Le projet de directive est proposé par la Commission européenne le 23 février 2022, sous la commissaire à la Justice Didier Reynders. Quatre ans de négociations s'ensuivent : Conseil de l'UE, Parlement européen, trilogue final en décembre 2023. Le texte de compromis est validé le 15 mars 2024 après un retrait surprise de l'Allemagne (qui s'abstient sur pression du FDP libéral). Adoption finale par le Parlement européen le 24 avril 2024, par le Conseil le 24 mai 2024, et publication au JOUE le 5 juillet 2024. La directive entre formellement en vigueur le 25 juillet 2024.

Mais l'histoire ne s'arrête pas là. Dès l'automne 2024, plusieurs États membres (Allemagne, France via la « stratégie de simplification » du commissaire Stéphane Séjourné) plaident pour un report et un allègement. La Commission propose en février 2025 un paquet « Omnibus » (regroupant CSRD, CS3D et taxonomie) qui :

• Reporte d'un an l'entrée en vigueur de la CS3D (2027 au lieu de 2026 pour la 1^re vague).
• Limite le périmètre direct aux partenaires commerciaux de rang 1 (Tier 1), avec accès indirect aux Tier 2-3 uniquement en cas de signaux d'alerte.
• Allège le plan de transition climat (suppression de l'obligation d'« exécuter » au profit de « adopter »).
• Supprime la responsabilité civile harmonisée imposée par la directive initiale (laissée au droit national).

Ce paquet Omnibus a été partiellement adopté en juin 2025. La version actuellement applicable est donc plus modeste que le projet initial de 2022, mais plus ambitieuse que la simple loi française 2017-399.

La CS3D s'applique à deux grandes catégories d'entreprises :

L'inclusion des entreprises hors UE est un changement majeur par rapport au droit français. Une multinationale américaine ou chinoise qui vend ses produits dans l'UE devra désigner un mandataire dans l'UE et publier un plan de vigilance européen, dès lors que son CA UE dépasse 450 M€. Cette disposition vise notamment les GAFAM, les grands groupes de l'énergie russe (avant 2022), les groupes textiles asiatiques, les industriels coréens et japonais.

La CS3D reprend la méthodologie OCDE du due diligence (revue 2018, alignée sur les principes directeurs des Nations Unies relatifs aux entreprises et aux droits humains). Six étapes obligatoires :

1. Intégrer le due diligence dans les politiques et systèmes de gestion (gouvernance, code de conduite, formation des achats).
2. Identifier et évaluer les incidences négatives réelles et potentielles sur les droits humains et l'environnement.
3. Prévenir, faire cesser ou atténuer ces incidences. Plan d'action prioritaire selon la gravité, la probabilité et le degré de contribution de l'entreprise.
4. Suivre la mise en œuvre et l'efficacité des mesures.
5. Communiquer publiquement sur le due diligence (intégration au reporting CSRD/ESRS).
6. Permettre la réparation en cas d'atteintes effectives (réhabilitation, indemnisation, prévention de récidive).

Cette structure est plus exigeante que les 5 mesures de la loi 2017-399 sur deux points : l'obligation de réparation (étape 6, absente de la loi française) et l'obligation de publication intégrée au reporting CSRD (étape 5).

L'article 22 de la CS3D introduit une obligation climatique explicite, absente de la loi française 2017. Les entreprises concernées doivent adopter et mettre en œuvre un plan de transition pour assurer, par les meilleurs efforts, que leur modèle d'affaires et leur stratégie sont compatibles avec :

• La limitation du réchauffement climatique à 1,5 °C conformément à l'Accord de Paris.
• L'objectif européen de neutralité climatique en 2050 (règlement (UE) 2021/1119).
• L'objectif intermédiaire de -55 % d'émissions GES en 2030 (Fit for 55).
• Et le cas échéant, la réduction de l'exposition au charbon, au pétrole et au gaz.

Le plan de transition doit comporter : objectifs temporels (2030, 2040, 2050) en valeur absolue et intensité GES, scopes 1-2-3 couverts, hypothèses de modélisation, mesures d'exécution prévues, indicateurs de suivi. Il s'articule directement avec le reporting CSRD/ESRS E1 (climate change) qui prévoit la publication d'un plan de transition climatique.

La CS3D met en place un dispositif sanctionnateur substantiellement plus lourd que la loi française. Trois piliers :

Pour mettre en perspective : 5 % du CA mondial d'un grand groupe européen représente typiquement plusieurs centaines de millions à plusieurs milliards d'euros. C'est l'équivalent en proportion des sanctions du RGPD (4 %) ou du DMA (10 %).

Une question majeure pour les juristes français : que devient la loi 2017-399 après transposition de la CS3D ? Trois scénarios sont discutés au sein de la chancellerie et des cabinets spécialisés :

Dans tous les cas, les entreprises françaises déjà assujetties à la loi 2017 verront leur dispositif renforcé, pas allégé. La principale modification opérationnelle attendue : passage de 250 à ~ 1 500 sociétés françaises assujetties à terme.