La CSRD (Corporate Sustainability Reporting Directive, directive (UE) 2022/2464) est la directive européenne qui oblige les grandes entreprises à publier chaque année un rapport de durabilité conforme aux standards ESRS, vérifié par un tiers indépendant. Elle succède à la NFRD (directive 2014/95/UE) et constitue la réforme la plus ambitieuse du reporting de durabilité en Europe depuis une décennie. Son champ a toutefois été profondément revu en deux temps : la directive « stop-the-clock » (UE) 2025/794 a d'abord gelé le calendrier, puis la directive Omnibus I (UE) 2026/470 a relevé les seuils. Ce guide détaille la définition de la CSRD, qui reste concerné en 2026, ce qu'il faut déclarer et comment s'y préparer.
Qu'est-ce que la CSRD ? Définition
La CSRD est une directive européenne qui impose aux grandes entreprises de publier des informations de durabilité - environnementales, sociales et de gouvernance - dans leur rapport de gestion annuel, selon une structure standardisée, vérifiable et numérique. Le texte de référence est la directive (UE) 2022/2464 du Parlement européen et du Conseil du 14 décembre 2022, publiée au Journal officiel de l'UE le 16 décembre 2022, qui modifie la directive comptable 2013/34/UE. Elle a été transposée en droit français par l'ordonnance n° 2023-1142 du 6 décembre 2023, qui modifie le Code de commerce (articles L. 232-6-3 et suivants).
La CSRD introduit trois ruptures par rapport au régime antérieur :
- Standards harmonisés : toutes les entreprises assujetties appliquent les mêmes normes de reporting, les ESRS (European Sustainability Reporting Standards), adoptés par le règlement délégué (UE) 2023/2772 de la Commission du 31 juillet 2023.
- Double matérialité : l'entreprise analyse à la fois l'impact de ses activités sur l'environnement et les personnes (matérialité d'impact) et les risques et opportunités ESG qui pèsent sur sa performance financière (matérialité financière).
- Assurance externe obligatoire : les informations de durabilité sont vérifiées par un commissaire aux comptes ou un organisme tiers indépendant (OTI) accrédité par le Cofrac, et publiées au format numérique XBRL pour être lisibles par les investisseurs et les régulateurs.
Contexte : pourquoi la CSRD remplace la NFRD
La NFRD (directive 2014/95/UE), appliquée depuis 2018, couvrait environ 11 000 entités d'intérêt public en Europe. Elle laissait chaque entreprise libre de son référentiel (GRI, TCFD, CDP) et n'imposait pas de vérification externe systématique : les rapports produits étaient difficilement comparables et peu fiables. La Commission européenne a lancé sa refonte en 2019, dans le cadre du Pacte vert européen, avec trois objectifs : aligner le reporting des entreprises sur l'Accord de Paris et la neutralité carbone 2050, fiabiliser les données ESG dont ont besoin les investisseurs soumis au règlement SFDR (règlement (UE) 2019/2088), et couvrir un périmètre d'entreprises beaucoup plus large.
Les principales différences entre les deux textes :
- Standards obligatoires : la NFRD laissait le choix du référentiel. La CSRD impose les ESRS.
- Double matérialité : non exigée sous la NFRD, obligatoire et documentée sous la CSRD selon l'ESRS 1.
- Assurance externe : facultative sous la NFRD, obligatoire sous la CSRD dès le premier exercice de reporting.
- Format numérique : non imposé sous la NFRD, format XBRL obligatoire sous la CSRD.
- Périmètre : environ 11 000 entités sous la NFRD, environ 50 000 entreprises dans le texte de 2022, ramenées à quelques milliers de très grandes entreprises par l'Omnibus I.
Pour resituer cette évolution dans l'histoire du reporting de durabilité, consultez notre guide reporting extra-financier : de la NFRD à la CSRD.
Calendrier : ce qu'ont changé le « stop-the-clock » et l'Omnibus I
Le texte de 2022 prévoyait trois vagues : les grandes entités d'intérêt public sur l'exercice 2024, les autres grandes entreprises sur l'exercice 2025, les PME cotées sur l'exercice 2026. Deux textes successifs ont réécrit ce calendrier :
- Vague 1 - exercice 2024 (rapport publié en 2025) : les entités d'intérêt public de plus de 500 salariés déjà soumises à la NFRD (grandes sociétés cotées, banques, assureurs). Elles ont publié leur premier rapport en 2025. Celles qui passent sous les nouveaux seuils peuvent être exemptées par leur État membre pour les exercices 2025 et 2026.
