09/10/2026
Avant la réforme Omnibus : une CSRD qui touchait de plus en plus d'entreprises
À l'origine, la CSRD prévoyait une montée en charge progressive, par vagues successives : d'abord les grandes entreprises déjàsoumises à l'ancienne DPEF, puis les autres grandes entreprises répondant à au moins deux critères sur trois (plus de 250 salariés, plus de 50 M€ de chiffre d'affaires net, ou plus de 25 M€ de bilan), et enfin, à terme, les PME cotées en bourse.
Ce calendrier initial faisait entrer un nombre croissant d'entreprises dans le champ obligatoire au fil des exercices - et donc, mécaniquement, un nombre croissant de leurs fournisseurs dans le champ des demandes indirectes.
La réforme Omnibus a rebattu les cartes
La réforme "Omnibus I", portée par la Commission européenne dans un objectif affiché de simplification, a été adoptée par le Parlement européen le 16 décembre 2025, validé par le Conseil le 24 février 2026, publié au Journal officiel de l'UE le 26 février, pour une entrée en vigueur le 18 mars 2026. Les États membres ont jusqu'au 19 mars 2027 pour le transposer en droit national.
Le changement le plus important porte sur les seuils : les trois critères qui devaient auparavant s'appliquer de façon alternative (au moins deux sur trois) sont ramenés à deux, et surtout deviennent cumulatifs. Le critère de bilan disparaît ; ne restent que les salariés et le chiffre d'affaires, qu'il faut désormais remplir tous les deux à la fois : plus de 1 000 salariés et plus de 450 M€ de chiffre d'affaires net. Une entreprise qui ne remplit qu'une seule de ces deux conditions sort du champ obligatoire. Par exemple, un groupe de 1 200 salariés réalisant 300 M€ de chiffre d'affaires n'est plus soumis à la CSRD, alors qu'avant la réforme, ses 1 200 salariés (largement au-dessus de l'ancien seuil de 250) auraient suffi à eux seuls à l'y faire entrer.
Ce basculement ne se joue pas sur un seul exercice : comme pour les autres seuils de la directive comptable européenne, il faut dépasser - ou repasser sous - les deux critères pendant deux exercices consécutifs pour entrer dans le champ obligatoire, ou en sortir. Une seule année exceptionnelle (un gros contrat ponctuel, une acquisition) ne suffit donc pas à faire basculer une entreprise d'un côté ou de l'autre ; ce n'est qu'après confirmation sur deux ans que l'obligation démarre, à l'exercice suivant, avec un premier rapport publié l'année d'après.
L'effet est massif : selon les premières estimations reprises par le ministère de l'Économie, le nombre d'entreprises françaises directement soumises à la CSRD passerait d'environ 6 000 à seulement 1 200 à 1 500, soit une réduction de l'ordre de 80 % du périmètre initial.
Le calendrier de publication a lui aussi bougé, mais via un texte distinct et antérieur : la directive "stop the clock", adoptée par le Parlement européen dès le 3 avril 2025 et entrée en vigueur le 17 avril 2025 - avant même l'accord sur les nouveaux seuils. Elle repousse de deux ans l'échéance des entreprises qui n'avaient pas encore commencé à publier, initialement prévue en 2026. Les entreprises déjà soumises (ex-DPEF) ne sont pas concernées par ce report : elles publient depuis 2025, sur l'exercice 2024, et continuent sur ce rythme.
Avec le resserrement des seuils, la distinction entre les anciennes "vagues" a en grande partie perdu son sens. Les entreprises qui devaient entrer en 2026 et qui franchissent quand même les nouveaux seuils cumulatifs commenceront à publier en 2028, sur l'exercice 2027. Quant aux PME cotées en bourse, qui devaient constituer une troisième vague en 2029 avec un référentiel allégé, elles sortent purement et simplement du champ obligatoire : par définition, une PME reste sous le seuil des 1 000 salariés, elle ne peut donc pas franchir le nouveau seuil cumulatif. Cette catégorie disparaît du dispositif obligatoire ; ces entreprises sont désormais seulement encouragées à utiliser la VSME de façon volontaire, comme n'importe quelle PME.
Au final, il ne reste donc concrètement que deux échéances : les entreprises qui publient déjà depuis 2025, et celles qui commenceront à publier en 2028.
VSME → VS : la norme qui devient officielle
Pendant que la CSRD se resserre, la VSME suit le chemin inverse : elle sort du statut de simple recommandation pour devenir un texte européen à part entière. La Commission a publié son projet d'acte délégué le 6 mai 2026, l'a soumis à consultation publique jusqu'au 3 juin, puis l'a formellement adopté le 3 juillet 2026 - dans les temps, avant l'échéance qu'elle s'était fixée au 19 juillet. Son entrée en vigueur est attendue environ quatre mois après l'adoption, soit vers novembre 2026.
