CSRD-Kaskadeneffekt 2026: Warum auch Selbstständige Nachhaltigkeitsdaten liefern müssen – und wie der VSME-Standard schützt

Mit dem Omnibus-Paket vom Februar 2025 hat die EU die Corporate Sustainability Reporting Directive (CSRD) entschärft: Pflichtberichtspflichten gelten nur noch für Unternehmen über 1.000 Mitarbeiter, Welle 2 und 3 wurden um zwei Jahre verschoben. Was viele Selbstständige übersehen: Das ändert wenig am praktischen Druck. Konzerne, die selbst weiter berichtspflichtig sind, müssen Scope-3-Daten aus ihrer Lieferkette erheben. Der EFRAG-VSME-Standard von Dezember 2024 ist das Schutzschild für KMU – er begrenzt, was Großkunden abfragen dürfen, und liefert KMU eine standardisierte Antwort-Vorlage.

Warum auch kleine Selbstständige betroffen sind

Die CSRD verpflichtet börsennotierte und grosse Unternehmen, Nachhaltigkeitsinformationen nach den ESRS-Standards (European Sustainability Reporting Standards) zu veröffentlichen. Das Omnibus-Paket vom Februar 2025 hat die Schwelle deutlich angehoben. Pflichtig sind seither Unternehmen, die mindestens zwei der folgenden Kriterien erfüllen: über 1.000 Mitarbeiter, über 50 Mio. Euro Nettoumsatz, über 25 Mio. Euro Bilanzsumme.

Damit fallen rund 80 Prozent der ursprünglich erfassten Unternehmen aus der Pflicht. In der EU-Praxis sind statt 50.000 Unternehmen nur noch etwa 10.000 berichtspflichtig. In Österreich sind das vor allem börsennotierte Konzerne, grosse Familienunternehmen und Tochtergesellschaften internationaler Gruppen.

Der Haken: Diese 10.000 Unternehmen müssen weiterhin Scope-3-Daten erheben, also Emissionen und Sozialdaten aus ihrer Wertschöpfungskette. Wer einen Konzern als Kunden hat – direkt oder als Sub-Lieferant – bekommt früher oder später eine ESG-Anfrage. Im Jahr 2026 verschicken die ersten Wellen-1-Konzerne ihre standardisierten Fragebögen, in den Jahren danach kommen weitere Anfragen aus Welle 2 und 3 hinzu.

VSME als Schutzschild und Antwort-Standard

Der Voluntary Sustainability Reporting Standard for non-listed SMEs (VSME) ist die Antwort der EFRAG (European Financial Reporting Advisory Group) auf das Problem der heterogenen ESG-Anfragen. Vor VSME erhielten KMU-Zulieferer unterschiedlichste Fragebögen von ihren Kunden: einer mit 80 Datenpunkten, ein anderer mit 150, ein dritter mit 30 – jeder anders strukturiert, jeder anders formuliert. Die Antworten frassen Zeit und produzierten häufig inkonsistente Daten.

VSME, veröffentlicht im Dezember 2024 und als Empfehlung im Omnibus-Paket bestätigt, schafft einen einheitlichen Standard. Zwei Module:

• VSME Basic Module: Mindest-Datenpunkte für die einfache Berichterstattung. Rund 11 Pflichtangaben zu Energieverbrauch, Treibhausgas-Emissionen (Scope 1 und 2), Mitarbeiter-Indikatoren, Governance-Grundlagen.
• VSME Comprehensive Module: zusätzliche Disclosures zu Klimarisiken, strategischer Nachhaltigkeitsausrichtung, KPIs zu nachhaltigen Produkten und Dienstleistungen, Scope-3-Indikatoren.

Der wichtigste Schutzaspekt: Die EU-Kommission empfiehlt, dass berichtspflichtige Grossunternehmen bei KMU-Zulieferern ohne eigene CSRD-Pflicht maximal das VSME-Basic-Datenset abfragen dürfen (Value Chain Cap). Das ist nicht zwingend bindendes Recht, aber die explizite Empfehlung der Kommission und der ESAs als Massstab für die EBA und EIOPA wirkende Aufsichtspraxis im Finanzsektor.

Was im VSME-Basic-Modul abgefragt wird

Die elf Pflichtangaben des VSME-Basic-Moduls strukturieren sich in drei Bereiche:

Umwelt-Disclosures (rund 5 Datenpunkte):

• Energieverbrauch insgesamt in MWh, aufgeschlüsselt nach erneuerbar/nicht-erneuerbar
• Scope-1-Treibhausgas-Emissionen (direkte Emissionen aus eigenen Quellen)
• Scope-2-Treibhausgas-Emissionen (indirekte Emissionen aus eingekaufter Energie)
• Wasserverbrauch in Wassermangelregionen, falls anwendbar
• Abfallmenge in Tonnen und Prozentsatz Recyclinganteil

Sozial-Disclosures (rund 4 Datenpunkte):

