Regulatorisches Update · Stand 29.09.2026
Was sich für dein ESG-Risikomanagement konkret ändert.
Fünf regulatorische Themen für Berichterstattung, Risikomanagement und Lieferkette. Wir ordnen sie in allen drei Blöcken ein und unterscheiden bereits anwendbare Anforderungen, Übergangsfristen und künftige Umsetzungsschritte.
Ausgangslage und aktueller Stand im Vergleich
| Ausgangslage |
Stand, Fristen und Bedeutung für die Praxis |
| ESG-Risiken im Risikomanagement der InstituteESG-Risiken waren bereits vor 2026 im Risikomanagement der Institute zu berücksichtigen. In Deutschland konkretisierte insbesondere die 7. MaRisk-Novelle 2023 ihre Einbeziehung in Risikoinventur und Risikosteuerung; die MaRisk verwiesen dabei in weitem Umfang auf EBA-Leitlinien. |
Seit 30.06.2026 · Übergangsfrist bis 01.01.2027Das Rundschreiben 06/2026 (BA) – 9. MaRisk-Novelle – präzisiert die Anforderungen des § 26c KWG an ESG-Risiken und gilt seit seiner Veröffentlichung am 30.06.2026; für zusätzliche Anforderungen gewährt die BaFin eine Übergangsfrist bis 01.01.2027. Institute unter direkter EZB-Aufsicht sind aus dem Anwendungsbereich der MaRisk herausgenommen. Die EBA-Leitlinien EBA/GL/2025/01 sind für die erfassten Institute grundsätzlich seit 11.01.2026, für kleine und nicht komplexe Institute spätestens ab 11.01.2027 anzuwenden. Adressaten sind die zuständigen Aufsichtsbehörden und Institute, nicht unmittelbar nichtfinanzielle Unternehmen; für deren Kreditgeschäft können ESG-Datenanfragen der Banken aber zunehmen. Die ergänzenden EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04) gelten ab 01.01.2027. Sie betreffen Umwelt- und insbesondere Klimarisiken und unterscheiden die Betrachtung kurzfristiger Belastungen von der längerfristigen Resilienz des Geschäftsmodells. Sie sind nicht mit den allgemeinen ESG-Risikomanagement-Leitlinien EBA/GL/2025/01 oder deren Übergangsregelung für kleine und nicht komplexe Institute gleichzusetzen. Die Herausnahme bedeutender Institute unter direkter EZB-Aufsicht aus diesem MaRisk-Rundschreiben bedeutet keine Befreiung von den für sie geltenden gesetzlichen und europäischen ESG-Anforderungen. Für erfasste Institute gehört neben der Risikosteuerung auch der ESG-Risikoplan nach § 26d KWG zum gesetzlichen Rahmen. Er verbindet die Steuerung finanzieller ESG-Risiken mit Zielen, Kennzahlen und der laufenden Überprüfung der Umsetzung. Für kleine und nicht komplexe Institute sowie vergleichbare Institute bestehen gesetzliche Erleichterungen und ein späterer Beginn der Planungspflicht ab 2027. Der aufsichtliche ESG-Risikoplan ist von der Nachhaltigkeitsberichterstattung und einem dort behandelten Transitionsplan zu unterscheiden; eine Entlastung bei der CSRD beseitigt ihn nicht automatisch. |
| Überarbeitete ESRSDie ESRS der Delegierten VO (EU) 2023/2772 legten für berichtspflichtige Unternehmen eine große Zahl verpflichtender Datenpunkte fest. |
In Kraft ab 10.11.2026 · Pflicht für Geschäftsjahre ab 01.01.2027Die Delegierte VO (EU) 2026/1563, veröffentlicht am 21.09.2026, fasst die ESRS neu und reduziert die verpflichtenden Datenpunkte deutlich. Sie tritt am 10.11.2026 in Kraft und ist spätestens auf Geschäftsjahre anzuwenden, die am oder nach dem 01.01.2027 beginnen. Für Geschäftsjahre, die zwischen dem 01.01. und 31.12.2026 beginnen, sieht Art. 2 für Unternehmen im Anwendungsbereich der Delegierten VO (EU) 2023/2772 drei Optionen vor: die bisherigen ESRS in der durch VO (EU) 2025/1416 geänderten Fassung, die überarbeiteten ESRS oder die bisherigen ESRS mit den in Art. 2 Abs. 1 Buchst. b ausdrücklich aufgeführten Erleichterungen. Welche Fassung angewandt wird, ist in der Nachhaltigkeitserklärung klar anzugeben. Die Wahlrechte begründen keine eigenständige Berichtspflicht für bislang nicht erfasste Unternehmen. |
