La directive sur le devoir de vigilance des entreprises en matière de durabilité (CSDDD)

La directive sur le devoir de vigilance des entreprises en matière de durabilité (CSDDD), directive (UE) 2024/1760, est une directive européenne imposant aux grandes entreprises de mettre en œuvre un devoir de vigilance sur leurs propres activités et celles de leurs partenaires commerciaux. Les éléments essentiels de cette obligation consistent à recenser, faire cesser, prévenir, atténuer et rendre compte des incidences négatives sur les droits humains et sur l’environnement dans les activités, les chaînes de valeur et les filiales de l’entreprise.

Plus précisément, la directive instaure un cadre juridique harmonisé pour traiter les incidences négatives environnementales et sur les droits humains, en fixant des attentes claires et des obligations légales que les entreprises doivent respecter, contribuant ainsi à une économie plus durable et plus responsable.

Conformément à l’annexe de la directive (UE) 2024/1760 (partie I, droits humains ; partie II, environnement), et en s’appuyant sur des cadres et conventions internationalement reconnus tels que les conventions de l’OIT et le protocole de Montréal, les incidences négatives sur les droits humains et sur l’environnement que les entreprises doivent évaluer et gérer comprennent notamment, sans s’y limiter :

Droits humains : le travail des enfants, le travail forcé ou obligatoire, et la discrimination ; et
Environnement : la perte de biodiversité, la pollution marine, et la dégradation de l’environnement.

En recensant, en prévenant, en atténuant et en rendant compte de ces incidences négatives, et en mettant en place des systèmes de gouvernance et de gestion solides, les entreprises peuvent impulser un changement réel, en favorisant la transparence et la responsabilisation.

Du point de vue du devoir de vigilance, la CS3D n’invente pas une nouvelle norme de conduite des entreprises : il reprend le cadre volontaire de longue date énoncé dans les Principes directeurs des Nations unies relatifs aux entreprises et aux droits de l’homme (2011) et les Principes directeurs de l’OCDE à l’intention des entreprises multinationales sur la conduite responsable des entreprises (ainsi que le Guide OCDE sur le devoir de diligence qui les accompagne), et le transforme en droit européen contraignant pour les grandes entreprises. Ainsi, la véritable innovation du CS3D ne réside pas dans le contenu de la norme mais dans son statut juridique, transformant un cadre de responsabilité des entreprises largement adopté mais volontaire en une obligation exécutoire, assortie des pouvoirs d’une autorité de contrôle.

En vertu de l’article 5 de la directive (UE) 2024/1760, l’obligation centrale de devoir de vigilance du CS3D est définie comme une séquence d’actions déterminée qui correspond directement au célèbre cadre de devoir de vigilance en six étapes de l’OCDE :

Intégrer la conduite responsable des entreprises dans les politiques et les systèmes de gestion (article 7)
Recenser et évaluer les incidences négatives dans les activités, les chaînes d’approvisionnement et les relations commerciales (articles 8 et 9)
Faire cesser, prévenir ou atténuer les incidences négatives (articles 10 et 11)
Suivre la mise en œuvre et les résultats (article 15)
Communiquer sur la manière dont les incidences sont traitées (article 16)
Prévoir une mesure corrective ou coopérer à sa mise en œuvre lorsque cela est approprié (articles 12, 13 et 14)

Veuillez noter que la directive Omnibus I (UE) 2026/470, publiée au Journal officiel le 26 février 2026 et applicable depuis le 18 mars 2026, a considérablement restreint le champ d’application et assoupli plusieurs exigences clés du CS3D. En résumé, elle a relevé les seuils de champ d’application, limité le devoir de vigilance systématique aux partenaires commerciaux directs, supprimé l’obligation de plan de transition climatique, remplacé le précédent plancher de sanction non plafonné de 5 % par un plafond de 3 %, et unifié les dates de mise en conformité en une date unique, un an plus tard que le délai de transposition initial.

La proposition de CSDDD vise à favoriser un comportement durable et responsable des entreprises tout au long des chaînes de valeur mondiales, en offrant une sécurité juridique et des conditions de concurrence équitables pour les entreprises.

