CSRD: Was die EU-Richtlinie zur Nachhaltigkeitsberichterstattung 2026 verlangt

Was ist die CSRD?

Die CSRD ist die Richtlinie (EU) 2022/2464 vom 14. Dezember 2022, mit der die EU die Nachhaltigkeitsberichterstattung von Unternehmen neu regelt. Sie ersetzt die Regeln der Non-Financial Reporting Directive (NFRD, Richtlinie 2014/95/EU) und ändert vor allem die Bilanzrichtlinie 2013/34/EU.

Vier Neuerungen unterscheiden die CSRD von der bisherigen „nichtfinanziellen Erklärung“. Erstens steht die Nachhaltigkeitserklärung verpflichtend im Lagebericht. Zweitens gelten einheitliche europäische Standards, die ESRS, statt eines frei gewählten Rahmens. Drittens beruht der Inhalt auf der doppelten Wesentlichkeit: Berichtet wird, wo das Unternehmen erheblich auf Umwelt und Menschen wirkt und wo Nachhaltigkeitsthemen seine Finanzlage erheblich beeinflussen. Viertens muss ein Prüfer die Erklärung mit begrenzter Sicherheit prüfen.

Als Richtlinie gilt die CSRD nicht unmittelbar, sondern erst über nationale Gesetze. Die Frist dafür lief im Juli 2024 ab. Am 26. September 2024 leitete die EU-Kommission deshalb Vertragsverletzungsverfahren gegen 17 Mitgliedstaaten ein, darunter Deutschland. Wie ein Bericht in der Praxis entsteht, beschreibt die Seite zum Nachhaltigkeitsbericht von der Pflichtprüfung bis zur Veröffentlichung.

Was hat Omnibus I an der CSRD geändert?

Omnibus I, die Richtlinie (EU) 2026/470 vom 24. Februar 2026, hat den Anwendungsbereich der CSRD auf Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. € Nettoumsatz verkleinert. Sie ist seit 18. März 2026 in Kraft und muss für den CSRD-Teil bis 19. März 2027 umgesetzt werden.

Vorausgegangen war 2025 die „Stop-the-clock“-Richtlinie (EU) 2025/794 vom 14. April 2025, die den Start der zweiten Welle (übrige große Unternehmen) auf das Geschäftsjahr 2027 und den der dritten Welle (börsennotierte KMU) auf 2028 verschob. Omnibus I hat diese Wellen dann inhaltlich neu gefasst: Börsennotierte KMU fallen ganz heraus, die Ermächtigung für branchenspezifische Standards ist gestrichen, und die Prüfung bleibt dauerhaft bei begrenzter Sicherheit.

Omnibus I nimmt sechs von sieben bisher vorgesehenen deutschen Unternehmen aus der Pflicht. Quellen: Richtlinie (EU) 2022/2464; Delegierte Richtlinie (EU) 2023/2775 (Größenklassen); Richtlinie (EU) 2026/470; Deutscher Bundestag, Anhörung 13.04.2026.

goClimate-Rechnung

So haben wir gerechnet: 1 − 3.900 ÷ 17.000 = 77 %; 1 − 2.500 ÷ 3.900 = 36 %; 1 − 2.500 ÷ 17.000 = 85 %; 1 − 430 ÷ 1.650 = 74 %. Die Zahlen sind Erwartungswerte aus Gesetzgebungsunterlagen, keine Zählung. Quellen: Deutscher Bundestag, Anhörung 13.04.2026; BT-Drs. 21/1857, Vorblatt E.2; EU-Kommission, QANDA/25/615 (26.02.2025).

Die Rechnung zeigt zweierlei. Den größten Teil der Entlastung bringt schon die Beschäftigtenschwelle: Die deutsche Zahl von 77 % deckt sich mit der Kommissionsschätzung von rund 80 %. Die zusätzliche Umsatzschwelle nimmt dann personalintensive Unternehmen heraus, die mehr als 1.000 Beschäftigte, aber weniger als 450 Mio. € Umsatz haben; das betrifft rechnerisch rund 1.400 der 3.900 Unternehmen.

Welche Unternehmen müssen ab wann nach der CSRD berichten?

