Die CSRD hat innerhalb weniger Monate zwei grundlegende Reformen erfahren, und wer beim Thema CSRD IT-Beschaffung noch mit dem Kenntnisstand von 2024 plant, verwaltet vermutlich eine Berichtspflicht, die für das eigene Unternehmen längst nicht mehr gilt oder unterschätzt eine Anforderung, die über Kunden in der Lieferkette indirekt doch ankommt. Dieser Beitrag ordnet den aktuellen Stand ein und zeigt, wo gebrauchte Softwarelizenzen als Baustein einer nachhaltigeren IT-Beschaffung ansetzen.
Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Prüfen Sie Ihre konkrete Berichtspflicht mit Ihrem Steuerberater, Wirtschaftsprüfer oder Rechtsanwalt.
CSRD 2026: Wen die Berichtspflicht nach der Omnibus-Reform noch betrifft
Die EU-Kommission hatte am 26.02.2025 im Rahmen des sogenannten „Omnibus I"-Pakets Vereinfachungsvorschläge zur CSRD und zur Lieferkettenrichtlinie CS3D vorgelegt. Ein erster Schritt folgte mit der „Stop-the-clock"-Richtlinie (EU) 2025/794, seit dem 17.04.2025 in Kraft: Sie verschob die Berichtspflicht für die zweite Welle (große, bis dahin noch nicht berichtspflichtige Unternehmen) um zwei Jahre auf das Geschäftsjahr 2027 mit erstem Bericht 2028, für die dritte Welle (u. a. kapitalmarktorientierte KMU) auf das Geschäftsjahr 2028 mit erstem Bericht 2029.
Der zweite, materielle Schritt folgte mit der Richtlinie (EU) 2026/470, in Kraft seit dem 18.03.2026: Sie hebt die CSRD-Schwellenwerte deutlich an, auf mehr als 1.000 Mitarbeitende und mehr als 450 Millionen Euro Nettoumsatz, statt zuvor 250 Mitarbeitende, 50 Millionen Euro Umsatz oder 25 Millionen Euro Bilanzsumme. Sie gilt für Geschäftsjahre ab dem 01.01.2027, mit ersten Berichten 2028. Nach Schätzungen fallen dadurch rund 92 Prozent der bislang von der CSRD erfassten Unternehmen aus der Berichtspflicht heraus. Für den deutschen Mittelstand bedeutet das: Wer nicht zu den größten Unternehmen der EU zählt, ist mit hoher Wahrscheinlichkeit nicht mehr unmittelbar berichtspflichtig, sollte den eigenen Status aber anhand der aktuellen Schwellenwerte neu prüfen statt sich auf ältere Einschätzungen zu verlassen.
Was die Berichtspflicht für die IT-Beschaffung konkret bedeutet
Wo die CSRD greift, verlangen die zugrunde liegenden europäischen Berichtsstandards (ESRS, hier Standard E1) Angaben zu Treibhausgasemissionen in drei Kategorien: Scope 1 (eigene direkte Emissionen), Scope 2 (eingekaufte Energie) und Scope 3. Scope 3 umfasst ausdrücklich auch Emissionen aus eingekauften Gütern und Dienstleistungen entlang der vor- und nachgelagerten Wertschöpfungskette, und damit grundsätzlich auch IT-Beschaffung als eingekaufte Leistung. Wie detailliert diese Scope-3-Berichterstattung im Einzelfall ausfallen muss und ob künftige Vereinfachungsschritte der Omnibus-Reform die Berichtstiefe zusätzlich reduzieren, war zum Redaktionsschluss nicht abschließend geklärt. Unternehmen, die zur Berichtspflicht heranwachsen oder bereits berichten, sollten diesen Punkt bei ihrem Berater aktuell halten, statt sich auf eine pauschale Aussage zu verlassen.
Gebrauchte Lizenzen als Hebel für die Nachhaltigkeits-Story der Beschaffung
Auch unabhängig von einer förmlichen Berichtspflicht gewinnt die Frage an Bedeutung, wie nachhaltig die eigene IT-Beschaffung eingekauft wird. Zwei Gründe treiben das: Zum einen verankern immer mehr Unternehmen freiwillige Nachhaltigkeitskriterien in ihren Beschaffungsrichtlinien. Zum anderen geben größere, selbst berichtspflichtige Kunden ihre Scope-3-Anforderungen an die eigene Lieferkette weiter, sodass auch nicht-berichtspflichtige Zulieferer zunehmend mit entsprechenden Fragebögen konfrontiert werden.
