La version révisée du CSDDD s'applique aux entreprises de l'UE comptant plus de 5 000 salariés et dont le chiffre d'affaires net mondial est supérieur à 1,5 milliard d'euros, ainsi qu'aux entreprises hors UE dont le chiffre d'affaires net dans l'UE est supérieur à 1,5 milliard d'euros. Les seuils applicables aux groupes sont évalués sur une base individuelle ou consolidée. Les entreprises dont les chiffres ne dépassent pas les nouveaux seuils peuvent néanmoins recevoir des demandes de données au titre de la CSDDD de la part de clients relevant de son champ d'application.

La CSDDD impose aux entreprises concernées de mettre en œuvre une diligence raisonnable fondée sur les risques au sein de leurs propres activités, de leurs filiales et de leur chaîne d’activités. Le cycle de diligence raisonnable couvre six obligations fondamentales : intégrer la diligence raisonnable dans les politiques et la gestion des risques, identifier et hiérarchiser les impacts négatifs, prévenir ou atténuer les impacts potentiels, remédier aux impacts réels, dialoguer avec les parties prenantes et mettre en place un mécanisme de traitement des réclamations. Les entreprises doivent contrôler l’efficacité de ces mesures au moins tous les cinq ans, des examens ponctuels pouvant être déclenchés par de nouvelles informations.

L’évaluation approfondie des impacts négatifs se concentre sur les partenaires commerciaux directs (niveau 1). Une enquête plus approfondie portant sur le niveau 2 et au-delà est déclenchée lorsque des informations plausibles indiquent un risque plus en amont. La directive conserve le concept plus large de « chaîne d’activités » couvrant à la fois la production en amont et certaines relations en aval, mais l’accent opérationnel de la diligence raisonnable détaillée est mis sur les partenaires directs. Il s’agit d’un changement structurel par rapport à la CSDDD initiale, qui prévoyait une enquête proactive plus approfondie sur l’ensemble de la chaîne de valeur. 

Les États membres fixent individuellement les sanctions, qui doivent être efficaces, proportionnées et dissuasives. La directive fixe un plafond maximal de 3 % du chiffre d’affaires net mondial ; la CSDDD initiale fixait un seuil minimal de 5 %, ce qui signifiait que les États membres étaient tenus d’appliquer au moins ce niveau. Les États membres désignent des autorités de contrôle dotées de pouvoirs pour mener des enquêtes, exiger des mesures correctives et publier des informations sur les cas de non-conformité. Le droit national régit désormais la responsabilité civile dans chaque État membre, suite à la suppression du régime harmonisé de l’UE dans le cadre de l’Omnibus I.

Plusieurs États membres ont déjà mis en place des lois nationales en matière de diligence raisonnable dans la chaîne d’approvisionnement, telles que la LkSG en Allemagne ou la Loi de vigilance en France. Celles-ci couvrent généralement un ensemble plus large d’entreprises, avec une diligence raisonnable fondée sur les risques et axée sur les fournisseurs directs. La CSDDD s’applique à un nombre plus restreint d’entreprises, mais de taille bien plus importante ; elle étend toutefois la méthodologie à l’ensemble de la chaîne d’activités et ajoute des obligations en matière de mécanisme de réclamation, d’engagement des parties prenantes et de mesures correctives qui vont au-delà de la plupart des cadres nationaux existants. Les entreprises relevant des deux régimes peuvent mettre en place un programme de diligence raisonnable unique couvrant les deux ; la couche de données sous-jacente est la même. 

À l’heure actuelle, les cadres d’engagement des fournisseurs, les clauses contractuelles et les méthodologies de gestion des risques établis dans les cycles d’approvisionnement actuels déterminent la documentation qui sera disponible lorsque les obligations de la CSDDD s’appliqueront en 2029. Les entreprises qui commenceront en 2028 devront mettre en œuvre un programme condensé couvrant des milliers de partenaires commerciaux, sans disposer de suffisamment de temps pour constituer une documentation défendable avant le premier cycle de reporting. La constitution d’une base de données fournisseurs pendant la période de transition, parallèlement aux programmes existants de diligence raisonnable relevant de la CSRD, de l’EUDR ou des réglementations nationales, permet de créer une structure unique couvrant tous les régimes applicables.

Les outils CSDDD autonomes gèrent la diligence raisonnable de manière isolée. Le HUB osapiens dédié à la conformité de la chaîne d’approvisionnement s’intègre à la suite Supplier Intelligence, où le profil fournisseur, la méthodologie de risque et les workflows d’engagement conçus pour le CSDDD alimentent directement la traçabilité EUDR, les déclarations de la chaîne de valeur CSRD, le Reporting Cockpit, la gestion du carbone et d’autres solutions connectées. Le portail fournisseurs osapiens regroupe les demandes de données relatives à l’ensemble des réglementations applicables en un seul questionnaire par fournisseur, éliminant ainsi les sollicitations redondantes.

Le CSDDD, la CSRD, l’EUDR et les lois nationales sur la chaîne d’approvisionnement telles que la LkSG présentent d’importants recoupements quant aux données fournisseurs qu’elles exigent. Une entreprise qui collecte déjà des données sur la chaîne de valeur pour les déclarations CSRD ou qui effectue une diligence raisonnable dans le cadre de la LkSG dispose d’une base partielle pour le CSDDD. La principale différence structurelle réside dans le fait que la CSDDD étend la diligence raisonnable approfondie à l’ensemble de la chaîne d’activités plutôt que de se concentrer uniquement sur les fournisseurs directs, et fixe des exigences plus prescriptives concernant la participation des parties prenantes à la conception des mécanismes de traitement des griefs que la plupart des cadres nationaux.