ESG, cadena de suministro y sanciones: qué se aplica realmente tras el Ómnibus I en el otoño de 2026

Tres regímenes, dos direcciones

El 18 de marzo de 2026 entró en vigor la Directiva de modificación Ómnibus I (UE) 2026/470, que relajó dos regímenes a la vez: la obligación de informar según la CSRD alcanza ahora a un grupo bastante menor, y la directiva de diligencia debida CSDDD se aplazó años y se recortó en su contenido. Ese mismo año el movimiento fue exactamente el contrario en otro frente: con el 20.º paquete de sanciones de 23 de abril de 2026 y el 21.º de 23 de julio de 2026, la UE endureció de forma perceptible el control de exportaciones y la lucha contra la elusión.

Para los responsables de cumplimiento eso genera una simultaneidad incómoda. Dos temas que durante años se consideraron obligatorios parecen de pronto negociables, mientras que un tercero, archivado por muchos como asunto marginal del departamento de exportación, fija plazos más cortos y duros que los otros dos juntos.

La CSRD tras el Ómnibus I: menos empresas, la misma sustancia

Solo informa quien supera ambos umbrales: más de 1.000 empleados y más de 450 millones de euros de facturación neta. Lo decisivo es la conjunción: los criterios son acumulativos y ya no funcionan como una prueba de dos de tres. Según la estimación de la Comisión Europea, eso deja fuera del ámbito directo a alrededor del 80 % de las empresas antes cubiertas; las pymes cotizadas quedan totalmente exentas y se han suprimido los ESRS sectoriales. Para los grupos de fuera de la UE rige un umbral propio basado en la facturación obtenida en la Unión.

Lo que queda no es menos exigente, sino menos voluminoso. El número de puntos de datos obligatorios de los ESRS baja alrededor de un 61 % —de unos 1.100 a unos 430— y desaparecen todas las divulgaciones voluntarias. Se eliminó el paso previsto de aseguramiento limitado a razonable: el aseguramiento limitado queda de forma permanente y la Comisión debe adoptar normas de verificación armonizadas antes del 1 de julio de 2027.

Los Estados miembros deben transponer las modificaciones de la CSRD antes del 19 de marzo de 2027; se aplican por primera vez a los ejercicios que comiencen a partir del 1 de enero de 2027. Las empresas de la primera ola que sigan superando los nuevos umbrales continúan informando sin interrupción. Para las que quedan fuera, los Estados miembros pueden prever una exención para los ejercicios que empiecen entre el 1 de enero de 2025 y el 31 de diciembre de 2026: si la habrá y cómo se decide a nivel nacional.

Doble materialidad: no eliminada, ascendida a filtro

La doble materialidad sobrevivió al Ómnibus. No se suprimió, sino que se simplificó metodológicamente y, a la vez, ganó peso: el principio de materialidad actúa ahora de forma expresa como filtro de lo que debe figurar en el informe. Si el análisis se hace bien, se informa menos, no más: los contenidos no materiales pueden omitirse.

Se mantienen ambas direcciones: el impacto de la empresa sobre las personas y el medio ambiente, y los efectos financieros de los asuntos de sostenibilidad sobre la empresa. La novedad es que se fomenta expresamente un enfoque descendente: filtrar desde los impactos típicos del sector en lugar de evaluar cada tema desde cero. Se precisaron los umbrales de materialidad y la participación de las partes interesadas sigue siendo necesaria, aunque simplificada para las empresas más pequeñas dentro del ámbito.

• Se mantiene: ambas direcciones de materialidad, la obligación de verificación externa y la prueba de efectos financieros previstos de la norma climática.
• Simplificado: enfoque descendente permitido de forma expresa, umbrales más precisos, más flexibilidad en agregación y desagregación.
• Desaparece: las normas sectoriales, todas las divulgaciones voluntarias y el paso previsto al aseguramiento razonable.

Del informe a la gestión de riesgos y al sistema de control interno

La consecuencia más interesante del Ómnibus no está en el ámbito de aplicación, sino en la verificación. Como se mantiene el aseguramiento limitado, un verificador sigue revisando la información de sostenibilidad, y un verificador no comprueba convicciones sino procesos. Un análisis de materialidad que termina como resultado de un taller en una presentación no es verificable; uno que documenta fuentes de datos, umbrales, responsabilidades y los motivos de cada decisión, sí lo es.

Eso sitúa el ESG donde los bancos y las aseguradoras lo tienen desde hace años: en la segunda línea de defensa. La doble materialidad no es un proyecto, sino un proceso recurrente de identificación y evaluación de impactos, riesgos y oportunidades, con la misma mecánica que un inventario de riesgo operacional: recopilación, evaluación, umbrales, escalado y revisión periódica. La prueba de efectos financieros previstos, que se mantiene, es el verdadero puente: si se calcula en serio, el riesgo climático queda dentro de la gestión de riesgos y no al lado.

Hasta qué punto serán detalladas las exigencias sobre el sistema de control interno se decidirá en los ESRS revisados que la Comisión adoptó en julio de 2026. Son obligatorios para los ejercicios a partir de 2027 y pueden aplicarse voluntariamente un año antes. Quien espere a la transposición nacional pierde justamente el año previsto para construir procesos verificables.

El límite a las peticiones a proveedores y el hueco que deja abierto

Para las medianas empresas, la novedad más relevante en la práctica no es una obligación de informar, sino un tope. Las empresas dentro del ámbito no pueden exigir a las empresas de su cadena de valor con hasta 1.000 empleados más información de sostenibilidad de la que prevé la norma voluntaria de información. Ese límite se aplica desde el ejercicio 2026 y es la verdadera respuesta del legislador a la proliferación de cuestionarios de los últimos años.