Nach Omnibus I berichten EU-Unternehmen und Mutterunternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. € Nettoumsatz erstmals für das Geschäftsjahr 2027, mit Bericht im Jahr 2028. Unternehmen der ersten Welle, die diese Schwellen nicht erreichen, sind nur für die Geschäftsjahre 2024 bis 2026 erfasst.

Die Pflicht gilt erst, wenn ein Mitgliedstaat die Richtlinie umgesetzt hat; in Deutschland ist das nicht geschehen. Quellen: Richtlinie (EU) 2026/470, Art. 2 und 3, Erwägungsgründe 26, 31, 33; A&L Goodbody (2026) für den Drittstaaten-Zeitpunkt.

Für Welle-1-Unternehmen unter den neuen Schwellen erlaubt Omnibus I den Mitgliedstaaten, sie schon für 2025 und 2026 zu befreien. Der deutsche Änderungsantrag vom März 2026 nutzt dieses Wahlrecht laut Kanzleiauswertung (Art. 96 Abs. 8 EGHGB-E). Gemessen werden Beschäftigte im Jahresdurchschnitt und der Nettoumsatz, bei Gruppen auf konsolidierter Basis.

Was sind die ESRS und was ändert sich mit den vereinfachten Standards?

Die ESRS (European Sustainability Reporting Standards) sind die verbindlichen Berichtsstandards der CSRD: zwei übergreifende Standards (ESRS 1 und ESRS 2) und zehn Themenstandards zu Umwelt (E1–E5), Sozialem (S1–S4) und Unternehmensführung (G1). Die EU-Kommission hat sie 2026 stark gekürzt; die vereinfachte Fassung gilt ab Geschäftsjahr 2027.

Die erste Fassung erließ die Kommission 2023 als Delegierte Verordnung (EU) 2023/2772. Auf Grundlage eines technischen Gutachtens der EFRAG vom 3. Dezember 2025 strich sie 61 % der bei Wesentlichkeit verpflichtenden Datenpunkte und alle freiwilligen. Laut Auswertung von EY sinken die Pflicht-Datenpunkte in ESRS 2 um 53 % und im Klimastandard E1 um 57 %. Der Rechtsakt, die Delegierte Verordnung (EU) 2026/1563 vom 3. Juli 2026, wurde am 21. September 2026 im Amtsblatt veröffentlicht und tritt am 10. November 2026 in Kraft. Für das Geschäftsjahr 2026 dürfen Unternehmen zwischen alter und neuer Fassung wählen.

Welche Standards ein Unternehmen anwendet, folgt aus der doppelten Wesentlichkeit; nur ESRS 2 gilt immer. Ist der Klimawandel wesentlich, verlangt ESRS E1 Treibhausgasemissionen nach Scope 1, 2 und 3, Reduktionsziele und Angaben zu einem Übergangsplan. Welche Emissionen in welchen Scope gehören, erklärt die Seite zu Scope 1, 2 und 3 nach dem GHG Protocol; wie die Bilanz dafür entsteht, der Ratgeber zur CO₂-Bilanz für Unternehmen.

Was gilt für KMU: VSME, VS und Value-Chain-Cap?

Für kleine und mittlere Unternehmen gibt es keine CSRD-Pflicht, aber einen freiwilligen EU-Standard: zuerst den VSME (Empfehlung (EU) 2025/1710 vom 30. Juli 2025), seit 24. September 2026 dessen Nachfolger, den die Delegierte Verordnung (EU) 2026/1560 „freiwilliger Standard“ nennt (englisch „Voluntary Standard“, bei DRSC und DNK kurz VS). Der VS legt zugleich fest, welche Daten berichtspflichtige Kunden von Zulieferern bis 1.000 Beschäftigte höchstens verlangen dürfen.

Dieser Value-Chain-Cap gilt ab Geschäftsjahr 2027. Geschützt ist, wer im Vorjahr durchschnittlich höchstens 1.000 Beschäftigte hatte; eine Selbsterklärung genügt. Der VS besteht wie der VSME aus einem Basismodul mit elf Angabepflichten (B1–B11) und einem Zusatzmodul (C1–C9). Zu Treibhausgasen verlangt B3 den Energieverbrauch in MWh sowie Scope 1 und Scope 2 standortbasiert; Scope 3 ist freiwillig, Unternehmen mit höchstens 10 Beschäftigten dürfen auch Energie und Emissionen weglassen. In Deutschland lässt sich der VS kostenlos über die Plattform des Deutschen Nachhaltigkeitskodex erstellen, auf der am 12. Oktober 2026 5.743 Unternehmen registriert waren.

