ISO 45003 & CSRD
ISO 45003 und CSRD: Muss der Mittelstand psychische Gesundheit jetzt berichten?
Für die allermeisten Mittelständler: nein. Seit der Omnibus-Richtlinie (EU) 2026/470 berichtet nur noch, wer mindestens 1.000 Beschäftigte und über 450 Mio. € Umsatz hat. ISO 45003 ist ein Leitfaden ohne Zertifizierung. Verbindlich bleibt § 5 ArbSchG.
Berichtspflicht, Norm und Gesetz: was für wen gilt (Stand: August 2026)
| Rahmenwerk | Gilt für | Verbindlichkeit |
|---|---|---|
| CSRD (nach Omnibus) | Mindestens 1.000 Beschäftigte UND über 450 Mio. € Umsatz — beide Kriterien kumulativ | Pflicht; nationale Umsetzung bis 19.03.2027, erstes Anwendungsjahr ab 01.01.2027 |
| CSDDD (Lieferkettenrichtlinie) | Mindestens 5.000 Beschäftigte UND über 1,5 Mrd. € Umsatz | Pflicht; Umsetzung bis 26.07.2028, Anwendung ab 26.07.2029 |
| ISO 45001 | Jede Organisation, die ein Arbeitsschutz-Managementsystem aufbauen will | Freiwillig — zertifizierbar |
| ISO 45003 | Ergänzung zu ISO 45001 für psychosoziale Risiken | Freiwillig — Leitfaden ohne Anforderungen, daher NICHT zertifizierbar |
| § 5 ArbSchG | Jeder Arbeitgeber ab dem ersten Beschäftigten | Pflicht — bußgeldbewehrt, unabhängig von Größe und Berichtspflicht |
Was der Omnibus geändert hat — und warum das die Trenderzählung überholt
Internationale Trendreports führen die Verankerung von Wohlbefinden im Berichtswesen seit Jahren als Treiber an: Die europäische Nachhaltigkeitsberichterstattung mache Belegschaftsthemen zur Vorstandsangelegenheit. Für Deutschland stimmt diese Erzählung seit Februar 2026 so nicht mehr.
Die Änderungsrichtlinie (EU) 2026/470 wurde am 26.02.2026 im Amtsblatt veröffentlicht und ist am 18.03.2026 in Kraft getreten. Sie hebt die CSRD-Schwellen deutlich an: Berichtspflichtig ist künftig nur, wer mindestens 1.000 Beschäftigte und mehr als 450 Mio. € Umsatz aufweist — beide Kriterien müssen zusammen erfüllt sein, die Kapitalmarktorientierung spielt keine Rolle mehr. Schätzungen zufolge bleiben in Deutschland weniger als 500 berichtspflichtige Unternehmen übrig. Die Mitgliedstaaten haben bis zum 19.03.2027 Zeit für die Umsetzung, das erste Anwendungsjahr beginnt am 01.01.2027.
Für den Mittelstand ist das die praktische Entwarnung: Wer 200, 500 oder 900 Beschäftigte hat, wird durch die CSRD nicht zur Berichterstattung über psychische Gesundheit verpflichtet. Wer das Gegenteil erzählt — gern im Vorfeld eines Beratungsangebots — arbeitet mit dem Rechtsstand vor dem Omnibus.
Die Wertschöpfungskette: der Kanal, über den es trotzdem ankommt
Die zweite Hälfte der Wahrheit: Nicht berichtspflichtig zu sein bedeutet nicht, nie gefragt zu werden. Berichtspflichtige Konzerne müssen ihre Wertschöpfungskette einbeziehen — und geben Fragebögen an Zulieferer weiter. Genau deshalb hat der Gesetzgeber im Omnibus eine Begrenzung der Wertschöpfungsketten-Abfrage eingezogen: Kleinere Zulieferer sind nicht mehr automatisch verpflichtet, umfassende Nachhaltigkeitsdaten bereitzustellen.
Diese Begrenzung schützt aber nur vor der rechtlich erzwungenen Abfrage, nicht vor der vertraglichen. Ein Großkunde darf weiterhin freiwillige Angaben zur Bedingung einer Ausschreibung machen, eine Bank darf im Kreditgespräch fragen. Realistisch ist deshalb: Der Mittelstand begegnet dem Thema als Kunden- und Finanzierungsanforderung, nicht als Gesetzespflicht.
Die passende Reaktion ist entsprechend nüchtern: keine CSRD-Projektstruktur aufsetzen, sondern auskunftsfähig sein. Wer die Gefährdungsbeurteilung psychischer Belastung sauber dokumentiert hat, einen Maßnahmenplan und ein paar belastbare Kennzahlen führt, beantwortet solche Fragebögen aus dem Bestand — ohne ein einziges Berichtsprojekt.
