1.2 La directive CS3D (UE) 2024/1760 : ce qu'il en reste après l'omnibus

Le projet de directive est proposé par la Commission européenne le 23 février 2022. Deux ans de négociations s'ensuivent entre le Conseil de l'UE et le Parlement européen. Le texte de compromis est finalement adopté par le Parlement le 24 avril 2024, par le Conseil le 24 mai 2024, signé le 13 juin 2024 et publié au JOUE le 5 juillet 2024. La directive entre formellement en vigueur le 25 juillet 2024.

L'histoire ne s'arrête pas là. Dès l'entrée en vigueur, plusieurs États membres plaident pour un report et un allègement au nom de la compétitivité. Deux textes suivent :

• La directive (UE) 2025/794 du 14 avril 2025, dite « stop the clock », qui gèle le calendrier en attendant la révision de fond.
• La directive (UE) 2026/470 du 24 février 2026 (paquet « omnibus I », qui révise aussi la CSRD), publiée au JOUE le 26 février 2026 et entrée en vigueur le 18 mars 2026. C'est elle qui fixe le droit applicable aujourd'hui.

Le texte qui sortira de la transposition sera donc sensiblement plus modeste que le projet de 2022. Sur plusieurs points — périmètre, responsabilité civile — il sera même moins exigeant que la loi française de 2017, qui reste la référence pour les entreprises déjà assujetties (voir la section 6).

La CS3D s'applique à deux catégories d'entreprises, avec des seuils cumulatifs nettement relevés par l'omnibus :

Le relèvement est considérable : passer de 1 000 à 5 000 salariés et de 450 M€ à 1,5 Md€ divise le périmètre par un facteur important. Les estimations de « 10 000 entreprises concernées » qui circulent partout datent du texte de 2024 et ne valent plus.

L'inclusion des entreprises hors UE reste un apport majeur par rapport au droit français : une société non européenne qui réalise plus de 1,5 Md€ de chiffre d'affaires dans l'Union devra désigner un mandataire dans l'UE et se conformer au dispositif, sans qu'un critère d'effectif dans l'UE lui soit opposé.

La CS3D reprend la méthodologie OCDE du due diligence (revue 2018, alignée sur les principes directeurs des Nations Unies relatifs aux entreprises et aux droits humains). Six étapes obligatoires :

1. Intégrer le due diligence dans les politiques et systèmes de gestion (gouvernance, code de conduite, formation des achats).
2. Identifier et évaluer les incidences négatives réelles et potentielles sur les droits humains et l'environnement.
3. Prévenir, faire cesser ou atténuer ces incidences. Plan d'action prioritaire selon la gravité, la probabilité et le degré de contribution de l'entreprise.
4. Suivre la mise en œuvre et l'efficacité des mesures.
5. Communiquer publiquement sur le due diligence (intégration au reporting CSRD/ESRS).
6. Permettre la réparation en cas d'atteintes effectives (réhabilitation, indemnisation, prévention de récidive).

Cette structure est plus exigeante que les 5 mesures de la loi 2017-399 sur deux points : l'obligation de réparation (étape 6, absente de la loi française) et l'obligation de publication intégrée au reporting CSRD (étape 5).

C'était l'apport le plus commenté du texte de 2024. L'article 22 imposait aux entreprises concernées d'adopter et de mettre en effet un plan de transition climatique destiné à rendre leur modèle d'affaires compatible avec la limitation du réchauffement à 1,5 °C et avec l'objectif européen de neutralité climatique en 2050 (règlement (UE) 2021/1119).

L'omnibus de février 2026 a supprimé cet article dans son intégralité. Il n'existe donc plus, dans la CS3D, d'obligation autonome d'adopter un plan de transition climatique.

Pour la méthodologie du plan de transition (scopes 1-2-3, trajectoires, scénarios), voir notre formation Bilan Carbone & CSRD.

C'est le point le plus souvent mal rapporté, parce que l'omnibus a inversé la logique du texte.

Retenir « 5 % » aujourd'hui, c'est donc se tromper deux fois : sur le chiffre, et sur sa nature juridique. Pour comparaison, le RGPD plafonne à 4 % du chiffre d'affaires mondial et le DMA à 10 %.

Restent, à côté de l'amende : la désignation d'une autorité de surveillance nationale par chaque État membre (l'autorité française sera désignée lors de la transposition), la publication des décisions de sanction, et la possibilité pour les acheteurs publics de tenir compte du respect du dispositif. La responsabilité civile harmonisée au niveau européen, elle, a été supprimée : voir la section suivante.

Le texte de 2024 comportait un article 29 qui harmonisait au niveau européen la responsabilité civile des entreprises envers les victimes d'un manquement au devoir de vigilance, avec des règles communes sur la charge de la preuve, les délais de prescription et la qualité pour agir des syndicats et des ONG.

L'omnibus a retiré ce régime européen obligatoire. La responsabilité civile relève à nouveau du droit national de chaque État membre. Le texte conserve seulement le principe d'une réparation intégrale — et non punitive — de la victime lorsqu'une entreprise est jugée responsable en application du droit national, et prévoit une clause de réexamen en 2031.

Conséquence directe pour la France : c'est l'article L.225-102-5 du Code de commerce, issu de la loi de 2017 et fondé sur le droit commun de la responsabilité (articles 1240 et 1241 du Code civil), qui continue de régir l'action des victimes. Ce mécanisme national n'est ni renforcé ni remplacé par la directive.