ISO 45003 og CSRD

ISO 45003 og CSRD: må mellomstore bedrifter nå rapportere om psykisk helse?

Iht. tysk rett: For de fleste mellomstore bedrifter nei. Etter direktiv (EU) 2026/470 rapporterer bare virksomheter med minst 1 000 ansatte og over 450 mill. euro i omsetning. ISO 45003 er en veileder uten sertifisering; § 5 ArbSchG er fortsatt bindende.

Rapporteringsplikt, standard og lov: hva som gjelder for hvem (per august 2026)

Rammeverk	Gjelder for	Bindende virkning
CSRD (etter Omnibus)	Minst 1 000 ansatte OG over 450 mill. euro i omsetning — begge kriterier kumulativt	Plikt; nasjonal gjennomføring innen 19.03.2027, første anvendelsesår fra 01.01.2027
CSDDD (aktsomhetsdirektivet)	Minst 5 000 ansatte OG over 1,5 mrd. euro i omsetning	Plikt; gjennomføring innen 26.07.2028, anvendelse fra 26.07.2029
ISO 45001	Enhver virksomhet som vil bygge et arbeidsmiljøstyringssystem	Frivillig — kan sertifiseres
ISO 45003	Supplement til ISO 45001 for psykososiale risikoer	Frivillig — veileder uten krav og derfor IKKE sertifiserbar
§ 5 ArbSchG	Enhver arbeidsgiver fra første ansatt	Plikt — gebyrsanksjonert, uavhengig av størrelse og rapporteringsplikt

Hva Omnibus endret — og hvorfor det går forbi trendfortellingen

Internasjonale trendrapporter har i årevis trukket fram forankringen av trivsel i rapporteringen som en drivkraft: europeisk bærekraftsrapportering skulle gjøre spørsmål om arbeidsstokken til en styresak. For Tyskland holder ikke den fortellingen etter februar 2026.

Endringsdirektiv (EU) 2026/470 ble kunngjort i EU-tidende 26.02.2026 og trådte i kraft 18.03.2026. Det hever CSRD-tersklene betydelig: framover omfattes bare virksomheter med minst 1 000 ansatte og mer enn 450 mill. euro i omsetning — begge kriterier må være oppfylt samtidig, og børsnotering spiller ikke lenger noen rolle. Anslag tyder på at det er under 500 rapporteringspliktige virksomheter igjen i Tyskland. Medlemsstatene har frist til 19.03.2027 med gjennomføringen; det første anvendelsesåret starter 01.01.2027.

For mellomstore bedrifter er dette den praktiske avblåsningen: den som har 200, 500 eller 900 ansatte, blir ikke gjennom CSRD forpliktet til å rapportere om psykisk helse. Den som hevder noe annet — gjerne rett før et konsulenttilbud — bygger på rettstilstanden før Omnibus.

Verdikjeden: kanalen der det likevel lander

Den andre halvdelen av sannheten: å ikke være rapporteringspliktig betyr ikke at man aldri blir spurt. Rapporteringspliktige konsern må trekke inn verdikjeden sin — og sender spørreskjemaer videre til leverandørene. Nettopp derfor la lovgiver inn i Omnibus en begrensning av verdikjedeforespørselen: mindre leverandører er ikke lenger automatisk forpliktet til å levere omfattende bærekraftsdata.

Denne begrensningen beskytter likevel bare mot den rettslig påtvungne forespørselen, ikke mot den kontraktsfestede. En storkunde kan fortsatt gjøre frivillige opplysninger til et vilkår i en anbudskonkurranse, og en bank kan spørre i kredittgjennomgangen. Realistisk møter mellomstore bedrifter derfor temaet som et kunde- og finansieringskrav, ikke som en lovplikt.

Reaksjonen bør være like nøktern: ikke bygg opp en CSRD-prosjektstruktur, men sørg for å kunne svare. Den som har dokumentert den psykososiale risikovurderingen skikkelig og fører en tiltaksplan og noen få solide nøkkeltall, besvarer slike spørreskjemaer ut fra det som allerede finnes — uten et eneste rapporteringsprosjekt.

