Directive CS3D, vigilance et communication : ce que change l'Omnibus I

Le 18 mars 2026, la directive Omnibus I (Directive (UE) 2026/470)  est entrée en vigueur, modifiant en profondeur la CS3D (Directive (UE) 2024/1760 sur le devoir de vigilance des entreprises en matière de durabilité ) adoptée le 13 juin 2024 dans un climat déjà tendu où l’Allemagne s’était abstenue lors du vote au Conseil . Deux ans plus tard, le texte cède à la négociation et à la pression au nom de la compétitivité : l'Omnibus supprime deux de ses piliers : le plan de transition climatique obligatoire et le régime harmonisé de responsabilité civile, tout en assouplissant sensiblement sa méthodologie et son calendrier.

Au même moment, deux jugements du tribunal judiciaire de Paris (TotalEnergies, Yves Rocher) prennent le contrepied de ce recul. Pendant que le législateur européen désarme son texte, le juge français, lui, muscle sa propre jurisprudence. Reste à comprendre, d'abord, ce que change concrètement l'Omnibus I au texte de 2024. Avant même d'examiner le contenu des obligations de vigilance, il convient d'identifier les entreprises qui demeurent soumises au dispositif.

Si la Directive modifie le champ d’application et le régime de responsabilité, c’est nécessairement sous l’angle des obligations de communication – plans de vigilance, reporting… - que seront produits des effets concrets et des ajustements.

I. Un champ d'application resserré
Le nouveau texte retient un seuil unique pour les entreprises établies dans l'Union européenne : plus de 5 000 salariés et un chiffre d'affaires mondial supérieur à 1,5 milliard d'euros . Pour les entreprises de pays tiers, aucune condition d'effectif n'est retenue, seul compte le chiffre d'affaires réalisé dans l'Union qui est également fixé à 1,5 milliard d'euros. Ce critère, objectivement vérifiable, est utilisé en l’absence de personnalité juridique européenne permettant de contrôler un effectif mondial. À ce seuil général s'ajoute un régime spécifique pour les réseaux de franchise et de licence, retenu lorsque les redevances perçues dépassent 75 millions d'euros et que le chiffre d'affaires du réseau excède 275 millions d'euros.

Le texte de 2024 prévoyait une entrée en application progressive en trois vagues successives : la première, dès juillet 2027, ne visait que les plus grandes structures (5 000 salariés / 1,5 Md€ de CA) ; une deuxième, dès juillet 2028, devait faire entrer un ensemble beaucoup plus large d'entreprises (3 000 salariés / 900 M€) ; une troisième, prévue pour juillet 2029, devait couvrir l'ensemble des entreprises restant dans le champ général, au seuil socle de 1 000 salariés / 450 M€ . L'Omnibus I n'a pas simplement décalé ce calendrier : il a purement et simplement supprimé les deux vagues inférieures. Le texte final ne conserve que le seuil le plus élevé , sans clause transitoire prévoyant le retour ultérieur des entreprises intermédiaires dans le dispositif, en dehors du mécanisme général de réexamen quinquennal évoqué plus loin.

La Commission avait initialement estimé que le dispositif complet couvrirait environ 6 000 grandes entreprises établies dans l'Union et près de 900 entreprises de pays tiers . Ce chiffre correspond toutefois au périmètre initial de 2024 qui n’a pas été recalculé publiquement pour tenir compte du périmètre resserré résultant de l'Omnibus I.

Malgré les pressions commerciales, notamment celles nées de l'accord dit « Turnberry » (UE-États-Unis, 21 août 2025)  : les entreprises de pays tiers réalisant un chiffre d'affaires suffisant dans l'Union restent dans le champ, indépendamment du lieu de leur siège social. L'extraterritorialité est donc maintenue et le recul de l'Omnibus procède donc par arbitrages sélectifs, non de façon uniforme.

Le texte conserve un mécanisme général de suivi quinquennal, qui ouvre la possibilité pour la Commission de revoir les seuils retenus et, le cas échéant, d'introduire une approche sectorielle différenciée pour les activités à haut risque. À l'inverse, la clause de réexamen spécifique qui portait sur le secteur financier (ancien article 36, paragraphe 1er) a été supprimée, sans clause équivalente pour compenser cette perte de spécificité sectorielle . L'Omnibus ne modifie pas seulement le nombre d'entreprises assujetties ; il redéfinit également et plus subtilement, le périmètre matériel de leur vigilance.

