LSME-Standard (Listed Small and Medium-sized Enterprises) – unabhängig davon, ob sie die oben genannten Größenkriterien erreichen. Kapitalmarktorientierung kann also eine Berichtspflicht auslösen, die über die reinen Größenkriterien hinausgeht, allerdings mit reduziertem Berichtsumfang.

3. Branche: Banken und Versicherungen

Kreditinstitute und Versicherungsunternehmen können unabhängig von ihrer Rechtsform und unter eigenen Größenkriterien in die Berichtspflicht fallen, da sie bereits nach der Vorgänger-Richtlinie (NFRD) eigenständig erfasst waren. Für diese Branchen gelten teils angepasste Schwellenwerte und Übergangsregelungen, etwa für kleine und nicht komplexe Institute.

4. Konzernstruktur

Die CSRD berücksichtigt nicht nur das einzelne Unternehmen, sondern die Konzernebene. Für die Beurteilung der Größenkriterien ist bei Konzernen regelmäßig die konsolidierte Betrachtung von Mutter- und Tochterunternehmen maßgeblich. Das bedeutet: Ein für sich genommen kleines Tochterunternehmen kann über seine Konzernzugehörigkeit indirekt in die Berichterstattung einbezogen werden, auch wenn es selbst nicht eigenständig berichtspflichtig ist (siehe Abschnitt 4 und 8).

5. Sitz in der EU oder im Drittstaat

Auch Unternehmen mit Sitz außerhalb der EU können erfasst werden, wenn sie über EU-Tochtergesellschaften oder Zweigniederlassungen signifikante Umsätze in der EU erzielen. Diese sogenannte Drittstaaten-Regelung ist ein eigenständiges Kriterium, das unabhängig von der Größe der EU-Tochter selbst greifen kann.

Direkte Berichtspflicht: Wer muss selbst berichten?

Direkt berichtspflichtig ist ein Unternehmen, wenn es selbst – oder auf konsolidierter Konzernebene – die gesetzlichen Kriterien erfüllt und keine Konzernbefreiung greift. Zur direkten Berichtspflicht zählen nach aktuellem Stand:

• Große Unternehmen, die kumulativ mehr als 1.000 Mitarbeitende und mehr als 450 Mio. € Umsatz aufweisen

• Mutterunternehmen von Konzernen, die auf konsolidierter Ebene diese Kriterien erfüllen

• Kapitalmarktorientierte Unternehmen, die die Größenkriterien erfüllen (Welle 1)

• Börsennotierte kleine und mittlere Unternehmen über den vereinfachten LSME-Standard

• Kreditinstitute und Versicherungsunternehmen mit entsprechender Größe, auch wenn sie nicht kapitalmarktorientiert sind

• EU-Tochterunternehmen bzw. Zweigniederlassungen großer Drittstaaten-Konzerne, sofern die entsprechenden Umsatz- und Größenkriterien erfüllt sind

Wichtig ist: Direkte Berichtspflicht bedeutet nicht automatisch eigenständige Berichterstattung. Innerhalb eines Konzerns kann die Pflicht durch einen konsolidierten Bericht des Mutterunternehmens erfüllt werden (siehe Abschnitt 8).

Indirekte Betroffenheit: Wenn keine eigene Pflicht besteht

Die meisten kleinen und mittleren Unternehmen in Deutschland sind nach den aktuellen Schwellenwerten nicht direkt CSRD-berichtspflichtig. Trotzdem sind viele von ihnen indirekt betroffen – über ihre Rolle als Lieferant, Dienstleister oder Geschäftspartner eines berichtspflichtigen Unternehmens. Dieser Effekt wird als Trickle-down-Effekt bezeichnet.

Berichtspflichtige Großunternehmen müssen im Rahmen ihrer eigenen doppelten Wesentlichkeitsanalyse auch Nachhaltigkeitsdaten entlang der Lieferkette einbeziehen – etwa zu CO₂-Emissionen (Scope 3), Arbeitsbedingungen oder Menschenrechten bei Zulieferern. Sie fragen diese Daten häufig direkt bei ihren Geschäftspartnern an, unabhängig davon, ob diese selbst gesetzlich zur CSRD-Berichterstattung verpflichtet sind.

