Directive (UE) 2024/1760 CSDDD : le texte, le calendrier 2027-2029, et ce que la France garde de la loi de 2017

Mis à jour le 23 avril 2026 — après publication du paquet Omnibus I au JOUE (26 février 2026) et confirmation du maintien des seuils >1000 salariés / >450M€.

La France a inventé le devoir de vigilance en 2017. L'Union européenne l'a généralisé en 2024. Et depuis, l'histoire s'écrit à reculons : un Stop-the-Clock voté en avril 2025, un paquet Omnibus I publié au JOUE le 26 février 2026, une transposition française qui n'arrivera pas avant 2026-2027, et une première vague d'application repoussée au 26 juillet 2027. Pour les directions juridiques qui avaient cadencé leur feuille de route sur l'échéance initiale de transposition (26 juillet 2026), c'est une année gagnée — ou perdue, selon qu'on regarde le budget compliance ou la pression des ONG.

Cette fiche décortique la Directive (UE) 2024/1760, dite CSDDD ou CS3D (Corporate Sustainability Due Diligence Directive) : ce que le texte impose vraiment, comment il s'articule avec la loi française 2017-399 que personne ne va abroger, et ce que le calendrier révisé change concrètement pour les groupes concernés. Pour la liste complète des textes français et européens relatifs au devoir de vigilance, nous renvoyons au registre réglementaire.

Un avertissement, parce qu'on l'oublie vite : la CSDDD est une directive, pas un règlement. Elle doit être transposée dans le droit national de chaque État membre. Tant que la loi française de transposition n'est pas publiée — et elle ne le sera pas avant 2026 au plus tôt, après que la date-butoir initiale du 26 juillet 2026 a été repoussée d'un an par l'acte Stop-the-Clock du 14 avril 2025 — les groupes français restent régis par la loi 2017-399 codifiée à l'article L.225-102-4 du Code de commerce. Deux régimes vont cohabiter pendant plusieurs années.

Note éditoriale. Cette fiche est un guide de lecture. Seuls les textes publiés au JOUE et au JORF ont force obligatoire — en cas de divergence entre notre lecture et la version officielle, c'est la version officielle qui prévaut. Les articles cités renvoient à la version consolidée disponible sur EUR-Lex ; la transposition française, quand elle paraîtra, pourra introduire des options nationales que nous signalerons à ce moment-là.

Ce que dit la directive — lire l'article 5 avant tout le reste

Le cœur opérationnel de la CSDDD tient dans un seul article : l'article 5. Il définit la due diligence comme un processus en six étapes, que toute entreprise in scope doit intégrer dans ses politiques et son système de management (article 7). Ces étapes sont : intégration dans les politiques, cartographie des impacts négatifs (article 8), prévention des impacts potentiels (article 10), remédiation des impacts réels (article 11), mise en place d'un mécanisme de plainte (article 12), et communication publique.

En pratique, quiconque a lu les OECD Due Diligence Guidance for Responsible Business Conduct reconnaît l'ossature : la directive reprend le séquençage de l'OCDE, y ajoute une obligation de remédiation (ce que la version finale a gardé malgré le lobbying pour la retirer) et impose un plan de transition climatique aligné sur la trajectoire 1,5°C (article 22). Ce dernier point est l'une des dispositions les plus commentées : l'article 22 oblige l'entreprise à adopter le plan, mais le libellé final — après la réécriture de juin 2024 — ne va pas jusqu'à imposer une obligation de résultat sur sa mise en œuvre. Notre lecture : c'est une obligation de moyens renforcée, contrôlable mais pas sanctionnable sur l'atteinte des objectifs climatiques eux-mêmes.

Le scope couvert par le devoir de vigilance est la chain of activities, notion introduite à l'article 3. Elle englobe les partenaires d'affaires en amont (fournisseurs, sous-traitants) et, de façon plus limitée, certaines activités en aval — mais pas la phase d'usage ni la fin de vie du produit, à la différence de ce que voulait le Parlement en première lecture. C'est un compromis du trilogue de décembre 2023, qui a survécu aux retouches de l'Omnibus I.

Scope et seuils — ce que l'Omnibus I a (ne pas) changé

Le dossier des seuils est celui qui a le plus agité les cabinets entre février 2025 et février 2026. Le texte initial du 5 juillet 2024 fixait le scope à plus de 1000 salariés et plus de 450 M€ de chiffre d'affaires net mondial. Le projet de directive Omnibus I présenté par la Commission en février 2025 proposait de relever ce seuil à 5000 salariés — ce qui aurait sorti plusieurs centaines de groupes européens, dont environ une soixantaine de groupes français.