II. L'objet de la vigilance : chaîne d'activités et clause de sauvegarde climatique
La directive CS3D construit une définition structurée de la « chaîne d'activités », couvrant explicitement l'amont (extraction, approvisionnement, fabrication, transport) et l'aval (distribution, transport, stockage). Le considérant 26 de la directive prend cependant soin d'exclure de ce périmètre les clients de l'entreprise assujettie ainsi que les activités de service réalisées en aval de la chaîne . Cette exclusion a une portée pratique importante pour les entreprises de services et de distribution finale car elles se trouvent donc hors du champ d'application au titre de leurs relations avec leurs propres clients.

Le retrait de la dimension climatique du dispositif (par la suppression de l'article 22) sera développé dans la partie consacrée aux piliers supprimés. Il convient toutefois de s'arrêter ici sur un mécanisme moins apparent mais tout aussi déterminant : la clause de sauvegarde introduite au nouvel article 4, paragraphe 1er, point c), de la CS3D. Celle-ci précise que la directive n'affecte pas le droit national relatif au changement climatique, en dehors des obligations générales de vigilance qu'elle instaure elle-même . C'est cette clause qui permettra à la France de continuer, le cas échéant, à intégrer le climat dans le périmètre de sa propre loi de vigilance, comme l'illustre le jugement TotalEnergies développé en fin d'article. Une fois défini le périmètre des risques et des activités couverts, reste à savoir comment cette vigilance doit être exercée en pratique. C'est précisément sur ce terrain procédural que l'Omnibus I introduit les aménagements les plus nombreux.

III. Une méthodologie de vigilance rationalisée
La Commission avait initialement proposé de limiter l'obligation de vigilance aux seuls partenaires commerciaux directs, dans un objectif assumé du maintien des partenaires indirects dans le périmètre. Le Conseil et le Parlement européen s'y sont opposés, estimant que nombre des atteintes documentées dans les chaînes de valeur mondiales se situent précisément aux niveaux les plus éloignés de la relation contractuelle directe . Le texte final maintient donc l'obligation de vigilance à l'égard des partenaires indirects.

La CS3D organise le processus de vigilance en deux étapes successives. La première, dite de délimitation ou de scoping, repose sur un référentiel allégé : elle s'effectue sur la seule base des informations raisonnablement disponibles pour l'entreprise. La seconde étape, celle de l'évaluation approfondie, ne s'applique qu'aux zones préalablement identifiées comme présentant un risque à l'issue du scoping, la ressource d'investigation de l'entreprise se trouve ainsi concentrée sur les points effectivement problématiques.

Le texte encadre spécifiquement les demandes d'informations adressées aux partenaires directs comptant moins de 5 000 salariés : une entreprise assujettie ne peut les solliciter que si l'information demandée est nécessaire et ne peut être obtenue par un autre moyen. Ce mécanisme se double d'un « plafond de la chaîne de valeur », qui limite le niveau de détail des informations qu'une grande entreprise peut exiger d'une PME de sa chaîne de valeur . En pratique, une limite à la granularité des questionnaires de conformité fournisseurs habituellement déployés par les grands donneurs d'ordre. Les grandes entreprises assujetties devront revoir leurs pratiques de collecte d'informations en conséquence.

Le passage d'une évaluation annuelle à une évaluation tous les cinq ans constitue l'un des assouplissements les plus significatifs du texte sur le plan méthodologique, sauf changement significatif ou motif raisonnable de penser que les mesures ne sont plus adéquates ou efficaces .
Le texte supprime l'obligation de rompre la relation commerciale lorsqu'il n'a pas été possible de prévenir, atténuer ou faire cesser une incidence négative par d'autres mesures. L'entreprise doit désormais s'abstenir de nouer de nouvelles relations avec le partenaire concerné et, le cas échéant, suspendre la relation commerciale (si le droit applicable le permet) tout en mettant en œuvre un plan d'action renforcé.