ISO 45003: ein Leitfaden, keine zertifizierbare Norm
ISO 45003 wurde 2021 veröffentlicht und war die erste internationale Norm mit praktischer Anleitung zum Umgang mit psychischer Gesundheit und Sicherheit bei der Arbeit. Sie ergänzt ISO 45001, die das Arbeitsschutz-Managementsystem als Ganzes beschreibt, und fokussiert auf psychosoziale Risiken: Arbeitsüberlastung, Führungsverhalten, Arbeitsorganisation und soziale Beziehungen am Arbeitsplatz.
Der Punkt, an dem die meisten Missverständnisse entstehen: ISO 45003 ist eine Leitfaden-Norm. Sie enthält Empfehlungen, keine Anforderungen — und ist deshalb nicht zertifizierbar. Zertifizierbar ist ISO 45001; ISO 45003 kann im Rahmen eines solchen Systems angewendet und im Audit betrachtet werden, aber ein „ISO-45003-Zertifikat“ im engeren Sinne gibt es nicht. Wer eines angeboten bekommt, sollte genau nachfragen, was da eigentlich bescheinigt wird.
Damit ist auch klar, was ISO 45003 im deutschen Kontext leisten kann und was nicht: Sie ersetzt keine Pflicht und begründet keine — die Pflicht zur Beurteilung psychischer Belastung steht seit Ende 2013 in § 5 Abs. 3 Nr. 6 ArbSchG und gilt ab dem ersten Beschäftigten. ISO 45003 liefert die Struktur, nicht die Rechtsgrundlage.
Was der Mittelstand praktisch mitnimmt
Der eigentliche Wert der Norm liegt in ihrer Systematik. Die deutsche Gefährdungsbeurteilung psychischer Belastung ist rechtlich klar, aber inhaltlich offen — das ArbSchG sagt, dass beurteilt werden muss, nicht wie granular. Genau diese Lücke füllt ISO 45003 mit einer sortierten Landkarte psychosozialer Risikokategorien, die sich als Prüfraster über die eigene Erhebung legen lässt: Ist die Arbeitsorganisation abgedeckt? Das Führungsverhalten? Die sozialen Beziehungen? Die Arbeitsumgebung?
Zweiter praktischer Nutzen: die Verankerung im Managementsystem. ISO 45003 denkt psychische Gesundheit nicht als Programm, sondern als Teil eines Zyklus aus Planen, Umsetzen, Prüfen und Verbessern — dieselbe PDCA-Logik, die die Gefährdungsbeurteilung ohnehin verlangt. Wer die Norm als Strukturhilfe nutzt statt als Zertifizierungsziel, spart sich die Erfindung eines eigenen Rahmens.
Und drittens die Anschlussfähigkeit: Wenn ein Großkunde nach dem Umgang mit psychosozialen Risiken fragt, ist „wir orientieren uns an ISO 45003 und dokumentieren nach § 5 ArbSchG“ eine Antwort, die international verstanden wird. Das ist der realistische Nutzen — Sprachfähigkeit gegenüber Konzernkunden, nicht Compliance.
Die ehrliche Pflichtenliste
Was für einen deutschen Mittelständler beim Thema psychische Gesundheit tatsächlich verbindlich ist, lässt sich kurz fassen — und hat mit Berichtspflichten nichts zu tun. Erstens: die Gefährdungsbeurteilung psychischer Belastung nach § 5 ArbSchG, ab dem ersten Beschäftigten, mit Dokumentationspflicht nach § 6 ArbSchG. Zweitens: die Ableitung und Wirksamkeitsprüfung von Maßnahmen nach § 3 ArbSchG. Drittens: die Beteiligung des Betriebsrats, wo einer besteht.
Alles Weitere — ISO 45001, ISO 45003, freiwillige Nachhaltigkeitsberichte nach vereinfachten Standards — ist eine unternehmerische Entscheidung. Sie kann sich lohnen, wenn Konzernkunden, Ausschreibungen oder Finanzierungspartner danach fragen. Sie lohnt sich nicht als vorauseilender Gehorsam gegenüber einer Pflicht, die seit dem Omnibus für den Mittelstand nicht mehr existiert.
Die nüchterne Priorisierung lautet deshalb: zuerst die Pflicht sauber erfüllen, die ohnehin gilt und in Aufsichtsprüfungen tatsächlich abgefragt wird. Wer die Gefährdungsbeurteilung psychischer Belastung dokumentiert, Maßnahmen ableitet und deren Wirkung prüft, hat gleichzeitig die Substanz beisammen, aus der sich jede spätere freiwillige Berichterstattung speist.
Passende Maßnahmen & Themen
Das Wichtigste in Kürze
- Omnibus-Richtlinie (EU) 2026/470: CSRD gilt nur noch ab 1.000 Beschäftigten UND über 450 Mio. € Umsatz — kumulativ, ohne Kapitalmarkt-Kriterium.
