Im Februar 2026 wurde das österreichische Nachhaltigkeitsberichtsgesetz (NaBeG) im Bundesgesetzblatt kundgemacht – rückwirkend ab 1. Jänner 2026 in Kraft. Praktisch zeitgleich lockerte das EU-Omnibus-Paket die Schwellenwerte der Corporate Sustainability Reporting Directive (CSRD) erheblich. Für viele mittelständische Unternehmen bedeutet das eine echte Entlastung: Die direkte Berichtspflicht trifft erst Konzerne ab 1.000 Mitarbeitern und 450 Millionen Euro Umsatz. Über die Lieferkette und über Finanzierungsanfragen bleibt der Druck auf kleinere Betriebe trotzdem hoch – wer jetzt nicht reagiert, kommt 2027 unter Zugzwang.
- 1. CSRD, NaBeG, Omnibus: Was hat sich 2026 geändert?
- 2. Die neuen Schwellenwerte – wer berichten muss
- 3. Stufenplan: Welche Welle für welches Unternehmen
- 4. Doppelte Wesentlichkeit als Kernprinzip
- 5. ESRS – die zwölf Standards im Überblick
- 6. Warum auch KMU betroffen sind – Lieferkette und Banken
- 7. VSME: Der freiwillige KMU-Standard
- 8. Vorbereitung: Sieben Schritte für die nächsten zwölf Monate
- 9. Häufige Fehler in der Umsetzung
- 10. Das Wichtigste auf einen Blick
CSRD, NaBeG, Omnibus: Was hat sich 2026 geändert?
Die Corporate Sustainability Reporting Directive der EU verpflichtet Unternehmen seit 2022, neben ihrem Jahresabschluss einen geprüften Nachhaltigkeitsbericht im Lagebericht zu veröffentlichen. Berichtet wird nach den European Sustainability Reporting Standards (ESRS) – einem detaillierten Regelwerk mit über tausend möglichen Datenpunkten zu Umwelt, Sozialem und Unternehmensführung.
Österreich hat die Richtlinie 2026 mit dem Nachhaltigkeitsberichtsgesetz (NaBeG) umgesetzt. Das Gesetz wurde am 18. Februar 2026 im Bundesgesetzblatt kundgemacht und gilt rückwirkend mit 1. Jänner 2026. Geändert werden vor allem das Unternehmensgesetzbuch (UGB) und das Bankwesengesetz: Große Unternehmen mussten ihren Lagebericht um einen Nachhaltigkeitsabschnitt erweitern, die Abschlussprüfer wurden zur Prüfung dieses Abschnitts verpflichtet, neue Strafbestände wurden eingeführt.
Kaum war das österreichische Gesetz beschlossen, kam aus Brüssel die Kehrtwende: Mit der Änderungsrichtlinie 2026/470 – dem sogenannten Omnibus-Paket – wurden die Schwellenwerte deutlich angehoben und der Erstanwendungszeitpunkt verschoben. Das österreichische NaBeG hat diese Erleichterungen bereits integriert. Die zweite und dritte Welle der Berichtspflicht startet damit nicht 2025 oder 2026, sondern erst mit dem Geschäftsjahr 2027, Berichtsabgabe 2028.
Die neuen Schwellenwerte – wer berichten muss
Die ursprünglichen CSRD-Schwellenwerte orientierten sich an der Definition großer Unternehmen im UGB: Wer zwei der drei Kriterien (mehr als 25 Mio. Euro Bilanzsumme, mehr als 50 Mio. Euro Umsatz, mehr als 250 Beschäftigte) überschritt, fiel grundsätzlich in den Anwendungsbereich. Mit dem Omnibus-Paket wurde die Latte deutlich höher gelegt. Die direkte Berichtspflicht trifft jetzt nur noch Unternehmen, die kumulativ zwei stark angehobene Kennzahlen reißen.
Praktisch bedeutet die Anhebung: Ein klassisches österreichisches Mittelstandsunternehmen mit beispielsweise 350 Beschäftigten und 80 Millionen Euro Umsatz fällt nach neuer Rechtslage nicht mehr in den direkten Anwendungsbereich. Wer hingegen schon vor dem NaBeG nach der alten Richtlinie zur nichtfinanziellen Berichterstattung (NFRD) verpflichtet war – typischerweise börsennotierte Konzerne, Banken und Versicherungen mit mehr als 500 Mitarbeitern – bleibt unverändert in der Pflicht. Für diese erste Welle gibt es eine Übergangslösung mit Wahlrecht zwischen altem und neuem Berichtsstandard.
