CS3D : où en est la transposition de la directive en droit français ?
Contrairement à la CSRD, déjà transposée en droit français par une ordonnance du 6 décembre 2023, la CS3D n'a fait l'objet, à ce jour, d'aucune transposition en droit national. Cette situation, qui peut surprendre au regard de l'ancienneté relative du texte européen, s'explique par une chronologie législative mouvementée, ponctuée de deux reports successifs et d'une réforme substantielle de son contenu par le paquet Omnibus.
Pour une direction juridique ou un dirigeant de groupe international, il devient essentiel de distinguer trois échéances que l'actualité tend à confondre : l'adoption du texte au niveau européen, déjà acquise depuis février 2026 dans sa version définitive ; la transposition en droit français, encore à venir ; et l'application effective des obligations par les entreprises, plus lointaine encore. Cet article revient sur le cadre européen de la CS3D, détaille les nouveaux seuils issus de l'Omnibus, fait le point précis sur l'état de la transposition française, et clarifie son articulation avec la loi française de 2017 sur le devoir de vigilance.
La CS3D, directive européenne sur le devoir de vigilance
Avant d'aborder la situation française, il convient de rappeler l'origine du texte européen et les modifications substantielles qu'il a connues depuis son adoption initiale.
Origine et objectif du texte
La directive (UE) 2024/1760, dite CS3D ou CSDDD selon son acronyme anglais, a été adoptée le 13 juin 2024. Son objectif est d'imposer aux grandes entreprises européennes d'identifier, de prévenir, d'atténuer et de faire cesser les incidences négatives de leurs activités sur les droits humains et l'environnement, non seulement au sein de leur propre structure, mais également tout au long de leur chaîne de valeur. Ce texte assume une filiation directe avec la loi française du 27 mars 2017 sur le devoir de vigilance, dont il généralise la logique à l'échelle de l'Union européenne, tout en portant une méthodologie et un champ d'application sensiblement différents.
Les modifications apportées par le paquet Omnibus
Le texte de 2024 a connu deux vagues successives de modification. La première, portée par la directive « Stop the clock » (UE) 2025/794 du 14 avril 2025, a reporté d'un an le délai de transposition initialement prévu. La seconde, bien plus substantielle, résulte de la directive Omnibus dite « contenu », adoptée le 24 février 2026 et publiée au Journal officiel de l'Union européenne le 26 février 2026, sous la référence directive (UE) 2026/470. Cette réforme a profondément remanié les seuils d'assujettissement, la méthodologie de vigilance exigée et le régime de sanctions, avec une entrée en vigueur du texte définitif fixée au 18 mars 2026.
Les entreprises concernées après le relèvement des seuils par l'Omnibus
Le paquet Omnibus a modifié en profondeur le périmètre des entreprises directement soumises à la CS3D, réduisant drastiquement le nombre d'acteurs concernés par rapport à la version initiale du texte.
Les nouveaux seuils applicables
La CS3D s'applique désormais aux entreprises européennes employant plus de 5 000 salariés et réalisant plus de 1,5 milliard d'euros de chiffre d'affaires net mondial. Ces seuils marquent un relèvement considérable par rapport à la version initiale du texte, qui retenait 1 000 salariés et 450 millions d'euros de chiffre d'affaires. Ce relèvement produit un effet mécanique important : le périmètre se trouve réduit à quelques centaines de groupes européens, contre plusieurs milliers d'entreprises initialement pressenties par le texte de 2024.
Le cas des sociétés mères et des entreprises non européennes
Les sociétés mères de groupes atteignant ces seuils au niveau consolidé demeurent soumises à la directive, de même que les entreprises non européennes réalisant, au sein de l'Union, un chiffre d'affaires équivalent à celui exigé des entreprises européennes. Une exemption transitoire a par ailleurs été introduite pour certaines entreprises de participation financière établies dans l'Union ou dans un pays tiers, dont la situation particulière justifiait un traitement différencié.
Les PME hors périmètre direct, mais concernées par ricochet
Les petites et moyennes entreprises demeurent confirmées hors du périmètre direct d'assujettissement à la CS3D. L'Omnibus a par ailleurs introduit une limitation explicite de « l'effet de ruissellement » : les grandes entreprises soumises à la directive ne peuvent plus exiger de leurs fournisseurs de taille plus modeste la transmission d'informations allant au-delà du strict nécessaire à l'exercice de leur propre vigilance, une protection qui rejoint, dans son principe, la logique du value chain cap déjà connue en matière de reporting de durabilité.
