ESG, Lieferkette, Sanktionen: Was nach Omnibus I im Herbst 2026 wirklich gilt

Drei Regime, zwei Richtungen

Am 18. März 2026 trat die Omnibus-I-Änderungsrichtlinie (EU) 2026/470 in Kraft und hat zwei Regelwerke auf einmal entschärft: Die Berichtspflicht nach CSRD trifft künftig einen deutlich kleineren Kreis, und die Sorgfaltspflichtenrichtlinie CSDDD wurde um Jahre verschoben und inhaltlich gestutzt. Im selben Jahr lief die Bewegung an anderer Stelle genau umgekehrt — mit dem 20. Sanktionspaket vom 23. April 2026 und dem 21. Paket vom 23. Juli 2026 hat die EU Exportkontrolle und Umgehungsbekämpfung spürbar verschärft.

Für Compliance-Verantwortliche entsteht daraus eine unangenehme Gleichzeitigkeit. Zwei Themen, die jahrelang als Pflichtprogramm galten, wirken plötzlich verhandelbar — während ein drittes, das viele als Randthema der Exportabteilung geführt haben, kürzere und härtere Fristen setzt als beide zusammen.

CSRD nach Omnibus I: kleinerer Kreis, gleiche Substanz

Berichtspflichtig ist künftig nur, wer beide Schwellen reißt: mehr als 1.000 Beschäftigte und mehr als 450 Mio. EUR Nettoumsatz. Entscheidend ist das „und" — die Kriterien gelten kumulativ, nicht mehr als Zwei-aus-drei-Test. Nach Schätzung der EU-Kommission fallen damit rund 80 Prozent der bisher erfassten Unternehmen aus dem direkten Anwendungsbereich; börsennotierte KMU sind vollständig befreit, und die sektorspezifischen ESRS wurden gestrichen. Für Nicht-EU-Konzerne gilt eine eigene Schwelle über den in der EU erzielten Umsatz.

Was bleibt, ist nicht weniger anspruchsvoll, sondern weniger umfangreich. Die Zahl der verpflichtenden ESRS-Datenpunkte sinkt um rund 61 Prozent — von etwa 1.100 auf rund 430 — und alle freiwilligen Angaben entfallen. Die ursprünglich vorgesehene Steigerung von begrenzter auf hinreichende Prüfsicherheit wurde gestrichen: Es bleibt dauerhaft bei „limited assurance", und die Kommission muss bis zum 1. Juli 2027 harmonisierte Prüfungsstandards vorlegen.

Die Mitgliedstaaten haben die CSRD-Änderungen bis zum 19. März 2027 umzusetzen; erstmals anzuwenden sind sie für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen. Unternehmen der ersten Welle, die die neuen Schwellen weiterhin reißen, berichten ohne Unterbrechung weiter. Für die, die herausfallen, können die Mitgliedstaaten eine Befreiung für Geschäftsjahre vorsehen, die zwischen dem 1. Januar 2025 und dem 31. Dezember 2026 beginnen — ob und wie, entscheidet sich national.

Doppelte Wesentlichkeit: nicht gestrichen, sondern zum Filter befördert

Die doppelte Wesentlichkeit hat den Omnibus überstanden. Sie wurde nicht abgeschafft, sondern methodisch entschlackt und zugleich aufgewertet: Der Wesentlichkeitsgrundsatz wirkt jetzt ausdrücklich als Filter dafür, was überhaupt in den Bericht gehört. Wer die Analyse sauber führt, berichtet dadurch weniger, nicht mehr — nicht wesentliche Inhalte dürfen entfallen.

Beide Blickrichtungen bleiben — die Auswirkungen des Unternehmens auf Mensch und Umwelt und die finanziellen Auswirkungen von Nachhaltigkeitsthemen auf das Unternehmen. Neu ist, dass ein Top-down-Vorgehen ausdrücklich gefördert wird: von sektortypischen Auswirkungen herunterfiltern, statt jedes Thema von Grund auf neu zu bewerten. Die Wesentlichkeitsschwellen wurden präzisiert, die Stakeholder-Einbindung bleibt erforderlich, ist für kleinere Unternehmen im Anwendungsbereich aber vereinfacht.

• Erhalten: beide Wesentlichkeitsrichtungen, die Pflicht zur externen Prüfung und der Test zu den erwarteten finanziellen Effekten aus dem Klimastandard.
• Vereinfacht: Top-down-Ansatz ausdrücklich zugelassen, präzisere Schwellen, mehr Flexibilität bei Aggregation und Disaggregation.
• Entfallen: sektorspezifische Standards, sämtliche freiwilligen Angaben und der geplante Schritt zur hinreichenden Prüfsicherheit.