- Directive (UE) 2025/794 du 14 avril 2025, dite « stop-the-clock » : elle reporte de deux ans l'entrée en application pour les entreprises des vagues 2 et 3 qui n'avaient pas encore commencé leur reporting. La vague 2 est passée de l'exercice 2025 à l'exercice 2027, la vague 3 de l'exercice 2026 à l'exercice 2028.
- Directive (UE) 2026/470, dite Omnibus I : publiée au Journal officiel de l'UE le 26 février 2026 et en vigueur depuis le 18 mars 2026, elle limite la CSRD aux entreprises de plus de 1 000 salariés et de plus de 450 millions d'euros de chiffre d'affaires net. Ces entreprises publient leur premier rapport en 2028, sur l'exercice ouvert à compter du 1er janvier 2027. Les PME cotées sortent du champ. Les États membres ont jusqu'au 19 mars 2027 pour transposer ces modifications.
Pour le détail des seuils avant et après la réforme, et les cas limites (groupes, entreprises hors UE), consultez notre guide sur les seuils CSRD après l'Omnibus.
Qui est concerné par la CSRD ?
Le périmètre d'application est la question la plus fréquente en 2026, parce qu'il a changé deux fois en un an. La règle à retenir : ce sont désormais les seuils de l'Omnibus I qui comptent, et non plus ceux du texte de 2022.
Les entreprises directement assujetties
Depuis la directive (UE) 2026/470, une entreprise de l'UE est directement assujettie si elle remplit cumulativement deux conditions sur l'exercice :
- Plus de 1 000 salariés en moyenne
- Un chiffre d'affaires net supérieur à 450 millions d'euros
Le même test s'applique à la société mère sur une base consolidée. Pour les groupes hors UE, la CSRD s'applique lorsque le groupe réalise plus de 450 millions d'euros de chiffre d'affaires dans l'UE sur chacun des deux derniers exercices et y dispose d'une filiale ou d'une succursale de plus de 200 millions d'euros de chiffre d'affaires, avec un premier rapport en 2029 sur l'exercice 2028.
Le changement est considérable. Le texte de 2022 visait toute grande entreprise remplissant deux des trois critères suivants : plus de 250 salariés, plus de 40 millions d'euros de chiffre d'affaires net, plus de 20 millions d'euros de total bilan. Une ETI de 300 ou de 800 salariés, au cœur de la vague 2 initiale, n'est donc plus directement concernée.
De la proposition Omnibus à la directive (UE) 2026/470
La Commission européenne a présenté le 26 février 2025 la proposition dite « Omnibus » (COM(2025) 150), visant à alléger les obligations ESG des entreprises. Le volet calendrier a été adopté en premier, sous la forme de la directive (UE) 2025/794. Le volet sur le fond a été adopté par le Parlement européen le 16 décembre 2025 et par le Conseil le 24 février 2026. Par rapport à la proposition initiale, le texte final ajoute le seuil de 450 millions d'euros de chiffre d'affaires au seuil de 1 000 salariés. Il retire aussi à la Commission le pouvoir d'adopter des ESRS sectoriels : le reporting sectoriel devient volontaire.
Filiales, sous-traitants et chaîne de valeur
La CSRD touche aussi indirectement les entreprises qui ne sont pas directement assujetties. Trois cas de figure :
- Filiales de groupes assujettis : une filiale française d'un groupe soumis à la CSRD peut être couverte par le rapport consolidé du groupe plutôt que de publier séparément. Depuis l'Omnibus I, cette exemption est ouverte aussi aux grandes filiales dont les titres sont cotés sur un marché réglementé.
- Fournisseurs et sous-traitants : les grandes entreprises assujetties doivent reporter sur leurs émissions de scope 3 (ESRS E1) et sur les conditions de travail dans leur chaîne de valeur (ESRS S2). Elles sollicitent donc leurs fournisseurs pour des données ESG.
- PME et ETI clientes de grands comptes : l'Omnibus I plafonne ces demandes. Une entreprise de moins de 1 000 salariés peut refuser de fournir des informations qui vont au-delà de la norme volontaire pour les PME (VSME) développée par l'EFRAG.
Que faut-il déclarer ? Les standards ESRS
Les ESRS sont le cœur de la CSRD. Ils ont été adoptés par le règlement délégué (UE) 2023/2772 de la Commission du 31 juillet 2023 et constituent le référentiel de reporting obligatoire des entreprises assujetties. L'EFRAG a remis à la Commission une version simplifiée, centrée sur les données quantitatives, que la Commission doit adopter par un nouvel acte délégué. Pour le détail de chaque standard, consultez notre guide sur les standards ESRS.
