Nicht mehr berichtspflichtig, und trotzdem gefragt

Was der Omnibus tatsächlich geändert hat 

Die Änderungsrichtlinie (EU) 2026/470 wurde am 26. Februar 2026 im Amtsblatt veröffentlicht und trat am 18. März 2026 in Kraft. Sie verschiebt nicht Fristen, sie verkleinert den Kreis. 

Parallel wurde der Berichtsstandard selbst entschlackt. Die verpflichtenden ESRS-Datenpunkte sinken um 61 Prozent. Die EFRAG hat den überarbeiteten Entwurf im Dezember 2025 vorgelegt, die formelle Annahme durch die Kommission wird für 2026 erwartet, die Anwendung voraussichtlich ab dem Berichtsjahr 2027. 

Für ein Unternehmen mit 400 Mitarbeitenden und 60 Millionen Euro Umsatz bedeutet das: keine eigene CSRD-Pflicht. Und damit endet die naheliegende Schlussfolgerung, aber nicht die Anforderung. 

Warum die Anfrage bleibt 

Große Konzerne bleiben berichtspflichtig, und ihre Berichte umfassen die vorgelagerte Wertschöpfungskette. Ohne Angaben ihrer Lieferanten lassen sich die Scope-3-Emissionen nicht schließen. Die Anfrage wandert also weiter nach unten, unabhängig davon, ob der Empfänger selbst berichten muss. 

Der Gesetzgeber hat dieses Weitergeben gesehen und begrenzt. Eine Wertschöpfungsketten-Obergrenze soll die Informationsanforderungen an nicht berichtspflichtige Unternehmen auf den Inhalt des freiwilligen VSME-Standards beschränken. Das deckelt den Aufwand, es beseitigt die Anfrage nicht. 

Praktisch ist diese Obergrenze eher hilfreich als lästig. Sie gibt eine definierte Zielmenge vor, statt jeden Kunden mit einem eigenen Fragebogen kommen zu lassen. Wer die VSME-Angaben einmal saubermacht, kann sie mehrfach verwenden. Wer wartet, beantwortet dieselbe Frage in fünf Formaten. 

Die Unternehmen selbst ziehen daraus bereits ihre Konsequenz. Nach einer Erhebung des Softwareanbieters Osapiens von Anfang März 2026 wollen 90 Prozent der nicht mehr berichtspflichtigen Firmen ihre Nachhaltigkeitsberichte beibehalten oder ausbauen, um im Wettbewerb um Aufträge mitzuhalten. 

Aus einer Pflicht ist damit ein Vergabekriterium geworden. Das ist der schwierigere Fall. Eine Pflicht ist erfüllt, wenn der Bericht vorliegt. Ein Vergabekriterium wird verglichen, und zwar mit dem Wettbewerber, der dieselbe Anfrage bekommen hat. Wer schneller und belegter antwortet, hat einen Vorteil, der nichts mit dem Produkt zu tun hat. 

Hinzu kommt die zeitliche Asymmetrie. Die entlassenen Unternehmen dürfen ihre Berichterstattung sofort einstellen. Die Anfragen ihrer Kunden richten sich aber nach den Berichtszyklen der Konzerne, laufen also weiter und treffen im Zweifel auf ein Unternehmen, das seine Datenerhebung gerade abgebaut hat. 

Der Teil, der nicht im eigenen Haus liegt 

Bei der IT wird es unangenehm. Der Energieverbrauch von Servern, Speicher und Netz ist selten vollständig im eigenen Haus messbar, sobald Workloads bei einem Rechenzentrums- oder Cloud-Anbieter laufen. Genau diese Zahlen aber werden abgefragt. 

Die gute Nachricht ist, dass die Datenlage sich auf Anbieterseite gerade verbessert, und zwar erzwungen. Was jahrelang unter Green IT als freiwilliges Bekenntnis lief, wird damit zur meldepflichtigen Kennzahl. Nachhaltige IT ist ab diesem Punkt eine Rechengröße und keine Haltung mehr. Das Energieeffizienzgesetz verpflichtet Rechenzentrumsbetreiber nach Paragraf 13 in Verbindung mit der Energieeffizienzdatenverordnung zur Eintragung in das Energieeffizienzregister für Rechenzentren beim Bundesamt für Wirtschaft und Ausfuhrkontrolle. Die Jahresmeldung ist bis zum 31. März fällig. 

Dazu kommen harte Grenzwerte. Rechenzentren, die ab dem 1. Juli 2026 in Betrieb gehen, müssen einen PUE-Wert von höchstens 1,2 erreichen und mindestens 10 Prozent wiederverwendete Energie nachweisen, gestaffelt auf 15 Prozent ab 2027 und 20 Prozent ab 2028. Ab dem 1. Juli 2028 müssen mindestens 20 Prozent der Abwärme außerhalb des Rechenzentrums wiederverwendet werden. 

