CSDDD (CS3D): la diligencia debida en sostenibilidad, quién está afectado y calendario post-Omnibus

Actualizado a 26 de agosto de 2026.

Tras dos años de negociaciones y un paquete de simplificación que ha redibujado su alcance, la CSDDD tiene un calendario más simple que el que todavía se lee en muchas páginas: las empresas afectadas deberán cumplir el deber de diligencia a partir del 26 de julio de 2029, sin tramos. El número de empresas afectadas se ha reducido de forma drástica respecto al texto original, y varias disposiciones clave, desde el plan de transición climática hasta la responsabilidad civil, han sido reescritas por el paquete Omnibus I.

Este artículo explica qué es la CSDDD, qué ha cambiado con el Omnibus, qué empresas están afectadas y desde cuándo, y en qué consiste en la práctica el deber de diligencia.

Qué es la CSDDD y el deber de diligencia

La Corporate Sustainability Due Diligence Directive (CSDDD), también conocida por el acrónimo CS3D, es la directiva (UE) 2024/1760 que impone a las grandes empresas un deber de diligencia (due diligence) en materia de derechos humanos y de medio ambiente. El objetivo es identificar, prevenir, mitigar y, cuando sea necesario, remediar los impactos negativos que la actividad de la empresa, y la de sus socios comerciales a lo largo de la cadena de valor, puede generar sobre las personas y el entorno.

A diferencia de la CSRD, que impone una obligación de reporte (publicar información de sostenibilidad verificada), la CSDDD impone una obligación de comportamiento: poner en marcha procesos organizativos concretos para prevenir los daños, no solo declararlos. Ambas directivas son complementarias: la CSRD cuenta lo que ocurre, la CSDDD obliga a actuar.

En España, la Ley 11/2018 sobre información no financiera y diversidad ya exigía a las grandes empresas reportar sobre la gestión de los impactos en derechos humanos dentro de su ámbito de influencia, pero se limitaba a un deber de información. La CSDDD va un paso más allá: convierte la diligencia debida en una obligación de actuación con consecuencias sancionadoras propias.

El deber de diligencia no se limita a las actividades directas de la empresa: se extiende a su "cadena de actividades" (chain of activities), que incluye las actividades previas de los socios comerciales (proveedores de materias primas, producción, transformación) y, en algunos casos, las actividades posteriores relacionadas con la distribución, el transporte y el almacenamiento del producto, cuando se realizan por cuenta de la empresa o bajo su control. Los impactos negativos que hay que identificar cubren dos ámbitos: los derechos humanos (trabajo forzoso, trabajo infantil, condiciones de trabajo inseguras, libertad de asociación, discriminación) y el medio ambiente (contaminación, pérdida de biodiversidad, gestión de residuos peligrosos, degradación de ecosistemas), a partir de una lista de convenios internacionales recogidos en el anexo de la directiva.

¿Ha cambiado la CSDDD?

Sí. La directiva adoptada en 2024 ha sido modificada dos veces: primero por la directiva (UE) 2025/794 de abril de 2025, que retrasó los plazos, y después por el paquete Omnibus I (directiva (UE) 2026/470, publicada el 26 de febrero de 2026 y en vigor desde el 18 de marzo de 2026), que reescribió su ámbito de aplicación.

Las reglas vigentes hoy son las del Omnibus I. En la práctica cambian tres cosas: el umbral de entrada es único y mucho más alto (más de 5 000 empleados y más de 1 500 millones de euros de facturación neta mundial), la entrada en aplicación ya no está escalonada sino fijada en una sola fecha, el 26 de julio de 2029, y algunas obligaciones sustantivas han desaparecido, en particular el plan de transición climática y el régimen europeo armonizado de responsabilidad civil.

Conviene desconfiar de las páginas que siguen describiendo tres tramos de aplicación entre 2027 y 2029 y una transposición en 2026: son anteriores al Omnibus I y ya no reflejan el texto en vigor. Otra confusión frecuente afecta a la CSRD, que sí conserva un umbral de 1 000 empleados y 450 millones de euros de facturación: esas cifras pertenecen al reporte, no al deber de diligencia.

Quién está afectado: umbral único y calendario post-Omnibus

El paquete Omnibus I sustituyó los tres tramos del texto de 2024 por un umbral único, basado en los empleados y la facturación neta mundial de la empresa. A ello se añade un caso particular para los modelos de franquicia o licencia.

El calendario que se deriva es único para todas las empresas afectadas:

• 26 de julio de 2027: la Comisión Europea publica las directrices de aplicación.
• 26 de julio de 2028: plazo para que los Estados miembros transpongan la directiva a su derecho nacional y designen la autoridad nacional de control.
• 26 de julio de 2029: las empresas afectadas deben cumplir el deber de diligencia. Es una sola fecha, sin tramos por tamaño.
• 1 de enero de 2030: el primer informe anual público previsto en el artículo 16 se refiere a los ejercicios abiertos a partir de esa fecha.

Al restringir la entrada a un umbral único de más de 5 000 empleados, el Omnibus redujo con fuerza el número de empresas directamente afectadas respecto al texto original. La directiva no publica una lista de empresas: el ámbito se deduce de los umbrales. A partir de los datos públicos de las últimas cuentas consolidadas, deberían entrar en el ámbito de aplicación los grupos españoles que superan a la vez los dos criterios, como Repsol (54,4 miles de millones de euros de facturación y 25 600 empleados, 2025), ACS (49,8 miles de millones y más de 135 000 empleados, 2025), Iberdrola (45,5 miles de millones y 45 400, 2025), Mercadona (41,9 miles de millones —41.858 M€ exactos— y 115 000 empleados —107 500 en España y 7 500 en Portugal—, 2025), Inditex (39,9 miles de millones y más de 163 000, ejercicio cerrado el 31 de enero de 2026), Telefónica (35,1 miles de millones y 87 600, 2025) o IAG (33,2 miles de millones y 75 900, 2025). Son indicaciones obtenidas de datos públicos y no una lista oficial: la verificación caso por caso corresponde a cada empresa, y el ámbito efectivo dependerá también de la norma española de transposición.