Welche Lieferantenanfragen über den Cap hinausgehen und wie Zulieferer damit umgehen, behandelt die Seite zur Dekarbonisierung der Lieferkette und dem Value-Chain-Cap; wie ein VS-Bericht aufgebaut wird, die Seite zum Nachhaltigkeitsbericht für den Mittelstand nach VS oder DNK.

Wie wird die Nachhaltigkeitserklärung nach der CSRD geprüft?

Die Nachhaltigkeitserklärung nach der CSRD wird von einem Abschlussprüfer oder unabhängigen Prüfer mit begrenzter Sicherheit (limited assurance) geprüft. Omnibus I hat die ursprünglich geplante Verschärfung auf hinreichende Sicherheit (reasonable assurance) gestrichen; EU-Prüfungsstandards für die begrenzte Sicherheit soll die Kommission spätestens bis 1. Juli 2027 erlassen.

Begrenzte Sicherheit heißt: Der Prüfer stellt fest, dass ihm nichts bekannt geworden ist, was gegen die Richtigkeit spricht; er prüft weniger tief als bei einem Jahresabschluss. In Deutschland ist das heute keine Pflicht: Für die nichtfinanzielle Erklärung prüft der Abschlussprüfer nach § 317 Abs. 2 Satz 4 HGB nur, ob sie vorgelegt wurde. Der Änderungsantrag zum Umsetzungsgesetz sieht die dauerhaft begrenzte Sicherheit vor (§ 324i Abs. 2 HGB-E, Entwurf).

Wie weit ist die Umsetzung der CSRD in Deutschland (Stand 12. Oktober 2026)?

Deutschland hat die CSRD bis 12. Oktober 2026 nicht umgesetzt. Der Regierungsentwurf eines CSRD-Umsetzungsgesetzes (BT-Drs. 21/1857) ist nach der öffentlichen Anhörung im Rechtsausschuss am 13. April 2026 in der Ausschussberatung; eine Beschlussempfehlung, die 2./3. Lesung im Bundestag, der zweite Durchgang im Bundesrat und eine Verkündung im Bundesgesetzblatt sind bis zu diesem Tag nicht belegt. Auch die Tagesordnung des Bundestags für die Sitzungstage 14. bis 16. Oktober 2026 enthält den Entwurf nicht.

Seit der Anhörung ist das Verfahren rund ein halbes Jahr lang nicht weitergekommen. Quellen: WPK, Nachhaltigkeitskompass CSRD; BT-Drs. 21/1857 und 21/2465; Bundestag, Textarchiv 13.04.2026 und Tagesordnung 101.–103. Sitzung (Stand 08.10.2026); DRSC-Meldungen bis 09.10.2026.

Bis das Gesetz in Kraft ist, gilt das CSR-Richtlinie-Umsetzungsgesetz von 2017 weiter. Nach §§ 289b–289e und 315b–315c HGB geben große kapitalmarktorientierte Unternehmen, Kreditinstitute und Versicherungen mit mehr als 500 Beschäftigten eine nichtfinanzielle Erklärung ab; sie dürfen dafür die ESRS als Rahmenwerk nutzen. Eine rückwirkende Anwendung der CSRD auf die Geschäftsjahre 2024 und 2025 hält das Institut der Wirtschaftsprüfer (IDW) für verfassungswidrig.

Verstöße gegen die heutigen Berichtsvorschriften sind Ordnungswidrigkeiten nach § 334 HGB. Bei kapitalmarktorientierten Kapitalgesellschaften kann die Geldbuße gegen das Unternehmen bis zum höchsten von drei Beträgen reichen: 10 Mio. €, 5 % des jährlichen Gesamtumsatzes oder das Zweifache des wirtschaftlichen Vorteils. Wie die Sanktionen nach dem Umsetzungsgesetz aussehen, entscheidet erst der Bundestag.

Wie haben andere EU-Staaten die CSRD umgesetzt?

