Firma produkcyjna z Mazowsza zatrudniająca 280 osób i generująca 230 milionów złotych przychodu rocznego sięga po sprawozdanie za rok 2025 – i nagle odkrywa, że przepisy CSRD mogą objąć ją już w pierwszej lub drugiej fali raportowania. Dział finansowy nie wie, od czego zacząć. Dział prawny nie jest pewien, czy progi zostały spełnione. Zarząd słyszy sprzeczne sygnały z rynku.

Dyrektywa CSRD (Dyrektywa UE 2022/2464) nakłada na określone kategorie podmiotów obowiązek raportowania zrównoważonego rozwoju według standardów ESRS. W Polsce implementacja nastąpiła przez nowelizację ustawy o rachunkowości, podpisaną 12 grudnia 2024 roku. Obowiązek raportowania wchodzi w życie falami – pierwsza fala objęła podmioty już podlegające NFRD za rok 2024, druga (duże jednostki spełniające dwa z trzech progów: 110 mln PLN aktywów, 220 mln PLN przychodów, 250 pracowników) miała obowiązywać od roku 2025, jednak propozycja Omnibus Komisji Europejskiej przesuwa tę falę na rok 2028.

Ten artykuł wyjaśnia, kto dokładnie musi raportować w Polsce, jakie progi mają zastosowanie, jak działa logika fal wdrożeniowych oraz co zrobić już teraz – nawet jeśli obowiązek formalnie jeszcze nie nastąpił. Omówimy też wymiar transgraniczny dla grup kapitałowych oraz powiązania CSRD z innymi reżimami compliance, w tym z obowiązkami wobec CRBR i ochroną sygnalistów.

Jak działa logika fal CSRD i które podmioty objęła pierwsza fala?

Pierwsza fala CSRD to podmioty, które raportowały już na podstawie dyrektywy NFRD – czyli tzw. jednostki zainteresowania publicznego zatrudniające powyżej 500 pracowników. W praktyce chodzi o spółki giełdowe, duże banki i zakłady ubezpieczeń. Te podmioty składają sprawozdanie za rok obrotowy 2024, a więc już w 2025 roku. KNF pełni rolę nadzorczą nad częścią z nich. Rejestr KRS potwierdza status jednostki zainteresowania publicznego.

Dyrektywa CSRD (Dyrektywa UE 2022/2464) opiera całą architekturę na zasadzie stopniowego rozszerzania kręgu zobowiązanych. Każda kolejna fala dorzuca nową kategorię podmiotów. Nie chodzi wyłącznie o wielkość – chodzi o kombinację kryteriów: sumy bilansowej, przychodów netto i liczby pracowników. Podmiot musi spełniać co najmniej dwa z trzech progów przez dwa kolejne lata obrotowe.

W pierwszej fali znalazły się podmioty, które od lat raportowały niefinansowo. Dla nich CSRD to przede wszystkim zmiana formatu i zakresu – z luźnych oświadczeń na ustrukturyzowane dane ESRS. Obowiązek ten jest nieodwracalny: raz weszłeś do pierwszej fali, nie możesz z niej wyjść bez fundamentalnej zmiany struktury podmiotu.

Konkretna liczba: KNF szacuje, że pierwsza fala objęła w Polsce kilkadziesiąt podmiotów notowanych na GPW i rynku alternatywnym, które już podlegały NFRD. Dla nich rok 2025 to rok pierwszego pełnego raportu CSRD.

Kto wchodzi do drugiej i trzeciej fali – i kiedy naprawdę?

Druga fala CSRD miała objąć duże jednostki niebędące jednostkami zainteresowania publicznego, spełniające dwa z trzech kryteriów: suma bilansowa powyżej 110 milionów złotych, przychody netto powyżej 220 milionów złotych, zatrudnienie powyżej 250 osób. Pierwotny harmonogram zakładał raportowanie za rok 2025 – a więc pierwsze sprawozdania w 2026 roku. Propozycja pakietu Omnibus Komisji Europejskiej przesuwa ten termin na rok obrotowy 2028.

