CSRD : obligations et méthode de préparation en 2026

La CSRD organise la publication d’informations sur les impacts, risques et opportunités de durabilité des entreprises concernées. Pour une direction financière ou un DPO, la difficulté en septembre 2026 est de préparer un rapport dans un cadre qui vient de changer, sans confondre une réforme européenne adoptée avec sa transposition en France.

Ce guide sert à choisir les travaux utiles : vérifier l’assujettissement, retenir la version des normes, déterminer les informations pertinentes puis organiser la production et la certification. Il ne faut pas commencer par envoyer un questionnaire exhaustif à toutes les filiales.

Ce qu’il faut retenir

• Le calendrier français actuellement publié distingue les premières entreprises déjà concernées, puis les vagues reportées à 2027 et 2028.
• La directive (UE) 2026/470 réduit le futur périmètre européen ; sa transposition CSRD est attendue pour le 19 mars 2027.
• Les nouvelles ESRS ont été publiées le 21 septembre 2026. Leur application obligatoire vise les exercices commençant en 2027, avec des options pour 2026.
• La préparation repose sur une information justifiée, une piste de contrôle et une assurance limitée ; elle ne crée pas un droit général de collecter des données personnelles.

Première décision : votre entreprise doit-elle publier ?

L’article 33 de l’ordonnance française de transposition, modifié en 2025, fixe le calendrier national. Certaines grandes entités publient déjà pour les exercices ouverts en 2024. Les deuxième et troisième vagues ont été reportées respectivement aux exercices ouverts en 2027 et 2028, selon les catégories prévues par le texte.

La directive (UE) 2026/470 retient pour le nouveau champ européen les entreprises dépassant simultanément 1 000 salariés en moyenne et 450 millions d’euros de chiffre d’affaires net, avec des dispositions propres aux groupes et aux entreprises de pays tiers. Elle prévoit aussi des mesures transitoires que les États peuvent mettre en œuvre. Ces seuils ne doivent pas être présentés comme ayant déjà remplacé toutes les dispositions françaises : le Portail RSE public indique encore, dans sa mise à jour du 2 septembre 2026, que leur transposition reste nécessaire.

Rédigez une note courte comportant l’entité juridique, la clôture, les effectifs et données financières utilisés, les liens de groupe, une éventuelle dispense et le texte qui fonde la conclusion. Le guide des entreprises concernées détaille cette analyse. Prévoyez une date de réexamen plutôt qu’une conclusion définitive fondée sur un seuil annoncé dans la presse.

Deuxième décision : quelles ESRS appliquer ?

Le règlement délégué (UE) 2026/1563, publié le 21 septembre 2026, entre en vigueur le 10 novembre 2026 et s’applique aux exercices commençant le 1er janvier 2027 ou après. Pour les exercices commençant en 2026, il prévoit le choix entre les anciennes normes modifiées et les nouvelles, ainsi que la possibilité d’utiliser certains allègements nouveaux avec les anciennes normes.

La bonne question pour votre projet est donc : « quelle version avons-nous retenue pour cet exercice, et comment les tableaux la matérialisent-ils ? ». Une liste de champs récupérée d’un logiciel ou d’un cabinet ne répond pas à cette question. Notre guide des normes ESRS explique le choix de version et les conséquences sur la collecte.

Le référentiel retenu doit être visible dans les instructions aux contributeurs, les contrôles de complétude et le dossier remis au certificateur. En cas de changement de version, examinez les informations supprimées, les nouvelles possibilités d’estimation et les effets sur la comparabilité.

Troisième décision : quels sujets et informations retenir ?

La double matérialité examine les impacts de l’entreprise sur les personnes et l’environnement, ainsi que les effets financiers des questions de durabilité sur l’entreprise. Un sujet peut être pertinent selon l’une de ces dimensions seulement.

Les ESRS révisées adoptées par la Commission, annexe I, admettent une analyse descendante lorsque le modèle économique et le contexte permettent une conclusion claire, ou une démarche plus détaillée si nécessaire. Le filtre de matérialité de l’information s’étend aux exigences et points de données ; ESRS 2 ne doit plus être décrit comme une liste dont chaque champ serait toujours automatiquement exigé.

Formalisez le raisonnement, les sources et les incertitudes, sans inventer une précision chiffrée que les informations disponibles ne permettent pas. Le dossier de double matérialité peut ensuite guider la liste des données réellement à produire.

Organiser un circuit de production contrôlable

Pour chaque information retenue, désignez un propriétaire, une méthode et une pièce justificative. Un tableau de suivi utile comporte les colonnes suivantes : information, périmètre, période, source, calcul ou estimation, contrôle, personne chargée de valider et emplacement de la preuve.

Commencez par un indicateur difficile, par exemple une donnée répartie entre plusieurs filiales. Faites-le parcourir tout le circuit avant de multiplier les extractions. Ce test révèle rapidement les divergences de définition, les doublons et les fichiers sans responsable.

Séparez le rapport public, les données de consolidation et les justificatifs détaillés. Un certificateur peut avoir besoin d’une preuve que l’équipe de rédaction n’a aucune raison de recevoir intégralement. Les règles de protection des données ESG doivent être intégrées à ce circuit.

Préparer la certification et la publication

En France, l’article L.232-6-3 du Code de commerce encadre les informations de durabilité et leur certification par un professionnel habilité. Associez ce dernier assez tôt pour préciser les travaux attendus, l’accès aux preuves et le traitement des anomalies.

Les lignes directrices H2A de janvier 2026 encadrent l’assurance limitée. Il ne faut plus annoncer un passage automatique à l’assurance raisonnable en 2028 : la réforme de 2026 a retiré cette trajectoire obligatoire. Le guide de certification du rapport CSRD précise les livrables à préparer.

Enfin, vérifiez les exigences de dépôt et de format applicables à votre exercice. La directive 2026/470 ne rend pas le balisage numérique obligatoire avant l’adoption des règles techniques correspondantes. Une fonction XBRL proposée par un prestataire ne suffit pas à démontrer qu’elle est déjà légalement exigée.

Questions fréquentes

Une entreprise sortie du futur champ doit-elle arrêter tous ses travaux ?

Elle doit d’abord vérifier les règles françaises encore applicables à son exercice. Des données peuvent aussi rester utiles pour des demandes commerciales ou un reporting volontaire, avec un périmètre et des engagements distincts.

La CSRD impose-t-elle de publier toutes les données ESG disponibles ?

Non. Le rapport suit un référentiel, un périmètre et une analyse de matérialité. Disposer d’un fichier ne justifie ni son utilisation systématique ni sa publication.

Peut-on déléguer l’ensemble du projet à un logiciel ?

Un outil peut organiser les contributions et les contrôles. Les décisions de périmètre, les méthodes, la validation des informations et les responsabilités demeurent à attribuer au sein de l’entreprise.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.