L'état de la transposition en droit français
C'est le point central de cet article : contrairement à d'autres textes européens récents, la CS3D se trouve, à ce jour, dans une situation de transposition particulièrement en retard, pour des raisons qui tiennent autant à la complexité du texte qu'à l'instabilité de son contenu jusqu'à une date très récente.
Une situation différente de celle de la CSRD
Il est utile de rappeler que la CSRD a déjà été transposée en droit français par une ordonnance du 6 décembre 2023, complétée par son décret d'application. La CS3D se trouve dans une situation radicalement différente : aucune ordonnance ni aucun projet de loi n'a, à ce jour, transposé ce texte en droit français, le législateur ayant préféré attendre la stabilisation définitive du contenu européen avant d'engager ce travail, compte tenu des modifications substantielles apportées par le paquet Omnibus.
Le calendrier de transposition actualisé
Le délai de transposition initialement fixé par le texte de 2024 a été repoussé une première fois par la directive Stop the clock, le portant à juillet 2027. La version définitive issue de l'Omnibus a de nouveau reporté cette échéance, fixant désormais la date limite de transposition au 26 juillet 2028, l'application effective des obligations par les entreprises n'intervenant qu'au 26 juillet 2029. Cet exercice de transposition s'annonce particulièrement complexe pour le législateur français, qui devra composer avec un dispositif national préexistant depuis 2017, sans abroger ce dernier ni créer d'incohérence entre les deux régimes.
Le vecteur législatif envisagé : l'habilitation par ordonnance
Dès mars 2025, avant même l'adoption définitive du texte européen, le Sénat évoquait la nécessité d'une habilitation permettant au gouvernement de transposer la CS3D par voie d'ordonnance. Cette méthode, déjà privilégiée pour la CSRD, présente un avantage pratique certain : elle permet au gouvernement de coordonner rapidement le droit national avec les évolutions du droit européen, sans devoir repasser systématiquement par la voie parlementaire ordinaire pour chaque ajustement technique, ce qui s'avère particulièrement utile pour un texte dont le contenu a connu, comme on l'a vu, des modifications substantielles en cours de route.
La CS3D remplace-t-elle le devoir de vigilance français de 2017 ?
Cette question revient systématiquement dans les échanges avec les directions juridiques de grands groupes français : la transposition à venir de la CS3D signifie-t-elle la disparition du dispositif national de 2017 ?
Deux régimes appelés à coexister
Aucune disposition du texte européen ne prévoit l'abrogation de la loi française de 2017 du fait de la transposition de la CS3D. Les deux régimes sont donc appelés à coexister, avec des seuils et des critères de qualification qui ne se recoupent que partiellement, ainsi que nous l'avons détaillé dans notre article consacré à la loi de 2017 sur le devoir de vigilance et ses seuils d'assujettissement.
Le tableau suivant synthétise les principales différences entre les deux régimes, tels qu'ils devraient s'articuler une fois la CS3D transposée en droit français.
Le commentaire à retenir de ce tableau porte sur la suppression, par l'Omnibus, du régime harmonisé de responsabilité civile initialement prévu par la CS3D. Cette suppression renvoie la question de la responsabilité aux droits nationaux, ce qui replace mécaniquement le régime de responsabilité civile de droit commun, déjà mobilisé depuis 2017 en France, au centre du dispositif applicable aux entreprises françaises, y compris pour les incidences relevant du futur périmètre de la CS3D.
Les entreprises soumises aux deux régimes simultanément
Les grands groupes français dépassant à la fois les seuils de la loi de 2017 et ceux de la CS3D après sa transposition se retrouveront soumis aux deux régimes simultanément. Il est recommandé à ces groupes d'anticiper, dès à présent, une articulation méthodologique entre les deux plans de vigilance, plutôt que d'attendre la publication de l'ordonnance de transposition pour engager cette réflexion, tant la coexistence de deux méthodologies de cartographie des risques, l'une exhaustive et l'autre recentrée sur un exercice de cadrage, pourrait générer des redondances ou des incohérences si elle n'est pas anticipée.
