CSRD og VSME-loftet: Hvad må dine kunder kræve?

Viden Generel

CSRD og VSME-loftet i detaljer: Hvad må dine kunder juridisk kræve af dig?

EU’s VSME-loft (indført med Omnibus I, februar 2026) begrænser, hvilke ESG-oplysninger en stor kunde må kræve af dig som leverandør til sin CSRD-rapportering. Loftet svarer til VSME-standardens basismodul – omkring 50 datapunkter. Scope 3-tal og bankens kreditspørgsmål ligger uden for loftet og er almindelige kommercielle spørgsmål, du ikke kan afvise med henvisning til loven.

Kort resumé

Har du ikke læst den simple version først? Start med VSME: Loftet for ESG-krav til SMV’er – den giver den korte version. Denne artikel går i dybden.

Når en stor kunde beder om ESG-rapportering eller CO2-tal fra dig, er det som regel fordi kunden selv er forpligtet af EU’s CSRD-regler til at rapportere på hele sin værdikæde – inklusive dig som leverandør. Det rejser et naturligt spørgsmål: hvor meget må de egentlig kræve?

Med Omnibus I-direktivet (direktiv (EU) 2026/470) fik virksomheder med højst 1.000 ansatte en lovfæstet ret til at sige “nej” til CSRD-datakrav, der går ud over en bestemt liste af oplysninger – det, EU selv kalder et “value chain cap” (værdikædeloft). Den 3. juli 2026 vedtog EU-Kommissionen den delegerede forordning C(2026) 5011, der endeligt fastlægger, hvad listen indeholder. Listen er langt kortere end hele standarden bag den, og Scope 3-tal (udledninger fra det, virksomheden køber ind og sælger videre) er slet ikke med.

Et navn i forandring

Standarden bag loftet hed indtil for nylig VSME – kort for det engelske “Voluntary Sustainability reporting standard for Micro and Small Enterprises”. Med Kommissionens retsakt af 3. juli 2026 mistede selve VSME-henstillingen sin retsvirkning, og den nye forordning bruger formelt kun den generiske betegnelse “den frivillige standard” (uofficielt “VS” hos nogle rådgivere, bl.a. det tyske standardiseringsråd DRSC). Vi bruger alligevel “VSME” gennem resten af denne artikel, fordi det er navnet, der er indarbejdet og genkendeligt i Danmark – selve indholdet er stort set uændret, det er kun det formelle navn på retsakten, der er skiftet.

Samme dag vedtog Kommissionen desuden en anden, separat retsakt (C(2026) 5010), der forenkler de European Sustainability Reporting Standards (ESRS) – den standard, de ca. 220 CSRD-pligtige danske virksomheder selv skal rapportere efter. Det er ikke denne artikels emne, men værd at kende forskellen: ESRS er de stores obligatoriske standard, VSME er SMV’ernes frivillige. Direktivet, der giver dig retten til at afvise data ud over loftet, hedder på engelsk Corporate Sustainability Reporting Directive (CSRD) – samme forkortelse, uanset om man taler dansk eller engelsk om den.

Baggrunden kort

CSRD-pligten gælder i dag kun virksomheder med over 1.000 ansatte OG en nettoomsætning over 450 mio. euro. EU-Kommissionen estimerede allerede ved forslaget i februar 2025, at omkring 80% af de tidligere omfattede virksomheder ville ryge ud af direkte rapporteringspligt. I Danmark er det ifølge Dansk Erhverv og FSR – danske revisorer omkring 220 virksomheder, der fortsat er omfattet.