Au passage, la Commission rebaptise la norme "VS" (Voluntary Standard). Le terme VSME reste toutefois largement utilisé par les cabinets, les banques et EFRAG lui-même - vous verrez donc probablement les deux appellations coexister encore un moment.
Le "value chain cap" : la vraie bonne nouvelle pour les sous-traitants
C'est la disposition la plus concrète pour une PME qui travaille avec un grand groupe soumis à la CSRD, et elle répond directement à une question qu'on se pose souvent : mon entreprise est-elle "un peu" soumise à la CSRD parce que mon client l'est ? Et si un client me demande des données ESG, un tableau VSME suffit-il, ou doit-il en exiger davantage ?
L'article 29d de l'Omnibus introduit ce qu'on appelle un "value chain cap" (plafond de chaîne de valeur) : une entreprise soumise à la CSRD n'a plus le droit d'exiger de ses fournisseurs de moins de 1 000 salariés davantage d'informations extra-financières que ce que couvre le module de base de la VSME (à quelques exceptions près, sur le scope 3 et les risques climatiques). Cette règle s'applique à partir du 1er janvier 2027, avec une application anticipée possible dès 2026.
En clair : non, être fournisseur d'un grand groupe soumis à la CSRD ne vous soumet pas vous-même à la CSRD. Et oui, remplir la VSME suffit désormais légalement à répondre à une demande de ce type de client - il ne peut pas exiger plus. La VSME n'est donc plus seulement "un format pratique et reconnu" comme évoqué dans le premier article : elle devient le plafond légal opposable face à des demandes de données qui allaient parfois, dans les faits, bien au-delà du raisonnable pour une PME.
Reste une question très concrète : à quel horizon s'y mettre ? Les grands groupes de la vague 1 publient leur rapport CSRD depuis 2025 et peuvent, dès aujourd'hui, solliciter leurs fournisseurs sur des données extra-financières - certains le font déjà, de façon informelle. Le value chain cap s'appliquant au plus tard au 1er janvier 2027, une PME fournisseuse d'un grand groupe a donc intérêt à avoir sa VSME opérationnelle fin 2026 ou début 2027, plutôt que d'attendre une demande client pour s'y mettre dans l'urgence.
La VSME reste utile même sans demande explicite d'un client
Le raisonnement qui précède part d'un donneur d'ordre qui réclame des données. Mais la VSME garde son intérêt même en l'absence de toute pression client : elle offre un cadre structuré pour suivre des indicateurs extra-financiers (consommation d'énergie, turnover, égalité femmes-hommes...) qui, bien souvent, éclairent aussi des leviers de performance financière - maîtrise des coûts énergétiques, fidélisation des équipes, accès facilité au financement bancaire. Autant de raisons de s'y intéresser en amont, plutôt que de la découvrir sous la contrainte d'une échéance client.
Calendrier récapitulatif
Deux calendriers à ne pas confondre : celui de la réforme elle-même (les textes, votés à Bruxelles), et celui de son application concrète pour les entreprises (les vagues de reporting).
Le calendrier de la réforme
Le 17 avril 2025, la directive « stop the clock » entre en vigueur : c'est un report de calendrier, texte distinct de l'Omnibus I. Le 16 décembre 2025, le Parlement européen adopte la réforme Omnibus I, avec de nouveaux seuils et le value chain cap. Le Conseil de l'UE la valide le 24 février 2026, et elle est publiée au Journal officiel de l'UE le 26 février. La directive Omnibus entre en vigueur le 18 mars 2026. Le 6 mai 2026, la Commission publie le projet d'acte délégué VSME/VS, adopté formellement le 3 juillet 2026. La norme VS doit entrer en vigueur vers novembre 2026, et la transposition en droit français doit être faite au plus tard le 19 mars 2027.
Le calendrier d'application pour les entreprises
En 2025, sur l'exercice 2024, les grandes entreprises déjà soumises avant la CSRD publient leur premier rapport, sans être affectées par le report.
À partir du 1er janvier 2027 (avec anticipation possible dès 2026), les fournisseurs de moins de 1 000 salariés d'un client déjà soumis à la CSRD sont protégés : le client ne peut plus exiger plus que le module de base de la VSME (value chain cap).
En 2028, sur l'exercice 2027, les entreprises qui franchissent les nouveaux seuils (1 000 salariés et 450 M€ de CA) publient leur premier rapport.
