Directive CSRD Reporting Extra-Financier

conformite

Définition

La directive CSRD (Corporate Sustainability Reporting Directive, Directive 2022/2464/UE) est la réglementation européenne sur le reporting extra-financier des entreprises, qui remplace et étend significativement la précédente directive NFRD (Non-Financial Reporting Directive). Entrée en vigueur en janvier 2023 avec une application progressive, la CSRD impose à un large périmètre d'entreprises européennes de publier des rapports détaillés sur leurs performances environnementales, sociales et de gouvernance (ESG — Environmental, Social, Governance). Bien que la CSRD soit principalement une directive de reporting ESG, elle a une dimension cybersécurité et conformité IT significative : la directive exige que les entreprises déclarent leurs risques matériels, et les risques cyber font désormais partie intégrante des risques matériels pour les entreprises dépendantes du numérique. Les entreprises soumises à CSRD doivent évaluer et déclarer leurs risques cyber, leurs incidents significatifs, et leurs pratiques de gestion de la sécurité de l'information dans leur rapport de durabilité. Le périmètre d'application de la CSRD est progressivement étendu. À partir des exercices 2024 (rapports publiés en 2025) : les grandes entreprises déjà soumises à la NFRD (> 500 salariés, cotées sur un marché réglementé UE). À partir des exercices 2025 (rapports en 2026) : toutes les grandes entreprises UE (> 250 salariés ou > 40 M€ de CA ou > 20 M€ de bilan). À partir des exercices 2026 (rapports en 2027) : les PME cotées sur les marchés réglementés de l'UE. À partir des exercices 2028 (rapports en 2029) : certaines entreprises non-UE cotées en Europe ou réalisant > 150 M€ de CA en UE. Les informations à déclarer dans le cadre CSRD sont définies par les ESRS (European Sustainability Reporting Standards) publiés par l'EFRAG (European Financial Reporting Advisory Group). Ces standards couvrent les dimensions environnement, social et gouvernance, avec des indicateurs spécifiques. La gouvernance inclut des indicateurs sur la gestion des risques (dont les risques cyber), les pratiques d'éthique et de conformité, et les politiques anti-corruption. Le rapportage CSRD doit être soumis à une vérification externe par un commissaire aux comptes ou un auditeur tiers accrédité (assurance limitée ou raisonnée selon le niveau de maturité de l'organisation). Cette vérification externe rapproche le reporting ESG des standards de rigueur des états financiers audités.

Périmètre d'application et calendrier CSRD

La CSRD s'applique progressivement : exercice 2024 (premiers rapports 2025) — grandes entreprises NFRD (>500 salariés, cotées) ; exercice 2025 (rapports 2026) — grandes entreprises UE (>250 salariés OU >40 M€ CA OU >20 M€ bilan — en pratique, les 3 critères ne sont pas cumulatifs, 2 suffisent) ; exercice 2026 (rapports 2027) — PME cotées sur marchés réglementés UE (standards ESRS allégés ESRS VSME) ; exercice 2028 (rapports 2029) — entreprises non-UE avec >150 M€ CA en UE et au moins 1 filiale/succursale UE > certains seuils.

La CSRD s'applique donc à un périmètre beaucoup plus large que la NFRD : on passe de ~11 000 entreprises soumises à NFRD à ~50 000 entreprises soumises à CSRD en Europe. Pour les groupes, les filiales subsidiaires non cotées peuvent être exemptées si la société mère publie un rapport CSRD consolidé incluant leurs informations.

ESRS et indicateurs cyber/gouvernance

Les ESRS (European Sustainability Reporting Standards) définissent les informations à déclarer. Les ESRS 2 (Informations générales) imposent la déclaration sur la gouvernance : composition et diversité des organes de gouvernance, processus de surveillance des risques matériels (dont les risques cyber), et politiques de conformité (éthique, anti-corruption, protection des données). Les risques matériels identifiés dans l'évaluation de double matérialité (impact de l'entreprise sur l'environnement ET impact des enjeux ESG sur les performances financières de l'entreprise) doivent être décrits, incluant les risques cyber si matériels.

Les ESRS G1 (Gouvernance) couvrent la conduite des affaires : lutte contre la corruption, gestion des relations avec les fournisseurs, protection des lanceurs d'alerte, et pratiques de gestion des risques. Les pratiques de cybersécurité et de protection des données personnelles peuvent être déclarées dans ce cadre si elles sont matérielles pour l'entreprise.

Interaction CSRD avec NIS2 et RGPD

La CSRD crée une interaction avec NIS2 et le RGPD : les incidents de cybersécurité significatifs et les violations de données personnelles notifiées à l'ANSSI (NIS2) ou à la CNIL (RGPD) peuvent nécessiter une déclaration dans le rapport CSRD si leur impact est matériel pour l'entreprise. La cohérence entre les déclarations réglementaires (ANSSI, CNIL) et le reporting CSRD doit être assurée.

La direction et le conseil d'administration sont directement impliqués dans la CSRD : la directive impose que les informations de durabilité soient sous leur responsabilité directe. Cette gouvernance de haut niveau renforce indirectement la gouvernance de la cybersécurité (un sujet désormais traité au niveau du conseil d'administration) et crée des synergies avec NIS2 article 20 (responsabilité des organes de direction pour les risques cyber).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis