Pendant des décennies, une multinationale pouvait sourire devant la caméra, brandir son rapport RSE, et déclarer qu’elle ignorait ce qui se passait dans ses usines au Bangladesh ou dans ses mines au Congo. Cette époque est révolue. La directive CSDDD, entrée en vigueur en juillet 2024, transforme l’ignorance en faute légale. Ce n’est pas une promesse politique de plus : c’est une obligation juridique contraignante, avec des sanctions réelles, qui change les règles du jeu pour des milliers d’entreprises opérant en Europe. Voici ce que vous devez savoir, sans langue de bois.

Ce que la CSDDD change vraiment, dès le départ

La CSDDD, aussi appelée CS3D (Corporate Sustainability Due Diligence Directive), a été adoptée par le Parlement européen le 24 avril 2024, puis par le Conseil européen le 24 mai 2024. Le texte final a été publié au Journal officiel de l’UE le 5 juillet 2024, et la directive est entrée en vigueur le 25 juillet 2024. Pour la première fois dans l’histoire de la législation européenne, les grandes entreprises ne peuvent plus se contenter de déclarer leurs bonnes intentions : elles sont légalement tenues d’identifier, prévenir et réparer leurs impacts négatifs sur les droits humains et l’environnement, y compris chez leurs fournisseurs, sous-traitants et partenaires commerciaux.

Ce changement est fondamental. Avant la CSDDD, les obligations de vigilance existaient dans certains pays, mais restaient fragmentées et souvent volontaires. L’Allemagne avait sa loi LkSG depuis 2021, la France sa loi sur le devoir de vigilance depuis 2017. La CSDDD harmonise tout cela à l’échelle de l’Union, en ajoutant une exigence qui n’existait nulle part à cette échelle : l’obligation d’agir, pas seulement de signaler.

Qui est concerné (et qui ne l’est pas)

Après l’Omnibus I, adopté définitivement par le Parlement européen le 16 décembre 2025 et publié au Journal officiel le 26 février 2026, le périmètre d’application a été réduit de près de 70 %. On est passé d’une estimation initiale de 15 000 à 20 000 entreprises concernées à environ 2 900 groupes dans le monde, dont un tiers a son siège hors de l’Union européenne. Pour la France, cela représente environ 145 entreprises. Voici les seuils applicables :

Les PME sont officiellement exclues du champ d’application direct. Mais ne vous y trompez pas : elles seront indirectement touchées via leurs donneurs d’ordre. Un fournisseur de petite taille qui travaille avec un grand groupe soumis à la CSDDD devra répondre aux exigences de vigilance de ce dernier, qu’il le veuille ou non. C’est là qu’entre en jeu la norme VSME, mais nous y revenons plus loin.

Les obligations concrètes : ce que les entreprises doivent faire

Imaginez un directeur compliance qui reçoit ce texte un lundi matin. Sa semaine ne ressemblera plus jamais à celle d’avant. La CSDDD ne lui demande pas de produire un rapport supplémentaire : elle lui demande de transformer en profondeur les processus internes de l’entreprise, de la gouvernance jusqu’aux contrats fournisseurs. Le devoir de vigilance s’articule autour de six piliers structurants, que les entreprises concernées doivent mettre en oeuvre de manière intégrée :

• Gouvernance interne : intégrer le devoir de vigilance dans les politiques de l’entreprise, avec approbation au niveau du conseil d’administration.
• Cartographie des risques : identifier les impacts réels et potentiels sur les droits humains et l’environnement, via un exercice de scoping en deux étapes (général, puis ciblé sur les zones à risque).
• Prévention et atténuation : mettre en place des mesures concrètes, comme des clauses contractuelles avec les fournisseurs, des audits sur site, des investissements dans des pratiques plus durables.
• Remédiation : traiter les impacts négatifs avérés, en suspendant ou rompant une relation commerciale si l’impact ne peut pas être corrigé.
• Mécanisme d’alerte : créer un dispositif accessible, transparent et gratuit permettant à toute partie prenante (salariés, ONG, communautés locales) de signaler des violations.
• Communication publique : rendre compte annuellement des actions de vigilance menées, soit dans le rapport de durabilité, soit sur le site de l’entreprise.

Ce qui distingue la CSDDD de la CSRD, c’est précisément ce dernier point. Identifier ne suffit plus : il faut agir. La directive exige des actes documentés, proportionnés à l’ampleur des risques, et contrôlables par des autorités nationales. C’est une logique de responsabilité effective, et non de simple transparence.

Ce que l’Omnibus a supprimé, et pourquoi ça fait débat

Le paquet Omnibus I n’a pas seulement réduit le nombre d’entreprises concernées. Il a aussi allégé substantiellement le contenu des obligations. Plusieurs mesures phares de la directive originale ont été supprimées ou affaiblies :

• L’obligation d’adopter un plan de transition climatique aligné sur l’Accord de Paris a été entièrement supprimée.
• Le régime harmonisé de responsabilité civile à l’échelle européenne a été retiré : c’est désormais le droit national de chaque État membre qui s’applique.
• Le plafond de sanctions est passé de 5 % à 3 % du chiffre d’affaires net mondial.
• La résiliation des contrats fournisseurs en dernier recours a été remplacée par une simple suspension temporaire (sauf si les États membres maintiennent cette option dans leur transposition nationale).

