Depuis l'adoption de la CS3D (Corporate Sustainability Due Diligence Directive, également notée CSDDD), une confusion persiste chez de nombreux professionnels RSE et compliance : s'agit-il d'une simple transposition européenne du dispositif français, ou d'un régime réellement différent ? La réponse tient en une phrase : la CS3D s'est largement inspirée de la loi française de 2017, mais elle s'en écarte sur des points structurants — portée géographique, définition de la chaîne de valeur couverte, régime de responsabilité civile, et mécanismes de sanction. Comprendre ces différences est indispensable pour les entreprises qui pourraient se retrouver soumises aux deux textes simultanément, ou pour celles qui, souvent à tort, pensent être hors périmètre de l'un parce qu'elles connaissent déjà l'autre.
La France a été le premier pays au monde à légiférer sur le devoir de vigilance, avec la loi n° 2017-399 du 27 mars 2017, adoptée dans le sillage du drame du Rana Plaza. Ce texte pionnier a directement inspiré la Commission européenne dans la construction de la CS3D, adoptée en 2024 puis largement remaniée par la directive Omnibus, entrée en vigueur le 18 mars 2026. Nous détaillons l'ensemble de cette réforme, ses seuils actualisés et le contexte juridique complet du devoir de vigilance français dans notre guide dédié ; l'objectif ici est différent : mettre les deux régimes côte à côte pour comprendre précisément où ils convergent et où ils divergent.
Cette filiation explique pourquoi les deux textes partagent une architecture commune : identification des risques, cartographie, mesures de prévention, mécanisme d'alerte, suivi de l'efficacité des mesures. Mais au-delà de cette structure commune, les logiques juridiques sous-jacentes restent sensiblement différentes.
C'est le point le plus fréquemment mal compris. La loi française ne retient aucun critère de chiffre d'affaires : seul l'effectif compte. Elle s'applique aux sociétés qui emploient, pendant deux exercices consécutifs, au moins 5 000 salariés en France en incluant leurs filiales françaises, ou au moins 10 000 salariés dans le monde, filiales françaises et étrangères comprises. Environ 250 à 300 groupes français sont directement concernés par ce seuil.
La CS3D, telle que révisée par l'Omnibus, fonctionne différemment : elle combine un seuil d'effectif et un seuil de chiffre d'affaires, fixés à plus de 5 000 salariés et plus de 1,5 milliard d'euros de chiffre d'affaires mondial. Ce double critère cumulatif change la nature du filtre : une entreprise très employeuse mais avec un chiffre d'affaires modéré, qui serait couverte par la loi française si elle dépassait les seuils français, pourrait rester hors du champ de la CS3D si elle ne franchit pas la barre du 1,5 milliard d'euros. À l'inverse, un groupe européen non français, très capitalistique mais avec des effectifs plus resserrés, pourrait entrer dans le champ de la CS3D sans jamais avoir été concerné par la loi de 2017, faute de présence significative en France.
Autrement dit, les deux textes ne dessinent pas le même périmètre d'entreprises, et une entreprise ne peut pas déduire son statut au regard de l'un à partir de sa situation au regard de l'autre.
La loi française cible spécifiquement les sociétés mères et les entreprises donneuses d'ordre ayant leur siège social en France, avec une application qui reste, par construction, centrée sur le tissu économique français, même si les obligations de vigilance s'étendent ensuite à l'ensemble de la chaîne de valeur mondiale de ces groupes.
La CS3D adopte une portée plus large : elle s'applique non seulement aux entreprises européennes dépassant les seuils, mais également aux entreprises non européennes qui réalisent un chiffre d'affaires équivalent au sein de l'Union européenne, dès lors que ce chiffre d'affaires dépasse le seuil fixé. Ce mécanisme d'extraterritorialité, comparable dans son principe à celui que l'on retrouve pour la CSRD vis-à-vis des filiales de groupes non européens, signifie qu'un groupe américain ou asiatique générant suffisamment de chiffre d'affaires en Europe peut se retrouver directement soumis à la CS3D, sans qu'aucune loi nationale équivalente ne s'applique à lui par ailleurs.
C'est sans doute la divergence la plus technique, mais aussi l'une des plus importantes en pratique. La loi française de 2017 couvre les filiales, les sous-traitants et les fournisseurs avec lesquels l'entreprise entretient une « relation commerciale établie » — une notion issue du droit commercial français, qui suppose une certaine stabilité et un certain volume dans la relation, sans nécessiter de seuil quantitatif précis. Cette formulation a longtemps laissé une marge d'interprétation aux entreprises et aux juridictions sur ce qui constitue, ou non, une relation suffisamment établie pour entrer dans le périmètre de vigilance.
La CS3D retient une notion différente, celle de « chaîne d'activités » (chain of activities), qui englobe les activités en amont liées à la production de biens ou à la fourniture de services par les partenaires commerciaux de l'entreprise, ainsi que, pour certaines catégories d'entreprises, les activités en aval liées à la distribution, au transport et au stockage du produit. Cette définition est à la fois plus structurée dans son formalisme et, sur certains aspects, plus étendue que la notion française de relation commerciale établie, notamment sur le volet aval pour les entreprises concernées.
Pour les groupes soumis aux deux régimes, cela signifie concrètement qu'une cartographie des risques construite uniquement pour répondre à la loi française ne suffira pas nécessairement à couvrir les exigences de la CS3D, et inversement. Les équipes conformité doivent donc travailler sur une base de cartographie suffisamment large pour satisfaire les deux définitions, plutôt que de chercher un plus petit dénominateur commun — un exercice qui rejoint, dans sa logique, celui de la double matérialité menée dans le cadre de la CSRD.
