4.1 Directive CSRD 2022/2464 : périmètre et calendrier après le paquet Omnibus

La NFRD (Non-Financial Reporting Directive 2014/95/UE) imposait depuis 2018 un reporting RSE aux entreprises d'intérêt public de plus de 500 salariés — environ 11 700 entreprises dans l'Union. Le bilan tiré par la Commission européenne dans son analyse d'impact préparatoire était sévère : reporting hétérogène (chaque entreprise choisissait son cadre — GRI, SASB, TCFD…), non comparable, peu audité (vérification de simple existence sans contrôle de fiabilité), et sans indicateurs standardisés. Les investisseurs ne pouvaient ni agréger les données ni comparer deux émetteurs.

La CSRD — directive (UE) 2022/2464 du Parlement européen et du Conseil du 14 décembre 2022 — corrige ces quatre faiblesses simultanément : (a) standardisation via les 12 normes ESRS (European Sustainability Reporting Standards) adoptées par acte délégué le 31 juillet 2023, (b) double matérialité obligatoire (impact + financière), (c) audit externe par commissaire aux comptes ou organisme tiers indépendant (OTI) accrédité COFRAC, (d) format électronique XHTML/XBRL (eXtensible Business Reporting Language) pour balisage automatique des datapoints — interopérabilité avec ESEF déjà imposé sur le reporting financier depuis 2020.

Le texte européen est complété en droit français par l'ordonnance n° 2023-1142 du 6 décembre 2023, qui crée notamment les articles L233-28-4 et suivants du Code de commerce (état durabilité intégré au rapport de gestion) et L820-1-1 (audit obligatoire des informations de durabilité). Le décret n° 2023-1394 du 30 décembre 2023 précise les modalités d'application, les seuils, et les conditions d'accréditation des OTI.

Le périmètre élargi devait être ce qui change le paysage : on passait de 11 700 entreprises NFRD à ≈ 50 000 entreprises CSRD à l'échelle UE, dont près de 6 000 entreprises françaises en cumulant les quatre vagues. C'est précisément cet élargissement que la révision Omnibus a annulé pour l'essentiel : la majorité des ETI familiales et des groupes non cotés qui s'y préparaient sont sortis du champ. Les zones 2 et 6 de ce chapitre détaillent le périmètre aujourd'hui applicable.

Le périmètre applicable aujourd'hui. Depuis la directive « Omnibus I » publiée au JOUE le 26 février 2026, une entreprise de l'Union n'est soumise à la CSRD que si elle franchit deux critères cumulatifs : plus de 1 000 salariés et plus de 450 M€ de chiffre d'affaires net. Le « et » est déterminant : sous le régime initial, deux critères sur trois parmi 250 salariés / 50 M€ de CA / 25 M€ de bilan suffisaient. Une ETI de 600 salariés réalisant 300 M€ de chiffre d'affaires, assujettie hier, ne l'est plus.

Les groupes non européens restent visés, mais avec un double seuil relevé : plus de 450 M€ de chiffre d'affaires net réalisé dans l'Union, avec une filiale ou une succursale européenne dépassant elle-même 200 M€ de chiffre d'affaires. C'est la dimension extraterritoriale assumée du texte — même logique que le CBAM. Les PME cotées, qui devaient constituer la vague 3, sont désormais entièrement exclues du dispositif obligatoire ; elles peuvent publier volontairement selon la norme VSME.

Le calendrier. La vague 1 (grandes entreprises cotées de plus de 500 salariés, déjà soumises à la NFRD) a bien publié ses premiers rapports en 2025 sur l'exercice 2024. Pour les entreprises encore dans le champ après la révision, la première publication porte sur les exercices ouverts à compter du 1^er janvier 2027, soit un rapport publié en 2028 — les reports décidés par la directive (UE) 2025/794 du 14 avril 2025, dite « stop the clock », restent acquis.