Stufenplan: Welche Welle für welches Unternehmen
Die CSRD wurde ursprünglich in vier Wellen ausgerollt. Mit dem Omnibus-Paket fielen Welle 2 und Welle 3 praktisch zusammen, und der Erstanwendungszeitpunkt verschob sich um zwei Jahre. Für kapitalmarktorientierte KMU entfällt die Pflicht weitgehend, sie können freiwillig nach dem neuen VSME-Standard berichten.
Doppelte Wesentlichkeit als Kernprinzip
Wer berichtspflichtig ist, muss am Anfang nicht alle tausend ESRS-Datenpunkte abarbeiten – sondern zuerst eine Wesentlichkeitsanalyse durchführen. Diese Analyse entscheidet, welche Themen für das konkrete Unternehmen relevant sind und tatsächlich berichtet werden müssen. Das Verfahren heißt „doppelte Wesentlichkeit“, weil zwei Blickrichtungen parallel zu prüfen sind.
Ein Thema ist bereits dann berichtspflichtig, wenn eine der beiden Perspektiven wesentlich ist. Die Analyse muss methodisch nachvollziehbar dokumentiert werden – inklusive Stakeholder-Einbindung, Schwellenwerten und der eingesetzten Methodik. In der Prüfung durch den Abschlussprüfer ist diese Methodendokumentation einer der häufigsten Beanstandungspunkte.
Berichtspflichtige Unternehmen starten häufig mit dem Sammeln von Daten, bevor sie die Wesentlichkeit geklärt haben. Das produziert Aufwand für Themen, die später wieder herausfallen. Sinnvoller ist es, im ersten Schritt eine strukturierte Wesentlichkeitsanalyse mit dokumentierter Methodik zu erstellen und erst danach die zugehörigen ESRS-Datenpunkte einzusammeln. So wird der Prüfumfang von Anfang an realistisch.
ESRS – die zwölf Standards im Überblick
Die European Sustainability Reporting Standards (ESRS) sind in sektorunabhängige Querschnitts- und themenspezifische Standards gegliedert. Im Kern existieren zwei Cross-Cutting-Standards plus zehn thematische Standards, aufgeteilt in Umwelt (E), Soziales (S) und Governance (G). Mit dem Omnibus-Paket wurde die Datenpunkte-Zahl reduziert, der Aufbau aber nicht verändert.
ESRS 1 und ESRS 2 sind in jedem Fall anzuwenden – sie liefern den Rahmen für alle weiteren Standards. Welche der zehn themenspezifischen Standards mit konkreten Datenpunkten zu füllen sind, ergibt sich aus dem Ergebnis der Wesentlichkeitsanalyse. Wer feststellt, dass etwa Biodiversität (E4) für den eigenen Geschäftsbetrieb nicht wesentlich ist, kann den Standard nach dokumentierter Begründung weglassen.
Warum auch KMU betroffen sind – Lieferkette und Banken
Wer aufgrund der neuen Schwellen aus der direkten Berichtspflicht herausgefallen ist, kann sich nicht zurücklehnen. Der wahre Druck auf den Mittelstand kommt indirekt – über die Lieferkette berichtspflichtiger Konzerne und über die Finanzierungsseite.
Dieses indirekte Phänomen wird in der Praxis als Trickle-down-Effekt bezeichnet. Das Omnibus-Paket hat den Trickle-down zwar gedeckelt – berichtspflichtige Großunternehmen dürfen von KMU-Zulieferern grundsätzlich nicht mehr als die VSME-Datenpunkte abfragen. Aber der freiwillige VSME-Standard ist anspruchsvoll genug, dass die Vorbereitung gut zwölf Monate braucht. Wer 2027 in Ausschreibungen oder Kreditgesprächen gefragt wird, sollte 2026 mit der Datenerhebung begonnen haben.