• Mitarbeiterzahl in Vollzeitäquivalenten, aufgeschlüsselt nach Geschlecht
• Anteil Mitarbeiter mit unbefristetem Vertrag und Vollzeit-Beschäftigung
• Arbeitsunfälle und Krankheitsabwesenheit
• Aus- und Weiterbildungsstunden pro Mitarbeiter

Governance-Disclosures (rund 2 Datenpunkte):

• Compliance-Beschwerden und deren Bearbeitungsstand
• Anti-Korruptions-Massnahmen und Schulungen

Für ein typisches österreichisches EPU oder KMU ohne Produktionsanlagen sind die Antworten oft trivial: Energieverbrauch aus Stromrechnung, Scope 1 in der Regel null (keine eigenen Fahrzeuge oder Heizanlagen), Scope 2 aus Stromzukauf, Mitarbeiterdaten aus dem Lohnkonto, Abfall überschaubar. Schwieriger wird es bei Produktionsbetrieben mit Maschinenpark, Logistik-Dienstleistern mit Fuhrpark oder Handwerksbetrieben mit Materialeinsatz.

Comprehensive Modul für ambitionierte KMU

Wer den Comprehensive-Standard anwendet, erweitert das Basic-Modul um qualitative und quantitative Disclosures, die strategisch wirken:

• Klimarisiken: physische Risiken (Hochwasser, Hitze, Trockenheit) und Übergangsrisiken (Regulierungs-, Markt-, Technologie-Risiken)
• Strategische Nachhaltigkeitsausrichtung: Ziele, Massnahmen, Verantwortlichkeit
• KPIs zu nachhaltigen Produkten und Dienstleistungen (Anteil Bio, Anteil regional, Anteil zertifiziert)
• Scope-3-Emissions-Indikatoren (grob, nicht in voller ESRS-Tiefe)
• Mitarbeiter-Vielfalt und Inklusion
• Lieferantenmanagement und Sorgfaltspflichten

Das Comprehensive-Modul ist freiwillig. Wer in B2B-Märkten mit hohem ESG-Druck operiert (Zulieferer Automotive, Bau-Generalunternehmer, Lebensmittel-Handel mit Bio-Schiene), profitiert vom Comprehensive-Modul als Marketinginstrument und als Vorbereitung auf eine künftige eigene CSRD-Pflicht.

Was 2026 in der Praxis passiert

Aus Beratungsberichten und Konzernkommunikation der vergangenen Monate ergibt sich für 2026 folgendes Bild:

Welle 1 (CSRD-pflichtige Wellen-1-Konzerne) verschickt strukturierte ESG-Fragebögen. Standardisiert auf VSME-Basic-Niveau, mit Selbstauskunft-Format, Plausibilitäts-Checks und teilweise Audit-Rechten. Erste Fragebögen kommen im Frühjahr 2026 bei Zulieferern an.

Plattform-Anbieter etablieren ESG-Datenräume. EcoVadis, IntegrityNext, Sustainalytics, weitere Anbieter strukturieren die Abfragen über zentrale Plattformen. Wer einmal die VSME-Antworten hinterlegt hat, kann sie an mehrere Kunden weitergeben.

Banken integrieren ESG in Kreditvergabe. Im Rahmen der EBA-Leitlinien zur Kreditvergabe-Überwachung fragen Banken seit 2024 ESG-Risiken bei Kreditnehmern ab. 2026 wird das standardisierter, mit Verweis auf VSME als akzeptiertem Datensatz.

Förderbanken und EU-Programme verlangen ESG-Daten. AWS, ÖHT und weitere Förderbanken prüfen seit 2025 verstärkt ESG-Kennzahlen bei Förderprojekten. Bei EU-Kohäsionsförderungen wird Mindest-ESG-Reporting Standardanforderung.

Versicherungen ziehen nach. Sach- und Haftpflichtversicherungen verlangen für gewerbliche Policen zunehmend Angaben zu Klimarisiken (Standort, Wassergefährdung, Brand- und Sturmgefährdung).

Praktische Umsetzungs-Schritte für KMU

Sieben Schritte, um die VSME-Antwort vorzubereiten:

1. Energie- und Verbrauchsdaten konsolidieren. Stromrechnung mit Wechsel-Daten, Heizölrechnung, Gasrechnung, Treibstoffkosten der Firmenfahrzeuge. Aus den Rechnungen lassen sich MWh- und Liter-Werte ableiten. Konversion in Treibhausgas-Emissionen über Standard-Faktoren (Umweltbundesamt, GHG Protocol).

2. Mitarbeiterdaten aus dem Lohnkonto extrahieren. Vollzeitäquivalente nach Geschlecht, unbefristete Verträge, Vollzeit/Teilzeit-Anteile, Abwesenheitstage. Bei einer 5-MA-GmbH ist das in einer Stunde gemacht, bei 50 MA braucht es Lohnverrechnungs-Reports.

3. Compliance- und Governance-Dokumente sammeln. Code of Conduct (sofern vorhanden), Anti-Korruptions-Richtlinie, Whistleblower-Meldekanal (HSchG-Pflicht für ab 50 MA), Datenschutz-Verfahren.

