CSRD Omnibus : ce qui change vraiment en 2026

Votre entreprise a engagé un reporting CSRD et découvre les nouveaux seuils de 1 000 salariés et 450 millions d’euros. Peut-elle interrompre le projet ? Au 27 septembre 2026, il faut distinguer le calendrier français applicable, la directive Omnibus à transposer et les nouvelles normes ESRS déjà publiées.

Trois textes, trois effets différents

Le report de calendrier est déjà intégré au droit français : l’article 33 de l’ordonnance du 6 décembre 2023, modifié en 2025, fixe l’entrée de la deuxième vague aux exercices ouverts à compter du 1er janvier 2027. Les PME cotées relèvent encore, dans ce texte français, de l’exercice 2028. Ces dates désignent les exercices concernés, pas l’année où le rapport est publié.

La directive (UE) 2026/470, adoptée le 24 février 2026 et entrée en vigueur le 18 mars, modifie le périmètre. Son volet CSRD doit être transposé au plus tard le 19 mars 2027. Elle retient deux critères cumulatifs : plus de 1 000 salariés en moyenne et plus de 450 millions d’euros de chiffre d’affaires net, avec examen consolidé pour les groupes concernés. Elle retire les PME cotées du périmètre obligatoire européen.

La situation française reste à vérifier séparément : le Portail RSE public, vérifié le 2 septembre 2026, précise que ces nouveaux seuils ne sont pas encore transposés. Une entreprise de la première vague ne doit donc pas conclure à sa sortie sur la seule lecture du nouveau seuil européen. Le diagnostic détaillé relève de notre guide des entreprises concernées par la CSRD.

Les ESRS révisés sont désormais publiés

Le règlement délégué (UE) 2026/1563 a été publié le 21 septembre 2026. Son article 3 prévoit une entrée en vigueur le 10 novembre 2026 et une application aux exercices commençant à compter du 1er janvier 2027. Ce n’est donc plus un projet EFRAG en attente d’adoption.

Pour les exercices commençant en 2026, l’article 2 prévoit plusieurs options : conserver les normes antérieures, adopter les nouvelles ou utiliser les anciennes avec certains allègements précisément énumérés. Le rapport doit indiquer la version retenue. Préparez cette décision avec le certificateur ; ne composez pas librement votre propre mélange de prescriptions. Notre guide des normes ESRS explique comment organiser cette transition.

Le plafond fournisseurs ne couvre pas toute demande ESG

La directive 2026/470 protège les entreprises de la chaîne de valeur qui ne dépassent pas 1 000 salariés. Elle leur reconnaît un droit de refuser les informations dépassant les normes volontaires lorsque la demande sert au reporting de durabilité obligatoire. Ce mécanisme n’impose pas au fournisseur de répondre et ne vise pas toutes les demandes poursuivant d’autres finalités, notamment certaines diligences légales.

Il faut articuler cette protection avec sa transposition nationale. Une clause ne devient pas automatiquement inopposable en France parce qu’un communiqué européen annonce le plafond. Conservez la finalité de la demande, la taille du fournisseur et les informations sollicitées. La méthode de réponse est développée pour les PME sollicitées par leurs clients.

Décider quoi poursuivre et quoi suspendre

Rédigez une note courte, approuvée par la direction, qui distingue les quatre décisions suivantes.

Gardez les méthodes de calcul et les justificatifs utiles ; retirez les collectes devenues sans finalité. Les travaux conservés ne doivent pas justifier une circulation indéfinie des fichiers RH ou fournisseurs. Le plan de conformité CSRD permet d’attribuer chaque arbitrage à un responsable.

Cas pratique : une sortie attendue ne dispense pas du rapport 2026

Exemple entièrement fictif. MétalRive est une société industrielle française cotée sur un marché réglementé, sans filiale ni société mère. Elle appartient à la première vague et a déjà publié son rapport portant sur 2024. Son dernier exercice clos présente une moyenne de 840 salariés et un chiffre d’affaires net de 520 millions d’euros. La préparation 2026 retient une stabilité de ces chiffres comme hypothèse, à confirmer à la clôture : ce ne sont pas encore des résultats annuels établis. La direction veut annuler le rapport 2026 parce que le nouvel effectif européen n’est pas atteint.

La responsable juridique sépare deux conclusions. Les deux critères européens sont cumulatifs : dépasser 450 millions ne compense pas un effectif inférieur à 1 000. MétalRive se situe donc sous le nouveau périmètre décrit par la directive, sur les hypothèses retenues. Mais cette comparaison ne démontre pas qu’une dispense française s’applique déjà à son exercice 2026. L’équipe ne trouve pas, dans les textes français examinés au jour de la décision, la mesure permettant d’arrêter cette obligation actuelle.

La direction maintient donc le rapport 2026. Elle prépare en parallèle une réduction possible du chantier futur, conditionnée à la transposition et à la confirmation des faits. Elle ne traite pas la date limite européenne du 19 mars 2027 comme la date d’une dispense individuelle déjà accordée.

La directive prévoit d’ailleurs une faculté pour les États membres d’exempter certaines entreprises de la première vague pour les exercices 2025 et 2026. C’est précisément une faculté nationale à rechercher dans le droit applicable, pas une case que chaque entreprise peut activer seule. Directive 2026/470, Art. 3(1)(c).