- In Deutschland bleiben Schätzungen zufolge unter 500 berichtspflichtige Unternehmen; Umsetzung bis 19.03.2027, Anwendung ab 01.01.2027.
- Der Omnibus begrenzt außerdem die Wertschöpfungsketten-Abfrage gegenüber kleineren Zulieferern — vertragliche Fragen bleiben trotzdem möglich.
- ISO 45003 (2021) ist ein Leitfaden ohne Anforderungen und damit NICHT zertifizierbar; zertifizierbar ist ISO 45001.
- Verbindlich bleibt unabhängig von alldem § 5 Abs. 3 Nr. 6 ArbSchG — ab dem ersten Beschäftigten, mit Dokumentationspflicht nach § 6 ArbSchG.
- Praktischer Nutzen der Norm: Prüfraster für die eigene Erhebung und Sprachfähigkeit gegenüber Konzernkunden — nicht Compliance.
Häufige Fragen
Ist mein Unternehmen nach dem Omnibus noch CSRD-berichtspflichtig?+
Nur wenn beide Schwellen zusammen erfüllt sind: mindestens 1.000 Beschäftigte und mehr als 450 Mio. € Umsatz. Die frühere Anknüpfung an die Kapitalmarktorientierung ist entfallen. In Deutschland verbleiben nach Schätzungen weniger als 500 berichtspflichtige Unternehmen. Maßgeblich wird am Ende die nationale Umsetzung sein, die bis zum 19.03.2027 erfolgen muss.
Kann man sich nach ISO 45003 zertifizieren lassen?+
Nein. ISO 45003 ist eine Leitfaden-Norm: Sie enthält Empfehlungen, aber keine Anforderungen, gegen die auditiert werden könnte. Zertifizierbar ist ISO 45001 als Arbeitsschutz-Managementsystem; ISO 45003 kann dort angewendet und im Audit betrachtet werden. Angebote für ein „ISO-45003-Zertifikat“ sollte man sich genau erklären lassen.
Ersetzt ISO 45003 die Gefährdungsbeurteilung psychischer Belastung?+
Nein, und umgekehrt begründet sie auch keine zusätzliche Pflicht. Die Rechtsgrundlage in Deutschland ist § 5 Abs. 3 Nr. 6 ArbSchG, gültig seit Ende 2013 und ab dem ersten Beschäftigten. ISO 45003 liefert eine Systematik psychosozialer Risikokategorien, die man als Prüfraster über die eigene Erhebung legen kann — mehr, aber auch nicht weniger.
Unser Großkunde schickt einen Nachhaltigkeitsfragebogen — müssen wir antworten?+
Gesetzlich verpflichtet sind Sie dazu in aller Regel nicht: Der Omnibus hat die Wertschöpfungsketten-Abfrage gegenüber kleineren Zulieferern ausdrücklich begrenzt. Vertraglich kann ein Kunde die Auskunft trotzdem zur Bedingung machen. Praktikabel ist, aus dem Bestand zu antworten — dokumentierte Gefährdungsbeurteilung, Maßnahmenplan, wenige belastbare Kennzahlen.
Lohnt sich ISO 45001 für einen Mittelständler?+
Das ist eine Geschäftsentscheidung, keine Compliance-Frage. Sinnvoll wird sie meist dann, wenn Kunden oder Ausschreibungen ein zertifiziertes Managementsystem verlangen oder mehrere Standorte einheitlich geführt werden sollen. Für die reine Erfüllung der deutschen Arbeitsschutzpflichten ist sie nicht erforderlich.
Die Pflicht sauber dokumentiert — statt Berichtsprojekt
EasyBGM führt die Gefährdungsbeurteilung psychischer Belastung samt Maßnahmenplan und Wirksamkeitsprüfung an einem Ort — die Substanz, aus der sich jede spätere Kunden- oder Bankanfrage beantworten lässt.
Quellen
- Richtlinie (EU) 2026/470 — Omnibus-Änderungen zu CSRD und CSDDD (Amtsblatt der EU, 26.02.2026) ↗
- Kleeberg: Omnibus-Änderungen zu CSRD und CSDDD im EU-Amtsblatt veröffentlicht (Schwellenwerte, Zeitplan, Value-Chain-Cap) ↗
- ISO 45003:2021 — Psychological health and safety at work (Guidelines) ↗
- § 5 ArbSchG — Beurteilung der Arbeitsbedingungen ↗
- § 6 ArbSchG — Dokumentation ↗
- Global Wellness Institute — Workplace Wellbeing Initiative Trends for 2026 ↗
Stand: 2026-08-18. Keine Rechts- oder Steuerberatung — im Einzelfall fachlich prüfen lassen.