Entreprises concernées par la CSDDD : seuils après l'Omnibus (2026)

Si vous tapez « entreprises concernées CSDDD » dans un moteur de recherche, vous tombez probablement encore sur des tableaux à trois vagues, des seuils de 1 000, 3 000 ou 5 000 salariés. Ces chiffres décrivaient la directive (UE) 2024/1760 telle qu'adoptée en 2024. Ils ont été abrogés en bloc par le paquet « Omnibus I », et une bonne partie du web n'a tout simplement pas été mise à jour depuis. Ce texte s'applique-t-il encore aux entreprises de 1 000 salariés dès 2029, comme on le lit partout ? Non — ce seuil n'existe plus.

Deux textes, deux logiques, une seule question de départ

Avant de regarder le moindre seuil, il faut distinguer deux obligations qui n'ont ni la même origine ni le même calendrier. La première existe depuis 2017 : c'est la loi française sur le devoir de vigilance, codifiée à l'article L225-102-4 du Code de commerce (voir notre décryptage du texte), et elle continue de s'appliquer indépendamment de ce qui se décide à Bruxelles. La seconde est la CSDDD, directive européenne dont le contenu vient d'être profondément remanié. Une entreprise peut relever de l'une, de l'autre, des deux à la fois, ou d'aucune — tout dépend de sa taille, de son chiffre d'affaires et de la localisation de ses effectifs.

Ce qui a réellement changé avec l'Omnibus I

Le paquet Omnibus I n'est pas un texte unique : il s'est traduit par deux directives distinctes, adoptées à des moments différents, et confondre les deux explique une bonne partie des informations obsolètes en circulation. La directive (UE) 2025/794, dite « stop-the-clock », publiée au Journal officiel de l'UE le 16 avril 2025, s'est contentée de reporter des dates — elle n'a modifié ni les seuils ni le régime de sanctions. C'est la directive (UE) 2026/470, publiée le 26 février 2026 et entrée en vigueur le 18 mars 2026, qui a réécrit le fond du texte : seuils, calendrier définitif et plafond des sanctions.

Résultat : la directive (UE) 2024/1760 dans sa version d'origine n'a plus qu'une valeur historique pour comprendre d'où vient le texte. Si une page que vous consultez mentionne encore trois vagues d'application entre 2027 et 2029, elle décrit un texte qui n'existe plus sous cette forme.

Le tableau que vous avez peut-être déjà vu ailleurs — et sa version à jour

Sources : directive (UE) 2024/1760, directive (UE) 2026/470 et page officielle de la Commission européenne.

Loi française de 2017 et CSDDD post-Omnibus : le comparatif

C'est la question qu'on nous pose le plus souvent : si mon entreprise échappe à la CSDDD, est-elle vraiment tranquille ? Pas forcément, parce que le régime français de 2017 a ses propres seuils, indépendants de ceux fixés à Bruxelles.

Sources : loi n°2017-399, décision n°2017-750 DC du Conseil constitutionnel et page officielle de la Commission sur la CSDDD.

Un détail que peu d'articles mentionnent : la loi de 2017 prévoyait à l'origine une amende civile pouvant atteindre 10 millions d'euros. Le Conseil constitutionnel l'a censurée pour imprécision de l'infraction, si bien qu'aujourd'hui le non-respect du devoir de vigilance français expose à une action en responsabilité civile — réparer le préjudice que la vigilance aurait évité — plutôt qu'à une amende chiffrée. La CSDDD, elle, assume un plafond de sanction pécuniaire clairement fixé.

Auto-diagnostic en sept étapes : à quel régime appartenez-vous ?

Plutôt que de comparer des tableaux dans tous les sens, suivez cet arbre de décision dans l'ordre.

