Freigestellt, aber nicht befreit

Grundlage der aktuellen Debatte ist eine gemeinsame Stellungnahme des Netzwerks der KMU-Berater und des Deutschen Mittelstands-Bunds (DMB). Darin kritisieren die Verbände, dass Großkonzerne die Pflichten aus dem Lieferkettensorgfaltspflichtengesetz (LkSG) und der europäischen Corporate Sustainability Due Diligence Directive (CSDDD) trotz der Omnibus-I-Schutzklausel weiterhin ungebremst auf ihre Zulieferer abwälzen. Während die Europäische Kommission davon ausgehe, dass das Problem gelöst sei, zeichne die betriebliche Realität ein anderes Bild.

Die Datengrundlage liefert der DMB-Risiko-Report Mittelstand 2026, veröffentlicht Anfang Juni 2026 vor dem Reform-Gipfel der Bundesregierung. Auf Basis von 1.071 Interviews mit KMU-Inhaberinnen und -Inhabern zwischen Januar und April 2026 nennen 65 Prozent überbordende Bürokratie als hohes Zukunftsrisiko — der höchste Wert der gesamten Erhebung. Regulatorische Anforderungen folgen mit 57,1 Prozent, noch vor Fachkräftemangel (56,3 Prozent) und knapp hinter Energiepreisen (62,9 Prozent). Marc S. Tenbieg, geschäftsführender Vorstand des DMB, formuliert die Konsequenz für die Berichtspflichten: „Die zahlreichen, uneinheitlichen und teilweise doppelten Berichtspflichten stellen KMU vor enorme Herausforderungen.“ Der Verband fordert eine gesetzliche Standardisierung von Berichtspflichten und Fragebögen.

Die am Ende Februar 2026 im EU-Amtsblatt veröffentlichte Omnibus-Änderungsrichtlinie (RL EU 2026/470) begrenzt die direkte Berichtspflicht auf Unternehmen ab 1.000 Beschäftigten für die CSRD und ab 5.000 Beschäftigten mit mindestens 1,5 Milliarden Euro Jahresumsatz für die CSDDD. Damit fällt ein Großteil des deutschen Mittelstands aus dem direkten Anwendungsbereich. Berichtspflichtige Großkonzerne müssen ihre gesamte Wertschöpfungskette allerdings weiterhin offenlegen, wie eine Analyse von CUBE Concepts beschreibt. Zulieferer sind zwar nicht gesetzlich, aber vertraglich zur Datenlieferung verpflichtet — der sogenannte Trickle-Down-Effekt bleibt entlang der Wertschöpfungskette vollständig erhalten.

Konkret bedeutet das: Ein Automobilzulieferer mit 400 Beschäftigten liegt formal unter allen relevanten Schwellenwerten — kann sich der Frage nach produktbezogenen CO₂-Bilanzen, Scope-3-Daten, Rohstoffherkunftsnachweisen und Menschenrechts-Compliance dennoch nicht entziehen. Denn seine OEM-Kunden wie VW oder BMW prüfen ihre Lieferanten standardisiert über EcoVadis und erwarten laut Beratern der Branche in der Regel mindestens ein Silber-Rating. Ohne dieses Rating drohen laut Beratungshaus Kloepfel „Ausschluss aus Bieterverfahren“. EcoVadis führt heute Ratings für über 130.000 Unternehmen in mehr als 180 Ländern. Für die Automobilbranche kommen die EU-Altfahrzeugverordnung, die EU-Batterieverordnung mit digitalem Batteriepass sowie CBAM-Nachweise für importierte Vormaterialien dazu — eine kumulierte Sorgfaltslast, die kein Regulierungsgesetz allein widerspiegelt.

Für die Praxis bedeutet das konkrete Fragebogen-Zyklen. Großkunden versenden ESG-Fragebögen mit Antwortfristen zwischen 30 und 60 Tagen, oft parallel über verschiedene Plattformen: IntegrityNext und NQC/SAQ sind für Lieferanten kostenfrei, EcoVadis und CDP kostenpflichtig für die bewerteten Unternehmen. Der EcoVadis Sustainable Procurement Barometer 2026 zeigt die Nachfrageseite: 98 Prozent der Einkäufer beginnen, Lieferanten-ESG-Daten in ihre Beschaffungsprozesse zu integrieren — aber nur 30 Prozent vollständig digital. Umgekehrt liefern 30 Prozent der Lieferanten überhaupt keine CO₂-Daten, weitere 26 Prozent nur aggregierte Scope-1-und-2-Werte. Nur 41 Prozent der Lieferanten sehen ihre Kunden als „hoch engagiert“. Zwischen regulatorischer Ambition und Datenqualität in der Kette klafft eine erhebliche Lücke.

Ähnlich argumentiert die Beratung Fiegenbaum Solutions: Selbst im minimalistischen Omnibus-Szenario blieben tausende Großunternehmen CSRD-pflichtig und fragten weiterhin ESG-Daten von ihren Zulieferern ab, oft in unkoordinierten und uneinheitlich formatierten Fragebögen. Banken forderten diese Daten für ihr Rating, Großkunden für ihre CSDDD-Prüfungen, Investoren für ihre Due-Diligence-Prozesse. Rechtlich haben Mittelständler zumindest einen neuen Schutzmechanismus: Die Omnibus-Richtlinie führt einen „Value Chain Cap“ ein, wonach Großunternehmen von KMU-Zulieferern nur noch Informationen fordern dürfen, die im freiwilligen VSME-Standard enthalten sind. Zusammen mit der am 3. Juni 2026 abgeschlossenen Konsultation zum VSME-EU-Entwurf entsteht damit ein Referenzrahmen, an dem sich Fragebögen ausrichten müssen. Der VSME selbst wird als delegierter Rechtsakt voraussichtlich im Herbst 2026 finalisiert.

Für den Mittelstand bleibt die Bilanz ambivalent. Auf dem Papier wächst die regulatorische Ruhezone, in der operativen Realität steigt der Datendruck weiter. Praktikabel ist die konsequente Positionierung mit einem VSME-Bericht als „Master-Antwort“ auf externe Anfragen — was Zeit spart und die Vergleichbarkeit erhöht, ohne die Komplexität voller ESRS zu übernehmen. Software-Kosten dafür bewegen sich im Mittelstand ab etwa 5.000 bis 8.000 Euro jährlich für Carbon-Management-Lösungen wie Daato oder Sweep; Compliance-Software beginnt ab rund 15.000 Euro. Wesentlichkeitsanalysen erfordern nach Angaben spezialisierter Beratungen zwei bis vier Monate Vorlauf und 0,5 bis 2 interne Vollzeitkräfte — für Unternehmen, die noch nichts strukturiert dokumentiert haben, ein spürbarer Aufwand. Die Alternative ist teurer: Verlust von Aufträgen, Ausschluss aus öffentlichen Ausschreibungen (bei CSDDD-Verstößen bis zu drei Jahre) und ein steigendes Bank-Kredit-Rating-Risiko. Wer heute keine standardisierte ESG-Antwort geben kann, verhandelt morgen mit schwächerer Position.