Sanctions loi devoir de vigilance 2026 : risques réels et premières jurisprudences
Les sanctions du devoir de vigilance ont longtemps été théoriques. Ce n'est plus le cas en 2026. La loi française de 2017 souffrait d'un arsenal répressif insuffisant — le Conseil constitutionnel avait censuré les amendes administratives. La directive CSDDD change radicalement la donne, tandis que les premières jurisprudences françaises commencent à dessiner les contours de la responsabilité civile réelle des grandes entreprises.
À jour au 22 septembre 2026. Le régime de sanction de la CSDDD a été modifié par la directive « Omnibus I » (UE) 2026/470 : le plafond des amendes administratives est désormais fixé uniformément à 3 % du chiffre d'affaires net mondial (article 27, paragraphe 4 modifié), la transposition est attendue pour le 26 juillet 2028 et l'application pour le 26 juillet 2029. Les chiffres de 5 % et les calendriers 2026-2027 que l'on trouve encore en ligne correspondent à la version initiale de 2024, abrogée sur ces points.
Ce que risquent concrètement les entreprises en 2026
- Responsabilité civile (loi 2017 française) : une ONG, un syndicat ou une victime peut saisir le juge civil pour obtenir réparation d'un préjudice lié à un manquement au plan de vigilance
- Injonction judiciaire : le juge peut ordonner l'adoption, le renforcement ou l'exécution d'un plan de vigilance — avec astreinte journalière en cas de non-exécution
- Amendes CSDDD (applicables au 26 juillet 2029) : plafond uniforme de 3 % du chiffre d'affaires net réalisé au niveau mondial, que les États membres ne peuvent pas dépasser
- Exclusion des marchés publics : les entreprises condamnées peuvent être écartées des appels d'offres publics
- Risque réputationnel : les procédures judiciaires, même déboutées, génèrent une exposition médiatique significative
Comparatif des régimes de sanction : France 2017 vs CSDDD
| Critère | Loi française 2017 | Directive CSDDD (après Omnibus I) |
|---|---|---|
| Amendes administratives | Aucune (censurée par le Conseil constitutionnel) | Plafond uniforme de 3 % du CA net mondial |
| Responsabilité civile | Oui (art. L225-102-4 C.com.) | Oui + action en représentation ONG/syndicats |
| Injonction judiciaire | Oui | Oui |
| Marchés publics | Non prévu | Exclusion possible |
| Plan de transition climatique | Non prévu | Obligation supprimée (article 22 abrogé par l'Omnibus I) |
| Prescription | 5 ans (droit commun) | 5 ans minimum |
Un point que la plupart des synthèses résument de travers : le passage de 5 % à 3 % n'est pas seulement une baisse de barème, c'est un changement de nature. Le texte de 2024 imposait aux États un plancher d'harmonisation — le plafond national devait être au moins égal à 5 % du chiffre d'affaires. L'Omnibus I lui substitue un plafond uniforme de 3 %, que les États membres ne peuvent pas dépasser. Pour une entreprise, la conséquence pratique est double : l'exposition maximale baisse, mais elle devient prévisible et identique dans les 27 États membres.
Les premières jurisprudences françaises : ce qu'on apprend
Depuis 2017, une vingtaine de procédures ont été engagées devant les juridictions françaises au titre de la loi sur le devoir de vigilance. Leur analyse révèle plusieurs enseignements clés.
L'affaire TotalEnergies Ouganda (2019-2024)
L'affaire EACOP reste la plus emblématique. En 2024, la Cour d'appel de Versailles s'est déclarée compétente pour examiner les griefs liés au projet de pipeline en Ouganda/Tanzanie. Si l'arrêt ne tranche pas encore le fond, il confirme que les juridictions françaises peuvent connaître des faits commis à l'étranger. Point clé pour les entreprises : la seule publication d'un plan de vigilance ne suffit pas à écarter la responsabilité — le juge examine le caractère effectif et proportionné des mesures.
Les critères d'appréciation du juge
Les décisions judiciaires convergent sur plusieurs critères pour apprécier la qualité d'un plan de vigilance :
- La cartographie des risques est-elle exhaustive et régulièrement mise à jour ?