ESRS 1 et ESRS 2 : les standards transversaux obligatoires pour toutes les entreprises
Deux standards s'appliquent sans condition d'applicabilité liée à la matérialité :
- ESRS 1 - Exigences générales : pose les principes généraux du reporting (cohérence, comparabilité, vérifiabilité), définit comment appliquer l'analyse de double matérialité et comment déterminer quels standards thématiques sont applicables. ESRS 1 n'exige pas lui-même de divulgations : il explique les règles du jeu.
- ESRS 2 - Informations générales : exige une série de divulgations obligatoires pour toutes les entreprises assujetties, indépendamment du résultat de la double matérialité. Cela comprend les informations sur la gouvernance du reporting (rôle du conseil de surveillance), la stratégie de durabilité (SBM-1), la gestion des impacts, risques et opportunités (SBM-3) et l'analyse des parties prenantes (SBM-2).
Les 10 standards thématiques (E, S, G)
Les 10 standards thématiques sont applicables en fonction du résultat de l'analyse de double matérialité. Si un sujet est jugé non matériel, l'entreprise peut omettre le standard correspondant, à condition de justifier cette omission conformément à ESRS 1 §29-36 :
- Environnement : E1 (changement climatique - émissions GES, transition énergétique, risques physiques), E2 (pollution - air, eau, sols), E3 (eau et ressources marines), E4 (biodiversité et écosystèmes), E5 (économie circulaire et ressources)
- Social : S1 (effectifs propres - conditions de travail, formation, diversité, écart de rémunération), S2 (travailleurs dans la chaîne de valeur), S3 (communautés locales affectées), S4 (consommateurs et utilisateurs finaux)
- Gouvernance : G1 (conduite des affaires - éthique, anti-corruption, protection des lanceurs d'alerte, politique de lobbying)
La double matérialité : au cœur de la CSRD
L'analyse de double matérialité est l'exercice central que toute entreprise assujettie doit réaliser avant de produire son rapport CSRD. Elle détermine quels sujets de durabilité sont « matériels » selon deux angles simultanés :
- Matérialité d'impact (impact materiality) : les effets réels ou potentiels, positifs ou négatifs, de l'entreprise sur les personnes et l'environnement - dans sa propre activité et sa chaîne de valeur. La sévérité d'un impact négatif s'apprécie selon sa gravité, son étendue et son caractère irrémédiable.
- Matérialité financière (financial materiality) : les risques et opportunités ESG susceptibles d'affecter les flux de trésorerie, la performance financière, la position concurrentielle ou le bilan de l'entreprise à court, moyen ou long terme.
Un sujet peut être matériel sur l'un ou l'autre angle, ou sur les deux simultanément. L'analyse doit être documentée, le processus de consultation des parties prenantes tracé (ESRS 2 SBM-2), et les conclusions défendables devant l'OTI lors de l'assurance. Pour la méthode pas à pas, consultez notre guide sur la double matérialité CSRD.
Comment se préparer à la CSRD en pratique
Un projet CSRD est un chantier transversal de 12 à 24 mois selon la maturité ESG de l'entreprise. Pour une entreprise qui entre dans le champ sur l'exercice 2027, la collecte de données commence donc dès 2026. Voici les cinq étapes structurantes.
Etape 1 : définir la gouvernance et le périmètre de reporting
La première décision est organisationnelle. La CSRD impose que la direction supervise et approuve le rapport de durabilité. Cela implique :
- Désigner un responsable de projet CSRD (souvent le directeur RSE ou financier)
- Constituer un comité de pilotage multi-fonctions (finance, RSE, juridique, DSI, achats, RH)
- Définir le périmètre de consolidation du rapport : groupe complet ou couverture par le rapport du groupe parent ?
- Vérifier la situation de l'entreprise au regard des seuils de l'Omnibus I et de la transposition française
Etape 2 : réaliser l'analyse de double matérialité
C'est l'étape la plus complexe. Elle requiert :
- L'identification des parties prenantes à consulter selon ESRS 2 SBM-2 (collaborateurs, clients, fournisseurs, communautés locales, investisseurs, ONG)
- La conduite des consultations (questionnaires, ateliers, entretiens)
- L'évaluation de la sévérité des impacts négatifs et de l'ampleur des impacts positifs sur les 10 thèmes ESRS
- L'évaluation des risques et opportunités financiers ESG à horizon 1 an, 5 ans, 20 ans
- La documentation des conclusions dans une grille de matérialité
Cette analyse conditionne tous les choix de reporting ultérieurs. Une erreur à cette étape - par exemple, un sujet matériel non identifié - se retrouvera dans le rapport final et pourra être relevée lors de l'assurance.