VSME: Der freiwillige KMU-Standard
Mit dem Omnibus-Paket wurde der „Voluntary Sustainability Reporting Standard for Small and Medium-sized Enterprises“ (VSME) eingeführt. Er ist ausdrücklich keine Pflicht, sondern ein einheitliches, schlankes Reporting-Format, das KMU für Lieferketten- und Finanzierungsanfragen verwenden können. Der Vorteil: Wer VSME-konform berichtet, hat einen anerkannten Datensatz, den Banken, Kunden und öffentliche Auftraggeber akzeptieren müssen. Sie dürfen nicht zusätzliche, individuelle Fragebögen verlangen.
Vorbereitung: Sieben Schritte für die nächsten zwölf Monate
Unabhängig davon, ob ein Unternehmen direkt unter die CSRD fällt oder nur indirekt über Lieferkette und Banken betroffen ist, gilt: 2026 ist das Vorbereitungsjahr für die Berichterstattung 2027. Wer jetzt strukturiert plant, vermeidet hektische Notlösungen.
Häufige Fehler in der Umsetzung
Die Erfahrung aus der ersten CSRD-Welle bei NFRD-Unternehmen zeigt, wo der Schuh in der Praxis drückt. Diese Fehler verzögern den Bericht, kosten Prüfungsbudget oder führen zu Versagungsvermerken.
Sonderfälle in der Praxis
Konzern mit Sitz in einem anderen EU-Mitgliedstaat
Wenn die österreichische Tochter unter den Schwellen liegt, ein deutscher oder italienischer Mutterkonzern aber CSRD-pflichtig ist, kann der Konzernbericht die individuelle Berichterstattung der Tochter ersetzen. Wichtig ist, dass die österreichische Tochter im Konzernbericht ausdrücklich erfasst wird und der Bericht in einer Amtssprache zugänglich ist. Bei Holding-Strukturen mit mehreren EU-Standorten lohnt sich eine frühe Abstimmung zur Frage, welcher Konzernteil als „berichtende Einheit“ auftritt.
Drittstaatenkonzerne mit Österreich-Präsenz
US-amerikanische, britische oder asiatische Mutterkonzerne sind ab Welle 4 (Geschäftsjahr 2028, Bericht 2029) betroffen, wenn sie in der EU Netto-Umsätze von mehr als 450 Mio. Euro erzielen oder über eine berichtspflichtige Tochter operieren. Die Praxis zeigt: Die meisten Drittstaatenkonzerne richten den Bericht zentral in der größten EU-Tochter ein – häufig in Irland, Deutschland oder den Niederlanden. Eine österreichische Niederlassung wird dann nur als „erfasste Einheit“ geführt, hat aber operative Datenlieferpflichten.
Geschäftsführerhaftung bei Verstößen
Das NaBeG hat im UGB und in den nationalen Strafbestimmungen neue Sanktionsbestände eingeführt. Wer als Geschäftsführer oder Vorstand einen Nachhaltigkeitsbericht überhaupt nicht oder unrichtig veröffentlicht, kann mit Zwangsstrafen und in qualifizierten Fällen mit gerichtlicher Strafverfolgung rechnen. Auch im Rahmen der zivilrechtlichen Innen- und Außenhaftung von GmbH-Geschäftsführern wird die ordnungsgemäße Berichterstattung zum prüfungsrelevanten Pflichtenkanon. Eine saubere Governance-Dokumentation reduziert das Haftungsrisiko spürbar.
Bezug zu anderen Compliance-Pflichten
Die CSRD steht nicht für sich allein, sondern fügt sich in einen breiteren Compliance-Rahmen ein. Wer einen Nachhaltigkeitsbericht aufsetzt, berührt automatisch andere Regelungsbereiche – mit teils überlappenden Datenanforderungen.
- EU-Lieferkettenrichtlinie (CSDDD): Die Sorgfaltspflichten in der Wertschöpfungskette werden bis 2027 umgesetzt. CSRD-Berichterstattung und CSDDD-Sorgfaltspflicht überschneiden sich erheblich – wer beide Themen parallel aufgleist, vermeidet doppelte Erhebungsarbeit. Eine Übersicht zu den allgemeinen Compliance-Pflichten findet sich im Beitrag Compliance-Management für KMU in Österreich.