Cet objectif a toutefois été considérablement recalibré par la directive Omnibus I (UE) 2026/470. Omnibus I a été introduit dans le cadre du programme plus large de la Commission en matière de « simplification et de compétitivité », à la suite de retours indiquant que la CSDDD initiale imposait une charge administrative disproportionnée, en particulier aux entreprises se situant juste au-dessus des seuils initiaux et aux PME indirectement concernées par les chaînes de valeur des grandes entreprises relevant du champ d’application.

Omnibus restreint à qui elle s’applique et jusqu’où certaines obligations s’étendent.

À qui elle s’applique : le détail des évolutions du champ d’application

Le changement le plus significatif concerne les seuils de champ d’application, qui déterminent quelles entreprises doivent se conformer à la directive :

Entreprises de l’UE : le seuil est passé de plus de 1 000 salariés et 450 millions d’euros de chiffre d’affaires net mondial, à plus de 5 000 salariés et 1,5 milliard d’euros de chiffre d’affaires net mondial,
Entreprises hors UE : le seuil est passé de 450 millions d’euros de chiffre d’affaires net réalisé dans l’UE, à 1,5 milliard d’euros de chiffre d’affaires net réalisé dans l’UE,
Groupes de franchise/licence : les seuils de redevances et de chiffre d’affaires sont passés de 22,5 millions d’euros de redevances / 80 millions d’euros de chiffre d’affaires mondial, à 75 millions d’euros de redevances / 275 millions d’euros de chiffre d’affaires mondial.

Autres changements clés et ce qu’ils signifient :

Changement	Ce que cela signifie
Le devoir de vigilance restreint aux partenaires commerciaux directs	Le devoir de vigilance systématique n’est désormais requis qu’à l’égard des partenaires commerciaux directs ; les partenaires commerciaux indirects ne sont évalués que lorsque des informations crédibles indiquent qu’une incidence négative s’est produite ou pourrait se produire. Les entreprises n’ont plus besoin de cartographier et d’évaluer par défaut l’intégralité de leur chaîne d’approvisionnement à plusieurs niveaux.
Suppression de l’obligation de plan de transition climatique	L’obligation autonome d’adopter et de mettre en œuvre un plan de transition climatique pour l’atténuation du changement climatique a été entièrement supprimée. La planification de la transition ne constitue plus un élément de conformité à la CSDDD (bien qu’elle puisse subsister au titre des obligations de reporting de la CSRD pour les entreprises relevant du champ d’application de cette directive).
Suppression du régime harmonisé au niveau de l’UE de responsabilité civile	Le régime de responsabilité civile à l’échelle de l’Union a été supprimé ; la responsabilité relève désormais du droit national. Les modalités précises d’accès à l’indemnisation, les règles de preuve et les mécanismes procéduraux varieront selon les États membres, bien que les victimes conservent un droit à une réparation intégrale lorsque la responsabilité est établie.
Un plafond de sanction remplace le précédent plancher	Le plancher non plafonné de 5 % du chiffre d’affaires mondial a été remplacé par un plafond harmonisé de 3 % du chiffre d’affaires net mondial. Les sanctions sont désormais bornées, et les autorités de contrôle doivent tenir compte d’un éventail plus large de facteurs (gravité, durée, mesures d’atténuation) plutôt que d’indexer les amendes uniquement sur le chiffre d’affaires.
Unification des dates de mise en conformité	Les délais de transposition et d’application ont été regroupés en dates uniques pour toutes les entreprises relevant du champ d’application. Finies les dates échelonnées par vagues « Groupe 1 / Groupe 2 » : toutes les entreprises se conforment à partir de la même date.

