Directive CS3D : ce qui reste du devoir de vigilance européen

La directive CS3D devait être le texte fondateur d'un devoir de vigilance européen ambitieux. Adoptée en avril 2024 après des années de négociations, elle imposait aux grandes entreprises de prévenir les atteintes aux droits humains et à l'environnement dans l'ensemble de leurs chaînes de valeur. Dix-huit mois plus tard, la réforme Omnibus adoptée le 16 décembre 2025 par le Parlement européen en a considérablement réduit la portée : seuils d'application relevés, obligations allégées, plan de transition climatique supprimé.

Que reste-t-il du devoir de vigilance européen après cette cure d'amaigrissement ? Et quelles conséquences pour les entreprises françaises, déjà soumises à la loi de 2017 ?

Le principe

Le devoir de vigilance impose aux entreprises d'identifier, de prévenir et de remédier aux impacts négatifs de leurs activités sur les droits humains et l'environnement — non seulement dans leurs propres opérations, mais aussi dans celles de leurs filiales et de leurs partenaires commerciaux (fournisseurs, sous-traitants, distributeurs).

Concrètement, une entreprise soumise au devoir de vigilance doit cartographier les risques de son activité et de sa chaîne de valeur, mettre en place des mesures de prévention et de remédiation, et rendre compte publiquement de ses efforts. En cas de manquement, elle peut être sanctionnée et tenue responsable des dommages causés.

La loi française pionnière de 2017

La France est le premier pays au monde à avoir légiféré sur ce sujet. La loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre oblige les grandes entreprises françaises à établir et publier un plan de vigilance couvrant leurs activités, celles de leurs filiales et de leurs sous-traitants et fournisseurs avec lesquels est entretenue une relation commerciale établie.

Les seuils d'application sont clairs : plus de 5 000 salariés en France ou plus de 10 000 salariés dans le monde (en incluant les filiales). Environ 300 entreprises françaises sont concernées.

Cette loi a servi de modèle pour le texte européen. Emmanuel Macron l'avait d'ailleurs portée comme une priorité lors de la présidence française du Conseil de l'UE en 2022, avant de soutenir — paradoxe assumé — son allégement dans le cadre de la réforme Omnibus.

L'adoption de 2024

La directive 2024/1760, dite CS3D (Corporate Sustainability Due Diligence Directive), a été adoptée par le Parlement européen le 24 avril 2024, puis approuvée par le Conseil le 24 mai 2024. Elle est entrée en vigueur le 25 juillet 2024.

Le texte résulte de plusieurs années de travail législatif, marquées par des rebondissements politiques. En mars 2024, un premier vote au Conseil avait failli échouer en raison de l'opposition de l'Allemagne et de l'abstention de plusieurs États membres. Un compromis de dernière minute avait sauvé le texte, au prix d'une première série de concessions sur le périmètre d'application.

Les obligations initiales

La directive CS3D dans sa version originale imposait aux entreprises concernées six obligations principales :

Identification et évaluation des impacts : cartographier les risques d'atteintes aux droits humains et à l'environnement dans l'ensemble de la chaîne d'activités (activités propres, filiales, partenaires commerciaux directs et indirects).

Prévention et atténuation : mettre en place des mesures appropriées pour prévenir les impacts potentiels et atténuer les impacts réels — modification des pratiques d'achat, clauses contractuelles, audits, formation des fournisseurs.

Cessation des impacts : mettre fin aux impacts négatifs réels et minimiser leur ampleur lorsqu'une cessation immédiate est impossible.

Mécanisme de plainte : établir une procédure permettant aux parties prenantes (travailleurs, communautés, syndicats, ONG) de signaler des préoccupations.

Suivi et reporting : évaluer régulièrement l'efficacité des mesures de vigilance et communiquer publiquement sur les résultats.

Plan de transition climatique : adopter un plan de transition compatible avec l'objectif de limitation du réchauffement à 1,5 °C (Accord de Paris) et l'objectif de neutralité climatique de l'UE à 2050.