Die Omnibus-Richtlinie hat hier eine wichtige Schutzregel eingeführt: Berichtspflichtige Unternehmen dürfen von Geschäftspartnern grundsätzlich keine Nachhaltigkeitsdaten verlangen, die über den Umfang des freiwilligen VSME-Standards hinausgehen (abgelöst durch VS-Standard) – außer es liegen triftige Gründe vor. Das begrenzt den Druck auf kleinere Zulieferer, ändert aber nichts daran, dass Datenanfragen in der Praxis weiterhin verbreitet sind.

Indirekte Betroffenheit zeigt sich typischerweise in folgenden Situationen: Ausschreibungen großer Auftraggeber verlangen ESG-Kennzahlen, Banken fragen Nachhaltigkeitsdaten für die Kreditvergabe ab, und Kunden integrieren Lieferanten in ihre eigene Scope-3-Bilanzierung.

Kriterien nach dem Omnibus: Was hat sich geändert?

Die Omnibus-Richtlinie (EU) 2026/470 hat nicht nur Schwellenwerte angehoben, sondern auch die Logik der Kriterien verändert. Die folgende Tabelle zeigt die wichtigsten Unterschiede:

Der wichtigste Effekt: Durch die kumulative Verknüpfung von Mitarbeitenden- und Umsatzkriterium – statt der bisherigen Wahlmöglichkeit zwischen mehreren Merkmalen – fallen deutlich mehr Unternehmen komplett aus der Berichtspflicht heraus, insbesondere solche mit hoher Mitarbeiterzahl, aber moderatem Umsatz (und umgekehrt).

Beispiele nach Unternehmensart

Die folgenden Beispiele veranschaulichen, wie die Kriterien in typischen Konstellationen zusammenwirken:

Entscheidungshilfe: Bin ich CSRD-berichtspflichtig?

Die folgenden Schritte helfen bei einer ersten Einschätzung der eigenen Betroffenheit. Sie ersetzen keine rechtliche Prüfung im Einzelfall, geben aber eine praktische Orientierung:

1. Größenkriterien prüfen: Liegt die durchschnittliche Mitarbeiterzahl über 1.000 UND der Jahresumsatz über 450 Mio. €? Falls beides zutrifft, besteht in der Regel eine direkte Berichtspflicht.

2. Konzernebene berücksichtigen: Ist das Unternehmen Teil eines Konzerns? Dann sind die Größenkriterien meist auf konsolidierter Ebene zu prüfen – auch wenn das einzelne Unternehmen für sich genommen kleiner ist.

3. Kapitalmarktorientierung klären: Ist das Unternehmen an einem geregelten Markt in der EU notiert? Dann kann eine Berichtspflicht über den LSME-Standard bestehen, auch unterhalb der Hauptschwelle.

4. Branche prüfen: Handelt es sich um ein Kreditinstitut oder Versicherungsunternehmen? Dann gelten unter Umständen eigenständige, branchenspezifische Kriterien.

5. Drittstaaten-Bezug prüfen: Gehört das Unternehmen zu einem Konzern mit Sitz außerhalb der EU und erzielt der Konzern einen EU-Umsatz von mehr als 450 Mio. €? Dann kann die EU-Tochter eigenständig betroffen sein.

6. Lieferkettenposition einschätzen: Besteht keine direkte Pflicht, aber eine Geschäftsbeziehung zu einem berichtspflichtigen Großunternehmen? Dann ist mit indirekten Datenanfragen zu rechnen, auf die sich freiwillig – etwa über den VSME-Standard – vorbereiten lässt.

Bei Grenzfällen – etwa knapp über oder unter den Schwellenwerten, bei unklarer Konzernzugehörigkeit oder bei branchenspezifischen Sonderregelungen – empfiehlt sich eine Abstimmung mit dem Abschlussprüfer oder einer auf Nachhaltigkeitsberichterstattung spezialisierten Rechtsberatung.

FAQ: Häufig gestellte Fragen zu den CSRD-Kriterien

Welche Kriterien entscheiden über die CSRD-Berichtspflicht?

Maßgeblich sind die Unternehmensgröße (Mitarbeitende und Umsatz), die Kapitalmarktorientierung, die Branche (insbesondere Banken und Versicherungen), die Konzernstruktur sowie ein möglicher Drittstaaten-Bezug. Erst das Zusammenspiel dieser Kriterien entscheidet über die konkrete Betroffenheit.

Welche Unternehmen sind CSRD-pflichtig?