ISO 45003: en veileder, ikke en sertifiserbar standard

ISO 45003 kom i 2021 og var den første internasjonale standarden med praktisk veiledning i håndtering av psykisk helse og sikkerhet på jobb. Den supplerer ISO 45001, som beskriver arbeidsmiljøstyringssystemet som helhet, og retter seg mot psykososiale risikoer: arbeidsoverbelastning, lederatferd, arbeidsorganisering og sosiale relasjoner på arbeidsplassen.

Punktet der de fleste misforståelser oppstår: ISO 45003 er en veiledningsstandard. Den inneholder anbefalinger, ikke krav — og kan derfor ikke sertifiseres. Sertifiserbar er ISO 45001; ISO 45003 kan anvendes innenfor et slikt system og vurderes i revisjonen, men et 'ISO 45003-sertifikat' i snever forstand finnes ikke. Får man et tilbudt, bør man be om en presis forklaring på hva som faktisk attesteres.

Dermed er det også klart hva ISO 45003 kan og ikke kan i tysk sammenheng: den erstatter ingen plikt og skaper ingen — plikten til å vurdere psykisk belastning har stått i § 5 tredje ledd nr. 6 ArbSchG siden slutten av 2013 og gjelder fra første ansatt. ISO 45003 gir strukturen, ikke rettsgrunnlaget.

Hva mellomstore bedrifter faktisk får ut av det

Standardens egentlige verdi ligger i systematikken. Den tyske psykososiale risikovurderingen er juridisk klar, men innholdsmessig åpen — ArbSchG sier at det skal vurderes, ikke hvor detaljert. Nettopp det hullet fyller ISO 45003 med et sortert kart over psykososiale risikokategorier som kan legges over egen kartlegging som sjekkliste: er arbeidsorganiseringen dekket? Lederatferden? De sosiale relasjonene? Arbeidsmiljøet?

Andre praktiske gevinst: forankringen i styringssystemet. ISO 45003 tenker ikke psykisk helse som et program, men som del av en syklus med planlegging, gjennomføring, kontroll og forbedring — samme PDCA-logikk som risikovurderingen uansett krever. Bruker man standarden som strukturhjelp framfor som sertifiseringsmål, slipper man å finne opp sitt eget rammeverk.

Og for det tredje anvendeligheten utad: når en storkunde spør om håndteringen av psykososiale risikoer, er 'vi orienterer oss etter ISO 45003 og dokumenterer etter § 5 ArbSchG' et svar som forstås internasjonalt. Det er den realistiske gevinsten — å kunne språket overfor konsernkunder, ikke etterlevelse.

Den ærlige pliktlisten

Det som faktisk er bindende for en tysk mellomstor bedrift på området psykisk helse, kan sies kort — og har ingenting med rapporteringsplikter å gjøre. For det første: den psykososiale risikovurderingen etter § 5 ArbSchG, fra første ansatt, med dokumentasjonsplikt etter § 6 ArbSchG. For det andre: å utlede tiltak og kontrollere virkningen etter § 3 ArbSchG. For det tredje: medvirkning fra de ansattes representanter der slike finnes.

Alt annet — ISO 45001, ISO 45003, frivillige bærekraftsrapporter etter forenklede standarder — er en forretningsbeslutning. Den kan lønne seg når konsernkunder, anbud eller finansieringspartnere spør etter det. Den lønner seg ikke som foregripende lydighet overfor en plikt som etter Omnibus ikke lenger finnes for mellomstore bedrifter.

Den nøkterne prioriteringen er derfor: oppfyll først skikkelig den plikten som uansett gjelder, og som faktisk kontrolleres ved tilsyn. Den som dokumenterer den psykososiale risikovurderingen, utleder tiltak og kontrollerer virkningen, har samtidig det stoffet enhver senere frivillig rapportering hviler på.