Sur ce point précis, la CS3D se révèle plus exigeante que le droit français, qui n'impose aucune concertation obligatoire des parties prenantes au stade de l'élaboration du plan de vigilance lui-même. A l’inverse, la CS3D impose une consultation obligatoire à plusieurs étapes structurantes : lors du recensement des incidences négatives, lors de l'élaboration des plans d'action correctifs, et lors de l'adoption des mesures correctives elles-mêmes. Ce renforcement procédural doit néanmoins être nuancé par un resserrement du périmètre des personnes concernées : le texte exclut explicitement les consommateurs, les organisations de la société civile et les acteurs institutionnels de la définition des parties prenantes consultées. Ne demeurent que les salariés de l'entreprise, leurs représentants, ainsi que les individus et communautés directement affectés . Ces ajustements méthodologiques traduisent déjà une volonté de simplification. Ils demeurent toutefois secondaires au regard des deux suppressions majeures qui modifient l'équilibre général du texte et expliquent, à elles seules, une grande partie des critiques adressées à l'Omnibus I.

IV. Les deux piliers supprimés
L'article 22 de la CS3D imposait aux grandes entreprises assujetties l'adoption et la mise en œuvre d'un plan de transition climatique, conçu pour assurer la compatibilité de leur modèle d'affaires avec la limitation du réchauffement à 1,5 degré. Sa suppression intégrale a été justifiée par la Commission au nom de la charge disproportionnée que cette obligation représenterait .

Il ne s'agit toutefois pas d'une disparition complète de tout engagement climatique : subsiste une obligation de communication déclarative, via les normes européennes E1 (changement climatique) et E2 (pollution), issues de la directive CSRD . La distinction est essentielle : l'obligation de transparence (c’est-à-dire publier des informations sur sa stratégie et ses risques climatiques) subsiste, tandis que l'obligation de vigilance climatique active (adopter et mettre en œuvre effectivement un plan de transition contraignant) a été retirée du texte au titre de la CS3D elle-même. Si les entreprises demeurent tenues de publier certaines informations climatiques au titre de la CSRD, la CS3D ne leur impose plus l'adoption d'un plan de transition climatique juridiquement obligatoire tel que dans la version antérieure.

Le second pilier supprimé touche au cœur du mécanisme d'effectivité du texte de 2024 : le régime de responsabilité civile harmonisé qu'établissait son ancien article 29, paragraphe 1er, qui posait un cadre uniforme de responsabilité applicable en cas de manquement au devoir de vigilance, indépendamment des règles propres à chaque État membre. L'Omnibus I supprime cette disposition et lui substitue un renvoi pur et simple au droit national des États membres, assorti d'une garantie de réparation intégrale des dommages causés (une garantie de résultat, sans harmonisation des moyens vu le rôle des législations nationales dans l’organisation) qui rouvre la voie à une fragmentation des régimes de responsabilité selon l'État membre où l'action est intentée .
Deux autres suppressions accompagnent ce recul. D'une part, le mécanisme de mandat qui permettait à des ONG ou des organisations syndicales d'agir en justice au nom des victimes disparaît du texte . D'autre part, et surtout, le texte affaiblit le caractère de « loi de police » que revêtait la CS3D dans sa version de 2024 - car en effet, la version initiale de la CS3D comportait un mécanisme rapprochant le dispositif d'une logique de loi de police.

Ce dernier point mérite une explication technique précise. Une loi de police est une disposition dont le caractère impératif s'impose au juge indépendamment des règles ordinaires de conflit de lois : quelle que soit la loi normalement applicable au litige selon ces règles (potentiellement celle du pays où l'incident dommageable s'est produit), le juge saisi doit appliquer la loi de police du for, dès lors que le litige présente un lien suffisant avec son territoire. En retirant à la CS3D ce statut, l'Omnibus I réduit la certitude qu'une victime pouvait avoir de voir la loi européenne de vigilance s'appliquer à son litige, alors même que la loi normalement compétente serait une loi de pays tiers, potentiellement moins protectrice. C'est précisément sur ce terrain que le jugement Yves Rocher, développé en fin d'article, prend tout son relief.  

V. Le régime de sanctions et de contrôle
Le texte de 2024 prévoyait un plafond de sanction administrative fixé à au moins 5 % du chiffre d'affaires net mondial de l'entreprise en situation de manquement. La Commission avait initialement proposé la suppression pure et simple de tout plafond harmonisé ; le Parlement européen avait plaidé pour le maintien du statu quo à 5 %. Le texte finalement adopté retient un compromis : un plafond maximal fixé à 3 % du chiffre d'affaires net mondial.