1. Votre société est une SA, SCA ou forme assimilée avec siège en France ? Passez à l'étape 2. Sinon, la loi de 2017 ne vous concerne pas directement — allez à l'étape 4.
2. Vous employez au moins 5 000 salariés en France, vous-même et vos filiales directes ou indirectes confondues ? Vous êtes potentiellement soumis à la loi de 2017, à condition que ce seuil soit atteint sur deux exercices consécutifs.
3. Vous n'atteignez pas ce seuil en France mais dépassez 10 000 salariés dans le monde ? Le second seuil de la loi de 2017 s'applique dans les mêmes conditions de durée.
4. Votre groupe emploie au moins 5 000 salariés, tous pays confondus ? Passez à l'étape 5. Sinon, vous n'êtes a priori concerné ni par la loi de 2017 ni par la CSDDD comme entité directement assujettie.
5. Votre chiffre d'affaires net mondial consolidé dépasse 1,5 milliard d'euros ? Vous entrez potentiellement dans le champ de la CSDDD, avec une application prévue au 26 juillet 2029.
6. Votre siège est hors UE et vous réalisez plus de 1,5 milliard d'euros de chiffre d'affaires net dans l'Union ? Vous êtes concerné par la CSDDD au même titre, sans condition de salariés, et devrez désigner un représentant dans un État membre.
7. Vous ne remplissez aucun de ces critères, mais vous vendez à un groupe qui les remplit ? Vous n'êtes pas directement assujetti — voyez la section suivante sur les effets indirects.

Fournisseur d'un groupe assujetti : ce que change (et ne change pas) l'absence de seuil franchi

Ne pas franchir les seuils ne met pas totalement à l'abri des effets de la CSDDD. Le texte impose aux entreprises soumises d'exercer leur vigilance sur leur chaîne d'activités, ce qui inclut leurs partenaires commerciaux. Concrètement, un fournisseur non assujetti peut recevoir des questionnaires de conformité, des clauses contractuelles renforcées ou des demandes d'audit de la part d'un donneur d'ordre qui, lui, doit rendre des comptes à un régulateur. Ce n'est pas une obligation légale qui pèse directement sur ce fournisseur au titre de la CSDDD — c'est une conséquence commerciale de l'obligation qui pèse sur son client. La nuance compte : en cas de désaccord sur l'étendue d'une demande, le fournisseur négocie un rapport contractuel, pas une obligation réglementaire qui lui serait propre.

Groupe, filiales, société mère : qui porte concrètement l'obligation ?

Pour la loi française, l'article L225-102-4 est explicite : les effectifs de la société et de ses filiales directes ou indirectes sont additionnés, que le siège de ces filiales soit en France ou à l'étranger selon le seuil retenu. Une filiale qui, prise isolément, ne remplirait aucun des deux seuils peut donc se retrouver couverte parce que sa maison mère l'est. Pour la CSDDD, le principe d'une appréciation au niveau du groupe existe également, mais la répartition précise des responsabilités entre société mère et filiales en droit français relèvera de la loi de transposition attendue d'ici le 26 juillet 2028 — un point à surveiller plutôt qu'à anticiper avec certitude aujourd'hui. Notre suivi de la transposition en droit français est mis à jour au fil des textes publiés.

Ce qu'il reste à vérifier avant 2029

La Commission doit encore publier des lignes directrices — une échéance annoncée pour le 26 juillet 2027, complétée par un second jeu de lignes directrices au 26 juillet 2028. Ces documents préciseront des points que le texte actuel laisse ouverts : méthodologie de calcul du chiffre d'affaires consolidé, articulation avec les secteurs à risque, contenu attendu des plans de vigilance. Si votre entreprise est proche des seuils, mieux vaut suivre ces publications officielles que se fier à des tableaux que d'autres sites n'ont pas corrigés depuis l'adoption du texte initial en 2024.

Pour une vue d'ensemble de la directive, notre guide complet de la CSDDD détaille les obligations de fond. Le calendrier d'application reprend toutes les échéances à jour, et notre analyse des sanctions du devoir de vigilance compare les deux régimes en détail.