To przesunięcie nie oznacza jednak, że można odłożyć przygotowania na półkę. Dane do raportowania ESRS zbiera się przez cały rok obrotowy – jeśli firma zacznie zbierać dane dopiero w 2028 roku, nie będzie miała kompletnych danych za cały rok 2028. W praktyce przygotowania do drugiej fali należy rozpocząć najpóźniej w roku 2026.

Trzecia fala – małe i średnie przedsiębiorstwa notowane na rynkach regulowanych (z wyjątkiem mikroprzedsiębiorstw) – miała obowiązywać od roku 2026. Propozycja Omnibus przesuwa tę falę na rok 2028 lub później. Nienotowane MŚP pozostają poza obowiązkowym zakresem CSRD, choć mogą podlegać presji łańcucha dostaw ze strony dużych podmiotów już raportujących.

  • Fala 1: jednostki NFRD – raportowanie za rok 2024 (termin niezmieniony)
  • Fala 2: duże jednostki (2 z 3 progów) – raportowanie za rok 2028 (propozycja Omnibus)
  • Fala 3: notowane MŚP – raportowanie za rok 2028 lub później
  • MŚP nienotowane: brak bezpośredniego obowiązku, ale presja łańcucha dostaw
  • Spółki z państw trzecich z oddziałem/spółką zależną w UE: odrębny reżim od 2029 roku

Firma IT z Małopolski zatrudniająca 260 osób i generująca 190 milionów złotych przychodów w roku 2025 spełnia dwa z trzech kryteriów drugiej fali. Nawet przy przesunięciu Omnibus powinna już teraz mapować dane ESG – bo rok 2028 zacznie się za mniej niż 30 miesięcy.

Uważamy, że bezpieczniejszym rozwiązaniem jest potraktowanie daty 2028 jako twardego deadline'u i cofnięcie się o dwa lata przy planowaniu wdrożenia. Firmy, które czekają na ostateczne potwierdzenie terminu, ryzykują, że zostaną z luką danych niemożliwą do uzupełnienia wstecz.

Aby otrzymać ocenę, czy Państwa jednostka spełnia progi drugiej fali i kiedy powinna rozpocząć zbieranie danych ESRS – napisz do info@kordeckipartners.com.

Konkretna sytuacja Państwa firmy wymaga analizy nie tylko bieżącej struktury, ale i prognoz na kolejne dwa lata obrotowe. Pomyłka w kwalifikacji do fali raportowania to błąd nieodwracalny – retrospektywne zbieranie danych środowiskowych za minione lata jest albo niemożliwe, albo bardzo kosztowne. Jeśli Państwa spółka zbliża się do progów drugiej fali lub już je przekracza – przeprowadzimy analizę kwalifikacyjną, zmapujemy luki danych i przygotujemy harmonogram wdrożenia: info@kordeckipartners.com.

Jak CSRD działa w grupach kapitałowych i co oznacza wymiar transgraniczny?

Grupy kapitałowe z podmiotem dominującym w Polsce raportują na poziomie skonsolidowanym. Spółka dominująca sporządza skonsolidowane sprawozdanie zrównoważonego rozwoju obejmujące wszystkie jednostki zależne – niezależnie od jurysdykcji, w której działają. To oznacza, że polska spółka matka odpowiada za dane ESG spółek córek w Niemczech, Czechach czy na Ukrainie.

Odwrotna sytuacja jest równie złożona. Polska spółka zależna wchodząca w skład grupy z siedzibą w innym państwie UE może być zwolniona z obowiązku indywidualnego raportowania – pod warunkiem że spółka dominująca sporządza skonsolidowane sprawozdanie obejmujące tę spółkę zależną. Zwolnienie to nie jest automatyczne: wymaga spełnienia warunków formalnych i odpowiedniego ujawnienia w sprawozdaniu jednostkowym.

