Når må din bedrift starte med CSRD-rapportering?

De fleste norske bedrifter er ikke lenger pålagt å starte med CSRD-rapportering. Etter EU-forordningen Omnibus I, som trådte i kraft i mars 2026, gjelder rapporteringsplikten kun for virksomheter med mer enn 1 000 ansatte og en nettoomsetning over 450 millioner euro. Store børsnoterte foretak som allerede var underlagt NFRD-reglene, rapporterte for første gang for regnskapsåret 2024. Artikkelen nedenfor svarer på de vanligste spørsmålene om hvem som er omfattet, når fristene gjelder, og hva bedriften bør gjøre nå.

Hvilke bedrifter er unntatt fra CSRD-kravene?

De aller fleste norske bedrifter er unntatt fra obligatorisk CSRD-rapportering. Etter Omnibus I-direktivet er små og mellomstore bedrifter, datterselskaper der morselskapet leverer en godkjent konsolidert bærekraftsrapport, og børsnoterte SMB-er alle fjernet fra den obligatoriske rapporteringsplikten. Samlet sett anslår eksperter at mellom 80 og 90 prosent av virksomhetene som opprinnelig forberedte seg på CSRD, ikke lenger er direkte forpliktet.

Mer konkret er følgende kategorier unntatt:

Mikroforetak som ikke overskrider to av tre grenser: 10 ansatte, 900 000 euro i omsetning eller 450 000 euro i balansesum.
Børsnoterte SMB-er er fullstendig fjernet fra obligatorisk rapportering og kan i stedet rapportere frivillig etter EFRAG-standarden VSME.
Datterselskaper der morselskapet allerede leverer en CSRD-godkjent konsolidert rapport, kan fritas fra egen rapporteringsplikt. Omnibus I utvidet dette fritaket til å gjelde alle børsnoterte foretak på EU-regulerte markeder.
Rene holdingselskaper som ikke deltar aktivt i forvaltningen av datterselskaper, er unntatt fra konsolidert CSRD-rapportering.
I Norge spesifikt er samvirkeforetak og boligbyggelag holdt utenfor den obligatoriske rapporteringsplikten.

Det er viktig å merke seg at unntak fra direkte rapporteringsplikt ikke nødvendigvis betyr at bedriften er upåvirket. Store kunder som selv er CSRD-pliktige, kan be leverandørkjeden om bærekraftsdata. Omnibus I innfører imidlertid en såkalt verdikjede-begrensning: store selskaper kan kun etterspørre data fra leverandører med færre enn 1 000 ansatte opp til nivået som dekkes av VSME-standarden, og leverandørene har en lovfestet rett til å avvise forespørsler som går ut over dette.

Hvem er omfattet av CSRD-rapporteringsplikten?

Obligatorisk CSRD-rapportering gjelder for virksomheter som oppfyller begge følgende kriterier: gjennomsnittlig mer enn 1 000 ansatte og en nettoomsetning på over 450 millioner euro per år. Begge vilkår må være oppfylt samtidig. Globalt anslås det at omtrent 5 000 selskaper er i denne kategorien, mot opprinnelig estimerte 50 000 pluss under den opprinnelige direktivteksten.

Rapporteringsplikten treffer tre hovedgrupper:

Store børsnoterte foretak, banker og forsikringsselskaper med over 500 ansatte som allerede var underlagt NFRD. Disse er i bølge 1 og leverte sin første CSRD-rapport i 2025 for regnskapsåret 2024. Denne plikten er uendret av Omnibus I.
Store EU-foretak som oppfyller de nye tersklene på over 1 000 ansatte og over 450 millioner euro i omsetning. Disse tilhører bølge 2 og skal rapportere for regnskapsåret 2027.
Ikke-EU-selskaper (tredjelandsforetak) med en EU-gruppeomsetning over 450 millioner euro og minst ett EU-datterselskap eller en EU-filial med omsetning over 200 millioner euro. Disse er i bølge 4 og rapporterer for regnskapsåret 2028.

Et morselskap kan også bli rapporteringspliktig dersom datterselskapene samlet sett oppfyller tersklene på konsolidert basis, selv om morselskapet alene ikke kvalifiserer. Alle selskaper i scope er forpliktet til å gjennomføre en dobbel vesentlighetsvurdering som første trinn i prosessen, og rapportene skal utarbeides etter de europeiske bærekraftsrapporteringsstandardene (ESRS). EU-rådet bekreftet disse tersklene i februar 2026.