Les seuils d'application initiaux

Le calendrier d'application progressif prévoyait trois vagues :

• 2027 : entreprises de plus de 5 000 salariés et plus de 1,5 milliard d'euros de chiffre d'affaires mondial
• 2028 : entreprises de plus de 3 000 salariés et plus de 900 millions d'euros de chiffre d'affaires mondial
• 2029 : toutes les entreprises de plus de 1 000 salariés et plus de 450 millions d'euros de chiffre d'affaires mondial

Pour les entreprises non européennes, les mêmes seuils de chiffre d'affaires s'appliquaient, mais calculés sur le seul chiffre d'affaires réalisé dans l'UE.

La responsabilité civile

Point central du texte : les entreprises manquant à leurs obligations de vigilance pouvaient être tenues civilement responsables des dommages causés. Les victimes — travailleurs exploités, communautés affectées par une pollution — pouvaient agir en justice pour obtenir réparation. Les amendes pouvaient atteindre 5 % du chiffre d'affaires net mondial.

Avant même que la réforme Omnibus ne soit discutée, le Conseil et le Parlement ont adopté la directive 2025/794, surnommée "Stop the Clock", qui reporte d'un an l'entrée en application de la CS3D. La date de transposition par les États membres passe du 26 juillet 2026 au 26 juillet 2027.

Ce report était officiellement motivé par la nécessité de "laisser le temps aux entreprises de se préparer". Dans les faits, il répondait aux pressions du monde économique européen, confronté simultanément à la CSRD (reporting de durabilité), à la taxonomie verte et à la CS3D — un empilement réglementaire jugé excessif par les fédérations patronales.

Le contexte politique

Le 26 février 2025, la Commission européenne présente le paquet Omnibus — un ensemble de propositions législatives visant à "simplifier" les obligations de durabilité des entreprises européennes. Le mot "simplifier" est un euphémisme : il s'agit d'un allégement substantiel de la CSRD et de la CS3D, justifié par le souci de "compétitivité" et de "réduction de la charge administrative".

Le paquet Omnibus est porté par la nouvelle Commission von der Leyen II, dans un contexte politique marqué par la montée des discours anti-régulation en Europe. La présidente de la Commission a fait de la "compétitivité" le maître mot de son second mandat, suivant les recommandations du rapport Draghi sur la compétitivité européenne.

Les négociations en trilogue

Le trilogue (négociations entre Commission, Parlement et Conseil) aboutit à un accord provisoire le 9 décembre 2025. Le texte final est adopté en séance plénière du Parlement européen le 16 décembre 2025, par 428 voix pour, 218 contre et 17 abstentions.

Le vote révèle un clivage politique net : les groupes de droite et du centre (PPE, Renew) votent pour, les groupes de gauche et les écologistes (S&D, Verts/ALE, La Gauche) votent contre, dénonçant un "démantèlement du Green Deal".

Ce qui change avec l'Omnibus pour la CS3D

Les modifications apportées à la CS3D sont considérables :

Seuils d'application relevés : seules les entreprises de plus de 5 000 salariés et réalisant un chiffre d'affaires net mondial supérieur à 1,5 milliard d'euros seront soumises au devoir de vigilance. Les deuxième et troisième vagues (3 000 et 1 000 salariés) sont purement et simplement supprimées.

Pour les entreprises non européennes, la CS3D s'appliquera à celles dont le chiffre d'affaires réalisé dans l'UE dépasse 1,5 milliard d'euros, sans condition de nombre de salariés.

Périmètre de la chaîne de valeur réduit : l'obligation de vigilance est désormais limitée aux partenaires commerciaux directs (fournisseurs et sous-traitants de rang 1). L'obligation de remonter la chaîne de valeur en amont et en aval (fournisseurs de rang 2, 3, etc.) est considérablement allégée. Les entreprises doivent réaliser un "exercice de cadrage" basé sur les informations raisonnablement disponibles pour identifier les zones à risque, mais sans obligation d'investigation approfondie au-delà du rang 1.

