CSRD-Prüfung: Warum begrenzte Sicherheit bleibt und was ISSA 5000 ändert

Die CSRD verlangt eine externe Prüfung des Nachhaltigkeitsberichts, und für diese Prüfung gilt dauerhaft nur begrenzte Sicherheit. Der ursprünglich vorgesehene Übergang auf hinreichende Sicherheit ist mit der Omnibus-I-Richtlinie entfallen. Dieser Beitrag ordnet ein, was das für die Prüfungstiefe heißt, welche Rolle der internationale Standard ISSA 5000 spielt und was Unternehmen jetzt vorbereiten sollten.

Key Points at a Glance

• Die CSRD-Prüfung bleibt bei begrenzter Sicherheit (limited assurance). Mit der Richtlinie (EU) 2026/470 ist die Pflicht der Kommission entfallen, Standards für hinreichende Sicherheit (reasonable assurance) zu erlassen.
• Die Kommission muss einen europäischen Standard für begrenzte Sicherheit bis zum 1. Juli 2027 per delegiertem Rechtsakt erlassen. Ursprünglich war der 1. Oktober 2026 vorgesehen.
• Der internationale Standard ISSA 5000 der IAASB gilt für Prüfungen von Berichtszeiträumen, die am oder nach dem 15. Dezember 2026 beginnen. Er ist rahmenwerkneutral und deckt beide Prüfungstiefen ab.
• Prüfpflichtig ist nur, wer berichten muss: Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. Euro Umsatz.
• In Deutschland war die CSRD nach den uns vorliegenden Quellen im September 2026 noch nicht umgesetzt. Der Regierungsentwurf sieht vor, dass nur Wirtschaftsprüfer den Bericht prüfen dürfen.

Die hier genannten Fristen entsprechen dem Stand vom Oktober 2026. Die deutsche Gesetzgebung kann sich bis zur Verabschiedung noch ändern, der europäische Rahmen bleibt davon unberührt.

Muss ein Unternehmen nach der CSRD hinreichende Sicherheit prüfen lassen?

Nein. Die CSRD verlangt für den Nachhaltigkeitsbericht eine Prüfung mit begrenzter Sicherheit, und ein europäischer Zwang zum Übergang auf hinreichende Sicherheit besteht nach der Omnibus-I-Richtlinie nicht mehr. Wer hinreichende Sicherheit wählt, tut das freiwillig, etwa weil eine Bank oder ein Kunde eine belastbarere Aussage verlangt.

Die Änderung ist eine Rücknahme. Die ursprüngliche Fassung der CSRD sah eine stufenweise Verschärfung vor, mit einer Neubewertung der Prüfungstiefe im Jahr 2028 (Haufe). Die Richtlinie (EU) 2026/470 vom 24. Februar 2026 wurde am 26. Februar 2026 im Amtsblatt veröffentlicht und ist am 18. März 2026 in Kraft getreten (Dechert). Sie entfernt die Möglichkeit, die Prüfungstiefe später auf hinreichende Sicherheit anzuheben. Nach Darstellung der Kanzlei Latham & Watkins bleibt es bei limited assurance, ohne Aussicht auf einen späteren Wechsel. Die Mitgliedstaaten müssen die Richtlinie bis zum 18. März 2027 umsetzen.

Wichtig für die Praxis: Das ist die Aussage über das Mindestmaß. Sie sagt nichts darüber, was Geschäftspartner von Ihnen als Nachweis akzeptieren. Wer als Zulieferer oder Kreditnehmer berichtet, trifft diese Entscheidung vertraglich, nicht gesetzlich.

Was unterscheidet begrenzte von hinreichender Sicherheit?

Bei begrenzter Sicherheit gibt der Prüfer eine negativ formulierte Aussage ab: Ihm ist nichts bekannt geworden, was gegen die Richtigkeit der Angaben spricht. Bei hinreichender Sicherheit bestätigt er die Angaben positiv und stützt das auf umfangreichere Nachweise. Das ist die Systematik der internationalen Prüfungsstandards ISAE 3000 und ISSA 5000.

Prüfungssicherheit (assurance): Der Grad des Vertrauens, den ein unabhängiger Prüfer einem Bericht durch seine Prüfungshandlungen verschafft. Begrenzte Sicherheit beruht überwiegend auf Befragungen und analytischen Prüfungshandlungen, hinreichende Sicherheit zusätzlich auf Detailprüfungen und Tests der internen Kontrollen.

Der Unterschied liegt weniger im Berichtsinhalt als im Datenprozess. Wer hinreichende Sicherheit anstrebt, muss nachweisen, dass Kontrollen laufen, und nicht nur, dass Zahlen plausibel sind. Welche Fragen Prüfer bei der Datenerhebung in der Praxis stellen, haben wir in einem eigenen Beitrag zu den typischen Fragen von Wirtschaftsprüfern zusammengestellt.

Welche Prüfungsstandards gelten, bis der europäische Standard vorliegt?

Bis zum europäischen Standard orientieren sich Prüfer an den Leitlinien der CEAOB vom 30. September 2024 und an internationalen Standards. Der IDW-Entwurf eigener Prüfungsstandards (IDW EPS 990 und 991) wird nach Angaben der Wirtschaftsprüferkammer nicht weiterverfolgt, weil das Anwendungsfenster zu kurz wäre.