Hva er de ulike innfasingsperiodene for CSRD?

CSRD er delt inn i tre gjenværende rapporteringsbølger med ulike frister. Den opprinnelige tidsplanen ble vesentlig endret av to EU-tiltak: Stop-the-Clock-direktivet fra april 2025, som utsatte bølge 2 og 3 med to år, og Omnibus I fra mars 2026, som fjernet bølge 3 (børsnoterte SMB-er) helt og hevet tersklene for bølge 2.

Her er den gjeldende innfasingsplanen:

Bølge 1 (regnskapsår 2024, rapport i 2025): Store foretak av allmenn interesse med over 500 ansatte, allerede underlagt NFRD. Disse er allerede i gang. Bølge 1-selskaper som faller under de nye Omnibus-tersklene, kan få en overgangsordning for regnskapsårene 2025 og 2026, avhengig av nasjonal lovgivning.
Bølge 2 (regnskapsår 2027, rapport i 2028): Store selskaper som oppfyller de reviderte tersklene på over 1 000 ansatte og over 450 millioner euro i omsetning. Utsatt to år av Stop-the-Clock.
Bølge 3 (avviklet): Børsnoterte SMB-er er fullstendig fjernet fra obligatorisk CSRD-rapportering under Omnibus I.
Bølge 4 / tredjelandsforetak (regnskapsår 2028, rapport i 2029): Ikke-EU-selskaper med vesentlig EU-omsetning og EU-tilstedeværelse.

For selskaper som forbereder seg på bølge 2, betyr dette at rapporteringen for regnskapsåret 2027 forutsetter at datainnsamling, vesentlighetsvurdering og systemer er på plass allerede i løpet av 2026. De reviderte ESRS-standardene, med betydelig færre obligatoriske datapunkter enn de opprinnelige, forventes å gjelde fra regnskapsår som starter 1. januar 2027.

Hvordan påvirker CSRD norske bedrifter spesifikt?

CSRD ble gjennomført i norsk rett 11. juni 2024 gjennom endringer i regnskapsloven, med ikrafttredelse 1. november 2024. Norge er EØS-medlem, ikke EU-medlem, noe som betyr at Omnibus I-endringene må gjennom EØS-komiteen før de formelt gjelder i Norge. Selskaper bør følge med på Finansdepartementet og Finanstilsynet for presise ikrafttredelsesdatoer.

Et viktig norsk særtrekk gjelder regnskapsåret 2025: Finanstilsynet bekreftet i januar 2026 at selskaper som faller under de nye Omnibus-tersklene, likevel må rapportere for regnskapsåret 2025 etter gjeldende norsk lov, siden de nye tersklene ikke kan gis tilbakevirkende kraft før loven er endret. Finansdepartementet har som mål å innføre lovendringen slik at nye terskler gjelder fra regnskapsåret 2027, og arbeider med en mulig overgangsordning for regnskapsåret 2026 for selskaper som faller utenfor det reviderte omfanget.

Den norske innfasingsplanen, slik den ble implementert, ser slik ut:

Regnskapsår 2024 (rapport i 2025): Store foretak av allmenn interesse med over 500 ansatte.
Regnskapsår 2025 (rapport i 2026): Andre store norske foretak som oppfyller minst to av: balansesum minst 290 millioner kroner, omsetning minst 580 millioner kroner, eller minst 250 ansatte. Merk: disse selskapene kan fortsatt være rapporteringspliktige selv om de faller under de nye EU-tersklene, inntil norsk lov er oppdatert.
Regnskapsår 2028 (rapport i 2029): Visse tredjelandsforetak med norsk filial eller datterselskap.

Norske selskaper som er CSRD-pliktige, må også forholde seg til EU-taksonomirapportering parallelt. I tillegg gir erfaringen fra åpenhetsloven et godt utgangspunkt for deler av CSRD-kravene knyttet til verdikjede og aktsomhetsvurderinger.

Hva skjer hvis bedriften ikke overholder CSRD-fristen?