Laut Übersicht der Kanzlei Gibson Dunn (Stand September 2026) haben 21 von 27 Mitgliedstaaten die CSRD vollständig umgesetzt, darunter Frankreich, Österreich, Italien, Polen und Schweden. Nicht umgesetzt hatten Deutschland, Luxemburg, die Niederlande, Portugal und Spanien; Tschechien teilweise.

Fallbeispiel

Frankreich: CSRD seit Dezember 2023 in Kraft, erste geprüfte Berichte für 2024

• Frankreich setzte die CSRD mit der Ordonnance n° 2023-1142 vom 6. Dezember 2023 um, als einer der ersten Mitgliedstaaten; „Stop-the-clock“ folgte am 2. Mai 2025 (Gibson Dunn, Stand 11.09.2026)
• Die Finanzmarktaufsicht AMF wertete im Oktober 2025 die Nachhaltigkeitserklärungen 2024 von 20 Emittenten mit über 1.000 Beschäftigten aus: 77 bis 295 Seiten, im Mittel 142,1 Seiten (AMF-Studie, S. 36)
• Bei 91 Emittenten aus CAC 40 (33) und SBF 120 (58) lag das Honorar für die Prüfung der Nachhaltigkeitserklärung im Mittel bei 8 % der gesamten Prüfungshonorare, Spanne 1 bis 25 %; 84 % prüften Big-Four-Gesellschaften; nur 3 Prüfungsurteile waren eingeschränkt (S. 65–66)
• Die AMF wendet die ESMA-Leitlinien zur Durchsetzung der Nachhaltigkeitsberichterstattung nicht an, solange nicht alle Mitgliedstaaten umgesetzt haben (AMF, 24.10.2025)

Einordnung

Was der Fall zeigt

Dass deutsche Großunternehmen ohne Umsetzungsgesetz fast ebenso umfangreich und überwiegend geprüft berichten wie französische mit Gesetz, zeigt: Der Markt hat den Standard schneller übernommen als der Gesetzgeber. Die deutschen ESRS-Erklärungen für 2024 waren im Mittel 130 Seiten lang, rund 9 % kürzer als die französische Stichprobe, und fast drei Viertel ließen sie freiwillig mit begrenzter Sicherheit prüfen. Der Fall zeigt nicht, wie gut die Berichte sind; die AMF-Stichprobe von 20 Emittenten ist ausdrücklich nicht repräsentativ. Für Unternehmen, die in Deutschland ab 2027 pflichtig werden, liefert Frankreich eine Budgetgröße: Macht die Prüfung der Nachhaltigkeitserklärung rund 8 % der gesamten Prüfungshonorare aus, entspricht das einem Aufschlag von rund 9 % auf das Honorar der Abschlussprüfung (8 ÷ 92), bei breiter Spanne von 1 bis 25 %.

Was zeigen die ersten ESRS-Berichte deutscher Unternehmen?

Die ersten ESRS-Berichte deutscher Börsenunternehmen waren lang, fast immer geprüft und nennen im Mittel sechs wesentliche Themen; Klima, eigene Belegschaft und Unternehmensführung sind fast überall wesentlich. Das zeigen zwei Auswertungen von DRSC und Deloitte zu den Geschäftsjahren 2024 und 2025.

Fallbeispiel

DRSC und Deloitte: 77 ESRS-Berichte aus DAX, MDAX und SDAX (Geschäftsjahr 2024)

• Ausgewertet wurden 77 Nachhaltigkeitserklärungen von 29 DAX-, 23 MDAX- und 25 SDAX-Unternehmen, die die ESRS anwenden (von 128 gesichteten Berichten)
• Umfang im Mittel 130 Seiten (Spanne 29 bis 313): DAX 157, MDAX 122, SDAX 104 Seiten
• E1 (Klimawandel), S1 (eigene Belegschaft) und G1 (Unternehmensführung) bei fast allen wesentlich; Kreislaufwirtschaft (E5) bei 40, Biodiversität (E4) bei 24 von 77; im Mittel 6 wesentliche Themen (3 bis 10) und 43 Auswirkungen, Risiken und Chancen (6 bis 118)
• Fast drei Viertel mit begrenzter Sicherheit geprüft, einer vollständig mit hinreichender Sicherheit, rund 20 % mit einzelnen Angaben hinreichender Sicherheit, 6 ungeprüft; alle Prüfungsurteile uneingeschränkt
• Geschäftsjahr 2025 (Datenstand 30.04.2026): 119 ESRS-Berichte, im Mittel 117 Seiten (27 bis 259), 36 Auswirkungen, Risiken und Chancen; E1 und S1 bei allen wesentlich; 108 extern geprüft, 11 ungeprüft; Zahl der angewandten Angabepflichten nahezu unverändert