En 2017, le Conseil constitutionnel avait censuré, dans sa décision n° 2017-750 DC , la disposition de la loi de vigilance qui prévoyait une amende civile en cas de manquement, au motif que ses termes étaient rédigés de façon insuffisamment précise. Depuis cette censure, la loi française de 2017 n'a donc jamais disposé d'un volet répressif administratif propre en la matière. Le plafond de 3 % introduit par la CS3D constitue ainsi, pour la France, un outil que son propre législateur n'était jamais parvenu à se donner depuis 2017 — sur ce point précis, contrairement au plan climat et à la responsabilité civile harmonisée, la France ne perd rien qu'elle possédait déjà.

Les autorités de contrôle nationales restent, à ce stade, une inconnue : le texte confie aux États membres le soin de désigner une ou plusieurs autorités nationales compétentes, dotées d'un pouvoir d'enquête et de sanction, mais leurs prérogatives précises et leur identité en France restent à préciser lors de la transposition.

VI. Le contrepoint français
Deux jugements récents du tribunal judiciaire de Paris illustrent une dynamique inverse de celle observée à Bruxelles.

Le jugement rendu le 25 juin 2026 dans l’affaire TotalEnergies  intègre dans son raisonnement les émissions de gaz à effet de serre relevant du scope 3 dans le périmètre de vigilance retenu au titre de la loi de 2017, en se référant explicitement à l'objectif poursuivi par la CS3D — le tribunal prenant soin de préciser que le projet Omnibus ne remet en rien en cause cet objectif. L'affaire a été renvoyée au 21 janvier 2027 devant le juge de la mise en état.

Le jugement rendu le 12 mars 2026 par la 34ème chambre du même tribunal, dans l'affaire opposant des salariés d'une filiale turque à la société mère française Yves Rocher, constitue l'apport le plus significatif de la période récente . Il s’agit d’une décision pionnière traitant, sur le fondement de l'article L.225-102-2 du Code de commerce, de la responsabilité civile d'une société mère française pour des faits survenus dans une filiale étrangère, elle est surtout remarquable par son fondement : le tribunal consacre le caractère impératif de la loi française de vigilance, en retenant son application au détriment de la loi turque qui, selon les règles ordinaires de conflit de lois, aurait dû normalement régir les faits en cause.

Le contraste avec l'Omnibus est frontal : au moment précis où l'Europe retire à la CS3D son statut de loi de police, le juge français affirme, unilatéralement et sur le seul fondement du droit national, ce même caractère impératif pour la loi française. La décision ouvre en outre la voie à des actions intentées par des salariés étrangers, employés par des filiales de sociétés mères basées en France, devant les juridictions françaises elles-mêmes.

La CS3D est à la fois plus restrictive (seuils fondés sur l'effectif en France pour la loi de 2017 (5 000 salariés en France, ou 10 000 en France et à l'étranger)  contre 1,5 Md€ de chiffre d'affaires mondial pour la CS3D, si bien qu'une entreprise peut relever de l'une sans relever de l'autre) et plus large (formes sociales couvertes : la CS3D, via son renvoi aux annexes I et II de la directive comptable 2013/34/UE, inclut la SARL ou la SNC, exclues du dispositif français actuel ). Dans l'attente de la transposition, le projet de loi DDADUE, adopté en première lecture au Sénat en février 2026, ne traite pas encore du volet CS3D. Ainsi la loi de 2017 continue de s'appliquer selon ses propres seuils, ce qui impose aux entreprises concernées de composer, pour un temps encore incertain, avec deux régimes distincts  reposant sur un périmètre d'application différent.