Vom Bericht ins Risikomanagement — und ins interne Kontrollsystem

Die interessanteste Folge des Omnibus steht nicht im Anwendungsbereich, sondern in der Prüfung. Weil es bei der begrenzten Prüfsicherheit bleibt, schaut weiterhin ein Prüfer auf die Nachhaltigkeitsangaben — und ein Prüfer prüft keine Überzeugungen, sondern Prozesse. Eine Wesentlichkeitsanalyse, die als Workshop-Ergebnis in einer Präsentation endet, ist nicht prüfbar. Eine, die Datenquellen, Schwellenwerte, Verantwortlichkeiten und Entscheidungsgründe dokumentiert, ist es.

Damit rückt ESG dorthin, wo Banken und Versicherer es längst haben: in die zweite Verteidigungslinie. Die doppelte Wesentlichkeit ist kein Projekt, sondern ein wiederkehrender Prozess zur Identifikation und Bewertung von Auswirkungen, Risiken und Chancen — mit derselben Mechanik wie ein operationelles Risikoinventar: Erhebung, Bewertung, Schwellen, Eskalation, periodische Überprüfung. Der beibehaltene Test zu den erwarteten finanziellen Effekten ist dabei die eigentliche Brücke: Wer ihn ernsthaft rechnet, hat Klimarisiken im Risikomanagement statt daneben.

Wie detailliert die Anforderungen an das interne Kontrollsystem am Ende ausfallen, entscheidet sich an den überarbeiteten ESRS, die die Kommission im Juli 2026 verabschiedet hat. Verpflichtend sind sie für Geschäftsjahre ab 2027, freiwillig lassen sie sich ein Jahr früher anwenden. Wer bis zur nationalen Umsetzung wartet, verliert genau das Jahr, das für den Aufbau prüffähiger Prozesse gedacht war.

Die Deckelung für Zulieferer — und die Lücke, die sie offen lässt

Für den Mittelstand ist die praktisch wichtigste Neuerung keine Berichtspflicht, sondern eine Obergrenze. Unternehmen im Anwendungsbereich dürfen von Unternehmen ihrer Wertschöpfungskette mit bis zu 1.000 Beschäftigten nicht mehr Nachhaltigkeitsinformationen verlangen, als der freiwillige Berichtsstandard vorsieht. Diese Grenze gilt ab dem Geschäftsjahr 2026 und ist die eigentliche Antwort des Gesetzgebers auf den Fragebogen-Wildwuchs der letzten Jahre.

Sie hat allerdings eine Ausnahme, und es ist die teuerste: Die Deckelung erfasst die Angaben zu den Brutto-Treibhausgasemissionen aus Scope 1, 2 und 3 nicht. Ihr Großkunde darf Sie also weiterhin nach Emissionsdaten fragen — auch wenn Sie selbst nie berichtspflichtig werden. Wer diese Zahlen nicht vorlegen kann, riskiert keinen Bußgeldbescheid, sondern eine Ausschreibung.

Lieferkette: Das LkSG lebt — der Vollzug nicht

Das Lieferkettensorgfaltspflichtengesetz ist nicht aufgehoben. Es gilt formal weiter, und mit ihm die materiellen Kernpflichten: Risikomanagement, Risikoanalyse, Präventions- und Abhilfemaßnahmen sowie das Beschwerdeverfahren. Geändert hat sich der Vollzug. Seit September 2025 verfolgt das BAFA auf Weisung des Bundeswirtschaftsministeriums nur noch schwere Verstöße, und seit November 2025 ist die digitale Berichtsmaske abgeschaltet.

Ein Regierungsentwurf, der die Berichtspflicht nach § 10 Absatz 2 rückwirkend zum 1. Januar 2023 streicht, wurde im September 2025 vom Kabinett beschlossen und im Januar 2026 im Bundestag erstmals beraten; er steckt seither in den Ausschüssen. Praktisch ist die Berichtspflicht damit seit Herbst 2025 ausgesetzt — rechtlich gestrichen ist sie noch nicht.