Einordnung

Was der Fall zeigt

Kürzer heißt nicht weniger: Die Berichte des zweiten Jahres sind um ein Zehntel geschrumpft, ohne dass weniger Angabepflichten erfüllt wurden. Die Unternehmen haben vermutlich vor allem Wiederholungen und Nebenthemen gestrichen (Rechnung unten). Dass E1 überall wesentlich ist, bestätigt die Klimabilanz als Pflichtbaustein jedes CSRD-Berichts. Der Fall zeigt nicht, wie die neue Pflichtgruppe ab 2027 berichten wird; Börsenkonzerne sind besser ausgestattet als nicht börsennotierte Familienunternehmen mit 1.000 Beschäftigten. Für Unternehmen der neuen Pflichtgruppe heißt das: Mit E1, S1 und G1 planen und die Wesentlichkeitsanalyse für Umwelt- und Sozialthemen jenseits davon sauber begründen.

goClimate-Rechnung

So haben wir gerechnet: 117 ÷ 130 − 1 = −10,0 %; 36 ÷ 43 − 1 = −16,3 %; 6 ÷ 77 = 7,8 %; 11 ÷ 119 = 9,2 %; 130 ÷ 142,1 − 1 = −8,5 %. Die Stichproben unterscheiden sich (2025 mehr SDAX-Unternehmen), deshalb zeigen die Werte eine Richtung, keinen exakten Trend. Quellen: DRSC/Deloitte (Ende 2025; Update 3 vom 30.04.2026); AMF, „Corporate Sustainability reporting: the way forward“ (Oktober 2025).

Wie hängen CSRD, Taxonomie, CSDDD und Lieferkettengesetz zusammen?

Die CSRD regelt, worüber Unternehmen berichten; die Taxonomie-Verordnung, wie „grün“ ihr Umsatz und ihre Investitionen sind; die CSDDD und das deutsche Lieferkettengesetz, welche Sorgfaltspflichten sie in der Lieferkette erfüllen müssen. Omnibus I hat CSRD und CSDDD gemeinsam geändert.

Für Unternehmen mit mehr als 1.000 Beschäftigten, aber weniger als 450 Mio. € Umsatz gilt das LkSG, nicht aber die CSRD. Quellen: Richtlinie (EU) 2026/470; BAFA (Stand 07.11.2025); BT-Drs. 21/2474.

Was bedeutet die CSRD für Unternehmen?

Für den deutschen Mittelstand ist die CSRD nach Omnibus I vor allem eine Lieferantenregel, keine Berichtspflicht. Rund 2.500 große Unternehmen müssen berichten, doch ihr Scope 3 und ihre Wesentlichkeitsanalyse brauchen Daten von Zehntausenden Zulieferern, deren Pflichten der Value-Chain-Cap begrenzt.

• Über 1.000 Beschäftigte und über 450 Mio. € Umsatz: Ab Geschäftsjahr 2027 nach den vereinfachten ESRS berichten und prüfen lassen. Da der erste Bericht 2028 die Daten von 2027 abbildet, muss die Datenerhebung ab 1. Januar 2027 laufen; Vorjahreswerte für 2026 erleichtern den Vergleich.
• Heute nach HGB pflichtig, aber unter den neuen Schwellen: Bis zum Umsetzungsgesetz bleibt die nichtfinanzielle Erklärung Pflicht. Danach entfällt sie, wenn der deutsche Gesetzgeber das Befreiungswahlrecht wie im Entwurf nutzt.
• Bis 1.000 Beschäftigte: keine Pflicht, aber Kundenanfragen bis zum Umfang des VS; Scope 1 und 2 sowie der Energieverbrauch sind die Werte, die fast jeder Kunde braucht.
• Über 1.000 Beschäftigte, bis 450 Mio. € Umsatz: nicht pflichtig, aber auch nicht durch den Cap geschützt; Kunden dürfen hier mehr verlangen als den VS.
• Kommunikation: Aussagen aus dem Bericht, die in Werbung wandern, unterliegen seit 27. September 2026 den verschärften Regeln gegen Greenwashing in Umweltaussagen; ein auf Kompensation gestütztes Produkt-„klimaneutral“ ist unzulässig, wie die Seite zur Klimaneutralität und ihren Begriffen erklärt.