De ca. 220 danske virksomheder (og de ca. 10.000 i EU) skal stadig rapportere CO2- og ESG-data fra hele deres værdikæde – altså også fra jer, hvis I leverer til dem. Omnibus I kalder mindre virksomheder i værdikæden (op til 1.000 ansatte) “beskyttede virksomheder” og giver dem ret til at sige nej til oplysninger, der går ud over, hvad VSME kræver – men kun når anmodningen bruges til CSRD-rapportering. Direktivet nævner udtrykkeligt, at beskyttelsen gælder, uanset om anmodningen kommer direkte eller indirekte – det betyder, at den følger med ned gennem flere led af leverandørkæden, ikke kun til den store kundes direkte leverandør. (Vi går mere i dybden med den juridiske status og tidslinjen nedenfor.)

Loftet er en liste – ikke hele standarden

Det er let at tro, at loftet dækker hele VSME-standarden. Det gør det ikke.

Kun et udvalgt sæt oplysninger – dem Kommissionen selv kalder “essentielle” – er omfattet af loftet. Resten af standarden findes stadig og kan bruges frivilligt, men kan ikke kræves af dig. Bilag II til forordningen lister dem op i to kolonner – én for virksomheder med mere end 10 ansatte, én for virksomheder med 10 ansatte eller derunder:

For virksomheder med mere end 10 ansatte dækker listen generelle virksomhedsoplysninger, energiforbrug og estimerede udledninger af drivhusgasser – fagligt kaldet Scope 1 (egne udledninger, fx fra egne køretøjer) og lokationsbaseret Scope 2 (udledninger fra det strøm- og varmeforbrug, I selv køber) – samt vandforbrug, affald og cirkularitet, medarbejderoplysninger (antal ansatte, arbejdsulykker, løn, overenskomstdækning, uddannelsestimer, medarbejderomsætning), en kort beskrivelse af produkter/markeder/forretningsforbindelser samt et par menneskerettighedsrelaterede punkter (adfærdskodeks, klagemekanisme, bekræftede hændelser).
For virksomheder med 10 ansatte eller derunder er listen kortere: kun de administrative og medarbejderrelaterede punkter er med. De mest krævende miljøoplysninger – energiforbrug, drivhusgasudledninger, vandforbrug, affald – er markeret som frivillige i selve standarden for de mindste virksomheder og står derfor slet ikke på deres liste i bilag II.

Men “uden for loftet” betyder her det samme som ved Scope 3: det er ikke en garanti for, at I slipper for spørgsmålet. Beder en stor kunde specifikt om jeres energi- eller udledningstal, fordi de selv har brug for dem til deres CSRD-rapportering, har I ikke en lovfæstet ret til at afvise – loftets afvisningsret dækker kun det, der faktisk står på jeres liste.

Til dem der vil tjekke tallet selv: vi har gennemgået bilag II linje for linje og talt 23 rækker for virksomheder med mere end 10 ansatte, 9 rækker for de mindste – men mindst én række bundler flere underpunkter, så et samlet tal afhænger af, om man tæller rækker eller underpunkter. Bilag II selv er den fulde, autoritative liste – vores optælling er kun en hjælp til at give en fornemmelse af størrelsen.

Grænser for loftet: Scope 3 og andet, du stadig kan blive spurgt om

Standardens omfattende modul behandler Scope 3-emissioner som en frivillig oplysning, og Scope 3 optræder slet ikke på bilag II’s liste. En stor kunde kan altså ikke bruge loftet som argument for at kræve Scope 3-tal af dig – men loftets afvisningsret beskytter dig omvendt heller ikke, hvis nogen beder om det. Vi går i dybden med, hvad det betyder kommercielt, i Når kunden beder om CO2-tal.

Loftet gælder kun til CSRD-formål. Det gælder kun, når oplysningerne bruges til bæredygtighedsrapportering efter regnskabsdirektivet – det rører ikke ved krav, der følger af kontrakter eller anden lovgivning, fx udbudsregler.

Beder nogen om mere, skal de sige det. Beder en rapporteringspligtig virksomhed om oplysninger ud over loftet, er den forpligtet til at oplyse dig om, hvilke ekstra oplysninger der er tale om, og om din lovfæstede ret til at afvise dem. Det er ikke noget, du selv skal opdage eller undersøge.