Dla zagranicznych inwestorów wchodzących na rynek polski – szczególnie z Niemiec czy Skandynawii, gdzie standardy ESG raportowania są już zakorzenione w praktyce korporacyjnej – polska spółka zależna często staje się ogniwem w globalnym łańcuchu danych ESG. W praktyce oznacza to, że nawet podmiot niespełniający polskich progów CSRD musi dostarczać dane do konsolidacji grupowej.

Dyrektywa CSRD (Dyrektywa UE 2022/2464) przewiduje odrębny reżim dla spółek z państw trzecich prowadzących działalność w UE. Jeśli skonsolidowane przychody grupy z siedzibą poza UE przekraczają 150 milionów euro rocznie i grupa posiada co najmniej jedną spółkę zależną lub oddział w UE powyżej określonych progów – obowiązek raportowania na poziomie grupy pojawi się od roku 2029. To istotne dla polskich spółek wchodzących w skład grup z siedzibą w USA, Zjednoczonych Emiratach Arabskich czy na Ukrainie.

W kontekście transgranicznym warto wskazać na powiązanie z CRBR – Centralnym Rejestrem Beneficjentów Rzeczywistych. Dane o strukturze właścicielskiej zgłaszane do CRBR są coraz częściej weryfikowane przez kontrahentów w ramach due diligence ESG. Brak aktualnego wpisu w CRBR może skutkować wykluczeniem z łańcucha dostaw podmiotu już raportującego CSRD.

Jakie są sankcje za brak raportowania i jak działa nadzór?

Polska nowelizacja ustawy o rachunkowości z 12 grudnia 2024 roku wprowadza odpowiedzialność za niewykonanie obowiązków CSRD. Sprawozdanie zrównoważonego rozwoju podlega obowiązkowemu atestacji przez biegłego rewidenta. Brak atestacji lub brak samego sprawozdania to naruszenie przepisów o rachunkowości – z konsekwencjami zarówno dla spółki, jak i dla zarządu.

Odpowiedzialność zarządu za naruszenie obowiązków sprawozdawczych jest osobista. Przepisy k.s.h. – w szczególności art. 293 § 1 k.s.h. – przewidują odpowiedzialność członka zarządu wobec spółki za szkodę wyrządzoną działaniem lub zaniechaniem sprzecznym z prawem. Jeśli brak sprawozdania CSRD spowoduje utratę kontraktu lub wykluczenie z rynku publicznego, zarząd może odpowiadać bezpośrednio.

Nadzór nad raportowaniem niefinansowym sprawuje w Polsce kilka instytucji. KNF nadzoruje jednostki zainteresowania publicznego notowane na rynkach regulowanych. KRS weryfikuje kompletność dokumentów sprawozdawczych składanych przez spółki. Komisja Nadzoru Audytowego kontroluje jakość atestacji przez biegłych rewidentów.

Sankcje za naruszenia są stopniowane. Na poziomie europejskim trwa dyskusja o minimalnych standardach egzekwowania CSRD w państwach członkowskich. W Polsce system sankcji oparty jest na przepisach ustawy o rachunkowości – grzywna, ograniczenie wolności lub pozbawienie wolności do lat 2 za nierzetelne prowadzenie ksiąg rachunkowych, co obejmuje sprawozdanie zrównoważonego rozwoju jako część sprawozdania finansowego.

Spółka z sektora energetycznego z Dolnego Śląska, która w sezonie wiosennym 2024 roku nie wdrożyła systemu zbierania danych środowiskowych, stanęła przed problemem retrospektywnego uzupełniania danych za cały rok – co okazało się niemożliwe dla części wskaźników ESRS E1 dotyczących emisji scope 2.

Jak CSRD łączy się z innymi reżimami compliance – sygnaliści, AML i ESG raportowanie?