Welche Termine stehen bei der CSRD bis 2029 an?

Die nächsten Fristen sind das Inkrafttreten der vereinfachten ESRS am 10. November 2026 und die Umsetzungsfrist für Omnibus I am 19. März 2027. Danach folgen die ersten Pflichtberichte der neuen Gruppe 2028 und eine Überprüfung durch die Kommission bis 30. April 2029.

• 10.11.2026: vereinfachte ESRS (Delegierte VO (EU) 2026/1563) in Kraft; anzuwenden ab Geschäftsjahr 2027, für 2026 wahlweise
• 01.01.2027: Beginn des ersten Pflicht-Geschäftsjahres für die neue Gruppe; Value-Chain-Cap gilt
• 19.03.2027: Frist für die Mitgliedstaaten, Omnibus I in nationales Recht umzusetzen
• 01.07.2027: spätester Termin für EU-Prüfungsstandards zur begrenzten Sicherheit
• 2028: erste Berichte der neuen Pflichtgruppe; Drittstaatenunternehmen berichten für Geschäftsjahre ab 2028
• 30.04.2029: Überprüfungsbericht der Kommission zur CSRD

Offen bleibt der deutsche Termin. Ohne Verabschiedung vor dem 19. März 2027 läuft Deutschland Gefahr, nach der CSRD-Frist von 2024 auch die Omnibus-Frist zu verfehlen.

Häufige Fragen zur CSRD

Was ist die CSRD?

Die CSRD (Corporate Sustainability Reporting Directive) ist die EU-Richtlinie (EU) 2022/2464 zur Nachhaltigkeitsberichterstattung. Sie verpflichtet große Unternehmen, im Lagebericht nach den Standards ESRS über Umwelt, Soziales und Unternehmensführung zu berichten und den Bericht mit begrenzter Sicherheit prüfen zu lassen.

Ab wann gilt die CSRD?

Nach Omnibus I berichten Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. € Umsatz erstmals für das Geschäftsjahr 2027, mit Bericht 2028. Die erste Welle großer Unternehmen von öffentlichem Interesse berichtet seit dem Geschäftsjahr 2024, sofern der Staat die Richtlinie umgesetzt hat.

Wer ist von der CSRD betroffen?

Nach der Änderung durch die Richtlinie (EU) 2026/470 nur Unternehmen und Gruppen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. € Nettoumsatz, in Deutschland rund 2.500 statt rund 17.000. Börsennotierte KMU sind nicht mehr erfasst. Unternehmen aus Drittstaaten folgen ab Geschäftsjahr 2028.

Ist die CSRD in Deutschland umgesetzt?

Nein, Stand 12. Oktober 2026 nicht. Der Regierungsentwurf (BT-Drs. 21/1857) ist nach der Anhörung vom 13. April 2026 im Rechtsausschuss nicht verabschiedet. Bis dahin gilt die nichtfinanzielle Erklärung nach §§ 289b–289e HGB für große kapitalmarktorientierte Unternehmen, Kreditinstitute und Versicherungen mit mehr als 500 Beschäftigten.

Was ist der Unterschied zwischen CSRD und ESRS?

Die CSRD ist die Richtlinie, die festlegt, wer berichten und prüfen lassen muss. Die ESRS sind die Standards, die festlegen, was im Bericht steht. Die vereinfachten ESRS (Delegierte Verordnung (EU) 2026/1563) gelten ab Geschäftsjahr 2027 mit 61 % weniger Pflicht-Datenpunkten.

Was ist der VSME?

Der VSME ist der freiwillige EU-Standard für die Nachhaltigkeitsberichterstattung kleiner und mittlerer Unternehmen (Empfehlung (EU) 2025/1710). Seit 24. September 2026 ersetzt ihn der freiwillige Standard der Delegierten Verordnung (EU) 2026/1560, kurz VS, der ab 2027 auch begrenzt, welche Daten Kunden von Zulieferern bis 1.000 Beschäftigte verlangen dürfen.