Den juridiske status

Kommissionen vedtog reglerne den 3. juli 2026, men de er endnu ikke trådt i kraft. Europa-Parlamentet og Rådet har nu en kontrolperiode på to måneder til at gøre indsigelse, som kan forlænges med yderligere to måneder – Rådet fik sagen til gennemsyn den 9. juli 2026. Gør ingen af de to indsigelse, træder reglerne i kraft, og loftet gælder fra det regnskabsår, der begynder 1. januar 2027 eller senere. Selve retten til at afvise (fra Omnibus I-direktivet) skal desuden skrives ind i dansk lov senest 19. marts 2027. Indtil da er indholdet ovenfor Kommissionens vedtagne, men endnu ikke endeligt gældende, regler.

Hvad indeholder standarden ud over loftet?

VSME er bygget op i to moduler:

Basismodulet består af 11 oplysningskrav (B1-B11), der dækker miljø, sociale forhold og governance – fra energiforbrug og CO2-udledning over affald og medarbejderforhold til eventuelle domme for korruption. Det meste af det, virksomheder bliver bedt om, kommer herfra.

Det omfattende modul tilføjer 9 oplysningskrav (C1-C9) om bl.a. strategi og forretningsmodel, klimamål og menneskerettighedsforhold. Vejledningen om Scope 3-emissioner ligger også i dette modul – som en frivillig uddybning af B3-emissionstallet, ikke som et selvstændigt nummereret krav. Modulet bliver relevant, når en bank, investor eller stor kunde beder om mere end basis.

Vi angiver bevidst ikke et samlet datapunkt-tal for hele standarden: Kommissionen skriver selv, at antallet er reduceret sammenlignet med den gamle VSME-standard fra december 2024, men uden et præcist nyt tal – og som nævnt ovenfor afhænger ethvert “datapunkt-tal” af, hvordan man tæller underpunkter.

Hvad med banken?

Finanstilsynet offentliggjorde i juni 2026 en tværgående rapport om pengeinstitutters håndtering af ESG-relaterede kreditrisici – efter inspektioner hos Danske Bank, Jyske Bank og Nykredit Bank i 2025, der alle førte til påbud om at blive bedre til at analysere ESG-relaterede kreditrisici. Rapporten er tydelig om, hvorfor det betyder noget for jer som leverandør:

“Der er i praksis god sammenhæng mellem rapportering i henhold til den frivillige standard for bæredygtighedsrapportering, VSME, og identifikationen af kreditrisici relateret til ESG. VSME kan dermed fungere som et struktureret datagrundlag (…), der understøtter udvælgelsen af få, men kreditrelevante, ESG-datapunkter.” – Finanstilsynet, “Pengeinstitutters håndtering af kreditrisici relateret til ESG”, juni 2026 (s. 7-8)

Finanstilsynet

Pengeinstitutters håndtering af kreditrisici relateret til ESG”, juni 2026 (s. 7-8)

Se hele rapporten her

Rapporten bruger samme navn, VSME, som denne artikel – se “Et navn i forandring” ovenfor om, at EU’s egen forordning formelt har droppet navnet, selvom vi og branchen fortsat bruger det.

Kravene gælder alle danske pengeinstitutter, tilpasset det enkelte instituts størrelse, forretningsmodel og risikoprofil.

EU’s banktilsynsmyndighed EBA har designet bankernes kommende ESG-oplysningskrav, så de holder sig inden for VSME’ rammer – EBA’s endelige rapport fra juni 2026 fastslår, at kravene ikke overstiger informationen i VSME. Store banker forventes at rapportere med skæringsdato 31. december 2026.

Bemærk: bankernes ESG-kreditkrav er ikke omfattet af loftets afvisningsret, som kun gælder CSRD-formål – bankerne er altså ikke juridisk bundet af loftet. De holder sig alligevel til det, fordi både EBA og Finanstilsynet peger på VSME som referencerammen.