Ein Referentenentwurf zur Novelle würde diese Linie an einigen Stellen lockern und an anderen ausweiten: für Bestandsrechenzentren 1,6 PUE ab Juli 2027 und 1,4 ab Juli 2030, für neue Rechenzentren 1,3, dafür Erfüllung im Jahresdurchschnitt binnen zwei Jahren statt sofort ab Inbetriebnahme. Das ist ein Entwurf und kein Gesetz, sollte aber bei Vertragslaufzeiten über 2027 hinaus mitgedacht werden. 

Zum Vergleich, was das für die Auswahl bedeutet: Der durchschnittliche PUE deutscher Rechenzentren lag 2024 bei 1,46. Nachhaltige Rechenzentren lassen sich daran erstmals von solchen unterscheiden, die sich nur so nennen. 

Fünf Kennzahlen, nach denen sich fragen lässt 

Die Anfrage aus der Lieferkette lässt sich nur beantworten, wenn der eigene Anbieter die Zahlen liefert. Diese fünf reichen für den IT-Teil: 

• PUE: Welcher Wert, gemessen über welchen Zeitraum, und liegt er als Jahresdurchschnitt oder als Momentaufnahme vor? 

• Strommix: Welcher Anteil erneuerbar, und mit welchem Herkunftsnachweis belegt? 

• Abwärme: Welche Quote wird außerhalb des Rechenzentrums genutzt, und wer ist der Abnehmer? 

• Hardware-Lebenszyklus: Wie lange laufen Systeme, und was passiert danach? 

• Zertifizierung: Welcher Nachweis, ausgestellt von welcher Prüfstelle, und über welchen Umfang? 

Eine gute Antwort enthält jeweils eine Zahl, einen Zeitraum und eine prüfbare Quelle. Eine Antwort, die nur aus einer Selbstbeschreibung besteht, hilft im eigenen Bericht nicht weiter. Die Auskunft, ein Betrieb arbeite klimaneutral, ist keine Kennzahl, sondern eine Aussage über eine Rechenmethode, die nicht mitgeliefert wurde. 

Der beste Zeitpunkt für diese Fragen ist die Vertragsverhandlung, nicht das Audit. Wer die Werte erst braucht, wenn ein Kunde sie abfragt, ist auf die Auskunftsbereitschaft eines Anbieters angewiesen, dem gegenüber er in diesem Moment kein Druckmittel hat. Steht die Auskunftspflicht im Vertrag, ist sie eine Leistung. Steht sie nicht drin, ist sie ein Gefallen. 

Anbieter, die auf diese Fragen vorbereitet sind, können die Werte auf Nachfrage nennen. Yorizon betreibt die YEXIO-Rechenzentren mit Wasserkühlung und Abwärmenutzung und lässt den Betrieb nach DIN EN 50600 prüfen. Ob die Werte für einen konkreten Berichtsrahmen ausreichen, entscheidet der Rahmen, nicht der Anbieter. 

Fazit 

Die Berichtspflicht ist für den Mittelstand weitgehend entfallen, die Datenanfrage nicht. 90 Prozent der entlassenen Unternehmen wollen ihre Berichte trotzdem fortführen, weil sie an Aufträgen hängen. Für den IT-Teil heißt das, die richtigen fünf Fragen an den Anbieter zu stellen, solange der Vertrag noch verhandelbar ist. 

Quellen 

• Omnibus I 2026: Änderungen bei CSRD und CSDDD 

  https://www.mi-bochum.de/blog/omnibus-i-2026-csrd-csddd-aenderungen/ 

• CSRD-Berichtspflicht 2026: Wer ist betroffen, Schwellenwerte und Omnibus-Update 

  https://cubemos.com/blog/csrd-berichtspflicht 

• Der VSME im Kontext der Omnibus-Verordnung 

  https://dfge.de/der-vsme-im-kontext-der-omnibus-verordnung-neue-anforderungen/ 

• Viele Unternehmen berichten freiwillig weiter (zur Osapiens-Studie, Anbietererhebung) 

  https://www.die-wirtschaft.at/wirtschaft/viele-unternehmen-berichten-freiwillig-weiter/ 

• EnEfG für Rechenzentren: Pflichten und Novelle 2026 

  https://www.energieundrecht.com/blog/enefg-rechenzentren-pflichten-novelle-2026 

• Energieeffizienzgesetz Rechenzentren: PUE-Caps, Abwärme-Pflicht, RZReg-Meldung 

  https://stratumcgi.de/insights-energieeffizienzgesetz-rechenzentren/ 

• Borderstep Institut: Zahlen aus der Welt der Rechenzentren 

  https://www.borderstep.de/facts-and-figures/zahlen-aus-der-welt-der-rechenzentren/