Ce qui demeure : les exigences essentielles toujours en vigueur

Exigence clé	Ce que cela signifie
Intégration de la politique de devoir de vigilance et de la gestion des risques (art. 7)	Les entreprises doivent adopter une politique de devoir de vigilance, élaborée enconsultation avec les salariés, et l’intégrer dans les politiques de l’entreprise et les systèmes de gestion des risques, y compris un code de conduite étendu aux partenaires commerciaux.
Identification et évaluation des incidences négatives (art. 8 et 9)	Les entreprises doivent cartographier leurs activités et leurs partenaires commerciaux directsafin de recenser les zones où des incidences sont les plus probables et les plus graves, procéder à une évaluation approfondie dans ces domaines, et hiérarchiser les incidences les plus graves/probables lorsqu’il n’est pas possible de toutes les traiter à la fois.
Prévention des incidences potentielles (art. 10)	Les entreprises doivent prendre des mesures appropriées pour prévenir les incidences négatives potentielles identifiées avant qu’elles ne se produisent, notamment en adaptant leurs pratiques d’achat et en recherchant des garanties contractuelles.
Faire cesser ou réduire les incidences avérées (art. 11)	Lorsqu’une incidence négative s’est produite, les entreprises doivent prendre des mesures appropriées pour y mettre fin ou en réduire l’ampleur, le désengagement n’étant retenu qu’en dernier recours.
Mesures correctives(art. 12)	Les entreprises doivent assurer une mesure corrective lorsqu’elles ont causé une incidence négative ou contribué à celle-ci.
Dialogue avec les parties prenantes (art. 13)	Les entreprises doivent engager un dialogue effectif avec les parties prenantes concernées à des étapes définies du processus de devoir de vigilance (identification, planification des actions, conception des mesures correctives).
Mécanisme de plaintes et de notification (art. 14)	Les entreprises doivent mettre en place et maintenir un canal permettant aux parties prenantes de faire part de leurs préoccupations concernant des incidences négatives avérées ou potentielles.
Suivi de l’efficacité (art. 15)	Les entreprises doivent vérifier si leur politique de devoir de vigilance et leurs mesures fonctionnent réellement, et les actualiser si nécessaire.
Publication d’informations (art. 16)	Les entreprises doivent publier une déclaration annuelle sur le devoir de vigilance ; les exigences détaillées de contenu seront précisées par un acte délégué attendu au plus tard le 31 mars 2029.
Contrôle par les autorités de surveillance (art. 24 et 25)	Les États membres doivent désigner une ou plusieurs autorités de contrôle nationales dotées du pouvoir d’enquêter et d’exiger des informations de la part des entreprises.
Sanctions (art. 27)	Le non-respect des règles peut entraîner des sanctions (plafonnées à 3 % du chiffre d’affaires net mondial) ainsi qu’une déclaration publique nommant l’entreprise.
Responsabilité civile (art. 29)	Les entreprises peuvent toujours être tenues responsables des dommages en vertu du droit national lorsque des manquements au devoir de vigilance causent un préjudice, les victimes conservant un droit à une réparation intégrale.

La directive cible aussi bien les entreprises de l’UE que les entreprises hors UE générant un chiffre d’affaires dans l’UE ou à partir de l’UE. En vertu de l’article 2, tel que modifié par Omnibus I, une entreprise relève du champ d’application si elle satisfait à l’un des deux critères alternatifs suivants : un critère fondé sur la taille, ou un critère fondé sur la franchise/licence.

Entreprises de l’UE (article 2, paragraphe 1) : relèvent du champ d’application si :

l’entreprise elle-même compte en moyenne plus de 5 000 salariés et réalise un chiffre d’affaires net mondial supérieur à 1,5 milliard d’euros au cours du dernier exercice ; ou
l’entreprise ne remplit pas elle-même ce seuil, mais est l’entreprise mère ultime d’un groupe qui le remplit sur une base consolidée ; ou
l’entreprise (ou son entreprise mère ultime) a conclu des accords de franchise ou de licence dans l’UE générant plus de 75 millions d’euros de redevances, à condition que le chiffre d’affaires net mondial du groupe dépasse 275 millions d’euros.

Entreprises hors UE (article 2, paragraphe 2) relèvent du champ d’application si :

l’entreprise a réalisé un chiffre d’affaires net supérieur à 1,5 milliard d’euros dans l’UE au cours de l’exercice précédant le dernier exercice ; ou
l’entreprise ne remplit pas elle-même ce seuil, mais est l’entreprise mère ultime d’un groupe qui le remplit sur une base consolidée dans l’UE ; ou
l’entreprise (ou son entreprise mère ultime) a conclu des accords de franchise ou de licence dans l’UE générant plus de 75 millions d’euros de redevances dans l’UE, à condition que le chiffre d’affaires net de l’UE du groupe dépasse 275 millions d’euros.

