Het Omnibuspakket heeft het CSRD-landschap grondig hertekend. Voor veel bedrijven is de rapporteringsplicht weggevallen of uitgesteld. Maar voor een specifieke groep - grote niet-beursgenoteerde ondernemingen met meer dan 1.000 medewerkers en een omzet boven 450 miljoen euro - is de verplichting onverminderd reëel. De deadline is verschoven, maar de voorbereiding begint nu.
In dit artikel beantwoorden we twee vragen die we vaak horen: val ik als Wave 2-bedrijf nog in scope? En wat moet er vandaag al staan?
De oorspronkelijke CSRD zou gelden voor alle grote ondernemingen met meer dan 250 medewerkers - een breed net dat tienduizenden bedrijven trof. Het Omnibuspakket heeft die scope drastisch ingeperkt.
Twee wijzigingen zijn cruciaal voor Wave 2-bedrijven:
Daardoor valt een grote groep bedrijven die eerder in scope was, nu buiten de directe rapporteringsplicht. Toch zijn ook zij niet volledig gevrijwaard: grote CSRD-plichtige klanten of moederbedrijven vragen steeds vaker om ESG-data van hun leveranciers. De indirecte druk blijft reëel.
Voor wie wél in scope valt, geldt: de eerste officiële rapportage heeft betrekking op boekjaar 2027, met een eerste publicatie in 2028. Dat lijkt ver weg, maar is het niet.
Limited assurance is geen lichte opgave. Een auditor die documenten controleert zonder traceerbare data of formele governance, kan geen verklaring afgeven.
Een veelgehoord misverstand: 'De deadline is 2028, we hebben nog twee jaar.' Maar CSRD-rapportage is geen verslag dat je in de laatste maanden van een boekjaar in elkaar steekt. Het is een organisatiebreed proces dat begint vóór het rapportagejaar zelf.
Pantarein raadt Wave 2-bedrijven sterk aan om boekjaren 2025 en 2026 te gebruiken als testjaren. Concreet betekent dit:
Wie die testjaren niet benut, verliest onvervangbare tijd om data-architectuur op te zetten, governance te verankeren en een materialiteitsanalyse te bouwen die de assurance-fase overleeft.
Op basis van onze trajecten met Wave 2-bedrijven zien we telkens dezelfde vijf domeinen waar de voorbereiding het meest wordt onderschat.
1. Dubbele materialiteitsanalyse (DMA)
De DMA is de ruggengraat van je volledige CSRD-voorbereiding. Ze bepaalt over welke thema's je rapporteert - en daarmee ook welke data je moet verzamelen, welke systemen je nodig hebt en hoe je governance eruitziet. Wie te laat begint met de DMA, zet het hele traject onder druk.
Wat een goede DMA vraagt, hoe je ze strategisch inzet en waarom de herziene ESRS-standaarden een pragmatischere aanpak mogelijk maken: dat lees je in ons artikel over de dubbele materialiteitsanalyse.
→ Lees: Dubbele materialiteitsanalyse: van check-box naar strategisch kompas
2. Datamanagement
ESRS-conforme data zitten zelden kant-en-klaar in bestaande systemen. Waar financiële rapportage steunt op geconsolideerde cijfers uit één systeem, vraagt CSRD-rapportage om data uit HR, operations, finance, inkoop én de keten - in een kwaliteit die traceerbaar en reproduceerbaar is voor een externe auditor.
De meeste organisaties onderschatten wat dat operationeel betekent: welke systemen moeten worden aangepast, wie levert welke data aan, via welk proces en in welke frequentie? Data-architectuur is geen IT-vraagstuk. Het is een strategisch vraagstuk dat je op tijd moet aanpakken.
3. Governance
CSRD-rapportage zonder helder eigenaarschap loopt vast. In de praktijk zien we dat sustainability-teams aansturen op inhoud, maar dat de formele betrokkenheid van directie en raad van bestuur ontbreekt - terwijl die voor de assurance-fase verplicht is.
Wat er moet staan: een benoemde eigenaar of stuurgroep voor het CSRD-traject, interne controlemechanismen, formele goedkeuringsprocessen en een werkende samenwerking tussen sustainability, finance, HR en operations. Dat bouw je niet in enkele weken op.