Après un an de négociations, l'Omnibus I publié au JOUE le 26 février 2026 maintient les seuils d'origine : 1000 salariés, 450 M€ de CA net mondial. Le compromis politique s'est déplacé sur le calendrier, pas sur le scope. Pour les groupes non-UE, le seuil reste 450 M€ de CA net réalisé dans l'UE, ce qui ramène dans le champ la majorité des multinationales américaines et asiatiques ayant une activité européenne significative.

Le delta avec la loi française est massif. Le seuil français de 5000 salariés en France (ou 10000 dans le monde avec siège en France) a donné, depuis 2017, un champ d'application très étroit — environ 260 groupes selon les décomptes publiés par l'ONG Sherpa et le cabinet EY. La CSDDD, à seuil 1000/450, ouvre le champ à plusieurs milliers de groupes européens, dont environ 1000 entités françaises une fois la transposition effectuée.

Le calendrier après Stop-the-Clock et Omnibus I

Trois dates initialement prévues ont toutes bougé. Voici le calendrier consolidé au 23 avril 2026 :

• 26 juillet 2026 : date-butoir initiale de transposition. Annulée par l'acte Stop-the-Clock du 14 avril 2025, qui reporte la deadline d'un an.
• 26 juillet 2027 : nouvelle date-butoir de transposition nationale ET première vague d'application — groupes de plus de 5000 salariés ou plus de 1500 M€ de CA (seuils transitoires renforcés).
• 26 juillet 2028 : deuxième vague — groupes de plus de 3000 salariés ou plus de 900 M€ de CA.
• 26 juillet 2029 : troisième et dernière vague — le scope complet, plus de 1000 salariés et plus de 450 M€ de CA.

Concrètement, un groupe de 1200 salariés et 500 M€ de CA n'aura ses premières obligations pleines qu'en juillet 2029. Un groupe de 6000 salariés et 2 Md€ tombe dans la première vague au 26 juillet 2027. Le phasage par seuils décroissants est une particularité de la CSDDD : il inverse la logique de la CSRD, qui appliquait les obligations d'abord aux plus gros avant de descendre vers les ETI. Ici, même logique.

Un cabinet parisien ayant accompagné une dizaine de premiers plans de vigilance nous confirme que la plupart des directions juridiques ont déjà reconstruit leur feuille de route interne sur la base de 2027 — avec une phase de cartographie des risques lancée dès 2026. Attendre la loi de transposition pour commencer, c'est prendre le risque de devoir cartographier 40 ou 50 000 fournisseurs en 12 mois.

Articulation avec la loi française 2017-399 — qui survit, qui disparaît

La question qui revient dans tous les comités juridiques : que devient la loi du 27 mars 2017 une fois la CSDDD transposée ? Notre lecture, à ce stade et avant publication du projet de loi de transposition, tient en trois points.

D'abord, la loi 2017-399 ne sera pas abrogée. Elle est codifiée à l'article L.225-102-4 du Code de commerce, et son seuil (5000 salariés en France, 10000 dans le monde avec siège français) est plus strict que minimal au sens du droit européen. Une directive d'harmonisation minimale — ce qu'est la CSDDD selon son considérant 18 — autorise les États membres à maintenir des régimes plus protecteurs. Le gouvernement français a confirmé cette orientation à plusieurs reprises, notamment dans la réponse ministérielle publiée en janvier 2026 à une question écrite du Sénat.

Ensuite, les régimes vont cohabiter, pas fusionner. Les groupes de plus de 5000 salariés français resteront soumis à la loi 2017-399 (plan de vigilance annuel, action en injonction devant le TJ Paris, astreinte, responsabilité civile pour faute) ET à la transposition de la CSDDD. En pratique, un groupe comme TotalEnergies, Carrefour ou LVMH appliquera le régime qui offre le plus de protection victime par victime — et c'est probablement la CSDDD pour la responsabilité civile (article 29, délai de prescription d'au moins cinq ans harmonisé, charge de la preuve allégée sur certains points).

Enfin, l'action en injonction française reste un outil propre. L'article L.225-102-5 du Code de commerce organise une mise en demeure et, en cas d'inaction, une injonction sous astreinte devant le TJ Paris (juridiction spécialisée depuis le décret du 2 décembre 2021). Rien dans la CSDDD n'impose cette voie procédurale ; plusieurs ONG françaises (Sherpa, Amis de la Terre, Notre Affaire à Tous) ont déjà fait valoir qu'elles comptent continuer à l'utiliser. Le texte français n'est pas redondant, il est procéduralement distinct.

Sanctions administratives et responsabilité civile — ce que le texte verrouille

Deux régimes de sanction cohabitent dans la CSDDD, et ils répondent à des logiques différentes.