Für Unternehmen mit kalendergleichem Geschäftsjahr beginnt das Geschäftsjahr 2027 nach dem 15. Dezember 2026. Setzt der Prüfer den ISSA 5000 ein, fällt Ihr erster geprüfter Bericht damit in dessen Anwendungsbereich. Wie nah der spätere EU-Standard am ISSA 5000 liegt, lässt sich erst beurteilen, wenn die Kommission ihn erlassen hat. Planen Sie deshalb mit dem ISSA 5000 als Arbeitsgrundlage und mit einer Nachjustierung ab Mitte 2027.

Wie ist der Stand der CSRD-Umsetzung in Deutschland?

Das deutsche CSRD-Umsetzungsgesetz war nach den uns vorliegenden Quellen im September 2026 noch nicht verabschiedet. Der Regierungsentwurf vom 3. September 2025 sieht vor, dass nur Wirtschaftsprüfer oder Wirtschaftsprüfungsgesellschaften den Nachhaltigkeitsbericht prüfen dürfen (CMS). Den Vorschlag des Bundesrats, auch andere unabhängige Prüfer zuzulassen, hat die Bundesregierung am 29. Oktober 2025 abgelehnt.

Ein Änderungsantrag der Regierungsfraktionen vom März 2026 schreibt die Prüfung mit begrenzter Sicherheit als Dauerlösung fest (§ 324i Abs. 2 HGB-E) und übernimmt die neuen Schwellenwerte ab dem 1. Januar 2027. Die öffentliche Anhörung im Rechtsausschuss fand am 13. April 2026 statt (Noerr). Eine Verabschiedung konnten wir bis September 2026 nicht belegen (Consust). Warum das für Unternehmen der ersten Welle trotzdem Folgen hat, zeigt unser Status-Update zur CSRD-Umsetzung in Deutschland.

Wer muss den Nachhaltigkeitsbericht prüfen lassen?

Prüfpflichtig ist, wer nach der CSRD berichtspflichtig ist. Seit der Richtlinie (EU) 2026/470 sind das Unternehmen mit mehr als 1.000 Beschäftigten im Jahresdurchschnitt und mehr als 450 Mio. Euro Nettoumsatz, beide Kriterien zugleich (Dechert). Der Kreis schrumpft damit um rund 85 Prozent. Welche Pflichten für die verbleibenden Unternehmen im Einzelnen gelten, beschreibt unsere Leistungsseite zur Berichterstattung nach CSRD.

Unterhalb der Schwellen entfällt die gesetzliche Prüfung, nicht aber die Nachfrage. Berichtspflichtige Kunden dürfen von Zulieferern nur noch begrenzt Daten verlangen, wie wir im Beitrag zum Value Chain Cap erläutern, und der Anwenderkreis der Taxonomie-Berichtspflicht folgt demselben Zuschnitt (EU-Taxonomie-Berichtspflicht). Wer freiwillig berichtet, muss keine Prüfung beauftragen. Eine externe Bestätigung einzelner Kennzahlen kann dennoch sinnvoll sein, wenn ein Kunde oder eine Bank sie verlangt.

Was Unternehmen jetzt für die Prüfung vorbereiten sollten

Die Prüfung ist im Kern eine Frage der Datenqualität, nicht der Prüfungstiefe. Für begrenzte Sicherheit brauchen Sie vier Dinge, die sich unabhängig vom späteren EU-Standard vorbereiten lassen: eine dokumentierte Herleitung jeder berichteten Kennzahl, benannte Verantwortliche für jeden Datenpunkt, eine nachvollziehbare Abgrenzung der Berichtsgrenzen und einen Nachweis, wie Schätzungen entstanden sind.

• Herleitung dokumentieren: Für jede Kennzahl liegt die Rechenlogik mit Quelle, Version der Emissionsfaktoren und Stichtag vor.
• Verantwortung klären: Jeder Datenpunkt hat einen Datenlieferanten und einen Freigeber im Unternehmen.
• Berichtsgrenzen festhalten: Konsolidierungskreis, Wesentlichkeitsentscheidungen und Ausschlüsse sind schriftlich begründet.
• Schätzungen belegen: Wo Werte geschätzt sind, ist Methode und Datenlage dokumentiert.

Beginnen Sie mit einem Probelauf auf einer Teilmenge der Kennzahlen, bevor der Prüfer den Gesamtbericht testet. Fehlende Belege lassen sich in diesem Stadium noch nachziehen, im laufenden Prüfungsprozess kaum.

Our Assessment

Pflicht: Berichtspflichtige Unternehmen brauchen eine Prüfung mit begrenzter Sicherheit. Eine europäische Pflicht zur hinreichenden Sicherheit besteht nicht. Gängige Praxis: Prüfer arbeiten bereits mit ISAE 3000 und den CEAOB-Leitlinien und stellen sich auf ISSA 5000 ein. Unsere Einschätzung: Für die meisten Unternehmen ist hinreichende Sicherheit für den Gesamtbericht nicht erforderlich. Sie erhöht den Aufwand im Datenprozess deutlich, ohne dass die CSRD dafür einen Anlass liefert.

Die Gegenposition ist ernst zu nehmen: Wer einzelne Kennzahlen gegenüber Banken, Investoren oder großen Einkäufern belegen muss, kann mit hinreichender Sicherheit auf diese Kennzahlen mehr Vertrauen schaffen als mit dem gesamten Bericht auf niedrigerem Niveau. Wir halten das für eine gezielte Option, nicht für den Regelfall. Beobachten sollten Sie vor allem zwei Termine: den 15. Dezember 2026 für den ISSA 5000 und den 1. Juli 2027 für den europäischen Standard. Beide entscheiden darüber, welche Nachweise Ihr Prüfer konkret verlangt.