Etape 3 : identifier les ESRS applicables et les indicateurs à collecter
Sur la base de la double matérialité, l'entreprise détermine quels standards thématiques s'appliquent et quels indicateurs doivent être collectés. Pour chaque indicateur retenu, il faut définir :
- La source de données (quel SI, quelle équipe collecte la donnée)
- La méthode de calcul (ex : facteur d'émission de référence pour le scope 1, protocole GHG pour le scope 3)
- Le responsable de la donnée (data owner)
- La fréquence de collecte (annuelle, trimestrielle ou mensuelle selon le type)
Etape 4 : structurer la collecte de données et la gouvernance
La collecte des données CSRD mobilise des systèmes d'information variés : SI RH pour les données sociales S1, SI énergie pour les émissions E1, ERP pour les données financières, outils achats pour l'évaluation des fournisseurs S2. Les points de vigilance :
- Traçabilité obligatoire : l'OTI doit pouvoir retracer chaque indicateur jusqu'à sa source (logs de modification, version des données, droits d'accès)
- Gouvernance de la donnée : désigner un owner par indicateur, documenter les méthodes de calcul dans un dictionnaire de données
- Intégration dans les processus existants plutôt que création d'une collecte parallèle ad hoc
Le DPO et la DSI jouent un rôle clé dans la gouvernance des données CSRD, notamment pour les indicateurs RH (S1) qui touchent des données personnelles des collaborateurs. La collecte de ces données doit être compatible avec le RGPD (base légale, information des salariés, conservation limitée). Pour que les équipes finance, RSE, RH et achats partagent le même socle avant la première collecte, consultez notre guide sur la formation et la sensibilisation des équipes à la CSRD. Leto propose un module de sensibilisation pour outiller vos équipes sur les enjeux de la CSRD : voir l'offre sensibilisation.
Etape 5 : préparer l'assurance et le rapport
L'assurance limitée est obligatoire dès le premier exercice de reporting. Elle est réalisée par :
- Un commissaire aux comptes (CAC) qui peut élargir sa mission à l'assurance CSRD
- Un organisme tiers indépendant (OTI) accrédité par le Cofrac (Comité français d'accréditation)
L'OTI évalue notamment la qualité du processus de double matérialité, la cohérence des données avec leur source documentée, et le respect des exigences ESRS applicables. Le texte de 2022 prévoyait un passage ultérieur à une assurance raisonnable, comparable à l'audit des comptes annuels : l'Omnibus I a abandonné cette perspective, et l'assurance limitée devient le régime permanent. Préparer l'assurance dès la conception du dispositif, et pas seulement avant le dépôt du rapport, reste la meilleure façon d'éviter une réserve.
Sanctions et contrôles de la CSRD en France
La CSRD a été transposée en droit français par l'ordonnance n° 2023-1142 du 6 décembre 2023, qui modifie le Code de commerce (articles L. 232-6-3 et suivants). Le régime de sanctions français repose sur plusieurs mécanismes :
- Injonction judiciaire : tout actionnaire, mandataire social ou comité d'entreprise (CSE) peut saisir le tribunal de commerce pour obliger l'entreprise à produire ou compléter son rapport de durabilité.
- Responsabilité des dirigeants : les dirigeants qui omettent de faire établir et déposer le rapport de durabilité s'exposent aux sanctions applicables aux infractions similaires (amende pénale, selon l'article L. 242-8 du Code de commerce).
- Sanctions liées à l'assurance : l'absence d'assurance par un OTI accrédité peut constituer une infraction aux obligations légales et engager la responsabilité des dirigeants.
- Sanctions boursières : pour les sociétés cotées, l'AMF peut intervenir en cas d'information de durabilité inexacte ou incomplète dans le rapport annuel (article L. 621-14 du Code monétaire et financier).
Les premiers contrôles portent sur les rapports de l'exercice 2024, publiés en 2025 par les entreprises de la vague 1. Le régime français devra par ailleurs être ajusté pour transposer l'Omnibus I avant le 19 mars 2027. Pour former les équipes qui produiront et contrôleront ces données, Leto propose des modules courts de sensibilisation à la CSRD.
Questions fréquemment posées
Qu'est-ce que la CSRD en résumé ?