Kort sagt: dataene ligger allerede i din bogføring

Uanset om kravet kommer fra en stor kunde eller din bank, er svaret det samme: listen er kortere, end de fleste tror, og de fleste af tallene på den findes allerede i jeres bogføring – energiforbrug, indkøb, medarbejderdata. Det er derfor mange bruger et system som Verarca, der automatisk henter og beregner tallene fra bogføringen, i stedet for at samle dem manuelt i et regneark hver gang en kunde eller bank spørger.

Er VSME lovpligtig?

Nej, standarden er frivillig at anvende. Men den ligger til grund for et lovfæstet loft: virksomheder med højst 1.000 ansatte har ret til at afvise CSRD-relaterede datakrav ud over loftets liste. EU’s egen forordning fra 3. juli 2026 bruger formelt kun den generiske betegnelse “den frivillige standard”, efter at den oprindelige VSME-henstilling mistede retsvirkning – men indholdet er stort set uændret, og vi (og branchen) bruger fortsat navnet VSME.

Hvad er præcis omfattet af loftet?

En navngiven liste over generelle virksomhedsoplysninger, udvalgte miljøtal (energi, drivhusgasudledninger, vand, affald), medarbejderoplysninger og et par governance-/menneskerettighedspunkter – kortere for virksomheder med 10 ansatte eller derunder, hvor miljøpunkterne er taget ud. Listen fremgår af bilag II til forordningen – ikke af hele VSME-standarden. Scope 3-emissioner er ikke med på listen.

Gælder loftet også, når min bank beder om ESG-data?

Nej, ikke juridisk. Loftet gælder kun anmodninger til brug for CSRD-rapportering. Bankernes egne ESG-kreditkrav følger anden regulering (Finanstilsynets tilsynspraksis, EBA’s Pillar 3-krav) – men både EBA og Finanstilsynet holder sig til VSME’s rammer som referencepunkt, uden at være juridisk bundet af loftet.

Er loftet allerede gældende ret, og hvornår gælder det i Danmark?

Ikke endnu. Kommissionen vedtog reglerne 3. juli 2026, men de skal først igennem en kontrolperiode i Europa-Parlamentet og Rådet (frem til efteråret 2026, kan forlænges), og selve retten til at afvise (Omnibus I) skal desuden skrives ind i dansk lov senest 19. marts 2027. Under alle omstændigheder gælder loftet først fra det regnskabsår, der begynder 1. januar 2027 eller senere.

Betyder det, at jeg kan sige nej til at levere Scope 3-tal?

Nej. Loftet giver dig kun ret til at afvise krav ud over listen i bilag II til CSRD-formål – og Scope 3 er slet ikke på den liste. Beder en kunde om dine Scope 3-tal, fordi de selv har brug for dem til deres regnskab, står du uden lovfæstet ret til at sige nej. Det gør Scope 3 til et kommercielt spørgsmål, ikke et juridisk et – se Når kunden beder om CO2-tal.

Skal jeg bruge Basis- eller det omfattende modul?

Hvis du er i tvivl, så start med Basis – det dækker det, banker og kunder typisk beder om, og det er her loftets liste primært hører hjemme. Det omfattende modul (bl.a. Scope 3 og klimamål) er frivilligt og bliver relevant, når en bank, investor eller stor kunde konkret beder om mere.

Er VSME det samme som GRI Standards?

Nej, det er to forskellige, ikke-relaterede standarder. GRI Standards (Global Reporting Initiative) er en ældre, global standard, som mange store virksomheder allerede bruger frivilligt. VSME er EU’s egen, nyere standard, bygget specifikt til at være enklere for mikro- og små virksomheder – og det er VSME, ikke GRI, der ligger til grund for loftet i denne artikel. Møder du GRI-terminologi hos en stor kunde, er det altså et andet regelsæt end det, VSME-loftet handler om.