Une entreprise n’entre dans le champ d’application (ou n’en sort) qu’une fois que ces conditions sont remplies, ou cessent de l’être, pendant deux exercices consécutifs (article 2, paragraphe 5), et les sociétés holding qui sont de purs véhicules d’investissement passifs peuvent demander à leur autorité de contrôle une exemption si une filiale de l’UE désignée assume les obligations à leur place (article 2, paragraphe 3).

Les PME ne relèvent pas directement du champ d’application, mais peuvent être indirectement concernées en tant que partenaires commerciaux de grandes entreprises relevant du champ d’application. C’est ce que l’on appelle l’effet de ruissellement.

Prochaines étapes : la CS3D est entré en vigueur le 25 juillet 2024. En vertu de l’article 37, tel que modifié par Omnibus I, les États membres doivent transposer la directive modifiée en droit national d’ici le 26 juillet 2028, les entreprises relevant du champ d’application devant se conformer à partir d’une date d’application unique et harmonisée fixée au 26 juillet 2029, à l’exception de l’obligation de reporting annuel prévue à l’article 16, qui ne s’applique qu’à compter des exercices ouverts à partir du 1er janvier 2030.

La CS3D instaure des obligations de devoir de vigilance des entreprises en matière de droits humains et d’environnement tout au long des chaînes de valeur et des filiales des entreprises et, une fois applicable, il couvre les entreprises de tous les secteurs, y compris les services financiers. En vertu de l’article 2, paragraphe 1, point a) iii), une « entité financière réglementée » (par exemple les établissements de crédit et d’autres catégories définies par référence à la législation de l’UE relative aux services financiers) constitue elle-même un type d’« entreprise » susceptible de relever du champ d’application, quelle que soit sa forme juridique.

Pour les entités financières réglementées, la définition générale de la « chaîne d’activités » figurant dans la directive (article 3, paragraphe 1, point g)) s’applique sans son volet aval. Le considérant 27 confirme que, pour les entités financières réglementées, « la définition du terme ‘chaîne d’activités’ ne devrait pas inclure les partenaires commerciaux en aval qui reçoivent leurs services et produits », de sorte que seule « la partie amont, et non la partie aval, de leur chaîne d’activités » est couverte par la directive. En pratique, cela signifie que les clients recevant des prêts, des crédits, des assurances ou d’autres services et produits financiers se situent en dehors des obligations de devoir de vigilance de l’entité financière réglementée pour les activités en aval, tandis que les propres activités de l’entité et ses propres fournisseurs en amont restent pleinement couverts, comme pour toute autre entreprise.

La question de savoir s’il convient d’étendre les obligations de devoir de vigilance plus avant dans les services financiers, par exemple aux activités d’investissement au sens large, devait initialement être traitée dans un rapport spécifique de la Commission au titre de l’article 36, paragraphe 1, attendu pour le 26 juillet 2026. Omnibus I a entièrement supprimé cette obligation (plutôt que de simplement la reporter), au motif qu’un examen spécifique au secteur financier était prématuré avant d’avoir tiré les enseignements du nouveau cadre général de devoir de vigilance. Il n’existe pas de liste des « secteurs à haut risque » dans la directive finale : un mécanisme antérieur de délimitation sectorielle fondé sur les risques, issu de la proposition initiale de la Commission de 2022, a été abandonné avant l’adoption et ne figure pas dans le texte actuel modifié par Omnibus. En l’état, une éventuelle extension du devoir de vigilance aux services financiers dépendra probablement du réexamen quinquennal plus large de la mise en œuvre effectué par la Commission au titre de l’article 36, paragraphe 2, modifié, dont le premier est attendu pour le 26 juillet 2031.