4. Rapportageprocessen
Een CSRD-rapport schrijf je niet in de laatste maanden van het boekjaar. Dataverzameling, interne reviewrondes en assurance-voorbereiding lopen het hele jaar door. Zonder een gestructureerde jaarkalender - met duidelijke deadlines per afdelingen per ESRS-thema - stapelen de vertragingen zich op.
Gebruik de testjaren 2025 en 2026 om die processen te kalibreren. Fouten in een dry-run zijn leerzaam; fouten in het eerste officiële rapport zijn kostelijk.
5. EU-taxonomie
Voor organisaties met relevante economische activiteiten is de EU-taxonomie een aanvullende verplichting die losstaat van de ESRS-rapportage maar er wel mee gepubliceerd wordt. Een eligible/aligned-beoordeling, technische screeningscriteria (TSC) en de DNSH-toets vereisen eigen expertise en voorbereiding. Wie de taxonomie pas ontdekt bij de eindrapportage, staat voor een inhaalbeweging die vermijdbaar was.
Een CSRD-rapport moet verplicht een limited assurance ondergaan. Dat betekent dat een externe auditor - op basis van steekproeven en interviews - nagaat of de gerapporteerde data plausibel zijn en of het rapport conform de ESRS-standaarden is opgesteld.
Limited assurance is geen lichte opgave. Een auditor die documenten controleert zonder traceerbare data, gedocumenteerde methodes of formele governance, kan geen verklaring afgeven. De kwaliteit van je voorbereiding bepaalt rechtstreeks of je eerste rapport zijn deadline haalt.
In onze trajecten zien we een aantal patronen die telkens terugkomen bij organisaties die te laat starten of de complexiteit onderschatten.
Fout 1: governance uitstellen tot de data er zijn
Veel organisaties willen eerst weten wat er gerapporteerd moet worden, voor ze nadenken over wie waarvoor verantwoordelijk is. Maar governance is een voorwaarde voor goede data, niet andersom. Zonder formeel eigenaarschap en interne controlemechanismen levert dataverzameling onbetrouwbare resultaten op - en dat merk je pas als de auditor al aan de deur staat.
Fout 2: datamanagement behandelen als een IT-project
ESRS-data zijn geen uitdraai uit een bestaand ERP-systeem. Ze vereisen afstemming tussen afdelingen, nieuwe meetprocessen en een kwaliteitskader dat auditbestendig is. Organisaties die datamanagement delegeren aan IT zonder strategische sturing vanuit finance of sustainability, bouwen data-architectuur die niet aansluit op wat de ESRS-standaarden vragen.
Fout 3: assurance als sluitstuk behandelen
Limited assurance is geen eindcontrole die je inplant als het rapport klaar is. Het is een kwaliteitstoets op je volledige rapportageproces - van DMA tot data tot governance. Wie pas in de laatste maanden nadenkt over auditbestendigheid, loopt het risico op afwijkingen of een vertraagde publicatie.
Wie de testjaren 2025 en 2026 niet benut, verliest onvervangbare tijd. De kwaliteit van je eerste rapport wordt bepaald lang voor het rapportagejaar begint.
Het Omnibuspakket heeft voor Wave 2-bedrijven ademruimte gecreëerd. Maar die ruimte is niet bedoeld om af te wachten. Ze is bedoeld om goed voorbereid aan de start te verschijnen.
Organisaties die nu starten - met een doordachte data-architectuur, heldere governance en gestructureerde rapportageprocessen - bouwen een voorsprong op die bij de eerste officiële rapportage het verschil maakt. Niet alleen richting de auditor, maar ook richting klanten, financierders en investeerders die al vragen stellen. Zo blijft de druk op de interne teams ook onder controle.
CSRD-readiness vraagt organisatiecapaciteit die je stap voor stap opbouwt - en die je ook buiten de rapporteringsverplichting waarde oplevert.
Tijdens een CSRD-readiness scan van een halve dag brengen we in kaart wat er al staat, waar de gaps zitten en welke stappen voor de komende zes tot twaalf maanden prioriteit verdienen. Je ontvangt een schriftelijke prioriteitenmatrix op maat van je organisatie.
→ Meer over de CSRD-readiness scan
→ Lees de volledige CSRD-hub: val je in scope en nog niet gestart?
→ Lees ook: Dubbele materialiteitsanalyse: van check-box naar strategisch kompas
Of neem rechtstreeks contact op via mail@pantarein.be