Ces échéances concernent les entreprises déjà identifiées dans une de ces deux catégories. Pour une entreprise qui franchirait les seuils plus tard, la logique reste la même : deux exercices consécutifs au-dessus des seuils, puis entrée en application à l'exercice suivant, et premier rapport publié l'année d'après.
Ce qui existait comme troisième échéance, en 2029, visait les PME cotées en bourse, une catégorie qui a depuis disparu du champ obligatoire, comme expliqué plus haut.
Qui est concerné, concrètement ?
Un grand groupe (plus de 1 000 salariés et plus de 450 M€ de CA) est soumis directement à la CSRD. La VSME ne le concerne pas : il fait un reporting complet sous ESRS.
Une ETI ou PME sous ces seuils, mais fournisseur d'un groupe soumis à la CSRD, n'est pas soumise à la CSRD. En revanche, la VSME la concerne : elle devient la référence plafond pour répondre aux demandes de ce client.
Une PME ou TPE sans lien direct avec un groupe soumis à la CSRD n'est pas soumise non plus. La VSME est volontaire, mais utile pour structurer un suivi extra-financier, anticiper une future demande ou répondre à une banque.
Une micro-entreprise n'est pas soumise à la CSRD. La VSME est volontaire, et le module de base suffit généralement.
Conclusion
L'Omnibus a fait sortir la grande majorité des entreprises françaises du champ obligatoire de la CSRD. Mais il a, dans le même mouvement, donné à la VSME un poids qu'elle n'avait pas : elle n'est plus une simple bonne pratique, elle est devenue la référence légale qui plafonne ce qu'un grand groupe peut exiger de ses fournisseurs. Une PME peut donc rester en dehors du champ obligatoire tout en ayant tout intérêt à s'y préparer - que ce soit pour répondre sereinement à un client, ou pour rassurer une banque au moment d'un financement.
Reste une question tout aussi concrète : une fois qu'on sait qu'on est concerné, qu'est-ce qu'il y a vraiment à remplir ? C'est ce qu'on détaille dans le prochain article, consacré à une présentation rapide des indicateurs de la VSME.
Source
Directive Omnibus I - texte, publication au Journal officiel de l'UE
Seuils CSRD après l'Omnibus 2026, Portail RSE (beta.gouv.fr)
Feedback on sustainability reporting standards - value chain cap, Commission européenne
Questions and Answers - Recommendation Voluntary Sustainability Reporting Standard, Commission européenne
La Commission européenne publie son projet d'acte délégué sur la norme volontaire de reporting de durabilité, AEF info
VSME et ESRS : la Commission européenne publie ses projets d'actes délégués, CRCC de Paris
Révision des normes ESRS : adoption par la Commission européenne des projets de normes ESRS et VSME, ANSA
17/08/2026
La souveraineté des données vise à conserver la maîtrise juridique et opérationnelle des données d'une entreprise. La localisation physique des serveurs est importante, mais elle ne suffit pas : il faut également regarder quelle entreprise exploite le service et à quelles législations elle est soumise.
Un hébergement localisé « en France », chez la filiale d'un groupe américain par exemple, n'apporte donc pas nécessairement les mêmes garanties qu'un hébergement opéré par une entreprise française ou européenne non soumise à certaines législations extraterritoriales.
C'est cette nuance que nous allons détailler : pourquoi la question est devenue centrale ces dernières années, ce que le Cloud Act américain change concrètement, la différence avec la souveraineté numérique au sens large, et enfin le choix que nous avons fait chez AGYSYS pour héberger les données de nos clients.
Héberger ses données en France suffit-il à se protéger ?
Pas nécessairement
La localisation physique des serveurs est un élément important, mais il faut également regarder la nationalité et la structure juridique de l'entreprise qui exploite le service.
C'est notamment tout l'enjeu du CLOUD Act (Clarifying Lawful Overseas Use of Data Act), une loi américaine adoptée en 2018. Dans certaines circonstances prévues par le droit américain, elle permet aux autorités américaines d'exiger d'entreprises soumises à leur juridiction la communication de données qu'elles contrôlent, y compris lorsque celles-ci sont stockées en dehors des États-Unis.
Ainsi, choisir une « région Europe » ou un datacenter situé en France auprès d'un groupe américain ne fait pas nécessairement disparaître toute exposition au droit américain.
L'exemple français du Health Data Hub illustre particulièrement bien cette problématique. Hébergée historiquement sur Microsoft Azure, la plateforme française de données de santé a fait l'objet de nombreux débats concernant notamment les risques liés aux législations extraterritoriales.