Manglende overholdelse av CSRD-fristen kan medføre administrative sanksjoner, offentliggjøring av overtredelsen og direktøransvar. CSRD-direktivet pålegger hvert land å innføre sanksjoner som er effektive, forholdsmessige og avskrekkende, men fastsetter ikke konkrete beløp sentralt. Norge har foreløpig ikke publisert et spesifikt sanksjonssystem for CSRD, og håndhevingen forventes å følge Finanstilsynets eksisterende modell for tilsyn med finansiell rapportering.

Sanksjonene i andre europeiske land gir et bilde av hva som er mulig: i Nederland kan bøter utgjøre opp til fire prosent av omsetningen, og i Sverige opp til tre prosent. Disse tallene illustrerer at det dreier seg om vesentlige beløp for større selskaper.

Utover direkte bøter er det minst tre andre konsekvenser som kan være like alvorlige:

Omdømmeskade: Manglende rapport eller en rapport uten tredjepartsbekreftelse er synlig for investorer, kunder og ansatte.
Eksklusjon fra offentlige anskaffelser: EU-regelverket åpner for at ikke-etterlevende selskaper kan utelukkes fra offentlige kontrakter.
Tvungen frakobling fra institusjonelle investorer: Investorer med SFDR-forpliktelser kan ikke lenger holde ikke-etterlevende selskaper i artikkel 8- eller artikkel 9-fond.

En innebygd håndhevingsmekanisme er også at CSRD-rapporter krever uavhengig begrenset revisjonsbekreftelse. Det betyr at manglende etterlevelse ikke kan forbli skjult: revisor vil avdekke det under bekreftelsesprosessen. Regulatorer forventes å prioritere tilsyn med selskaper som ikke leverer noen rapport i det hele tatt, deretter de med vesentlig ufullstendige rapporter.

Hva bør bedriften gjøre nå for å forberede seg på CSRD?

Det første og viktigste trinnet er å avklare om bedriften faktisk er i scope under de reviderte Omnibus I-tersklene, og i så fall hvilket regnskapsår som er det første rapporteringsåret. Selskaper i bølge 2 som skal rapportere for regnskapsåret 2027, bør ha datainnsamling og vesentlighetsvurdering på plass innen utgangen av 2026 for å møte fristen.

En strukturert forberedelsesprosess bør følge disse trinnene:

Avklar scope og konsernstruktur: Kartlegg om virksomheten, inkludert datterselskaper og filialer, samlet sett oppfyller tersklene. Bekreft første rapporteringsår.
Gjennomfør en dobbel vesentlighetsvurdering (DMA): Dette er et obligatorisk første trinn i CSRD-prosessen. Vurderingen avgjør hvilke ESRS-temaer selskapet faktisk må rapportere på, og danner grunnlaget for hele rapporten. Uten en forsvarlig DMA kan ikke selskapet forsvare sine rapporteringsvalg overfor revisor.
Gjennomfør en ESRS-gapanalyse: Kartlegg eksisterende bærekraftspraksis og -rapportering mot CSRD-kravene. Identifiser hvilke opplysninger som mangler, og hva som kreves av data, prosesser og systemer.
Bygg datainnsamlingsmekanismer: CSRD-rapporten skal integreres i ledelsesberetningen og merkes i strukturert elektronisk format. Datainnsamlingen må starte ved begynnelsen av rapporteringsåret, ikke ved årets slutt.
Planlegg for revisjonsbekreftelse: Sett av tid til tredjepartsbekreftelse i prosjektplanen. Selskaper som behandler CSRD som en årsavslutningsøvelse, rapporterer konsekvent flere revisjonsutfordringer.

Selskaper som ikke er direkte CSRD-pliktige, bør vurdere frivillig rapportering etter VSME-standarden. Store kunder som selv er CSRD-pliktige, vil etterspørre bærekraftsdata fra leverandørkjeden, og leverandører som kan levere strukturert informasjon, vil stå sterkere i kommersielle relasjoner. EFRAG publiserte i 2026 et utkast til frivillig rapporteringsstandard basert på VSME, som også vil fungere som den lovfestede grensen for hva store selskaper kan kreve av sine leverandører.

Greenstep bistår virksomheter i hele denne prosessen, fra scope-avklaring og vesentlighetsvurdering til implementering av rapporteringsløsninger og dataautomatisering, slik at bærekraftsrapporteringen blir en integrert del av den ordinære økonomirapporteringen fremfor et separat prosjekt.

Dette innholdet er generert med hjelp av AI og kan inneholde feil.