Les obligations concrètes attendues des entreprises soumises à la CS3D
Au-delà de la seule question des seuils, l'Omnibus a également transformé la méthodologie de vigilance exigée par le texte, dans un sens résolument plus pragmatique que la version initiale de 2024.
Une méthodologie recentrée sur les risques plutôt qu'une cartographie exhaustive
L'Omnibus a abandonné l'exigence initiale de cartographie exhaustive de l'ensemble des activités de l'entreprise, remplacée par une méthodologie en deux temps. Un exercice de cadrage, ou scoping exercise, permet d'abord d'identifier les zones les plus à risque au sein de l'activité et de la chaîne de valeur de l'entreprise. Une analyse approfondie, ou in-depth assessment, est ensuite conduite sur ces seules zones identifiées, plutôt que sur l'intégralité du périmètre d'activité.
Le contenu du plan de vigilance européen
Les entreprises soumises doivent adopter une politique de vigilance intégrée à leurs pratiques de gouvernance, identifier les incidences négatives réelles ou potentielles sur les droits humains et l'environnement résultant de leur activité, mettre en œuvre des mesures de prévention, d'atténuation et, le cas échéant, de remédiation, et suivre l'efficacité de ces mesures. Ce suivi, initialement conçu sur une base annuelle, doit désormais être réévalué tous les cinq ans, sauf survenance d'un changement significatif justifiant une révision anticipée.
Le périmètre de la chaîne de valeur, limité au partenaire commercial direct
La vigilance exigée par la CS3D après l'Omnibus se recentre sur les partenaires commerciaux directs de l'entreprise. L'extension aux partenaires indirects, plus en amont ou en aval de la chaîne de valeur, ne s'impose qu'en présence d'informations plausibles faisant état d'un risque avéré à ce niveau, ce qui constitue un allégement sensible par rapport à l'ambition initiale du texte de 2024.
Le régime de sanctions et de responsabilité, assoupli par l'Omnibus
Le volet répressif de la directive a lui aussi connu un allégement substantiel, qui mérite d'être présenté avec précision tant il modifie l'appréciation du risque contentieux pour les entreprises concernées.
L'abaissement du plafond des amendes
Le plafond des amendes administratives applicables en cas de manquement à la CS3D a été ramené à 3 % du chiffre d'affaires net mondial de l'entreprise, contre 5 % dans la version initiale du texte adopté en 2024.
La suppression du régime harmonisé de responsabilité civile européen
L'Omnibus a supprimé l'obligation, pour les États membres, de mettre en place un régime harmonisé de responsabilité civile au niveau de l'Union, ainsi que l'exigence que les dispositions relatives à cette responsabilité revêtent un caractère impératif lorsque la loi applicable au litige n'est pas celle d'un État membre. La question de la responsabilité civile applicable aux manquements à la CS3D se trouve ainsi renvoyée aux droits nationaux, chaque État membre demeurant libre de déterminer les conditions dans lesquelles cette responsabilité peut être engagée devant ses propres juridictions.
La suppression de l'obligation de plan de transition climatique
L'obligation d'adopter un plan de transition pour l'atténuation du changement climatique, initialement prévue par le texte de 2024 au titre de la CS3D, a été purement et simplement supprimée par l'Omnibus. Cette suppression a fait l'objet de critiques de la part de plusieurs autorités européennes de supervision financière, qui y voient un recul significatif de l'ambition climatique initialement portée par le texte.
Comment les entreprises françaises doivent-elles se préparer dès maintenant ?
Le retard pris par la transposition française ne doit pas conduire les entreprises concernées à différer leur préparation, tant les enjeux méthodologiques restent substantiels et l'échéance de 2029, bien que lointaine, suppose un travail préalable conséquent.
Anticiper malgré l'absence de transposition définitive
Il est recommandé de ne pas attendre la publication de l'ordonnance de transposition pour engager un premier diagnostic de qualification au regard des nouveaux seuils de 5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires. Les grands groupes déjà soumis à la loi de 2017 ont, par ailleurs, un intérêt particulier à anticiper la convergence méthodologique entre les deux régimes, plutôt que de découvrir cette articulation au moment de la transposition définitive.