Gebrauchte Volumenlizenzen setzen hier qualitativ an: Sie verlängern die Nutzungsdauer bereits produzierter Software, statt für denselben Bedarf neue Lizenzen zu erzeugen, und lassen sich damit als Baustein einer ressourcenschonenderen Beschaffungspraxis dokumentieren, etwa im Rahmen einer Lieferantenselbstauskunft oder einer internen Nachhaltigkeitsrichtlinie für die IT. Wichtig für eine seriöse Darstellung: Der Kauf gebrauchter Software ersetzt keine förmliche Emissionsbilanzierung und sollte nicht als CSRD-Baustein im rechtlichen Sinn dargestellt werden, sondern als nachvollziehbare, qualitative Ergänzung der Beschaffungsstrategie.
Ausgangspunkt für eine belastbare Argumentation ist in jedem Fall der eigene Lizenzbestand: Wer nicht weiß, welche Software im Einsatz ist und wie sie beschafft wurde, kann auch keine Aussage zur Beschaffungspraxis treffen. Unsere Lizenz-Bestandsanalyse schafft dafür die Grundlage, bevor Nachhaltigkeitskriterien überhaupt sinnvoll in die Beschaffungsrichtlinie einfließen können.
Abgrenzung: Berichtspflicht ist nicht dasselbe wie Green IT
Dieser Beitrag behandelt bewusst die regulatorische und berichtliche Seite des Themas. Die ökologische Perspektive, also konkrete Ressourcen- und Energieargumente rund um gebrauchte Software und Hardware, ordnet unser separater Ratgeber Green IT und gebrauchte Software ein. Wer beide Blickwinkel zusammenführen möchte, findet dort die ergänzende Argumentation, hier den Blick auf Berichtspflichten und Schwellenwerte.
Nachhaltigkeitskriterien stehen in vielen Beschaffungsrichtlinien inzwischen neben Fragen der digitalen Souveränität, etwa der Unabhängigkeit von einzelnen Anbietern oder Lizenzmodellen. Beide Themen greifen in der Praxis ineinander, weil eine bewusste Beschaffungsentscheidung für Kauflizenzen statt Abo-Bindung sowohl Souveränitäts- als auch Nachhaltigkeitsargumente bedienen kann. Eine vertiefte Einordnung liefert unser Ratgeber zur digitalen Souveränität mit Kauflizenzen.
Praxisschritte für IT-Verantwortliche
Unabhängig davon, ob Ihr Unternehmen nach der Schwellenanhebung noch selbst berichtspflichtig ist, lohnt sich ein strukturiertes Vorgehen für die IT-Beschaffung:
- Eigenen CSRD-Status anhand der aktuellen Schwellenwerte (mehr als 1.000 Mitarbeitende und mehr als 450 Millionen Euro Nettoumsatz) neu einordnen, nicht anhand älterer Merkblätter.
- Prüfen, ob größere Kunden im Rahmen ihrer eigenen Scope-3-Berichterstattung bereits Nachhaltigkeitsfragebögen an Lieferanten versenden, und diese Anfragen proaktiv vorbereiten.
- Lizenzbestand und Beschaffungswege dokumentieren, damit eine spätere Nachhaltigkeitsauskunft nicht improvisiert werden muss.
- Gebrauchte Lizenzen dort einsetzen, wo sie wirtschaftlich und inhaltlich passen, und diese Entscheidung in der Beschaffungsrichtlinie schriftlich verankern.
Dieses Vorgehen kostet wenig zusätzlichen Aufwand, schafft aber die Grundlage dafür, auf Kundenanfragen zur Nachhaltigkeit der eigenen Lieferkette belastbar zu antworten, unabhängig davon, ob eine förmliche CSRD-Pflicht besteht.
Fazit: Regulatorisch entspannter, praktisch trotzdem relevant
Die zweite Omnibus-Reform hat die unmittelbare CSRD-Berichtspflicht für den großen Teil des deutschen Mittelstands entschärft. Wer heute noch glaubt, eine förmliche Berichtspflicht ab 2026 oder 2027 vor sich zu haben, sollte den eigenen Status neu prüfen. Unabhängig davon bleibt die IT-Beschaffung ein Feld, in dem Nachhaltigkeitskriterien über Kundenanfragen und interne Richtlinien an Bedeutung gewinnen, gebrauchte Volumenlizenzen liefern dafür ein nachvollziehbares, wirtschaftlich zusätzlich attraktives Argument mit bis zu 80 % Ersparnis gegenüber Neulizenzen. Lyzio unterstützt Sie mit geprüften, dokumentierten Gebrauchtlizenzen und einer Bestandsanalyse als Ausgangspunkt Ihrer Beschaffungsstrategie.