Officiellement, c’est de la simplification. Dans les faits, c’est un recul assumé. La Commission nationale consultative des droits de l’Homme (CNCDH) a parlé d’un net infléchissement, alertant dès février 2025 sur le risque de fragiliser le modèle européen d’entreprise responsable construit patiemment depuis dix ans. Du côté des entreprises, certains y voient une nécessité compétitive face aux concurrents américains et asiatiques qui n’ont pas de telles contraintes réglementaires. Ce débat n’est pas tranché : nous pensons, pour notre part, qu’alléger les sanctions et supprimer la responsabilité civile harmonisée revient à retirer les dents d’une loi qui en avait besoin pour être prise au sérieux. Une directive sans régime de responsabilité robuste reste une déclaration d’intention très bien habillée.

CSDDD vs CSRD : deux directives, deux logiques à ne pas confondre

La confusion entre ces deux textes est fréquente, y compris dans les directions financières. Pourtant, leur logique est fondamentalement différente. La CSRD (Corporate Sustainability Reporting Directive) impose de dire : publier des informations extra-financières structurées, auditées, comparables. C’est une obligation de transparence. La CSDDD impose de faire : identifier les risques, prévenir les dommages, réparer les préjudices. C’est une obligation d’action.

Les deux textes sont complémentaires et se nourrissent l’un l’autre. La cartographie des risques exigée par la CSDDD alimente naturellement le reporting de durabilité de la CSRD. L’Omnibus a d’ailleurs rationalisé leur articulation pour éviter les doublons, notamment sur les plans de transition climatique. Pour les entreprises soumises aux deux directives, le pilotage conjoint de ces dispositifs n’est pas une option : c’est une nécessité opérationnelle, inscrite dans la logique même du Pacte vert européen.

Le calendrier actuel : ce qui s’applique, et quand

Le calendrier a été profondément remanié par l’Omnibus. La mise en oeuvre progressive par vagues a disparu : toutes les entreprises concernées seront soumises à la même date unique, le 26 juillet 2029. Les États membres disposent, eux, jusqu’au 26 juillet 2028 pour transposer la directive dans leur droit national. Voici les étapes clés :

Le délai peut sembler long. Il ne l’est pas. Cartographier une chaîne de valeur mondiale, mettre en place un mécanisme d’alerte multilingue, former les équipes achats, réécrire les contrats fournisseurs : tout cela prend des années. Les entreprises qui commencent en 2028 seront en retard.

Ce que ça change pour les fournisseurs et partenaires commerciaux

C’est l’angle que la plupart des articles oublient. La CSDDD ne concerne pas seulement les 2 900 groupes directement en scope : elle crée un effet d’entraînement massif sur l’ensemble des chaînes d’approvisionnement mondiales. Un tiers des groupes concernés ayant leur siège hors de l’UE, la portée extraterritoriale de ce texte est considérable. Pour les PME françaises ou européennes qui fournissent ces grands groupes, la pression viendra directement de leurs clients, sous forme de questionnaires de conformité, de clauses contractuelles ESG et d’exigences documentaires.

Pour encadrer cette dynamique et protéger les petits fournisseurs d’exigences disproportionnées, la Commission européenne a recommandé en juillet 2025 la norme VSME (Voluntary Sustainability Reporting Standard for SMEs). Ce référentiel volontaire joue un double rôle : il donne aux PME un cadre structuré pour répondre aux demandes de leurs donneurs d’ordre, et il fixe une limite légale. Les entreprises soumises à la CSRD n’ont pas le droit d’exiger de leurs fournisseurs de moins de 1 000 salariés des informations allant au-delà du standard VSME. Toute clause contractuelle contraire est sanctionnable. C’est une protection concrète, souvent ignorée.

Sanctions et responsabilité : ce qu’on risque vraiment

Après l’Omnibus, le régime de sanctions a été allégé mais reste significatif. Les autorités nationales désignées par chaque État membre pourront infliger des amendes plafonnnées à 3 % du chiffre d’affaires net mondial de l’entreprise fautive. Pour un groupe réalisant 10 milliards d’euros de CA, cela représente 300 millions d’euros d’amende maximale. Ce n’est pas négligeable, même si le plafond initial de 5 % avait une portée dissuasive supérieure. La responsabilité civile harmonisée au niveau européen a, elle, été supprimée : les victimes de violations devront désormais se tourner vers le droit national de chaque État membre pour obtenir réparation, avec des niveaux de protection très variables selon les pays.

Certains États membres peuvent toutefois aller plus loin dans leur transposition nationale, en maintenant une responsabilité civile renforcée ou en relevant leurs propres exigences. La France, forte de son expérience avec la loi de 2017, est bien placée pour le faire. Au final, se demander si l’on risque vraiment 3 % de son chiffre d’affaires, c’est poser la mauvaise question. La vraie question, c’est : combien coûte une réputation mondiale perdue pour avoir ignoré les conditions de travail dans une usine au bout du monde ?

La CSDDD, miroir d’un monde qui change de règles

La France a été pionnière en 2017 avec sa loi sur le devoir de vigilance. L’Europe a mis sept ans à s’en inspirer, à l’étendre, à l’harmoniser. Ce délai dit quelque chose sur la lenteur des institutions, mais aussi sur la résistance farouche d’une partie du monde des affaires qui voyait dans cette loi une menace pour sa compétitivité. La CSDDD, même dans sa version allégée par l’Omnibus, représente un tournant que l’on ne peut pas défaire facilement. Elle inscrit dans le droit européen une idée simple mais révolutionnaire : une entreprise est responsable de ce qu’elle crée, y compris quand elle le crée à 10 000 kilomètres de son siège social, via des intermédiaires qu’elle choisit et rémunère.

La chaîne de valeur n’est plus un espace d’impunité. Elle est devenue un espace de responsabilité légale. Et pour ceux qui espèrent encore que ces règles ne s’appliqueront jamais vraiment : la CSDDD ne demande pas aux entreprises d’être parfaites. Elle leur demande de ne plus faire semblant de ne pas savoir.