Direkt berichtspflichtig sind vor allem Unternehmen, die kumulativ mehr als 1.000 Mitarbeitende und mehr als 450 Mio. € Umsatz aufweisen, sowie börsennotierte KMU, bestimmte Kreditinstitute und Versicherungen und EU-Töchter großer Drittstaaten-Konzerne.

Was bedeutet direkte Berichtspflicht?

Direkte Berichtspflicht liegt vor, wenn ein Unternehmen selbst oder auf konsolidierter Konzernebene die gesetzlichen Kriterien erfüllt und keine Konzernbefreiung greift.

Was bedeutet indirekte Betroffenheit?

Indirekte Betroffenheit besteht, wenn ein Unternehmen selbst keine eigene gesetzliche Pflicht hat, aber über Geschäftsbeziehungen zu berichtspflichtigen Unternehmen dennoch ESG-Daten bereitstellen muss – der sogenannte Trickle-down-Effekt.

Reicht der Umsatz allein, um die Berichtspflicht zu bestimmen?

Nein. Der Umsatz ist nur eines von mehreren Kriterien. Erst in Kombination mit der Mitarbeiterzahl, und bei Konzernen auf konsolidierter Ebene, lässt sich die Berichtspflicht abschließend beurteilen.

Welche Rolle spielt die Konzernstruktur?

Bei Konzernen wird die Größenprüfung in der Regel konsolidiert vorgenommen. Tochterunternehmen sind meist von einer eigenständigen Berichtspflicht befreit, wenn sie im Konzernbericht des Mutterunternehmens erfasst werden.

Sind Tochterunternehmen automatisch von der Berichtspflicht befreit?

In der Regel ja, sofern sie in den konsolidierten Nachhaltigkeitsbericht des Mutterunternehmens einbezogen werden. Bei Töchtern von Drittstaaten-Konzernen mit hohem EU-Umsatz kann jedoch eine eigenständige Pflicht entstehen.

Sind Banken und Versicherungen anders betroffen als andere Unternehmen?

Ja. Für Kreditinstitute und Versicherungsunternehmen bestehen teils eigenständige, branchenspezifische Kriterien und Übergangsregelungen, etwa für kleine und nicht komplexe Institute.

Was ist der LSME-Standard und für wen gilt er?

Der LSME-Standard (Listed Small and Medium-sized Enterprises) ist ein vereinfachter Berichtsstandard für börsennotierte kleine und mittlere Unternehmen, die aufgrund ihrer Kapitalmarktorientierung, aber nicht aufgrund ihrer Größe erfasst werden.

Können ausländische Konzerne von der CSRD betroffen sein?

Ja. Erzielt ein Konzern mit Sitz außerhalb der EU einen EU-Umsatz von mehr als 450 Mio. € und erfüllt die EU-Tochter bzw. Zweigniederlassung bestimmte Größenkriterien, kann eine eigenständige Berichtspflicht in der EU entstehen.

Was können nicht berichtspflichtige Unternehmen tun, um vorbereitet zu sein?

Sie können freiwillig nach dem VSME-Standard berichten, um Datenanfragen von Kunden, Banken oder Investoren strukturiert zu beantworten, ohne den vollen Aufwand einer ESRS-Berichterstattung zu tragen.

Wie hängen die Kriterien mit der doppelten Wesentlichkeit zusammen?

Die Kriterien entscheiden, ob überhaupt eine Berichtspflicht besteht. Ist dies der Fall, bestimmt die doppelte Wesentlichkeitsanalyse anschließend, zu welchen konkreten Themen inhaltlich berichtet werden muss.

Fazit

Die CSRD-Berichtspflicht lässt sich nicht auf einen einzelnen Schwellenwert reduzieren. Größe, Kapitalmarktorientierung, Branche, Konzernstruktur und internationale Konzernzugehörigkeit wirken zusammen und bestimmen, ob ein Unternehmen direkt berichtspflichtig, indirekt betroffen oder ganz außen vor ist. Gerade für Unternehmen im Mittelstand lohnt sich ein zweiter Blick: Auch ohne eigene gesetzliche Pflicht sind viele über ihre Rolle in der Lieferkette betroffen.

Wer die eigene Position anhand der genannten Kriterien systematisch einordnet, kann frühzeitig entscheiden, ob eine gesetzliche Berichtspflicht droht, freiwillige Berichterstattung sinnvoll ist, oder ob es zunächst ausreicht, die eigene Datenverfügbarkeit für mögliche Anfragen von Geschäftspartnern zu verbessern.

‍