Le cadre juridique européen ne se résume pas au règlement général sur la protection des données. Les entreprises actives sur le marché intérieur font face à un empilement normatif où directives sectorielles, règlements d’application directe et transpositions nationales coexistent, parfois avec des calendriers décalés de plusieurs années entre États membres.
Devoir de vigilance CSDDD : un calendrier en trois vagues que la plupart des guides omettent
La directive (UE) 2024/1760 sur le devoir de vigilance en matière de durabilité (CSDDD, aussi désignée CS3D) adoptée le 13 juin 2024 structure ses obligations selon trois paliers successifs. Nous recommandons aux directions juridiques de cartographier dès maintenant leur position dans ce calendrier.
- En 2027, les entreprises de l’UE dépassant 5 000 salariés et 1,5 milliard d’euros de chiffre d’affaires net mondial entrent dans le champ d’application.
- En 2028, le seuil descend à 3 000 salariés et 900 millions d’euros de chiffre d’affaires.
- En 2029, toute entreprise de plus de 1 000 salariés et 450 millions d’euros est concernée, y compris certaines entreprises de pays tiers générant ce montant dans l’UE.
Le périmètre a été resserré par des modifications postérieures à l’adoption initiale. Les obligations portent sur l’ensemble de la chaîne de valeur, ce qui implique un audit des fournisseurs de rang deux et au-delà. Les États membres doivent transposer la directive entre 2026 et 2027 selon les versions consolidées.
En pratique, une entreprise sous le seuil de 2027 peut basculer dans le champ en 2028 après une acquisition. La veille sur les seuils doit être continue, pas ponctuelle. Les ressources disponibles sur le site Europe Entreprises pour le juridique permettent de suivre l’évolution des transpositions nationales en cours.
Droit des sociétés européen : liberté d’établissement et formes juridiques transfrontières
L’article 49 et l’article 54 du traité sur le fonctionnement de l’Union européenne (traité FUE) fondent la liberté d’établissement des sociétés au sein du marché intérieur. Ce socle reste sous-exploité par les PME, qui continuent de créer des filiales nationales classiques sans examiner les formes juridiques unifiées.
La Societas Europaea (SE) permet de constituer une société de droit européen opérant dans plusieurs États membres sous un statut unique. La directive sur les fusions transfrontières, révisée ces dernières années, facilite les restructurations entre entités situées dans différents pays de l’UE.
La Commission européenne poursuit la numérisation des procédures de constitution de sociétés. Les registres du commerce interconnectés via le système BRIS (Business Registers Interconnection System) offrent un accès centralisé aux informations sur les sociétés enregistrées dans les États membres. Cette interconnexion réduit les délais de vérification lors d’opérations transfrontières.
Directive sur les droits des actionnaires et gouvernance
La directive droits des actionnaires (SRD II) impose aux sociétés cotées des obligations de transparence sur la politique de rémunération des dirigeants et sur les transactions avec les parties liées. Les investisseurs institutionnels doivent publier leur politique d’engagement actionnarial.
Nous observons que les entreprises non cotées négligent souvent ces standards de gouvernance, alors qu’un acquéreur ou un fonds procédera à un audit de conformité calqué sur ces mêmes exigences lors d’une due diligence.
Cybersécurité réglementaire : NIS 2 et Cyber Resilience Act
Le volet cybersécurité du droit européen des affaires s’est considérablement renforcé. La directive NIS 2 élargit le périmètre des entités soumises à des obligations de notification d’incidents et de gestion des risques. Le Cyber Resilience Act impose des exigences de sécurité dès la conception pour les produits comportant des éléments numériques mis sur le marché européen.
Pour une entreprise qui commercialise des objets connectés ou des logiciels, ignorer le Cyber Resilience Act revient à prendre le risque d’un retrait du marché. Les sanctions prévues par NIS 2 peuvent atteindre un pourcentage significatif du chiffre d’affaires mondial, selon la catégorie de l’entité (importante ou importante).
Articulation entre réglementations sectorielles et droit commun
La superposition entre RGPD, NIS 2 et Cyber Resilience Act crée des zones de chevauchement. Une fuite de données personnelles déclenche simultanément une notification RGPD (72 heures) et, si l’entité est couverte par NIS 2, une notification complémentaire à l’autorité compétente en cybersécurité.
Centraliser la gestion des incidents dans une cellule unique évite les doublons et les délais de notification incohérents entre les deux régimes. Le registre des traitements RGPD et la cartographie des systèmes d’information NIS 2 gagnent à être construits sur un référentiel commun.
Conformité multijuridictionnelle : structurer la veille juridique en entreprise
Le droit européen fixe le plancher. Les transpositions nationales ajoutent des couches spécifiques, parfois contradictoires entre États membres pendant les périodes transitoires. La France, l’Allemagne et les Pays-Bas transposent rarement au même rythme ni avec les mêmes options réglementaires.
Nous recommandons de maintenir un tableau de suivi par directive, croisant l’état de transposition dans chaque juridiction où le groupe opère. Ce tableau doit être mis à jour au minimum chaque trimestre et intégrer les projets de loi en cours, pas seulement les textes adoptés.
- Identifier les directives à transposition obligatoire qui touchent l’activité (CSDDD, NIS 2, SRD II, directive sur les fusions transfrontières).
- Cartographier les options nationales retenues par chaque État membre concerné.
- Anticiper les écarts de calendrier entre pays, qui peuvent créer des obligations asymétriques au sein d’un même groupe.
La complexité réglementaire européenne ne diminuera pas. Les entreprises qui structurent leur veille juridique en amont absorbent les nouvelles obligations sans rupture opérationnelle, là où celles qui réagissent après publication des textes subissent des coûts de mise en conformité nettement plus élevés.