Post-Omnibus: quién sigue obligado a reportar bajo la CSRD en 2027 (y quién acaba de cambiar un regulador por un cliente)

Si su empresa recibió una carta de encargo de auditoría CSRD allá por 2024, es natural asumir que esa obligación simplemente continúa. Para muchas empresas ya no es así. La Directiva Omnibus I reescribió el alcance de la CSRD desde cero, y para muchas compañías el resultado práctico no es "queda libre del reporte ESG", sino "ahora responde ante un cliente en lugar de un regulador".

Este artículo repasa exactamente quién sigue obligado a reportar bajo la CSRD a partir de 2027, quién ha quedado fuera, qué ocurre si ya estaba reportando, y —la parte que de verdad importa en el día a día— qué sustituye a la obligación para las empresas que salen del alcance pero siguen vendiendo, pidiendo financiación o suministrando a empresas que permanecen dentro.

Qué cambió: Omnibus I en un párrafo

La Directiva Omnibus I entró en vigor el 18 de marzo de 2026. Entre otros cambios, sustituyó el antiguo despliegue escalonado de la CSRD —con umbrales y fechas de inicio distintos según el tamaño y tipo de empresa— por un único umbral, más alto, que determina quién reporta, y retrasó todo el calendario para que las nuevas normas se apliquen a los ejercicios que comiencen a partir del 1 de enero de 2027. Un mecanismo anterior y separado, el "stop the clock", ya había pausado el despliegue para las empresas que debían empezar a reportar en 2026 y 2027, antes de que Omnibus I las excluyera después, en su mayoría, del alcance de forma permanente.

El antiguo sistema de oleadas, en breve

Antes de Omnibus I, la CSRD se implantaba por fases según el tipo y tamaño de empresa, aproximadamente así:

• Oleada 1 — grandes entidades de interés público (empresas cotizadas, bancos, aseguradoras) con más de 500 empleados, que ya reportan desde el ejercicio 2024.
• Oleada 2 — otras grandes empresas que cumplen al menos dos de: más de 250 empleados, 50 millones de euros de facturación neta, o 25 millones de euros de balance total, con inicio previsto originalmente en el ejercicio 2025, luego retrasado al ejercicio 2027 por el mecanismo stop-the-clock.
• Oleada 3 — pymes cotizadas y determinadas pequeñas entidades financieras, con inicio previsto originalmente en el ejercicio 2026, retrasado al ejercicio 2028.
• Oleada 4 — empresas no comunitarias que generan más de 150 millones de euros de facturación en la UE con una filial o sucursal en la UE que genera más de 40 millones de euros de facturación.

Esa estructura de oleadas ya no existe. Omnibus I la sustituyó por una única prueba unificada.

¿Sigue mi empresa dentro del alcance? El nuevo umbral de 1.000 empleados de la CSRD

Para los ejercicios que comiencen a partir del 1 de enero de 2027 —es decir, los primeros informes bajo las nuevas normas se presentan en 2028—, la CSRD se aplica únicamente a:

• Empresas de la UE con una media de más de 1.000 empleados y una facturación neta anual superior a 450 millones de euros; ambas condiciones deben cumplirse, independientemente de si la empresa cotiza en bolsa, es un banco, una aseguradora o está clasificada de otro modo como entidad de interés público.
• Empresas no comunitarias que generan más de 450 millones de euros de facturación en la UE, siempre que además tengan una filial o sucursal en la UE que genere más de 200 millones de euros de facturación.

Las pymes cotizadas y las sociedades financieras de cartera quedan totalmente exentas de la CSRD bajo las nuevas normas, sin importar su tamaño; la antigua categoría de oleada 3 se ha eliminado en la práctica, no solo retrasado. Las estimaciones sobre la reducción del alcance varían según la fuente, pero varias la sitúan entre el 80% y el 90% de las empresas antes incluidas; una estimación detallada cifra en unas 42.000 las empresas que salen del alcance de la CSRD.

Un detalle de calendario que conviene precisar, porque es exactamente el tipo de cosa que se confunde: "2027" se refiere aquí al ejercicio a partir del cual se aplican las nuevas normas, no al año natural en que se publican los informes. Una empresa con ejercicio natural que queda fuera del alcance deja de estar obligada a reportar a partir de su ejercicio 2027, que, de seguir dentro del alcance, se presentaría en 2028. Si su empresa tiene un ejercicio no natural, se aplica la misma regla de "que comience a partir del 1 de enero de 2027" al inicio de ese ejercicio, no al año natural en que termina.