C'est ici que les deux textes s'écartent le plus nettement sur le plan juridique. En droit français, la mise en cause de la responsabilité d'une entreprise pour manquement à son devoir de vigilance relève du régime de droit commun de la responsabilité civile délictuelle. Cela signifie qu'un demandeur doit démontrer trois éléments cumulatifs : une faute, c'est-à-dire un manquement caractérisé aux obligations de vigilance ; un dommage réel ; et un lien de causalité direct entre cette faute et ce dommage. Cette architecture explique pourquoi les décisions de justice rendues jusqu'à présent, comme celle concernant TotalEnergies, ont surtout porté sur des injonctions sous astreinte visant à faire respecter le contenu du plan de vigilance, plutôt que sur des condamnations à indemniser des dommages, la charge de la preuve du lien de causalité restant un obstacle significatif pour les parties demanderesses.
La CS3D impose aux États membres de prévoir un régime de responsabilité civile spécifique, distinct du droit commun, applicable en cas de dommage résultant d'un manquement aux obligations de vigilance, avec des règles minimales harmonisées au niveau européen concernant notamment les délais de prescription et les conditions d'accès à la réparation. Si la directive laisse aux États une marge de transposition, elle impose un socle de protection plus explicite pour les victimes que ce que prévoyait initialement le texte français, notamment sur la possibilité pour des organisations syndicales ou des associations de représenter les victimes dans certaines conditions.
La loi française de 2017 ne prévoit pas d'autorité administrative dédiée au contrôle du devoir de vigilance, ni de sanction financière administrative en cas de manquement. Le seul levier de mise en conformité forcée reste le contentieux civil, à l'initiative de tiers ayant intérêt à agir — associations, ONG, parfois collectivités territoriales — ce qui explique la relative rareté des décisions de justice sur le sujet depuis 2017, malgré un nombre croissant de procédures engagées ces dernières années.
La CS3D introduit, à l'inverse, un mécanisme de contrôle administratif : chaque État membre doit désigner une autorité de contrôle compétente, habilitée à mener des enquêtes, à exiger des mesures correctives, et à prononcer des amendes administratives pouvant atteindre un pourcentage significatif du chiffre d'affaires mondial de l'entreprise concernée. Ce mécanisme rapproche la CS3D d'autres dispositifs de compliance européens plus récents, où le contrôle administratif proactif vient compléter, et non plus seulement suivre, le contentieux civil. Pour les entreprises, cela change la nature du risque : la CS3D transforme un risque essentiellement réputationnel et contentieux en un risque également réglementaire et financier direct, avec un contrôle qui peut intervenir indépendamment de toute action en justice engagée par un tiers.
La loi française est en vigueur depuis 2017 et s'applique pleinement aux entreprises qui dépassent ses seuils depuis cette date. La CS3D, en tant que directive européenne, nécessite une transposition dans le droit national de chaque État membre avant de produire ses effets, avec une application progressive selon la taille des entreprises, sur un modèle de montée en charge par vagues que l'on retrouve également dans la logique de la CSRD. Les entreprises françaises déjà soumises à la loi de 2017 ne verront donc pas nécessairement leurs obligations changer immédiatement à l'entrée en application de la CS3D ; en revanche, elles devront composer avec la coexistence des deux régimes, la loi française restant en vigueur en parallèle de la transposition européenne, sauf modification législative explicite en ce sens.
Pour un grand groupe français dépassant à la fois les seuils de la loi de 2017 et ceux de la CS3D, la situation la plus fréquente pour les groupes de grande taille, la coexistence des deux textes implique de construire un dispositif de vigilance suffisamment robuste pour satisfaire le régime le plus exigeant sur chaque dimension : la définition la plus large de la chaîne de valeur, le régime de preuve le plus protecteur pour les victimes, et le mécanisme de contrôle le plus strict. Une entreprise qui se contenterait de répliquer son dispositif construit pour la loi française prendrait le risque de sous-dimensionner sa réponse aux exigences de la CS3D, notamment sur le volet du contrôle administratif et des sanctions financières associées.
Pour les entreprises de taille intermédiaire, souvent fournisseurs ou sous-traitantes de grands groupes soumis à l'un ou l'autre régime, la vigilance des donneurs d'ordre continue de se traduire par des questionnaires, des clauses contractuelles et des audits, quel que soit le texte juridique applicable à l'entreprise elle-même — une exigence qui touche directement la fiabilisation des données ESG, notamment sur les émissions de gaz à effet de serre demandées dans les questionnaires de vigilance. Sur ce point, la cohérence entre les dispositifs de vigilance et l'analyse de double matérialité menée dans le cadre de la CSRD devient un atout : les entreprises les plus matures pilotent ces différents chantiers réglementaires comme un système intégré, souvent sous la coordination d'un Chef de Projet CSRD, plutôt que comme des obligations juridiques cloisonnées.
La CS3D n'est pas une simple version européenne de la loi française de 2017 : les deux textes divergent sur les seuils d'assujettissement, la portée géographique, la définition de la chaîne de valeur couverte, le régime de responsabilité civile applicable et les mécanismes de sanction. Cette divergence n'est pas anecdotique : elle détermine directement l'ampleur du dispositif de vigilance qu'une entreprise doit mettre en place, ainsi que la nature du risque juridique auquel elle s'expose en cas de manquement. Pour les entreprises soumises aux deux régimes, la seule approche viable consiste à construire un dispositif unique, calibré sur les exigences les plus strictes de chacun des deux textes, plutôt que de gérer deux conformités en parallèle.