Der Fahrplan der Bundesregierung steht seit dem 2. Juli 2026: Die CSDDD soll eins zu eins umgesetzt werden. Noch im Herbst 2026 soll der Anwendungsbereich des LkSG auf Unternehmen ab 5.000 Beschäftigten und mehr als 1,5 Mrd. EUR weltweitem Nettojahresumsatz eingeschränkt werden; abgelöst werden soll das Gesetz bis zum 26. Juli 2028 durch ein neues Gesetz über die internationale Unternehmensverantwortung. Auf europäischer Ebene hat der Omnibus die CSDDD selbst entschärft: Gestrichen wurden die Pflicht zum Klimatransitionsplan und die EU-einheitliche zivilrechtliche Haftungsgrundlage, Geldbußen sind auf höchstens drei Prozent des weltweiten Umsatzes gedeckelt.

Sanktionen und Exportkontrolle: die Gegenbewegung

Während die Berichtspflichten schrumpfen, zieht die Exportkontrolle an. Das 20. Sanktionspaket vom 23. April 2026 hat erstmals den EU-Umgehungsmechanismus gegen ein Drittland eingesetzt: Kirgisistan gilt seither als Jurisdiktion mit systematischer und anhaltender Umgehung, Ausfuhren von CNC-Maschinen und Funkgeräten dorthin sind verboten. Zugleich wurde die Liste der Einrichtungen mit verschärften Dual-Use-Beschränkungen erweitert — ausdrücklich auch um Adressen außerhalb Russlands.

Das 21. Paket vom 23. Juli 2026, in Kraft seit dem 24. Juli, setzt das fort: 51 weitere Einrichtungen in China und Hongkong, der Türkei, Kirgisistan, Indien, Kasachstan und den Vereinigten Arabischen Emiraten wurden in Anhang IV aufgenommen. Neu sind außerdem Einfuhrverbote unter anderem für Kupfer-, Nickel-, Blei- und Edelmetallerze, Rohzink, Zink- und Chromoxide, Tallöl, Glaswaren und Fahrzeugteile — mit einer Auslauffrist für Altverträge bis zum 25. Oktober 2026.

Die operativ wichtigste Pflicht ist älter und wird regelmäßig übersehen: die „No-Russia"-Klausel aus dem 12. Paket. Wer bestimmte sensible Güter in Drittländer ausführt, muss die Wiederausfuhr nach Russland vertraglich untersagen und wirksame Rechtsbehelfe für den Verstoßfall vereinbaren — und einen erkannten Verstoß der zuständigen nationalen Behörde melden. Das ist keine Formulierungsfrage für den Einkauf, sondern eine Meldepflicht mit Adressat.

• Anhang I der Dual-Use-Verordnung wurde zum 8. September 2025 um neue Technologien erweitert — Klassifizierungen aus der Zeit davor sind nicht mehr belastbar.
• Die Kontrolle technischer Unterstützung erfasst auch Drittstaatsangehörige innerhalb der EU: Der Zugriff auf kontrolliertes Wissen ist ein ausfuhrrelevanter Vorgang.
• Beim Verkauf von Tankschiffen in Drittländer verlangt Artikel 3q eine vertragliche Weiterverkaufssperre samt angemessener Sorgfaltsprüfung des Verkäufers.
• EU-Wirtschaftsteilnehmer können Schäden aus Klagen in Drittstaaten ersetzt verlangen; Entscheidungen russischer Gerichte nach Artikel 248.1 und 248.2 dürfen die Mitgliedstaaten nicht anerkennen.

Der gemeinsame Nenner ist eine Stammdatenfrage

Drei Regelwerke, drei Fristenlogiken — und im Kern dieselbe Frage: Wissen Sie, mit wem Sie es zu tun haben? Die Wesentlichkeitsanalyse braucht die Wertschöpfungskette. Die Sorgfaltspflicht braucht dieselbe Kette, nach Risiko bewertet. Die Sanktionsprüfung braucht dieselben Geschäftspartner, gegen Listen abgeglichen, und dazu die Warenströme.

In den meisten Häusern wird diese Frage dreimal beantwortet: einmal im Nachhaltigkeitstool, einmal in der Lieferantendatenbank, einmal in einer Tabelle der Exportabteilung. Das ist der eigentliche Aufwandstreiber — nicht die Zahl der Datenpunkte. Ein gemeinsamer Stammdatensatz für Geschäftspartner, an den alle drei Prüfungen andocken, ist die einzige Investition, die von allen drei Bewegungen dieses Jahres profitiert: Sie übersteht einen kleineren CSRD-Anwendungsbereich, eine verschobene CSDDD und ein 22. Sanktionspaket gleichermaßen.