Le cas des entreprises de la vague 1 sorties du champ. Les États membres ont la faculté de les dispenser des obligations de reporting qui seraient tombées en 2026 et 2027. Il faut donc vérifier la transposition nationale : les États membres doivent transposer Omnibus I au plus tard le 19 mars 2027. Enfin, la directive autorise toujours l'exemption des filiales reprises dans le rapport consolidé de leur société mère, sous réserve d'un renvoi explicite.

L'article L233-28-4 du Code de commerce, créé par l'ordonnance 2023-1142, impose la publication d'un « État durabilité » intégré dans une section dédiée du rapport de gestion annuel (article L232-1 Code de commerce). Cinq blocs sont obligatoires : (a) politiques et actions mises en œuvre par l'entreprise sur chaque enjeu matériel, (b) cibles chiffrées avec horizon temporel et indicateur de progrès, (c) risques et opportunités liés à la durabilité (à 1 an, 5 ans, > 5 ans), (d) indicateurs ESG selon les normes ESRS retenues, (e) gouvernance et processus de gestion (rôle du conseil, du comex, des comités).

Le format de publication est électronique XHTML avec balisage XBRL (eXtensible Business Reporting Language) selon une taxonomie publiée par l'ESMA — même logique que le format ESEF en vigueur sur les états financiers depuis 2020. Chaque datapoint (point de donnée) est encodé avec une balise unique permettant une lecture machine et l'agrégation européenne. L'AMF (Autorité des marchés financiers) est l'autorité compétente en France pour vérifier la conformité du format.

L'audit externe est obligatoire (article L820-1-1 Code de commerce). Il peut être confié soit au commissaire aux comptes déjà en charge de l'audit financier, soit à un OTI (Organisme Tiers Indépendant) accrédité par le COFRAC selon la norme NF EN ISO/IEC 17029. Le niveau d'assurance retenu est limité (limited assurance, équivalent à un examen, formulation négative « rien n'indique que »). La montée programmée vers une assurance raisonnable (reasonable assurance, équivalent de l'audit financier classique) a été supprimée par la directive Omnibus I : l'assurance limitée devient le régime pérenne. La Commission doit adopter des normes harmonisées d'assurance limitée d'ici le 1^er juillet 2027.

L'écosystème est encadré par d'autres textes complémentaires : règlement SFDR 2019/2088 (transparence pour acteurs financiers), règlement Taxonomie 2020/852 (classification des activités vertes), directive CSDDD 2024/1760 (devoir de vigilance, recentrée par Omnibus I sur > 5 000 salariés et > 1,5 Md€ de CA, transposition au 26 juillet 2028). Public utilisateur final : investisseurs, agences de notation extra-financière, donneurs d'ordre qui répercutent les exigences par cascade contractuelle, banques évaluant le risque climatique de leurs portefeuilles.

Contrairement à ce que l'on lit souvent, il n'existe pas une amende forfaitaire pour non-publication de l'état de durabilité. Le dispositif français, issu de l'ordonnance 2023-1142, combine trois registres distincts qu'il faut savoir séparer.

1. L'injonction sous astreinte. C'est le mécanisme de droit commun : sur le fondement de l'article L238-1 du Code de commerce, le président du tribunal, statuant en référé, peut enjoindre sous astreinte aux dirigeants de communiquer les informations de durabilité. Les frais de la procédure sont à la charge de la personne défaillante.

2. Les sanctions pénales, prévues aux articles L821-6 et L822-40 du Code de commerce, visent moins l'absence de publication que les atteintes au dispositif de contrôle : deux ans d'emprisonnement et 30 000 € d'amende pour le défaut de désignation du commissaire aux comptes ou de l'organisme tiers indépendant chargé de certifier les informations de durabilité, ou le défaut de convocation à l'assemblée générale ; cinq ans d'emprisonnement et 75 000 € d'amende pour l'entrave à la mission de vérification (obstacle aux contrôles, refus de communiquer des documents).

3. L'exclusion de la commande publique. C'est la sanction la plus concrète pour beaucoup d'entreprises : les sociétés ne respectant pas leur obligation de publication d'informations de durabilité peuvent être exclues des marchés publics et des contrats de concession. À cela s'ajoute, pour les sociétés cotées, le pouvoir de contrôle et de sanction de l'AMF au titre de l'information réglementée, et, pour les auditeurs eux-mêmes, celui de la Haute autorité de l'audit.