La note de décision remplie

Ce document ne vaut pas une attestation de conformité. Il rend les hypothèses et les arbitrages visibles. Le certificateur intervient sur les conséquences du référentiel et sa mission ; il ne remplace pas la décision de l’entreprise ni la lecture du droit national.

L’erreur repérée dans l’outil de collecte

La responsable RSE reprend le fichier de préparation du rapport. Une modification antérieure a classé l’entreprise « hors périmètre » et supprimé les demandes adressées aux trois sites de production pour 2026. Le tableau de synthèse affiche désormais zéro consommation pour ces sites. Or aucun justificatif ne démontre une consommation nulle : les réponses n’ont simplement pas été collectées.

La validation du tableau est suspendue. L’équipe rétablit les demandes nécessaires au rapport 2026, rapproche les réponses des justificatifs disponibles et distingue les informations confirmées de celles encore manquantes. Une seconde personne contrôle que les trois sites figurent bien dans le périmètre et que l’export destiné au rapport contient les résultats corrigés. Le changement ne se limite pas à réactiver une case dans le logiciel.

Si une donnée reste indisponible, elle n’est pas remplacée silencieusement par zéro. L’équipe détermine le traitement admis par le référentiel effectivement retenu, documente la limite et examine ses conséquences avec le certificateur. Elle ne clôt pas le contrôle au seul motif que le logiciel a accepté l’import. Cette conduite évite de transformer une anticipation réglementaire en information de durabilité inexacte.

Passer d’une annonce à une modification de projet

Une adaptation sérieuse commence par l’entité et l’exercice. Un effectif français isolé n’est pas toujours le bon périmètre : la directive traite aussi les sociétés mères et le groupe sur une base consolidée. Une filiale de 300 salariés ne permet donc pas, à elle seule, de conclure sur le rapport d’un groupe de 1 600 salariés. Les exemptions et les informations demandées par la société mère doivent être examinées séparément.

Dans le dossier, conservez la source de l’effectif moyen et du chiffre d’affaires net, l’organigramme utilisé et la date de l’analyse. Un effectif au dernier jour du mois ne remplace pas sans explication la moyenne annuelle demandée par le texte. Si une acquisition change le périmètre, la note doit être reprise ; copier la conclusion de l’année précédente ne suffit pas.

Ensuite, classez les tâches du projet. Une obligation légale actuelle reste à exécuter. Une préparation visant un futur exercice peut être redimensionnée après analyse. Une demande de client conserve son objet propre, même si l’entreprise sort demain du reporting obligatoire. Enfin, une collecte sans finalité restante doit cesser : garder un questionnaire parce qu’il a coûté cher à concevoir ne lui donne pas une utilité juridique.

Pour un fournisseur, la réponse au donneur d’ordre peut donc être précise : « Nous pouvons fournir ces indicateurs agrégés pour votre besoin identifié ; merci de préciser la finalité et le fondement de la demande portant sur les informations supplémentaires. » Cette formulation est un point de départ commercial adaptable, pas l’invocation d’un droit de refus déjà transposé dans toutes les situations.

La direction doit aussi décider du sort des données accumulées. Les justificatifs nécessaires à une obligation ou à une preuve identifiée restent protégés avec leurs accès et durées propres. Les exports RH nominatifs préparés pour un indicateur agrégé ne doivent pas circuler entre tous les chefs de projet. Les principes de minimisation et de limitation de conservation continuent de s’appliquer, indépendamment du calendrier Omnibus. RGPD, Art. 5(1)(c), 5(1)(e) et 5(1)(f).

Enfin, fixez un événement de réexamen concret : publication de la transposition, changement de groupe ou choix définitif du référentiel du rapport. Attribuez cette veille à une personne et prévoyez son remplacement. Une mention « à suivre » dans un document partagé ne garantit pas que l’équipe arrêtera ou reprendra les bonnes collectes au bon moment.

Ce qu’il faut retenir

• Le report français et la réduction européenne du périmètre sont deux opérations différentes.
• Les seuils européens de 1 000 salariés et 450 millions d’euros sont cumulatifs.
• Les nouveaux ESRS ont été publiés le 21 septembre 2026, avec leur propre calendrier.
• Documentez la poursuite, la réduction ou l’arrêt de chaque chantier.

FAQ

Une entreprise de 800 salariés peut-elle arrêter son rapport ?

Pas sur ce seul chiffre. Il faut vérifier son obligation française pour l’exercice concerné, son groupe et les mesures nationales de transposition ou de dispense effectivement applicables.

Les ESRS simplifiés remplacent-ils immédiatement les anciens ?

Le règlement prévoit une entrée en vigueur le 10 novembre 2026, une application générale aux exercices débutant en 2027 et des options pour 2026. La version retenue doit être identifiable dans le rapport.

Le plafond fournisseurs interdit-il tous les questionnaires ESG ?

Non. Son champ dépend notamment de la taille du fournisseur, de la finalité de la demande et du cadre juridique applicable. Une demande commerciale et une obligation légale de diligence doivent être examinées distinctement.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.