| Nachhaltigkeitsbericht (CSRD) und DatenobergrenzeNach der RL (EU) 2022/2464 (CSRD) sollten ab der zweiten Welle alle bilanzrechtlich großen Unternehmen einen Nachhaltigkeitsbericht erstellen. Die Stop-the-Clock-Richtlinie (EU) 2025/794 verschob diese Pflicht um zwei Jahre. |
EU-Neuzuschnitt für Geschäftsjahre ab 01.01.2027 · deutsche Umsetzung beachtenDie seit 18.03.2026 geltende RL (EU) 2026/470 begrenzt den regulären EU-Anwendungsbereich der Nachhaltigkeitsberichterstattung für Geschäftsjahre ab 01.01.2027 auf Unternehmen mit mehr als 450 Mio. € Nettoumsatzerlösen und durchschnittlich mehr als 1.000 Beschäftigten im Geschäftsjahr. Für Mutterunternehmen ist die Prüfung auf konsolidierter Ebene vorzunehmen; Rechtsform, Befreiungen und besondere Drittstaatenregelungen sind zusätzlich zu beachten (Art. 19a, 29a und 40a RL 2013/34/EU in geänderter Fassung). Die CSRD-bezogenen Änderungen sind bis 19.03.2027 national umzusetzen. In Deutschland ist die Umsetzung zum Stand 29.09.2026 noch nicht abgeschlossen. Bis zum Wirksamwerden entsprechender Änderungen bleiben die geltenden HGB-Pflichten zur nichtfinanziellen Berichterstattung maßgeblich. Der Regierungsentwurf BT-Drs. 21/1857 und der Änderungsantrag Ausschussdrucksache 21(6)73 sind keine bereits geltenden Gesetze. Die Delegierte VO (EU) 2026/1560 zum freiwilligen Nachhaltigkeitsberichtsstandard ist seit 24.09.2026 in Kraft. Ihre Datenobergrenze für die Wertschöpfungskette gilt für Geschäftsjahre ab 01.01.2027 und umfasst ausschließlich die Datenpunkte ihres Anhangs II (Art. 3 und 4). Geschützt werden Unternehmen in der Wertschöpfungskette, die im vorangegangenen Geschäftsjahr durchschnittlich höchstens 1.000 Beschäftigte hatten. Die Begrenzung betrifft Informationsanforderungen für die CSRD-Berichterstattung. Sie ist kein allgemeines Verbot weitergehender Datenanfragen, etwa zur Kreditrisikoprüfung. Zusätzliche CSRD-bezogene Angaben können freiwillig erbeten werden; dabei sind die über die Grenze hinausgehenden Angaben und das Recht, ihre Bereitstellung abzulehnen, kenntlich zu machen (Art. 19a Abs. 3 und Art. 29a Abs. 3 RL 2013/34/EU in der Fassung der RL (EU) 2026/470). |
| Lieferkettengesetz (LkSG)Der geltende § 10 Abs. 2 LkSG sieht für Unternehmen im Anwendungsbereich des Gesetzes weiterhin einen jährlichen Bericht vor. Die Berichtserstellung und Veröffentlichung sind von der behördlichen Berichtsprüfung nach §§ 12 und 13 LkSG zu unterscheiden. |