Le contrôle au quotidien s'exerce à trois niveaux : (1) le contrôle du vérificateur, commissaire aux comptes ou organisme tiers indépendant ; (2) le contrôle du régulateur de marché pour les sociétés cotées, par rapprochement entre l'état de durabilité et les autres communications publiques ; (3) le contrôle par les parties prenantes — organisations non gouvernementales, analystes extra-financiers, représentants du personnel — qui documentent les écarts entre les engagements affichés et les indicateurs publiés. C'est ce troisième niveau qui a produit, en France, la première condamnation pour allégation climatique trompeuse (voir chapitre 5.3).

La CSRD n'est pas un texte isolé : elle s'insère dans un « paquet finance durable » piloté par la Commission européenne depuis le plan d'action de 2018. Trois autres pierres angulaires s'articulent avec elle. Première brique : le règlement SFDR 2019/2088 (Sustainable Finance Disclosure Regulation) qui impose aux acteurs financiers (gestionnaires d'actifs, conseillers, assureurs) de publier des informations ESG sur leurs produits, dont les indicateurs PAI (Principal Adverse Impacts) qui dépendent directement de la collecte CSRD.

Deuxième brique : le règlement Taxonomie 2020/852 qui classifie les activités économiques selon leur contribution à 6 objectifs environnementaux (atténuation du changement climatique, adaptation, eau, économie circulaire, pollution, biodiversité). La CSRD impose aux entreprises de publier la part de leur chiffre d'affaires, OpEx et CapEx alignés taxonomie — chiffres directement utilisés par les fonds verts et les obligations vertes pour respecter leurs ratios.

Troisième brique : la directive CSDDD 2024/1760 (Corporate Sustainability Due Diligence Directive, ou CS3D) adoptée en juin 2024, qui impose un devoir de vigilance européen — identification, prévention et atténuation des risques sur les droits humains et l'environnement dans la chaîne de valeur. Elle a été remaniée par le même paquet Omnibus I : son champ est réduit aux entreprises de plus de 5 000 salariés et plus de 1,5 Md€ de chiffre d'affaires net (contre 1 000 salariés et 450 M€ auparavant), l'obligation d'adopter un plan de transition climatique est supprimée, et le régime de responsabilité civile harmonisé au niveau européen est abandonné au profit du droit national. La transposition est attendue pour le 26 juillet 2028, pour une application à compter de juillet 2029. Plusieurs informations CSRD (notamment ESRS S2, chaîne de valeur amont) servent de base de preuve à la CS3D.

Enfin, à la marge mais avec un fort impact opérationnel, la CSRD interagit avec le CBAM (mécanisme d'ajustement carbone aux frontières, règlement 2023/956), avec le règlement SFDR niveau 2 (Article 8/9 fonds), et avec les exigences TCFD intégrées dans ESRS E1. L'État durabilité devient ainsi la source unique qui alimente tout l'écosystème financier — rationalisation pour les émetteurs, opportunité pour les investisseurs.

Le tableau ci-dessous confronte le calendrier initial des quatre vagues (directive (UE) 2022/2464 et ordonnance de transposition 2023-1142) à l'état du droit après la directive Omnibus I publiée au JOUE le 26 février 2026. C'est cette dernière colonne qui fait foi :

Le chemin législatif, pour mémoire : proposition « Omnibus simplification » de la Commission en février 2025, puis directive (UE) 2025/794 du 14 avril 2025 dite « stop the clock » reportant de deux ans les vagues 2 et 3, adoption du texte de fond par le Parlement européen le 16 décembre 2025 et par le Conseil le 24 février 2026, publication au JOUE le 26 février 2026 et entrée en vigueur le 18 mars 2026. Deux échéances de transposition : 19 mars 2027 pour le volet CSRD, 26 juillet 2028 pour le volet CSDDD.