Tiene, eso sí, una excepción, y es la más cara: el límite no cubre la información sobre las emisiones brutas de gases de efecto invernadero de los alcances 1, 2 y 3. Su gran cliente puede, por tanto, seguir pidiéndole datos de emisiones aunque usted nunca llegue a estar obligado a informar. No poder aportar esas cifras no arriesga una multa: arriesga una licitación.

Cadena de suministro: la LkSG alemana sigue viva; su ejecución, no

La Ley alemana de diligencia debida en las cadenas de suministro no ha sido derogada. Sigue formalmente en vigor y con ella sus obligaciones sustantivas centrales: gestión de riesgos, análisis de riesgos, medidas preventivas y correctoras y el procedimiento de reclamación. Lo que cambió es la ejecución. Desde septiembre de 2025 la BAFA, por instrucción del Ministerio Federal de Economía, solo persigue infracciones graves, y desde noviembre de 2025 el formulario digital de reporte está desactivado.

Un proyecto de ley del Gobierno que suprime la obligación de informar del artículo 10, apartado 2, con efecto retroactivo al 1 de enero de 2023 fue aprobado por el Consejo de Ministros en septiembre de 2025 y tuvo su primera lectura en el Bundestag en enero de 2026; desde entonces sigue en comisión. En la práctica, la obligación de informar está suspendida desde el otoño de 2025, pero jurídicamente aún no ha sido suprimida.

La hoja de ruta del Gobierno federal está fijada desde el 2 de julio de 2026: la CSDDD se transpondrá uno a uno. Ya en el otoño de 2026 el ámbito de la LkSG debe reducirse a empresas con al menos 5.000 empleados y más de 1.500 millones de euros de facturación neta anual mundial; la ley será sustituida antes del 26 de julio de 2028 por una nueva ley sobre responsabilidad empresarial internacional. En el plano europeo, el Ómnibus relajó la propia CSDDD: se eliminaron la obligación de plan de transición climática y el régimen de responsabilidad civil armonizado de la UE, y las multas se limitan a un máximo del tres por ciento de la facturación mundial.

Sanciones y control de exportaciones: el movimiento contrario

Mientras las obligaciones de información se reducen, el control de exportaciones se endurece. El 20.º paquete de sanciones, de 23 de abril de 2026, fue el primer uso del mecanismo antielusión de la UE contra un tercer país: Kirguistán está designado desde entonces como jurisdicción con elusión sistemática y persistente, y se prohíben las exportaciones de máquinas CNC y equipos de radio hacia allí. Al mismo tiempo se amplió la lista de entidades sujetas a restricciones reforzadas de doble uso, incluyendo expresamente direcciones fuera de Rusia.

El 21.º paquete, de 23 de julio de 2026 y en vigor desde el 24 de julio, prolonga esa línea: se añadieron al anexo IV otras 51 entidades en China y Hong Kong, Turquía, Kirguistán, India, Kazajistán y los Emiratos Árabes Unidos. Se suman nuevas prohibiciones de importación para, entre otros, minerales de cobre, níquel, plomo y metales preciosos, cinc en bruto, óxidos de cinc y cromo, tall oil, artículos de vidrio y piezas de automoción, con un periodo transitorio para contratos preexistentes hasta el 25 de octubre de 2026.

La obligación operativamente más importante es más antigua y se pasa por alto con frecuencia: la cláusula «No Rusia» del 12.º paquete. Quien exporte determinados bienes sensibles a terceros países debe prohibir contractualmente la reexportación a Rusia y pactar remedios eficaces en caso de incumplimiento, además de comunicar cualquier incumplimiento detectado a la autoridad nacional competente. No es una cuestión de redacción para el departamento de compras, sino una obligación de comunicación con destinatario.

• El anexo I del Reglamento de doble uso se amplió a nuevas tecnologías el 8 de septiembre de 2025: las clasificaciones anteriores a esa fecha ya no son fiables.
• Los controles de asistencia técnica alcanzan también a nacionales de terceros países dentro de la UE: el acceso a conocimiento controlado es en sí un acto relevante para la exportación.
• En la venta de buques cisterna a terceros países, el artículo 3 quater exige una prohibición contractual de reventa y una diligencia debida proporcionada por parte del vendedor.
• Los operadores de la UE pueden reclamar los daños derivados de demandas en terceros países; los Estados miembros no deben reconocer las decisiones de tribunales rusos con arreglo a los artículos 248.1 y 248.2.

El denominador común es una cuestión de datos maestros

Tres normativas, tres lógicas de plazos y, en el fondo, la misma pregunta: ¿sabe usted con quién trata? El análisis de materialidad necesita la cadena de valor. La diligencia debida necesita esa misma cadena, evaluada por riesgo. El cribado de sanciones necesita esas mismas contrapartes, cotejadas con las listas, además de los flujos de mercancías.

En la mayoría de las organizaciones esa pregunta se responde tres veces: una en la herramienta de sostenibilidad, otra en la base de datos de proveedores y otra en una hoja de cálculo del departamento de exportación. Ese es el verdadero motor del esfuerzo, no el número de puntos de datos. Un registro maestro común de contrapartes, al que se conecten las tres comprobaciones, es la única inversión que se beneficia de los tres movimientos de este año: sobrevive por igual a un ámbito reducido de la CSRD, a una CSDDD aplazada y a un 22.º paquete de sanciones.