CS3D e Omnibus I: la due diligence di sostenibilità riscritta

La Direttiva (UE) 2024/1760 è in vigore ma già profondamente modificata dal Pacchetto Omnibus I (Dir. UE 2026/470). Cosa rimane degli obblighi originali, chi è ancora soggetto alla norma, cosa cambia su sanzioni e responsabilità civile — e cosa deve fare adesso chi opera nelle catene di fornitura delle grandi imprese.

Il 25 luglio 2024 è entrata in vigore la Direttiva (UE) 2024/1760 — la Corporate Sustainability Due Diligence Directive, nota come CS3D o CSDDD — che per la prima volta nella storia del diritto europeo ha trasformato la responsabilità sociale d’impresa da obbligo volontario a obbligo legale vincolante. Diciannove mesi dopo, il 26 febbraio 2026, la stessa direttiva è stata significativamente riscritta dal Pacchetto Omnibus I (Dir. UE 2026/470). Il perimetro di applicazione si è ridotto del 97%. Le sanzioni massime sono scese dal 5% al 3% del fatturato mondiale. Il regime armonizzato di responsabilità civile è stato eliminato. Il piano di transizione climatica non è più obbligatorio. Chi deve ancora adeguarsi, cosa rimane da fare e in quali tempi: questo articolo risponde a queste domande partendo dai testi normativi ufficiali.

La Direttiva (UE) 2024/1760, adottata dal Parlamento Europeo e dal Consiglio il 13 giugno 2024 e pubblicata in Gazzetta Ufficiale dell’UE il 5 luglio 2024, nasce da un’esigenza precisa: colmare il divario tra le aspettative etiche della società civile e il comportamento reale delle imprese nelle catene di fornitura globali. Il crollo del Rana Plaza a Dacca nel 2013 — oltre 1.100 lavoratori morti in una fabbrica tessile che produceva per marchi europei — è rimasto per un decennio il simbolo del fallimento della responsabilità volontaria.

La CS3D introduce tre doveri fondamentali a carico delle imprese in perimetro: il dovere di diligenza — identificare e valutare gli impatti negativi effettivi e potenziali sui diritti umani e sull’ambiente lungo l’intera catena del valore; il dovere di prevenzione — adottare misure concrete per prevenire o attenuare tali impatti; il dovere di verifica — monitorare periodicamente l’efficacia delle misure adottate e aggiornare le politiche aziendali almeno ogni 24 mesi.

Il processo di due diligence previsto dalla direttiva originale si articola in sei fasi, mutuate dalle Linee Guida OCSE per le imprese multinazionali: integrazione della due diligence nelle politiche e nei sistemi di gestione aziendali; identificazione e valutazione degli impatti negativi; prevenzione, attenuazione e cessazione degli impatti; monitoraggio e verifica dell’efficacia delle misure; comunicazione pubblica; e riparazione degli impatti effettivi.

Il 26 febbraio 2026 il Parlamento Europeo e il Consiglio dell’Unione Europea hanno adottato la Direttiva (UE) 2026/470 — il cosiddetto Pacchetto Omnibus I — pubblicata in GUUE lo stesso giorno ed entrata in vigore il 18 marzo 2026. Il provvedimento modifica contestualmente la Direttiva CSRD (2022/2464) e la CS3D (2024/1760), con l’obiettivo dichiarato di ridurre gli oneri amministrativi e rafforzare la competitività del sistema produttivo europeo in un contesto geopolitico instabile.

Le modifiche alla CS3D sono sostanziali e investono quattro dimensioni distinte: il perimetro soggettivo di applicazione, l’architettura della catena del valore, il regime sanzionatorio e la responsabilità civile. Non si tratta di aggiustamenti tecnici: si tratta di una riscrittura dell’impianto normativo che ridisegna il campo di applicazione della direttiva in modo strutturale.

Dopo Omnibus I, la CS3D si applica alle imprese UE con più di 5.000 dipendenti e un fatturato netto mondiale superiore a 1,5 miliardi di euro per due esercizi consecutivi. Per le imprese di paesi terzi, la soglia è riferita al fatturato netto generato nell’Unione Europea. Sono incluse anche le società capogruppo di gruppi che raggiungano collettivamente tali soglie, anche quando la capogruppo stessa non le superi individualmente.

La progressività originaria — che prevedeva l’estensione graduale degli obblighi fino al 2030 anche alle imprese con soglie dimensionali inferiori — è stata abbandonata. Il perimetro attuale è fisso sulle soglie più alte. Le imprese non soggette agli obblighi CS3D acquisiscono peraltro la qualifica di “impresa protetta”, introdotta da Omnibus I: non possono essere obbligate dalle imprese in perimetro a fornire informazioni ESG oltre quanto previsto dai futuri standard volontari VSME, la cui pubblicazione è attesa entro il 19 luglio 2026.