La CSRD (Corporate Sustainability Reporting Directive, directive (UE) 2022/2464 du 14 décembre 2022) est une directive européenne qui oblige les grandes entreprises à publier chaque année un rapport de durabilité structuré selon les standards ESRS, fondé sur une analyse de double matérialité et vérifié par un commissaire aux comptes ou un OTI. Elle remplace la NFRD. Depuis la directive Omnibus I (UE) 2026/470, elle vise les entreprises de plus de 1 000 salariés et de plus de 450 millions d'euros de chiffre d'affaires net.
Mon entreprise de 300 salariés est-elle concernée par la CSRD ?
Non, plus directement. Dans le texte de 2022, une entreprise de 300 salariés dépassant 40 millions d'euros de chiffre d'affaires ou 20 millions d'euros de total bilan entrait dans la vague 2. La directive (UE) 2025/794 a d'abord reporté cette vague à l'exercice 2027, puis la directive (UE) 2026/470 a relevé les seuils à plus de 1 000 salariés et plus de 450 millions d'euros de chiffre d'affaires, cumulativement. Une entreprise de 300 salariés sort donc du champ direct. Elle reste exposée aux demandes de données de ses clients assujettis, plafonnées au contenu de la norme volontaire VSME.
La CSRD est-elle reportée pour toutes les entreprises après l'Omnibus ?
Non. Les entreprises de la vague 1 (entités d'intérêt public de plus de 500 salariés) ont publié leur premier rapport en 2025 sur l'exercice 2024, et la directive (UE) 2025/794 ne les concerne pas. Celles qui passent sous les nouveaux seuils peuvent être exemptées par leur État membre pour les exercices 2025 et 2026. Pour les autres entreprises qui restent dans le champ, le premier rapport est publié en 2028, sur l'exercice 2027. La CSRD n'est pas supprimée : son champ est resserré sur les plus grandes entreprises.
Quelle est la différence entre matérialité d'impact et matérialité financière ?
La matérialité d'impact concerne les effets de l'entreprise sur le monde extérieur : ses émissions de CO2, les conditions de travail de ses sous-traitants, son impact sur la biodiversité. La matérialité financière concerne les risques et opportunités que les enjeux de durabilité font peser sur la performance économique de l'entreprise : risque physique lié au changement climatique, risque réglementaire, opportunités liées à la transition. Les deux analyses sont requises par la CSRD, et un même sujet peut être matériel sous les deux angles.
Qu'est-ce qu'un OTI et quelle est sa mission dans la CSRD ?
Un OTI (Organisme Tiers Indépendant) est un organisme accrédité par le Cofrac pour réaliser des missions d'assurance sur les informations de durabilité. Dans le cadre de la CSRD, l'OTI ou le commissaire aux comptes réalise une assurance limitée du rapport de durabilité : il vérifie que les processus de collecte des données sont fiables, que les indicateurs sont cohérents avec les sources documentées et que les exigences ESRS applicables sont respectées. L'Omnibus I a abandonné le passage à une assurance raisonnable que prévoyait le texte de 2022.
Les PME sont-elles concernées par la CSRD ?
Non, plus directement. Les PME non cotées ne l'ont jamais été, et l'Omnibus I a retiré du champ les PME cotées sur un marché réglementé, qui devaient initialement reporter sur l'exercice 2026. Les PME peuvent en revanche être sollicitées par les grandes entreprises assujetties dont elles sont fournisseurs (données ESRS S2 et E1 scope 3). Elles peuvent alors s'appuyer sur la norme volontaire VSME de l'EFRAG, au-delà de laquelle une entreprise de moins de 1 000 salariés peut refuser de répondre.
Comment la CSRD s'articule-t-elle avec le RGPD pour les données RH ?
La CSRD impose la publication d'indicateurs sociaux sur les effectifs propres (ESRS S1) : écart de rémunération hommes-femmes, taux d'accidents du travail, taux de formation, diversité aux postes de direction. Ces indicateurs s'appuient sur des données personnelles des salariés. La collecte doit respecter le RGPD : base légale (obligation légale découlant de la CSRD), information des salariés via la politique de protection des données, conservation limitée aux besoins du reporting, et sécurité adéquate. Le DPO doit être impliqué dès la conception du dispositif de collecte.
Quel est l'impact concret de la CSRD sur les DPO ?
Le DPO intervient à plusieurs niveaux dans le projet CSRD. Sur les données personnelles des salariés collectées pour ESRS S1, il conseille sur la base légale et les droits des personnes. Sur les données de chaîne de valeur (ESRS S2), il veille à ce que les questionnaires envoyés aux partenaires respectent le RGPD. Sur la gouvernance des données CSRD (logs, droits d'accès), il apporte son expertise pour structurer une gouvernance auditable par l'OTI.