La CS3D est lié à plusieurs autres textes législatifs européens en matière de finance durable :

Règlement Taxonomie : la CS3D complète le règlement Taxonomie en aidant à recueillir des informations sur les entreprises et leurs chaînes de valeur, utilisables dans les évaluations d’alignement sur la taxonomie de l’UE. L’article 18 du règlement Taxonomie établit les « garanties minimales », les procédures de devoir de vigilance et de réparation qu’une entreprise doit mettre en place pour assurer l’alignement avec les Principes directeurs de l’OCDE à l’intention des entreprises multinationales et les Principes directeurs des Nations unies relatifs aux entreprises et aux droits de l’homme, en tant que l’un des quatre critères qu’une activité économique doit remplir pour être qualifiée de durable sur le plan environnemental. La CS3D établit le cadre réglementaire permettant la collecte des informations utilisées pour évaluer cet alignement.
Règlement sur la publication d’informations en matière de durabilité dans le secteur des services financiers (SFDR) : la CS3D complète le SFDR. Les acteurs des marchés financiers comptant plus de 500 salariés sont tenus, en vertu du SFDR, de publier une déclaration sur leurs politiques de devoir de vigilance concernant les principales incidences négatives (PAI) de leurs décisions d’investissement sur les facteurs de durabilité, selon le principe « appliquer ou expliquer ». La CS3D établit le cadre réglementaire permettant de recueillir les informations nécessaires à la publication de cette déclaration.
Directive sur la publication d’informations en matière de durabilité par les entreprises (CSRD) : la CS3D est également lié à la CSRD, elle-même modifiée par Omnibus I en parallèle du CS3D (relevant ses propres seuils de champ d’application et restreignant ses exigences de reporting). La CSRD impose aux entreprises de mettre en place des processus de collecte d’informations à des fins de reporting, étroitement liés à l’identification des incidences négatives au titre du devoir de vigilance du CS3D. Les deux directives sont complémentaires plutôt que strictement séquentielles : la CS3D impose sa propre obligation autonome de reporting annuel sur le devoir de vigilance (article 16), distincte du régime de reporting plus large en matière de durabilité de la CSRD.

23 février 2022 : la Commission européenne a publié sa proposition de CS3D.
Novembre 2022 : le Conseil de l’UE a publié une « orientation générale » sur la proposition.
1er juin 2023 : le Parlement européen a adopté sa position de négociation sur la proposition de CS3D.
5 juillet 2024 : la CS3D a été publiée au Journal officiel de l’UE ; selon le texte initial, la directive est entrée en vigueur 20 jours après sa publication, et les États membres disposaient initialement jusqu’au 26 juillet 2026 (deux ans à compter de l’entrée en vigueur) pour transposer les règles en droit national.
25 juillet 2024 : la CS3D est entrée en vigueur.
26 février 2025 : la Commission européenne a publié sa proposition Omnibus I visant à réduire les exigences de publication d’informations en matière de durabilité et les charges administratives dans le cadre de son programme de compétitivité et de croissance, proposant des modifications à la fois du CS3D et de la CSRD, notamment le relèvement des seuils de champ d’application, le report des dates d’application, et un devoir de vigilance restreint.
17 avril 2025 : la directive (UE) 2025/794 (la directive « Stop-the-Clock ») est entrée en vigueur, reportant à titre procédural d’un an les dates initiales de transposition et d’application du CS3D, dans l’attente de l’issue des négociations de fond sur Omnibus I.
16 décembre 2025 : le Parlement européen a approuvé le texte final négocié d’Omnibus I.
24 février 2026 : le Conseil a formellement adopté la directive Omnibus I, simplifiant la CS3D en relevant les seuils à plus de 5 000 salariés et plus de 1,5 milliard d’euros de chiffre d’affaires, restreignant le champ d’application aux seules plus grandes entreprises de l’UE et hors UE opérant dans l’Union.
26 février 2026 : Omnibus I publié au Journal officiel en tant que directive (UE) 2026/470.
18 mars 2026 : Omnibus I est entré en vigueur. Il s’agit désormais de la version modifiée et applicable du CS3D.
12 juin – 24 juillet 2026 : la Commission européenne a mené une consultation publique sur les lignes directrices relatives à la mise en œuvre du CS3D (désormais close).

Où en sommes-nous aujourd’hui : la CS3D modifié est en vigueur mais pas encore applicable. La transposition nationale est attendue pour le 26 juillet 2028, et la date limite unifiée de mise en conformité pour toutes les entreprises relevant du champ d’application est le 26 juillet 2029.

En détail

Plongée dans les caractéristiques clés de la réglementation de l'UE sur la finance durable