CSRD nie funkcjonuje w izolacji. Raportowanie zrównoważonego rozwoju przenika się z kilkoma równoległymi reżimami prawnymi, które każda duża firma musi wdrożyć niezależnie od CSRD. Nieuwzględnienie tych powiązań w strategii compliance to błąd, który firmy odkrywają najczęściej przy pierwszym audycie zewnętrznym.

Pierwszym reżimem powiązanym jest ustawa o ochronie sygnalistów z 14 czerwca 2024 roku, obowiązująca od 25 września 2024 roku. Zgodnie z art. 8 ustawy o sygnalistach każdy pracodawca zatrudniający co najmniej 50 pracowników musi wdrożyć wewnętrzny kanał zgłoszeń. To samo przedsiębiorstwo, które spełnia progi CSRD dla drugiej fali, prawie zawsze przekracza próg 50 pracowników z ustawy o sygnalistach. Oba systemy muszą działać równolegle. Szczegółowe wymagania techniczne i prawne dotyczące kanału zgłoszeń omawia nasz artykuł o kanale sygnalistów.

Drugim reżimem powiązanym jest AML – ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Instytucje obowiązane w rozumieniu tej ustawy (banki, firmy inwestycyjne, notariusze, doradcy podatkowi) muszą weryfikować beneficjentów rzeczywistych przez CRBR. Dane z CRBR są coraz częściej integralną częścią due diligence ESG – zarówno w kontekście CSRD, jak i wymagań łańcucha dostaw.

Trzecim elementem jest exit tax – podatek od wyjścia, który może się uruchomić przy restrukturyzacji grupy kapitałowej przeprowadzanej w celu optymalizacji struktury raportowania CSRD. Przeniesienie aktywów do innej jurysdykcji w ramach grupy może wygenerować obowiązek podatkowy w Polsce. Zagadnienie to szczegółowo analizujemy w artykule o exit tax.

W praktyce – wiele firm o tym zapomina – wdrożenie CSRD to projekt interdyscyplinarny. Wymaga jednoczesnej pracy działu prawnego (compliance, sygnaliści, AML), działu finansowego (dane ESG, atestacja), działu IT (systemy zbierania danych) i zarządu (zatwierdzenie strategii ESG). Compliance to proces, nie dokument.

Co przygotować przed wdrożeniem CSRD:

  • Analiza kwalifikacyjna: czy podmiot spełnia dwa z trzech progów przez dwa kolejne lata obrotowe
  • Mapa danych: które wskaźniki ESRS (E1–E5, S1–S4, G1) firma jest w stanie zbierać już teraz
  • Audyt systemów IT: czy ERP i systemy HR generują dane wymagane przez ESRS
  • Weryfikacja CRBR: aktualność wpisu o beneficjentach rzeczywistych
  • Weryfikacja kanału sygnalistów: zgodność z art. 8 ustawy o sygnalistach

Konkretna sytuacja Państwa firmy może wymagać jednoczesnego wdrożenia CSRD, kanału sygnalistów i aktualizacji procedur AML – a każde z tych działań ma własny termin i własne sankcje za naruszenie. Zaniechanie w jednym reżimie często uruchamia odpowiedzialność w drugim, co tworzy ryzyko kumulatywne i trudne do odwrócenia. Jeśli Państwa spółka wchodzi do drugiej fali CSRD i nie ma jeszcze wdrożonych kanałów sygnalistów ani aktualnego wpisu w CRBR – przeprowadzimy kompleksowy audyt compliance, zidentyfikujemy luki i przygotujemy harmonogram wdrożenia: info@kordeckipartners.com.

Jaka jest perspektywa strategiczna – CSRD jako narzędzie, nie tylko obowiązek?

Firmy, które traktują CSRD wyłącznie jako obowiązek regulacyjny, tracą przewagę konkurencyjną. Raport zrównoważonego rozwoju sporządzony według standardów ESRS jest dokumentem, który czytają banki przy ocenie zdolności kredytowej, fundusze private equity przy due diligence i kontrahenci przy kwalifikacji do łańcucha dostaw. To nie jest tylko dokument dla regulatora.