Plan de transition climatique supprimé : l'obligation d'adopter un plan de transition climatique compatible avec l'Accord de Paris est retirée du texte de la CS3D. Les entreprises qui publient un plan de transition dans le cadre de leur reporting CSRD sont réputées satisfaire à cette obligation — mais la CSRD elle-même a été allégée par le même paquet Omnibus.

Sanctions réduites : le plafond des amendes passe de 5 % à 3 % du chiffre d'affaires net mondial.

Transposition reportée : la date limite de transposition par les États membres est repoussée au 26 juillet 2028, avec une entrée en application effective au 26 juillet 2029 pour les entreprises visées.

En chiffres

La réduction du scope est spectaculaire. La directive originale devait concerner, selon les estimations de la Commission, environ 13 000 entreprises européennes et 4 000 entreprises non européennes opérant dans l'UE. Après l'Omnibus, ce chiffre tombe à quelques centaines d'entreprises européennes et un nombre encore plus restreint d'entreprises non européennes.

En France, la loi de 2017 couvre déjà environ 300 entreprises (seuil de 5 000 salariés en France ou 10 000 dans le monde). La CS3D post-Omnibus, avec son seuil de 5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires, pourrait n'ajouter qu'un nombre marginal d'entreprises au périmètre existant.

PME et entreprises de taille intermédiaire : exclues

Les PME cotées en bourse, qui devaient initialement être couvertes de manière indirecte via les obligations de reporting de la CSRD, sont explicitement exclues de l'Omnibus. Les entreprises de taille intermédiaire (ETI) de moins de 5 000 salariés — qui représentent la majorité du tissu industriel européen — ne seront pas concernées par le devoir de vigilance européen.

Les entreprises de moins de 1 000 salariés peuvent même refuser les demandes d'information émanant d'entreprises soumises à la CS3D si ces demandes dépassent le contenu des normes de reporting volontaires.

La chaîne de valeur : le cœur du débat

La limitation aux fournisseurs de rang 1 est probablement la modification la plus lourde de conséquences. Les atteintes les plus graves aux droits humains et à l'environnement se produisent souvent dans les maillons les plus éloignés des chaînes d'approvisionnement — mines de cobalt en République démocratique du Congo, plantations d'huile de palme en Indonésie, usines textiles au Bangladesh. Ces activités participent a la destruction de la biodiversité et des services écosystémiques a l'echelle mondiale.

En restreignant l'obligation de vigilance aux partenaires directs, l'Omnibus réduit mécaniquement la capacité du texte à prévenir ces atteintes. Les ONG spécialisées — CCFD-Terre Solidaire, Amnesty International, Sherpa — ont unanimement dénoncé un "recul historique".

La France garde son texte

La loi française de 2017 reste en vigueur. La transposition de la CS3D ne remplace pas les dispositions nationales plus protectrices — elle fixe un plancher, pas un plafond. Le droit français continuera donc à s'appliquer à environ 300 entreprises françaises, avec son périmètre propre (5 000 salariés en France ou 10 000 dans le monde, sans condition de chiffre d'affaires).

Toutefois, la transposition de la CS3D en droit français nécessitera des ajustements législatifs. Les deux textes ne sont pas parfaitement superposables : la loi française couvre la chaîne d'approvisionnement établie sans limite de rang, alors que la CS3D post-Omnibus se concentre sur le rang 1. Le législateur français devra trancher entre maintenir le périmètre large de la loi de 2017 et s'aligner sur le périmètre réduit de la CS3D.

Le contentieux français : un laboratoire

Depuis 2017, plusieurs actions en justice ont été intentées sur le fondement de la loi française de vigilance — contre TotalEnergies, BNP Paribas, EDF, Suez ou encore Casino. Ces contentieux, portés par des ONG et des associations, constituent un laboratoire juridique pour le devoir de vigilance européen.