Les secteurs et profils d'entreprises les plus exposés
Les grands groupes industriels et de distribution disposant de chaînes d'approvisionnement internationales complexes figurent parmi les profils les plus directement concernés par la CS3D. Les filiales françaises de groupes non européens dépassant les seuils de chiffre d'affaires au sein de l'Union constituent un second profil d'exposition significatif. Les entreprises déjà engagées dans une démarche de conformité au titre de la CSRD et de ses seuils applicables en 2026 disposent, pour leur part, d'un socle méthodologique et documentaire dont la CS3D constitue un prolongement naturel, la logique de gestion des risques extra-financiers se retrouvant, sous des formes variées, dans l'ensemble de ces textes européens.
Foire aux questions sur la CS3D et sa transposition en France
Les questions suivantes reprennent, sous une forme synthétique, les points les plus fréquemment soulevés par les directions juridiques confrontées à ce texte encore en cours de transposition.
La CS3D est-elle déjà transposée en droit français ?
Non. Contrairement à la CSRD, transposée dès décembre 2023, la CS3D n'a fait l'objet, à ce jour, d'aucune transposition en droit français. La date limite de transposition est fixée au 26 juillet 2028, le vecteur législatif envisagé étant une habilitation du gouvernement à transposer le texte par voie d'ordonnance.
Quels sont les seuils applicables à la CS3D après l'Omnibus ?
La CS3D s'applique désormais aux entreprises employant plus de 5 000 salariés et réalisant plus de 1,5 milliard d'euros de chiffre d'affaires net mondial, contre 1 000 salariés et 450 millions d'euros dans la version initiale du texte adopté en 2024.
La CS3D remplace-t-elle la loi française de 2017 sur le devoir de vigilance ?
Non. Aucune disposition ne prévoit l'abrogation de la loi de 2017 du fait de la transposition de la CS3D. Les deux régimes sont appelés à coexister, avec des seuils et des critères de qualification qui ne se recoupent que partiellement, notamment en raison de l'absence de tout critère de chiffre d'affaires dans le dispositif français.
Quand les entreprises devront-elles appliquer les obligations de la CS3D ?
L'application effective des obligations de la CS3D par les entreprises concernées est fixée au 26 juillet 2029, soit un an après la date limite de transposition en droit national, elle-même fixée au 26 juillet 2028.
Quel est le plafond des sanctions applicables au titre de la CS3D ?
Le plafond des amendes administratives a été fixé à 3 % du chiffre d'affaires net mondial de l'entreprise par l'Omnibus, contre 5 % dans la version initiale du texte. Le régime harmonisé de responsabilité civile européen a par ailleurs été supprimé, cette question relevant désormais des droits nationaux.
Conclusion
Trois échéances doivent être soigneusement distinguées pour comprendre la situation actuelle de la CS3D en France : l'adoption du texte au niveau européen, définitivement acquise depuis la publication de l'Omnibus au Journal officiel de l'Union européenne le 26 février 2026 ; la transposition en droit français, encore attendue au plus tard le 26 juillet 2028, vraisemblablement par voie d'ordonnance ; et l'application effective des obligations par les entreprises, fixée au 26 juillet 2029. L'absence de transposition définitive à ce jour ne doit toutefois pas être interprétée comme une absence d'enjeu pour les grands groupes français, en particulier ceux déjà soumis à la loi de 2017, appelés à composer avec deux régimes de vigilance dont l'articulation mérite d'être anticipée sans attendre le vote de l'ordonnance.
Cette exigence de vigilance sur l'ensemble d'une chaîne de valeur, désormais recentrée sur une approche par les risques plutôt que sur une cartographie exhaustive, s'inscrit dans un mouvement plus large de la réglementation européenne de la conformité, que l'on retrouve également dans la supervision des prestataires informatiques critiques au titre de DORA, dans la qualification des systèmes d'IA à haut risque au sens de l'AI Act, ou encore dans la distinction entre entité essentielle et entité importante posée par la directive NIS2. Pour les entreprises françaises, l'enjeu des prochaines années consistera à transformer cette architecture réglementaire, encore mouvante sur certains points, en une gouvernance de la conformité réellement cohérente et anticipée.
