Devoir de vigilance 2026 : nouvelles obligations et sanctions renforcées
En bref : en 2026, une seule obligation de vigilance s'applique aux entreprises françaises : celle de la loi du 27 mars 2017 (5 000 salariés en France ou 10 000 dans le monde). Elle n'est assortie d'aucune amende administrative — la sanction est l'injonction sous astreinte et la responsabilité civile. Les sanctions financières de la directive CSDDD, plafonnées à 3 % du chiffre d'affaires net mondial, ne s'appliqueront qu'à partir du 26 juillet 2029.
Le devoir de vigilance des entreprises fait l'objet d'un double régime qu'il est facile de confondre : une loi française déjà en vigueur, et une directive européenne dont l'application a été repoussée. En 2026, savoir lequel des deux vous oblige — et à quoi — évite autant de sur-conformité que de mauvaises surprises.
Qui est concerné par le devoir de vigilance en 2026 ?
La loi française de 2017 vise les entreprises de plus de 5 000 salariés en France ou 10 000 dans le monde. C'est le seul régime applicable aujourd'hui. La directive CSDDD (CS3D) prendra le relais plus tard, sur un périmètre plus étroit qu'annoncé à l'origine :
| Régime | Application | Critères |
|---|---|---|
| Loi française n° 2017-399 | En vigueur | >5 000 salariés en France, ou >10 000 dans le monde (aucun seuil de CA) |
| Directive CSDDD (après Omnibus I) | 26 juillet 2029 | >5 000 salariés ET >1 500 M€ de CA net mondial |
| Entreprises de pays tiers (CSDDD) | 26 juillet 2029 | >1 500 M€ de CA net réalisé dans l'Union |
Le calendrier progressif en trois vagues (2027, 2028, 2029) qui figurait dans la directive de 2024 a été supprimé par la directive Omnibus I (UE) 2026/470, entrée en vigueur le 18 mars 2026. Les seuils intermédiaires de 3 000 salariés / 900 M€ et 1 000 salariés / 450 M€ n'existent plus : environ 70 % des entreprises initialement visées sont sorties du champ. La transposition nationale doit intervenir avant le 26 juillet 2028.
Les 6 obligations du plan de vigilance
- Cartographie des risques dans la chaîne de valeur
- Procédures d'évaluation des filiales, sous-traitants et fournisseurs
- Actions de prévention et d'atténuation
- Mécanisme d'alerte accessible aux parties prenantes
- Schéma de suivi avec indicateurs et reporting annuel
- Publication annuelle dans le rapport de gestion
Sanctions : ce que les entreprises risquent réellement
| Type de sanction | Loi 2017 (FR) — applicable | CSDDD — à compter du 26 juillet 2029 |
|---|---|---|
| Amende maximale | Aucune amende administrative (astreinte judiciaire) | 3 % du CA net mondial (art. 27 §4, révisé par l'Omnibus I) |
| Autorité compétente | Tribunal judiciaire de Paris (compétence exclusive) | Autorité nationale de surveillance |
| Publication des manquements | Non prévue | Obligatoire (name & shame) |
| Responsabilité civile | Oui (art. 1240 et 1241 du Code civil) | Oui, explicitement prévue par la directive |
| Plan de transition climatique | Non prévu | Supprimé par l'Omnibus I (ancien art. 22) |
Le plafond de 3 % mérite une précision : le texte de 2024 imposait aux États membres de prévoir un plafond au moins égal à 5 % du chiffre d'affaires. L'Omnibus I a inversé la logique en fixant un plafond harmonisé, et plus bas, de 3 %. Les sanctions du devoir de vigilance sont détaillées dans notre analyse dédiée.
Comment construire un plan de vigilance conforme ?
La construction d'un plan de vigilance solide prend entre 12 et 24 mois. Voici les étapes dans l'ordre :
Étape 1 : Cartographier la chaîne de valeur — identifier tous les fournisseurs directs (tier 1), puis les indirects (tier 2, tier 3) dans les catégories à risque. Notre guide sur la cartographie des risques supply chain détaille la méthode.
Étape 2 : Évaluer les risques par fournisseur — intégrer le pays d'origine, le secteur d'activité, et les pratiques connues dans une matrice de risque.
Étape 3 : Mettre en place le mécanisme d'alerte — accessible aux salariés, sous-traitants et communautés affectées, avec confidentialité garantie.
En 2026, plusieurs affaires judiciaires en cours définissent progressivement l'interprétation des obligations légales. C'est aujourd'hui la jurisprudence, bien plus que le risque d'amende, qui fixe le niveau d'exigence attendu d'un plan de vigilance français.
Questions fréquentes
Quelle est la différence entre la loi de vigilance de 2017 et la directive CSDDD ?
La loi française de 2017 s'applique dès aujourd'hui aux entreprises de plus de 5 000 salariés en France (ou 10 000 dans le monde), sans condition de chiffre d'affaires, et ne prévoit pas d'amende administrative. La directive CSDDD s'appliquera à compter du 26 juillet 2029 aux entreprises dépassant 5 000 salariés ET 1 500 M€ de chiffre d'affaires net mondial, avec des sanctions administratives plafonnées à 3 % du chiffre d'affaires net mondial.
Une entreprise risque-t-elle une amende de 5 % de son chiffre d'affaires en 2026 ?
Non. Aucune amende administrative au titre du devoir de vigilance n'est applicable en 2026 : la loi française ne prévoit que l'injonction sous astreinte et la responsabilité civile. Le plafond de sanction de la directive CSDDD a par ailleurs été ramené de « au moins 5 % » à 3 % du chiffre d'affaires net mondial par la directive Omnibus I du 18 mars 2026, et ne s'appliquera qu'à partir du 26 juillet 2029.
Combien de temps faut-il pour mettre en place un plan de vigilance ?
Entre 12 et 24 mois pour une mise en œuvre solide. La cartographie des risques seule prend 3 à 6 mois pour une chaîne de valeur complexe.
Les PME sont-elles concernées par le devoir de vigilance ?
Directement non — les seuils légaux exemptent les PME, et le relèvement des seuils par l'Omnibus I a encore réduit le périmètre. Mais indirectement oui : via les clauses contractuelles et les questionnaires de conformité imposés par les grandes entreprises à leurs fournisseurs.