Relaterte tiltak og temaer

Det viktigste kort fortalt

Omnibus-direktivet (EU) 2026/470: CSRD gjelder bare fra 1 000 ansatte OG over 450 mill. euro i omsetning — kumulativt og uten børskriterium.
I Tyskland er det etter anslag under 500 rapporteringspliktige virksomheter igjen; gjennomføring innen 19.03.2027, anvendelse fra 01.01.2027.
Omnibus begrenser også verdikjedeforespørselen overfor mindre leverandører — kontraktsfestede spørsmål er fortsatt mulige.
ISO 45003 (2021) er en veileder uten krav og dermed IKKE sertifiserbar; det er derimot ISO 45001.
Uavhengig av alt dette er § 5 tredje ledd nr. 6 ArbSchG fortsatt bindende — fra første ansatt og med dokumentasjonsplikt etter § 6 ArbSchG.
Standardens praktiske nytte: en sjekkramme for egen kartlegging og språkevne overfor konsernkunder — ikke etterlevelse.

Ofte stilte spørsmål

Er virksomheten min fortsatt CSRD-pliktig etter Omnibus?+

Bare hvis begge tersklene er oppfylt samtidig: minst 1 000 ansatte og mer enn 450 mill. euro i omsetning. Den tidligere koblingen til børsnotering er falt bort. I Tyskland er det etter anslag under 500 rapporteringspliktige virksomheter igjen. Avgjørende blir til slutt den nasjonale gjennomføringen, som skal skje innen 19.03.2027.

Kan man bli sertifisert etter ISO 45003?+

Nei. ISO 45003 er en veiledningsstandard: den inneholder anbefalinger, men ingen krav det kan revideres mot. Sertifiserbar er ISO 45001 som arbeidsmiljøstyringssystem; ISO 45003 kan anvendes innenfor den og vurderes i revisjonen. Tilbud om et 'ISO 45003-sertifikat' bør man be om en presis forklaring på.

Erstatter ISO 45003 den psykososiale risikovurderingen?+

Nei, og motsatt skaper den heller ingen ekstra plikt. Rettsgrunnlaget i Tyskland er § 5 tredje ledd nr. 6 ArbSchG, gjeldende siden slutten av 2013 og fra første ansatt. ISO 45003 gir en systematikk av psykososiale risikokategorier som kan legges over egen kartlegging som sjekk — verken mer eller mindre.

Storkunden vår sender et bærekraftsskjema — må vi svare?+

Rettslig er dere som hovedregel ikke forpliktet: Omnibus begrenset uttrykkelig verdikjedeforespørselen overfor mindre leverandører. Kontraktsmessig kan en kunde likevel gjøre opplysningene til et vilkår. Det praktiske er å svare ut fra det som finnes — dokumentert risikovurdering, tiltaksplan og noen få solide nøkkeltall.

Lønner ISO 45001 seg for en mellomstor bedrift?+

Det er en forretningsbeslutning, ikke et etterlevelsesspørsmål. Det gir vanligvis mening når kunder eller anbud krever et sertifisert styringssystem, eller når flere lokasjoner skal styres likt. For å oppfylle de tyske arbeidsmiljøpliktene er det ikke nødvendig.

Plikten skikkelig dokumentert — i stedet for et rapporteringsprosjekt

EasyBGM samler den psykososiale risikovurderingen, tiltaksplanen og virkningskontrollen på ett sted — grunnlaget enhver senere kunde- eller bankforespørsel kan besvares ut fra.

Se EasyBGM Sjekk BGM-modenheten deres

Kilder

Oppdatert: 2026-08-18. Ikke juridisk eller skatterettslig rådgivning — få den konkrete saken vurdert av en fagperson.

Les mer

GBU psyke i SMBMå en SMB gjennomføre en risikovurdering av psykiske belastninger (etter tysk rett)?Juridisk grunnlag (oversikt)Hva er lovpålagt i BGM, og hva er frivillig?BGM-samsvarsrevisjonBGM-samsvarsrevisjon: Hvordan kontrollerer tilsynsmyndigheten din virksomhet?GWI-trender 2026Hvilke trender innen arbeidsplasstrivsel i 2026 er relevante for helseledelse i tyske mellomstore bedrifter?