Z perspektywy strategicznej – CSRD wymusza cyfryzację danych operacyjnych. Firma, która zbiera dane o zużyciu energii, emisjach, rotacji pracowników i praktykach ładu korporacyjnego, buduje jednocześnie system wczesnego ostrzegania dla zarządu. Dane ESRS to dane zarządcze, które dotychczas były rozproszone lub niedostępne w czasie rzeczywistym.

Dla polskich przedsiębiorstw eksportujących do Niemiec, Francji czy krajów skandynawskich CSRD staje się de facto wymogiem rynkowym. Duże europejskie korporacje – już raportujące w pierwszej fali – wymagają od dostawców danych ESG w ramach raportowania łańcucha wartości (ESRS G1, S2). MŚP niepodlegające bezpośrednio CSRD mogą więc znaleźć się pod presją umowną ze strony swoich klientów.

Investor z Niemiec wchodzący do polskiej spółki produkcyjnej latem 2025 roku uzależnił zamknięcie transakcji od przedstawienia planu wdrożenia CSRD – mimo że spółka formalnie nie podlegała jeszcze żadnej fali. To sygnał rynkowy, który pokazuje, że harmonogram regulacyjny i harmonogram rynkowy to dwie różne rzeczy.

Uważamy, że firmy, które wdrożą CSRD proaktywnie – zanim obowiązek formalnie ich dotknie – zyskają przewagę informacyjną, wiarygodność finansową i odporność na przyszłe zaostrzenia regulacyjne. Firmy, które czekają na ostateczne terminy, ryzykują wdrożenie pod presją czasu, z danymi niskiej jakości i bez możliwości korekty.

Często zadawane pytania

P: Czy propozycja Omnibus definitywnie przesuwa termin dla drugiej fali na rok 2028?

O: Propozycja pakietu Omnibus Komisji Europejskiej zakłada przesunięcie drugiej fali CSRD na rok obrotowy 2028 – a więc pierwsze sprawozdania w 2029 roku. Na dzień sporządzenia tej analizy propozycja nie została jeszcze formalnie przyjęta przez Parlament Europejski i Radę UE. Oznacza to, że termin może ulec zmianie. Firmy spełniające progi drugiej fali powinny monitorować postęp legislacyjny i nie wstrzymywać przygotowań wyłącznie na podstawie propozycji, która nie ma jeszcze mocy wiążącej.

P: Czy polska spółka zależna grupy zagranicznej musi raportować indywidualnie?

O: Polska spółka zależna wchodząca w skład grupy kapitałowej z podmiotem dominującym w innym państwie UE może być zwolniona z indywidualnego obowiązku raportowania CSRD – jeśli spółka dominująca sporządza skonsolidowane sprawozdanie obejmujące tę spółkę zależną i spełnione są warunki formalne określone w dyrektywie CSRD (Dyrektywa UE 2022/2464). Zwolnienie to nie jest automatyczne i wymaga ujawnienia w sprawozdaniu jednostkowym spółki zależnej. Warto również zweryfikować, czy spółka dominująca raportuje według standardów równoważnych ESRS.

P: Jakie są koszty wdrożenia CSRD dla średniej firmy?

O: Koszty wdrożenia CSRD dla podmiotu z drugiej fali zależą przede wszystkim od dojrzałości systemów danych. Firmy z zaawansowanymi systemami ERP i HR ponoszą niższe koszty adaptacji – szacunki rynkowe wskazują na przedział od kilkudziesięciu do kilkuset tysięcy złotych za pierwszy rok wdrożenia, plus koszt atestacji przez biegłego rewidenta. Firmy zbierające dane ręcznie muszą uwzględnić inwestycję w systemy informatyczne. Koszt zaniechania – utrata kontraktów, wykluczenie z finansowania bankowego – jest trudniejszy do wyceny, ale potencjalnie wielokrotnie wyższy.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do ESG raportowania, compliance i wdrożeń CSRD. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.