4. VSME-Template ausfüllen. EFRAG stellt strukturierte XBRL-Templates bereit. Beratungs-Tools wie ecocockpit, lytt-ESG, EcoVadis ESG Light übersetzen die Antworten in das angefragte Format.

5. Wesentlichkeitsanalyse light. Nicht jeder ESG-Datenpunkt ist für jeden Betrieb relevant. Die Basic-Disclosures sind Pflicht, aber bei Themen wie Wasserverbrauch oder Scope-3 reicht eine kurze Begründung der Nicht-Wesentlichkeit für den eigenen Betrieb.

6. Externe Verifikation prüfen. Bei Anfragen von Banken oder grossen Kunden wird gelegentlich eine externe Bestätigung verlangt. Wirtschaftsprüfer und Sustainability-Auditoren bieten begrenzte Prüfungen (Limited Assurance) für VSME-Berichte.

7. Antwort-Pool aufbauen. Wer einmal Antworten formuliert hat, kann sie für künftige Anfragen wiederverwenden. Eine zentrale ESG-Dokumentation spart Zeit bei jeder nächsten Anfrage.

Kosten und Aufwand

Anhaltspunkte aus aktueller Beratungspraxis, Stand Mai 2026:

• Erste VSME-Basic-Antwort für ein typisches Dienstleistungs-EPU oder KMU: 1.500 bis 4.000 Euro Beratung plus 20-40 Stunden Eigenleistung
• VSME-Basic für Produktions- oder Logistikbetrieb: 4.000 bis 12.000 Euro Beratung plus 40-80 Stunden
• VSME-Comprehensive-Setup: zusätzlich 5.000 bis 15.000 Euro je nach Branchen-Komplexität
• Tool-Lizenzen ESG-Datenmanagement: 500 bis 3.000 Euro pro Jahr für KMU-Tools
• Externe Limited Assurance VSME-Basic: 5.000 bis 15.000 Euro
• Jährliche Pflege und Update: 10 bis 30 Stunden Eigenleistung plus 1.000 bis 3.000 Euro externe Unterstützung

Wer keinen B2B-Kunden mit ESG-Anforderungen hat und keine Bank-Kreditfinanzierung über bestimmte Schwellen plant, kann das Thema vorerst beobachten. Die Welle erreicht aber spätestens 2027 fast alle KMU mit B2B-Geschäft.

Häufige Fragen zum VSME und Kaskadeneffekt

Müssen wir antworten, wenn wir keine CSRD-Pflicht haben?

Rechtlich nicht. Praktisch: Wer einem CSRD-pflichtigen Konzern oder Mittelständler ein Angebot legt und die ESG-Anfrage ignoriert, riskiert den Auftragsverlust. Die Antwort ist Marktstandard, nicht Rechtspflicht.

Dürfen Großkunden mehr als VSME-Basic von uns verlangen?

Sie dürfen, aber die EU-Kommission und EFRAG empfehlen das ausdrücklich nicht. Wer als KMU mehr als VSME-Basic geliefert wird, kann auf die Value Chain Cap-Empfehlung verweisen und die Anfrage auf das Basic-Niveau begrenzen. In der Praxis akzeptieren Großkonzerne diese Begrenzung zunehmend.

Was passiert, wenn ich gar nichts liefere?

Keine direkte Sanktion. Aber: der Großkunde wird in seiner eigenen CSRD-Berichterstattung die Lücke offenlegen müssen und sich im nächsten Vergaberunde nach einem Zulieferer umsehen, der antwortet. Die kommerzielle Sanktion ist real.

Reicht eine Schätzung oder müssen es exakte Zahlen sein?

VSME-Basic erlaubt belegbare Schätzungen mit klarer Methodendokumentation. Wer den Energieverbrauch nicht exakt kennt, kann ihn aus Stromrechnungen und Branchen-Benchmarks ableiten und das offenlegen. Wichtig ist die Konsistenz: gleiche Methode in den folgenden Jahren.

Wie hängt VSME mit DSGVO und HSchG zusammen?

DSGVO-Compliance und Hinweisgeberinnenschutz sind als Governance-Indikatoren im VSME-Basic-Modul angesprochen. Wer hier ohnehin Pflicht-Setup hat, dokumentiert es im VSME-Bericht mit.

Gibt es eine VSME-Pflicht für die Zukunft?

Stand Mai 2026 ist VSME freiwillig. Die EU-Kommission hat aber Mechanismen vorgesehen, um den Standard schrittweise als faktischen Mindeststandard zu etablieren – über Banken-Reporting, Fördervergabe und Konzern-Anforderungen. Eine direkte gesetzliche Pflicht ist mittelfristig nicht ausgeschlossen.

Wie verhält sich VSME zum CO2-Bilanzrahmen GHG Protocol?

VSME-Basic verwendet die GHG-Protocol-Definitionen für Scope 1 und Scope 2. Wer bereits eine Carbon-Footprint-Rechnung nach GHG Protocol hat, kann die Werte direkt in den VSME-Bericht übernehmen. VSME ist methodisch kompatibel mit dem GHG-Protocol-Standard.