- Les procédures d'alerte permettent-elles aux parties prenantes tierces de signaler un risque ?
- Les actions de mitigation sont-elles proportionnées à la gravité des risques identifiés ?
- Le plan est-il co-construit avec les parties prenantes ou simplement imposé ?
- Existe-t-il un mécanisme de suivi et d'évaluation des mesures déployées ?
Qui est exposé ? Les seuils légaux en 2026
La loi française de 2017 s'applique aux sociétés dont le siège social est en France, employant au moins 5 000 salariés en France ou au moins 10 000 salariés dans le monde (y compris les filiales). Côté européen, l'Omnibus I a nettement resserré le périmètre : la CSDDD vise désormais les entreprises de l'UE dépassant cumulativement 5 000 salariés et 1 500 M€ de chiffre d'affaires net mondial, ainsi que les entreprises de pays tiers réalisant plus de 1 500 M€ de chiffre d'affaires net dans l'Union. Les seuils de 1 000 salariés et 450 M€ figurant dans la version de 2024 ne sont plus applicables.
Pour les entreprises en dessous des seuils, attention : elles ne sont pas directement soumises, mais peuvent se voir imposer des exigences de due diligence par leurs donneurs d'ordre qui, eux, sont assujettis. Consultez notre guide sur la directive CSDDD et son calendrier d'application, ainsi que notre analyse de la loi française n° 2017-399.
Stratégies concrètes de réduction du risque
1. Documenter systématiquement les diligences effectuées
En cas de contentieux, la charge probatoire incombe au demandeur — mais l'entreprise doit être en mesure de produire des preuves de ses actions. Un plan de vigilance documenté avec traçabilité des décisions est la meilleure protection. Les notes de réunion, les rapports d'audit fournisseurs, les échanges avec les parties prenantes — tout doit être conservé et accessible.
2. Intégrer les parties prenantes dès la conception
Les jurisprudences montrent que les juges sont sensibles au caractère participatif du plan. Une cartographie co-construite avec les syndicats, les ONG locales et les communautés affectées est difficile à attaquer. Inversement, un plan rédigé en circuit fermé par le service juridique sera scruté de près.
3. Traiter les alertes avec le plus grand sérieux
Ignorer une alerte documentée est le scénario catastrophe. Chaque alerte reçue via le mécanisme prévu doit faire l'objet d'un traitement tracé, d'une réponse et, si nécessaire, d'une mise à jour du plan. Notre méthodologie d'audit de conformité intègre une revue systématique des alertes reçues.
4. Anticiper la transposition CSDDD
Les États membres ont jusqu'au 26 juillet 2028 pour transposer le volet devoir de vigilance, pour une application au 26 juillet 2029. Le calendrier paraît lointain, mais il ne l'est pas : la mise en place d'une cartographie des risques défendable sur une chaîne de valeur mondiale se compte en années, pas en trimestres. Les entreprises qui attendent la date limite s'exposent à une mise en conformité précipitée. Lisez notre analyse du CSDDD vs CSRD pour identifier les recoupements et éviter les doublons.
FAQ — Sanctions devoir de vigilance 2026
Un dirigeant peut-il être condamné personnellement ?
En droit français, la responsabilité civile vise la société, pas le dirigeant à titre personnel. Mais la responsabilité pénale du dirigeant peut être engagée si un manquement caractérisé constitue une faute de gestion grave. La CSDDD n'a pas introduit de responsabilité administrative personnelle des dirigeants — un arbitrage politique de dernière minute lors de son adoption.
Les PME sous-traitantes sont-elles exposées ?
Pas directement sous la loi 2017 ou la CSDDD. Mais leurs donneurs d'ordre qui sont assujettis leur imposeront des exigences croissantes. Une PME qui ne peut pas démontrer ses pratiques sociales et environnementales à un grand groupe risque de perdre ses contrats — une sanction de fait, pas de droit.
Quelle différence entre devoir de vigilance et CSRD ?
Le devoir de vigilance impose des actions préventives (identifier, prévenir, atténuer). La CSRD impose du reporting (rendre compte). Les deux sont complémentaires mais distinctes. Une entreprise peut publier un excellent rapport CSRD et avoir un plan de vigilance défaillant — les deux ne se confondent pas.