Qué ocurre si ya reportaba (oleada 1) y ahora queda por debajo del umbral

Si su empresa presenta informes CSRD desde el ejercicio 2024 como gran entidad de interés público, pero no alcanza el nuevo umbral de 1.000 empleados y 450 millones de euros de facturación, no sale de inmediato. La regla general es que estas empresas siguen reportando conforme a los requisitos CSRD/ESRS vigentes —con los diversos alivios "quick fix" que Omnibus I también introdujo— para los ejercicios 2025 y 2026, es decir, informes presentados en 2026 y 2027. La obligación se levanta a partir del ejercicio 2027, presentado en 2028, cuando entran en vigor las nuevas normas de alcance.

Hay una variable que conviene comprobar a nivel nacional: Omnibus I permite a cada Estado miembro de la UE conceder una exención transitoria anticipada y opcional para los ejercicios 2025–2026 a las empresas que quedan fuera del alcance según los nuevos umbrales. Esto no es automático ni uniforme en toda la UE; depende de si su Estado miembro ha decidido legislarlo, así que si su empresa está en el límite de la oleada 1, conviene preguntar a su auditor o revisar la transposición nacional de la directiva en lugar de dar por hecho un resultado u otro.

Acaba de cambiar un regulador por un cliente

Aquí está la parte que más importa en la práctica: salir del alcance de la CSRD no significa que dejen de llegar solicitudes de datos de sostenibilidad. Si suministra, pide financiación o hace negocios de cualquier otro modo con una empresa que permanece dentro del alcance de la CSRD, esa empresa sigue necesitando datos de sostenibilidad de su cadena de valor para completar su propio reporte; la solicitud simplemente pasa de ser un mandato legal de reporte frente a un regulador a ser una solicitud comercial de un cliente o prestamista.

Ese cambio, sin embargo, no está desregulado. La misma reforma Omnibus I que redibujó el alcance de la CSRD también introdujo el value chain cap, que limita exactamente lo que un cliente o banco obligado por la CSRD puede pedir a una contraparte más pequeña; en la práctica, un techo definido por las divulgaciones "necesarias" del estándar VSME. Tratamos ese mecanismo en detalle, incluidas las excepciones concretas en las que un cliente todavía puede pedir más, en nuestra guía sobre el value chain cap de VSME, y la lista completa de lo que ese techo realmente contiene, punto por punto, está en nuestra guía del Módulo Básico VSME.

Dicho de otro modo: salir del alcance de la CSRD cambia una obligación regulatoria abierta por una obligación limitada y estandarizada. Suele suponer un esfuerzo notablemente menor —el Módulo Básico VSME está pensado para ser proporcionado precisamente en esta situación—, pero no es nada, y las empresas que lo tratan como si fuera nada suelen ser las que corren cuando llega de verdad el primer cuestionario de un cliente tras el Omnibus.

Una comprobación rápida: ¿sigue teniendo que reportar en 2027?

Repase esto en orden:

• 1. ¿Su empresa está constituida en la UE? Si no, aplique en su lugar el criterio para empresas no comunitarias (más de 450 millones de euros de facturación en la UE, con una filial o sucursal en la UE que supere los 200 millones de euros de facturación).
• 2. ¿Su empresa tiene de media más de 1.000 empleados? Si no, queda fuera del alcance a partir del ejercicio 2027, sujeto a las reglas de transición de la oleada 1 anteriores si ya estaba reportando.
• 3. ¿Su facturación neta anual supera los 450 millones de euros? Tanto esto como el umbral de empleados deben cumplirse; no alcanzar cualquiera de los dos le saca del alcance.
• 4. ¿Es una pyme cotizada o una sociedad financiera de cartera? En ese caso, queda exenta según las nuevas normas independientemente de su tamaño.
• 5. Si ha respondido afirmativamente a los umbrales de empleados y facturación relevantes: sigue dentro del alcance. Si ya reportaba, esto continúa sin interrupción; si supera el umbral por primera vez, su primer informe bajo las nuevas normas cubre el ejercicio 2027, presentado en 2028.

Si el paso 2 o el 3 le sacan del alcance, el siguiente paso práctico no es cerrar el expediente, sino comprobar si alguno de sus clientes o prestamistas sigue dentro del alcance, ya que un banco que evalúa riesgo no financiero o un gran cliente que construye su propio reporte de cadena de valor todavía pueden preguntarle, solo que a través del canal limitado y basado en VSME en lugar del regulatorio. Nuestra guía sobre cómo responder cuando los clientes exigen datos de sostenibilidad al proveedor y nuestra introducción al estándar VSME explican qué hacer cuando esa solicitud llega de verdad.

El flujo de trabajo VSME de Sustainly está diseñado precisamente para este relevo: empresas que ya no tienen un plazo de la CSRD por delante, pero que todavía necesitan una respuesta creíble y reutilizable para los clientes y bancos que sí lo tienen.