Seit 01.10.2025 geänderte Vollzugspraxis · Gesetzesänderung im VerfahrenDas BAFA hat die Prüfung der Unternehmensberichte auf ministerielle Weisung eingestellt. Es stellt außerdem Ordnungswidrigkeitenverfahren zu den im Regierungsentwurf zur Streichung vorgesehenen Bußgeldtatbeständen ein und eröffnet insoweit keine neuen Verfahren. Für verbleibende Bußgeldtatbestände sieht die Weisung Sanktionen nur bei schweren Verstößen im Zusammenhang mit besonders gravierenden Menschenrechtsverletzungen vor. Diese Vollzugspraxis hebt die gesetzlichen Sorgfalts- und Dokumentationspflichten nicht auf. Der Regierungsentwurf zur Änderung des LkSG (BT-Drs. 21/2474) sieht vor, die Berichtspflicht rückwirkend ab dem Berichtszeitraum 2023 zu streichen und Bußgelder auf schwere Verstöße zu beschränken; der Bundestag hat ihn am 16.01.2026 in erster Lesung beraten. Bis zum Inkrafttreten einer Änderung gilt der bestehende Gesetzestext. Die Sorgfaltspflichten – Risikomanagement, Risikoanalyse, Prävention, Abhilfe, Beschwerdeverfahren und interne Dokumentation nach § 10 Abs. 1 LkSG – sollen auch nach dem Entwurf fortbestehen. |
| EU-Lieferkettenrichtlinie (CSDDD)Die RL (EU) 2024/1760 sollte ab 1.000 Beschäftigten und 450 Mio. € weltweitem Nettoumsatz gelten und gestaffelt ab 2027 angewendet werden. |
Ab 26.07.2029Die RL (EU) 2026/470 hat den Anwendungsbereich der CSDDD neu zugeschnitten. Der reguläre Tatbestand für EU-Unternehmen setzt durchschnittlich mehr als 5.000 Beschäftigte und mehr als 1,5 Mrd. € weltweiten Nettoumsatz voraus. Für oberste Muttergesellschaften, Drittstaatenunternehmen sowie bestimmte Franchise- und Lizenzmodelle gelten ergänzende oder eigenständige Tatbestände; insbesondere ist die Beschäftigtenschwelle nicht pauschal auf Drittstaatenunternehmen übertragbar (Art. 2 RL (EU) 2024/1760 in geänderter Fassung). Die nationale Umsetzung muss bis 26.07.2028 erfolgen; die Maßnahmen sind grundsätzlich ab 26.07.2029 anzuwenden. Für die Kommunikation nach Art. 16 gilt abweichend der Beginn mit Geschäftsjahren ab 01.01.2030. Informationsanfragen für die eingehende Sorgfaltsprüfung müssen erforderlich sein; bei Geschäftspartnern mit weniger als 5.000 Beschäftigten dürfen sie nur erfolgen, wenn die Informationen nach vernünftigem Ermessen nicht anderweitig erhältlich sind (Art. 8 Abs. 2a). |
Rechtsgrundlagen: KWG · § 25a, § 26c, § 26d · BaFin-Rundschreiben 06/2026 (BA) – MaRisk vom 30.06.2026 mit Anschreiben · CRD · RL 2013/36/EU, Art. 74 und 87a, geändert durch RL (EU) 2024/1619, konkretisiert durch EBA/GL/2025/01 und EBA/GL/2025/04 · ESG-Rating-Verordnung · VO (EU) 2024/3005 · Delegierte VO (EU) 2026/1563 (überarbeitete ESRS) · CSRD · RL (EU) 2022/2464, geändert durch RL (EU) 2025/794 und RL (EU) 2026/470 · Delegierte VO (EU) 2026/1560, Art. 1–4 und Anhang II: freiwilliger Nachhaltigkeitsberichtsstandard und Datenobergrenze · Bilanzrichtlinie · RL 2013/34/EU, Art. 19a, 29a, 40a · HGB · §§ 289b ff. · LkSG · §§ 3, 7, 9, 10, 12, 13, 24 · BAFA-Mitteilung vom 01.10.2025 · BT-Drs. 21/2474 · CSDDD · RL (EU) 2024/1760, Art. 2, 8, 16. EBA-Leitlinien und MaRisk richten sich an die zuständigen Behörden und Institute in ihrem Anwendungsbereich; die übrigen Pflichten sind jeweils nach Unternehmensgröße, Umsatz, Rechtsform und Rolle in der Lieferkette einzuordnen.
Dein Praxistransfer: Kläre, welche Berichtspflicht für dein Unternehmen im Geschäftsjahr 2027 gilt, und prüfe, wie deine Risikoinventur ESG-Risikotreiber erfasst. Trenne bei Lieferantenfragebögen CSRD-bezogene Informationsanfragen von Kreditrisikoprüfung und Sorgfaltspflichten. Prüfe bei CSRD-bezogenen Anfragen an geschützte Unternehmen mit durchschnittlich höchstens 1.000 Beschäftigten im vorangegangenen Geschäftsjahr die Datenobergrenze nach Art. 1 und 3 sowie Anhang II der VO (EU) 2026/1560. Sie ist keine pauschale Obergrenze für sämtliche ESG-Anfragen.