La CS3D prévoit un régime de responsabilité civile harmonisé au niveau européen. Mais la réforme Omnibus a réduit le plafond des amendes et limité le périmètre de la chaîne de valeur, ce qui pourrait restreindre les possibilités de recours par rapport au droit français existant. Les avocats spécialisés s'interrogent sur l'articulation entre les deux régimes et sur le risque d'une "course vers le bas" en matière de responsabilité.

Les entreprises dans le scope

Pour les quelques centaines d'entreprises européennes qui restent dans le périmètre de la CS3D post-Omnibus (plus de 5 000 salariés, plus de 1,5 milliard d'euros de chiffre d'affaires), les obligations suivantes s'appliqueront à compter du 26 juillet 2029 :

• Cartographie des risques sur les fournisseurs et sous-traitants directs (rang 1), basée sur les informations raisonnablement disponibles
• Plan de vigilance documentant les mesures de prévention et de remédiation
• Mécanisme de plainte accessible aux parties prenantes
• Reporting intégré au rapport de durabilité CSRD
• Clauses contractuelles imposant des standards aux partenaires commerciaux directs

Les entreprises hors scope

Pour les entreprises de moins de 5 000 salariés ou réalisant moins de 1,5 milliard d'euros de chiffre d'affaires, la CS3D ne crée pas d'obligation directe. Toutefois, les effets en cascade sont à anticiper : les grandes entreprises soumises à la directive sont susceptibles de reporter leurs obligations sur leurs fournisseurs via des clauses contractuelles et des questionnaires de due diligence. Être préparé reste un avantage compétitif, même sans obligation légale.

Le calendrier à retenir

La réforme Omnibus crée une situation paradoxale. D'un côté, l'Union européenne dispose désormais d'un cadre juridique harmonisé sur le devoir de vigilance — une première à l'échelle mondiale. De l'autre, ce cadre est si restreint qu'il ne concerne qu'une fraction des entreprises initialement visées, et ne couvre que le premier maillon de la chaîne d'approvisionnement.

Le résultat est un devoir de vigilance à deux vitesses. En France, la loi de 2017 continue de couvrir un périmètre plus large (pas de condition de chiffre d'affaires, chaîne d'approvisionnement sans limite de rang). Dans les autres pays européens, seul le périmètre réduit de la CS3D post-Omnibus s'appliquera — ce qui signifie qu'une entreprise allemande de 4 500 salariés réalisant 1,4 milliard d'euros de chiffre d'affaires ne sera soumise à aucune obligation de vigilance.

Les organisations de la société civile voient dans cette réforme un signal politique inquiétant : la compétitivité économique prime sur la protection des droits humains et de l'environnement. Le CCFD-Terre Solidaire parle d'un "devoir de vigilance au rabais". Les fédérations patronales, elles, saluent un "rééquilibrage nécessaire".

Ce qui est certain, c'est que le devoir de vigilance européen, dans sa version post-Omnibus, ne sera pas le levier de transformation des chaînes de valeur mondiales qu'il promettait d'être. Pour les entreprises qui ne sont plus dans le scope, la responsabilité sociétale restera une démarche volontaire — pas une obligation légale.

• Le Club des Juristes — Devoir de vigilance : le Parlement européen revoit à la baisse la CS3D
• L'Usine Nouvelle — CSRD, CS3D : l'Europe adoucit le devoir de vigilance des entreprises
• WeCount — Omnibus CSRD CS3D adopté : derniers éléments et prochaines étapes
• Deloitte Avocats — Devoir de vigilance : le Parlement européen adopte la CS3D
• Lexplicite — Directive Omnibus : accord du Conseil et du Parlement européen
• Gide — Adoption définitive de la directive CS3D : enjeux stratégiques
• De Gaulle Fleurance — CSRD, CS3D : ce qui change avec la législation Omnibus
• France Info — Le devoir de vigilance, cette directive européenne portée puis enterrée