En avril 2026, Scaleway a finalement été choisi pour accompagner la migration de la plateforme vers un cloud souverain. Cette évolution s'inscrit dans un contexte réglementaire français qui renforce les exigences applicables à l'hébergement de certaines données sensibles de l'État.
Pour une PME, les enjeux ne sont évidemment pas toujours comparables à ceux des données de santé nationales. Mais la question de fond reste la même : à qui confiez-vous vos données, où sont-elles hébergées et à quelles législations votre prestataire est-il soumis ?
Quelle différence avec la souveraineté numérique ?
Souveraineté des données et souveraineté numérique : les deux notions se ressemblent, mais elles ne jouent pas dans la même catégorie.
La souveraineté des données porte sur un périmètre relativement précis : où sont hébergées les données, qui les héberge, qui les contrôle et sous quel cadre juridique.
C'est un levier sur lequel une PME peut concrètement agir en choisissant son prestataire.
La souveraineté numérique va beaucoup plus loin. Elle désigne la capacité d'un pays, ou d'un ensemble comme l'Union européenne, à maîtriser l'ensemble de sa chaîne numérique : matières premières, conception des puces électroniques, fabrication du matériel, systèmes d'exploitation, logiciels, infrastructures cloud…
Dans les faits, une souveraineté numérique totale est extrêmement difficile à atteindre.
Une entreprise peut choisir un hébergeur français pour ses données. Elle aura beaucoup plus de difficultés à disposer d'une chaîne technologique intégralement conçue et fabriquée en France ou même en Europe.
C'est cette différence qui explique pourquoi nous nous concentrons ici sur la souveraineté des données : c'est un levier concret sur lequel une PME peut agir dès aujourd'hui.
Quels choix avons-nous faits chez AGYSYS ?
Pour nos propres produits SaaS, nous avons fait un choix clair : privilégier un hébergement chez Scaleway, hébergeur français appartenant au groupe Iliad.
Ce choix permet notamment de conserver nos infrastructures et les données de nos clients au sein d'un environnement français et européen et de limiter l'exposition aux législations extraterritoriales auxquelles peuvent être soumis certains fournisseurs internationaux.
Ce n'est pas une option commerciale réservée à certaines offres : cela fait partie de nos choix d'architecture pour nos propres produits.
Pour les prestations sur mesure, nous restons en revanche volontairement flexibles.
Lorsqu'un client possède déjà une infrastructure ou des contraintes techniques particulières, notre rôle est aussi de nous adapter à son environnement.
En revanche, lorsqu'un projet part d'une feuille blanche, nous privilégions par défaut une approche favorisant la souveraineté des données : hébergeur français ou européen, maîtrise de la localisation des données et attention portée aux législations auxquelles le fournisseur est soumis.
Cela peut être Scaleway, OVHcloud ou un autre acteur répondant aux besoins du projet.
L'objectif n'est pas de choisir un fournisseur uniquement parce qu'il est français. Il s'agit d'intégrer la maîtrise et la protection des données comme un véritable critère d'architecture.
Conclusion
Souveraineté des données et souveraineté numérique sont deux notions proches, mais elles ne recouvrent pas la même réalité.
S'il ne fallait retenir qu'une chose, ce serait celle-ci : savoir que son serveur est situé en France ne suffit pas.
Il faut également savoir qui exploite l'infrastructure, où les données sont traitées, à quelles législations le fournisseur est soumis et quelles garanties contractuelles et techniques sont mises en place.
Contrairement à une souveraineté numérique totale, qui dépasse largement les moyens d'une entreprise seule, la maîtrise de l'hébergement de ses données est un choix concret.
Chez AGYSYS, nous avons décidé d'en faire un principe de conception de nos produits : privilégier des infrastructures françaises et européennes et conserver autant que possible la maîtrise des données qui nous sont confiées.
Et la souveraineté n'est pas notre seul critère.
Performance, services disponibles, sécurité mais aussi impact environnemental font partie des éléments que nous prenons en compte dans nos choix techniques.
C'est justement ce dernier sujet que nous aborderons dans un prochain article consacré à l'empreinte environnementale du cloud.
Source
https://www.congress.gov/bill/115th-congress/house-bill/4943/text
https://cyber.gouv.fr/enjeux-technologiques/cloud/
23/07/2026
RSE : la Responsabilité Sociétale des Entreprises
La RSE, c'est la démarche par laquelle une entreprise intègre des préoccupations sociales, environnementales et économiques dans son activité et dans ses relations avec ses parties prenantes : salariés, fournisseurs, clients, actionnaires. C'est le terme le plus ancien et le plus large des quatre, hérité du "Corporate Social Responsibility" anglo-saxon, et il ne correspond à aucune obligation de reporting en soi.