Pourquoi ce recul ? 
Deux narratifs s'opposent : compétitivité et réduction de charge administrative côté institutions européennes, recul de l'ambition du pacte vert côté critiques. Le compromis final n'a rien d'un processus linéaire : un premier accord centriste a été rejeté en plénière le 22 octobre 2025 par une coalition inattendue de Verts, de la gauche radicale et de l'extrême droite, avant qu'un second texte, porté par une majorité de droite et d'extrême droite plus favorable à l'assouplissement, ne soit adopté trois semaines plus tard. Sur la forme, la Médiatrice européenne a par ailleurs conclu, le 25 juin 2026, à des « lacunes procédurales » dans la préparation du texte, à la suite de plaintes d'ONG dénonçant l'absence de véritables consultations publiques et d'études d'impact . Pour B. Lecourt, il s'agit d'un « changement de cap spectaculaire », dont l'ADN initial du texte demeure néanmoins perceptible malgré les suppressions opérées .
De l'ensemble de ces éléments se dégage une conclusion : le recul opéré au niveau européen ne se traduit pas mécaniquement par un recul équivalent de la norme effectivement appliquée aux entreprises françaises. La jurisprudence nationale, par sa vitalité propre, est en mesure de compenser, voire de dépasser, ce que le texte européen abandonne sur le plan législatif.

Pour les entreprises françaises, le principal enjeu consiste désormais à articuler les deux niveaux normatifs. Une entreprise sortie du champ de la CS3D à la suite du relèvement des seuils n'est pas nécessairement libérée de toute contrainte. Elle peut demeurer indirectement exposée en qualité de fournisseur d'une entreprise assujettie, par l'effet des obligations de vigilance déployées tout au long de la chaîne d'activités. Elle peut également rester soumise à la loi française du 27 mars 2017, dont les critères d'application demeurent autonomes et dont la jurisprudence poursuit son développement indépendamment des évolutions du droit européen.

Dans cette période transitoire, deux enseignements pratiques méritent d'être retenus. D'une part, le droit de refus reconnu aux PME protégées constitue un outil de négociation concret face à des demandes d'information excessives émanant de grands donneurs d'ordre . D'autre part, tant que la transposition n'est pas achevée, l'approche la plus prudente consiste à raisonner par standards et à retenir, en cas de divergence entre les régimes européen et français, le niveau d'exigence le plus élevé.

Le calendrier reste, en outre, particulièrement dense. L'Omnibus I est entré en vigueur le 18 mars 2026, vingt jours après sa publication au Journal officiel de l'Union européenne le 26 février 2026 (article 6). Les États membres doivent transposer le volet CSRD du texte au plus tard le 19 mars 2027 (article 5 §1, alinéa 1er), tandis que les lignes directrices de la Commission sur le devoir de vigilance sont attendues au plus tard le 26 juillet 2027 (article 4.15, modifiant l'article 19 §3 de la CS3D). La transposition du volet CS3D proprement dit doit intervenir au plus tard le 26 juillet 2028 (article 5 §1, alinéa 2), pour une application aux entreprises concernées à compter du 26 juillet 2029 (article 4.22, modifiant l'article 37 §1 de la CS3D) et les premières obligations déclaratives ne s'imposant, elles, qu'aux exercices ouverts à compter du 1er janvier 2030 (même article 37 §1 modifié). Sur le terrain contentieux, l'échéance du 21 janvier 2027, date à laquelle l'affaire TotalEnergies a été renvoyée devant le juge de la mise en état du Tribunal judiciaire de Paris, sera particulièrement suivie.

L'Omnibus I ne signe donc pas la fin du devoir de vigilance européen. Il en réduit l'ambition initiale, en resserre le périmètre et en assouplit les modalités d'application. Mais le mouvement de simplification engagé à Bruxelles se heurte, en France, à une dynamique jurisprudentielle d'un tout autre sens. Pour les entreprises françaises, le véritable risque juridique de demain se situera probablement moins dans le texte européen lui-même que dans la manière dont les juridictions nationales choisiront de s'en emparer.

En relevant significativement les seuils d’application de la CS3D, en supprimant l’obligation de plan de transition climatique, en abandonnant le régime harmonisé de responsabilité civile avec caractère de loi de police, le législateur européen a recentré les obligations de communication sur un cercle plus restreint d’acteurs. Les exigences demeurent vivaces et centrales en France comme nous le rappellent les Tribunaux, prêts à sanctionner les carences de communication dans les plans de vigilance. Dès lors loin de diluer les obligations d’informations, le contexte Omnibus guide les sociétés vers une communication plus ciblée et mieux documentée, sous peine de voir leur responsabilité engagée, au regard des standards nationaux et de l’appréciation des juges.

La vigilance en matière de communication n’a pas disparu ! Elle doit rester concentrée sur les enjeux stratégiques.