- Datenschutz und ESG-Sozial-Standards: Personenbezogene Daten aus HR-Erhebungen (Diversität, Lohngefälle, Schulungen) sind unter S1 zu berichten, dürfen aber datenschutzkonform nur aggregiert und ohne Rückschluss auf Einzelpersonen veröffentlicht werden. Details dazu im Beitrag DSGVO für Unternehmen 2026.
- KI-Verordnung: Wer Künstliche Intelligenz im Reporting-Prozess einsetzt, fällt in den Anwendungsbereich der KI-Verordnung. Vertragsklauseln mit KI-Anbietern sollten daher Datenherkunft, Auditierbarkeit und Haftung regeln – siehe KI-Verträge für KMU.
- Wirtschaftliche-Eigentümer-Registergesetz (WiEReG): Die Governance-Datenpunkte der ESRS verlangen Transparenz über Beteiligungsverhältnisse, was sich gut mit der bestehenden WiEReG-Meldung verknüpfen lässt.
Häufige Fragen zur CSRD-Berichtspflicht
Müssen alle Großunternehmen ab dem Geschäftsjahr 2027 berichten?
Nein. Nur Unternehmen, die kumulativ mehr als 1.000 Mitarbeiter und mehr als 450 Mio. Euro Nettoumsatz erreichen, fallen in Welle 2. Unternehmen, die schon zuvor nach der NFRD berichten mussten, sind weiterhin pflichtig. Kapitalmarktorientierte KMU sind in der ursprünglichen Welle 3 weitgehend entfallen.
Welche Strafen drohen bei fehlendem oder fehlerhaftem Bericht?
Das NaBeG sieht erhöhte Zwangsstrafen im UGB vor, sowie neue Strafbestände bei vorsätzlicher Falschberichterstattung. Hinzu kommen reputative Schäden und mögliche Haftung gegenüber der Gesellschaft. Konkrete Strafhöhen werden im Einzelfall durch das Firmenbuchgericht festgesetzt.
Können KMU freiwillig nach ESRS berichten?
Ja, freiwillige ESRS-konforme Berichterstattung ist zulässig. Für KMU besser geeignet ist jedoch der eigens geschaffene VSME-Standard, der schlanker ist und von Banken und Großkonzernen als Standardformat akzeptiert wird.
Wie lange dauert die Erstanwendung?
Die Erfahrung aus Welle 1 zeigt: Ein Erstbericht braucht typischerweise 9 bis 15 Monate Vorlaufzeit, gemessen vom Projektstart bis zur Veröffentlichung. Für VSME ist der Aufwand kleiner, aber 60 bis 120 Arbeitstage sollten eingeplant werden.
Welche Rolle spielt der Abschlussprüfer?
Bei CSRD-Pflichtigen prüft der Abschlussprüfer den Nachhaltigkeitsbericht mit einer „begrenzten Prüfsicherheit“ (Limited Assurance), die im Lauf der Jahre auf „hinreichende Prüfsicherheit“ (Reasonable Assurance) ausgebaut wird. Frühe Einbindung des Prüfers vermeidet Überraschungen im Bestätigungsvermerk.
Jetzt unverbindlich anfragen
Füllen Sie das Formular aus und beschreiben Sie Ihre Situation. Wir melden uns in Kürze bei Ihnen.
Wie wir Ihnen helfen können
Die CSRD-Umsetzung mit NaBeG und Omnibus-Paket hat den Mittelstand nicht aus der Pflicht entlassen, sondern den Zeitdruck verschoben. Wir beraten Geschäftsführungen und Aufsichtsräte bei der Anwendungsbereichsprüfung, begleiten Wesentlichkeitsanalysen mit dokumentierter Methodik und richten die unternehmensinternen Governance-Strukturen so aus, dass Berichterstattung, Compliance und Haftungsschutz ineinandergreifen.
Wenn Sie unsicher sind, ob Ihr Unternehmen direkt unter das NaBeG fällt oder über die Lieferkette getroffen wird, kontaktieren Sie uns. Wir prüfen Ihre Situation, zeigen Handlungsoptionen auf und unterstützen Sie bei der praktischen Umsetzung – von der ersten Wesentlichkeitsanalyse bis zum prüfungsfähigen Bericht.