Concrètement, une PME qui trie ses déchets, met en place un plan de mobilité douce pour ses salariés, ou choisit ses fournisseurs sur des critères éthiques fait déjà de la RSE, même sans texte de loi qui l'y oblige.
C'est cette démarche, plus philosophique que réglementaire, que les cadres suivants (ESG, CSRD, VSME) viennent progressivement structurer, mesurer et parfois rendre obligatoire.
ESG : Environnement, Social, Gouvernance
L'ESG désigne les trois grandes familles de critères utilisés pour évaluer les pratiques d'une entreprise au-delà de ses résultats financiers :
- son impact environnemental (ex : consommation d'énergie, émissions de CO2, gestion des déchets),
- sa gestion des ressources humaines et des relations sociales (ex : conditions de travail, égalité femmes-hommes, formation des salariés),
- la qualité de sa gouvernance (ex : transparence sur les rémunérations, lutte contre la corruption, indépendance des instances de décision).
Contrairement à la RSE, qui décrit une démarche, l'ESG est avant tout une grille de lecture, née dans le monde de la finance pour noter et comparer des entreprises.
C'est pour ça qu'une PME reçoit parfois un questionnaire ESG de la part de sa banque avant l'octroi d'un prêt, ou d'un grand donneur d'ordre qui doit lui-même rendre des comptes sur sa chaîne de fournisseurs.
L'ESG reste toutefois un ensemble de critères, pas une norme unique : il ne dit pas précisément quoi mesurer, ni comment. C'est le rôle des cadres réglementaires comme la CSRD et la VSME.
CSRD : Corporate Sustainability Reporting Directive
La CSRD est une directive européenne qui rend le reporting de durabilité obligatoire pour les grandes entreprises, selon un calendrier progressif basé sur leur taille (effectifs, chiffre d'affaires, total de bilan). Elle remplace l'ancienne DPEF (Déclaration de Performance Extra-Financière) et s'appuie sur un référentiel technique détaillé, l'ESRS (European Sustainability Reporting Standards), qui précise noir sur blanc quels indicateurs publier et comment les présenter.
Une PME n'est en général pas soumise directement à la CSRD. Mais elle peut l'être indirectement : les grandes entreprises concernées doivent documenter leur chaîne de valeur, fournisseurs compris, et cette demande de données finit souvent par redescendre jusqu'à leurs sous-traitants.
À ne pas confondre avec la CSDDD (Corporate Sustainability Due Diligence Directive), une autre directive européenne au nom très proche, mais qui porte sur le devoir de vigilance (droits humains, environnement dans la chaîne de valeur) et non sur le reporting.
C'est exactement ce mécanisme qui a fait naître la VSME, un référentiel taillé pour ces PME qui n'ont pas d'obligation légale mais reçoivent malgré tout des demandes de données ESG de la part de leurs clients.
VSME : Voluntary reporting Standard for non-listed SMEs
La VSME est un référentiel volontaire, conçu spécifiquement pour les TPE et PME non cotées, qui définit une liste précise d'indicateurs ESG à renseigner et la manière de les présenter. Contrairement à l'ESG, qui reste une grille de lecture générale, la VSME dit concrètement quoi mesurer et comment le formaliser, avec deux niveaux possibles : un module de base et un module plus complet.
Dans les faits, elle répond au problème qu'on vient de voir : une PME qui travaille avec un grand groupe soumis à la CSRD se voit souvent réclamer des données ESG par ce client. Plutôt que de répondre par un tableau maison différent pour chaque demande, elle peut s'appuyer sur la VSME, un format reconnu qui lui permet de répondre une fois, de façon standardisée, à plusieurs sollicitations.
La VSME n'est pas une obligation légale en soi : elle a été pensée comme une simplification volontaire, née de la pression exercée par la CSRD tout au long de la chaîne de valeur.
Conclusion
RSE, ESG, CSRD, VSME : quatre sigles, quatre réalités différentes, mais un même mouvement de fond. Le reporting de durabilité se structure et s'impose peu à peu, y compris pour des PME qui n'y sont pas directement soumises.
Reste une question très concrète : votre entreprise est-elle réellement concernée, et à partir de quand ? C'est ce qu'on détaille dans un prochain article, consacré aux seuils et au calendrier de la CSRD et de la VSME.
Source
Directive (UE) 2022/2464 (CSRD) — texte officiel, EUR-Lex
Directive (UE) 2024/1760 (CSDDD) — texte officiel, EUR-Lex
VSME — Voluntary reporting standard for SMEs, EFRAG
VSME Standard (PDF), EFRAG
ESRS — About sustainability reporting, EFRAG