L'article 27 organise les sanctions administratives que les autorités nationales de supervision devront prononcer. Le plafond est fixé à au moins 5 % du chiffre d'affaires net mondial de l'entreprise contrevenante. Le considérant 80 précise que ce plafond doit être dissuasif — les cabinets ayant travaillé sur la transposition des sanctions RGPD savent ce que ce mot veut dire dans la bouche de la Commission. L'identité de l'autorité de supervision française n'est pas encore arrêtée ; plusieurs scénarios circulent (DGT, DGCCRF, ou une autorité ad hoc), avec une coordination inter-autorités nécessaire du fait du caractère transversal du texte.

L'article 29 traite de la responsabilité civile. C'est probablement l'article le plus lourd en pratique. La directive oblige les États membres à prévoir un régime de responsabilité civile permettant aux victimes d'un dommage causé par un manquement intentionnel ou négligent de l'entreprise à ses obligations de vigilance d'obtenir réparation. Le délai de prescription ne peut être inférieur à cinq ans à compter de la cessation du manquement — ce qui, en France, est supérieur au délai de droit commun de cinq ans mais avec un point de départ plus favorable aux victimes.

Deux points techniques sont à surveiller dans la transposition : la charge de la preuve (la directive prévoit des mécanismes d'allègement dont les modalités précises sont laissées aux États membres) et la possibilité pour les ONG représentant les victimes d'agir en justice au nom de celles-ci. La loi française de 2017 prévoit déjà des mécanismes proches ; la France devrait, sur ce point, être en position d'appliquer une transposition a minima.

La chaîne de valeur — ce que la CSDDD demande vraiment aux fournisseurs

Grande peur des directions achats : faut-il auditer des dizaines de milliers de fournisseurs ? Réponse courte : non, mais il faut prioriser, et la priorisation doit être documentée.

L'article 8 impose une cartographie des impacts négatifs sur la chaîne d'activités, avec une approche fondée sur le risque. Concrètement, l'entreprise identifie d'abord les zones géographiques et les secteurs les plus exposés (travail forcé, pollution, déforestation, droits syndicaux), puis y concentre ses diligences. L'article 10 module l'intensité de la prévention selon la gravité et la probabilité de l'impact. L'article 11 impose une remédiation quand l'impact s'est déjà matérialisé — c'est la nouveauté par rapport à la loi 2017 française, qui ne va pas jusque-là explicitement.

Pour les relations avec les partenaires d'affaires, l'article 10.2 prévoit qu'une entreprise peut suspendre ou mettre fin à une relation commerciale si la prévention échoue, en dernier ressort. Le texte insiste sur la proportionnalité : on ne coupe pas un contrat structurant avant d'avoir tenté d'accompagner le fournisseur. Un cabinet ayant audité plusieurs dispositifs nous le confirme : les plans de vigilance crédibles ne sont pas ceux qui affichent le plus de ruptures, ce sont ceux qui documentent le plus sérieusement les démarches d'accompagnement.

Un angle sous-estimé : l'article 13 oblige les entreprises à fournir un appui technique et financier raisonnable aux PME fournisseurs, lorsque la demande de conformité excède leurs capacités. Cela veut dire — en pratique — que faire signer des clauses de vigilance sans fournir de support opérationnel est une faute à venir, sanctionnable via l'article 27. Les contractual cascades vides, où un donneur d'ordre transmet ses obligations par contrat sans les financer, vont devoir être revues.

Les articles à surveiller pendant la transposition française

Notre lecture, forcément partielle à ce stade, des points sur lesquels la transposition française sera scrutée :

• Article 22 (plan de transition climatique) : jusqu'où la loi française ira-t-elle pour imposer l'alignement 1,5°C ? Elle pourrait, théoriquement, aller plus loin que le texte européen en imposant des objectifs intermédiaires contraignants.
• Article 29 (responsabilité civile) : le gouvernement choisira-t-il d'aligner sur le régime de droit commun ou de reprendre la construction spécifique de la loi 2017 ? La seconde option est plus favorable aux victimes.
• Article 27 (autorité de supervision) : DGT, DGCCRF, ou structure nouvelle ? Le choix a des conséquences importantes sur la doctrine de contrôle et sur l'articulation avec les inspections du travail.
• Article 14 (engagement des parties prenantes) : les modalités précises de consultation des syndicats, représentants des salariés, ONG locales ne sont pas fixées. Le Conseil d'État avait, dans son avis de 2017, insisté sur l'importance de formaliser ce point ; la CSDDD le rend central.

Sources primaires

• Directive (UE) 2024/1760 du 13 juin 2024 — texte consolidé sur EUR-Lex (ELI)
• Loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance — JORF
• Code de commerce — version consolidée (articles L.225-102-4 et L.225-102-5)
• Commission européenne — Corporate Sustainability Due Diligence Directive
• Journal Officiel de l'UE — publication du 5 juillet 2024

Autres textes du registre

• Registre réglementaire complet — devoir de vigilance
• Accueil Devoir de Vigilance — ressources et outils