Va però sottolineato un elemento che la comunicazione istituzionale tende a sottovalutare: l’esclusione dal perimetro diretto non equivale all’esclusione dagli effetti pratici della norma. Le imprese in perimetro devono comunque condurre due diligence sui propri partner commerciali diretti — e possono richiedere garanzie contrattuali, verifiche di terzi indipendenti e clausole di compliance nelle forniture. Le PMI italiane che lavorano come fornitori di grandi gruppi soggetti alla CS3D rientrano indirettamente nell’orbita degli obblighi, indipendentemente dalle loro dimensioni.

Omnibus I non ha toccato il nucleo sostanziale della CS3D: l’obbligo di identificare, prevenire e rimediare gli impatti negativi sui diritti umani e sull’ambiente rimane intatto per le imprese in perimetro. Rimangono in vigore l’integrazione della due diligence nelle politiche aziendali, la valutazione periodica dei rischi, l’adozione di misure preventive e correttive, il monitoraggio dell’efficacia e la comunicazione pubblica.

La modifica principale riguarda la profondità della catena del valore: la due diligence obbligatoria si concentra ora sui partner commerciali diretti, con un’estensione ai partner indiretti solo in presenza di informazioni plausibili che suggeriscano rischi specifici. In pratica, l’impresa in perimetro non è più tenuta a mappare sistematicamente l’intera filiera, ma deve attivarsi quando ha ragione di ritenere che impatti negativi si stiano verificando a livelli più profondi della catena.

Rimane in vigore l’obbligo di adottare un codice di condotta che copra diritti umani e standard ambientali, di richiedere ai partner commerciali diretti garanzie contrattuali di conformità e di istituire meccanismi di reclamo accessibili alle persone potenzialmente colpite dagli impatti negativi. Le valutazioni periodiche devono essere condotte almeno ogni 12 mesi e aggiornate in caso di cambiamenti significativi nelle attività o nella catena di fornitura.

Sul fronte sanzionatorio, Omnibus I introduce un tetto massimo del 3% del fatturato netto mondiale dell’impresa per le sanzioni amministrative — in riduzione rispetto al minimo del 5% previsto dalla versione originale. Le linee guida attuative per la determinazione delle sanzioni sono affidate alla Commissione europea, che dovrà pubblicarle in tempi coerenti con il calendario di recepimento. Le decisioni delle autorità nazionali di controllo dovranno comunque essere rese pubbliche per almeno tre anni.

La modifica più rilevante — e più discussa — riguarda la responsabilità civile. La versione originale della CS3D prevedeva all’articolo 29 un regime armonizzato a livello europeo: le vittime di danni causati dalla violazione degli obblighi di due diligence potevano agire in giudizio dinanzi ai tribunali dello Stato membro con diritto al pieno risarcimento. Omnibus I abroga il primo paragrafo dell’articolo 29, eliminando il regime armonizzato e rinviando la disciplina del danno alle normative nazionali dei singoli Stati membri.

Il principio dell’accesso effettivo alla giustizia rimane — gli Stati membri sono tenuti a garantirlo — ma le regole variano ora da paese a paese. In Italia, il riferimento principale è l’articolo 2043 del Codice Civile, che fonda la responsabilità aquiliana sull’onere della prova a carico del danneggiato: chi subisce un danno deve provare il fatto illecito, il nesso causale e il danno. Un sistema più gravoso per le vittime rispetto al regime armonizzato originariamente previsto dalla direttiva.

Per i professionisti italiani che assistono grandi imprese o gruppi con fatturato superiore a 1,5 miliardi di euro, l’agenda operativa è chiara: il recepimento italiano della CS3D modificata è atteso entro luglio 2028, ma la preparazione non può attendere quella scadenza. Le imprese in perimetro che iniziano adesso la mappatura dei propri partner commerciali diretti, la revisione dei contratti di fornitura e l’aggiornamento dei sistemi di gestione del rischio avranno un vantaggio competitivo misurabile rispetto a chi inizierà nel 2027 o 2028.

Per i commercialisti e i consulenti ESG che assistono imprese uscite dal perimetro diretto per effetto di Omnibus I, il messaggio è diverso ma non meno urgente: l’esclusione legale non equivale all’esclusione dalle aspettative di mercato. Investitori istituzionali, banche e grandi clienti applicano già oggi criteri ESG nelle proprie valutazioni di controparte, indipendentemente dai requisiti normativi. La compliance volontaria di oggi è frequentemente la compliance obbligatoria di domani.

Sul fronte della responsabilità penale e amministrativa delle imprese, l’intersezione con il D.Lgs. 231/2001 rimane rilevante anche dopo Omnibus I. I reati ambientali già inclusi nel catalogo 231 non sono stati toccati dalla direttiva. Un’impresa che elimina il proprio piano di transizione climatica — potendo invocare la rimozione dell’obbligo da parte di Omnibus I — non è automaticamente esonerata dalla vigilanza sull’impatto climatico delle proprie attività ai fini del 231. I Modelli Organizzativi di Gestione e Controllo (MOG) devono essere aggiornati tenendo conto di questa intersezione normativa, che nessun aggiornamento europeo ha formalmente modificato.