Las empresas españolas que queden fuera del ámbito directo de aplicación siguen estando afectadas de forma indirecta: como proveedoras o socias comerciales de grandes grupos europeos sujetos a la CSDDD, recibirán con frecuencia solicitudes de información y cláusulas contractuales de diligencia debida a lo largo de la cadena.

Las seis fases del proceso de diligencia debida

La directiva estructura el deber de diligencia en seis fases, que deben integrarse en las políticas y los sistemas de gestión de la empresa:

1. Integrar la diligencia debida en las políticas de la empresa, con una política específica aprobada por la dirección y comunicada a los socios comerciales.
2. Identificar los impactos negativos, efectivos o potenciales, sobre los derechos humanos y el medio ambiente, propios y a lo largo de la cadena de actividades.
3. Prevenir y mitigar los impactos potenciales, con planes de acción, garantías contractuales frente a los proveedores y, si es necesario, apoyo financiero o técnico.
4. Poner remedio a los impactos efectivos ya producidos, en proporción al papel de la empresa en causarlos o contribuir a ellos.
5. Dialogar con las partes interesadas afectadas (trabajadores, comunidades locales, sindicatos) y establecer un mecanismo de reclamación accesible.
6. Supervisar la eficacia de las medidas adoptadas y comunicar públicamente, con periodicidad al menos anual, sobre la aplicación del deber de diligencia.

Medir de forma fiable los impactos ambientales de la propia actividad y de la cadena de suministro, empezando por las emisiones de gases de efecto invernadero en los tres alcances, es un requisito práctico para las fases de identificación y supervisión: herramientas de contabilidad de carbono como Orki permiten cuantificar estos impactos con datos verificables, en lugar de sobre una base meramente declarativa.

Qué cambia con el Omnibus: plan de transición, sanciones, responsabilidad civil

Además de sustituir los tres tramos por un umbral único y de retrasar el calendario, el paquete Omnibus I modificó tres puntos sustanciales del texto de 2024:

• Plan de transición climática. El texto original obligaba a las empresas afectadas a adoptar y ejecutar un plan de transición climática alineado con el Acuerdo de París. El Omnibus eliminó esta obligación de la CSDDD. La obligación de publicar información sobre un eventual plan de transición se mantiene en el marco del reporte CSRD/ESRS (norma E1): la diferencia es que la CSDDD ya no exige tenerlo ni garantizar su ejecución.
• Sanciones. El texto de 2024 preveía un tope máximo de las sanciones económicas no inferior al 5% de la facturación neta mundial de la empresa. El Omnibus rebajó este tope al 3%, dejando en todo caso a los Estados miembros la facultad de fijar sanciones "efectivas, proporcionadas y disuasorias" según los criterios del artículo 27.
• Responsabilidad civil. El régimen de responsabilidad civil armonizado a escala de la UE, que en el texto original habría permitido a las víctimas de impactos negativos demandar a la empresa conforme a reglas comunes europeas, ha sido eliminado. La responsabilidad queda regida por el derecho nacional de cada Estado miembro, y la directiva mantiene una cláusula de revisión que permite a la Comisión proponer de nuevo en el futuro un marco armonizado.

La transposición en España

En el momento de redactar este artículo, el anteproyecto de ley español de transposición de la CSDDD no ha sido aprobado: el plazo de transposición al derecho nacional, común a todos los Estados miembros, es el 26 de julio de 2028, retrasado dos años por el Omnibus I. En esa misma fecha España deberá haber designado la autoridad nacional de control encargada de vigilar la aplicación de la directiva, realizar inspecciones a las empresas e imponer sanciones en caso de incumplimiento.

La Plataforma por Empresas Responsables, junto con otras organizaciones, ha reclamado públicamente una transposición ágil que aproveche el proceso para reforzar el marco ya existente de la Ley 11/2018 sobre información no financiera. Hasta la aprobación del texto definitivo persiste una incertidumbre sobre su coordinación exacta con dicha ley y con las obligaciones de reporte ya derivadas de la transposición de la CSRD. Las empresas españolas potencialmente afectadas, directamente por umbral o indirectamente como proveedoras de grupos europeos sujetos a la directiva, tienen por tanto interés en seguir de cerca la tramitación del anteproyecto.

CSDDD y CSRD: dos obligaciones complementarias, no superpuestas

CSDDD y CSRD nacen del mismo paquete normativo europeo sobre sostenibilidad empresarial pero imponen obligaciones de naturaleza distinta, a menudo confundidas entre sí.

Una empresa puede por tanto estar dentro del ámbito de la CSRD sin estar sujeta a la CSDDD (umbrales más bajos para el reporte), o tener que responder a ambas obligaciones si supera el umbral más alto de la diligencia debida.

Cómo prepararse

Incluso las empresas que no alcanzan el umbral directo de la CSDDD tienen razones concretas para anticipar el tema: quien suministra a un gran grupo europeo sujeto a la directiva recibirá con toda probabilidad solicitudes contractuales de diligencia debida a lo largo de la cadena. Algunos pasos prácticos útiles con independencia del umbral alcanzado:

• Mapear la cadena de suministro e identificar a los proveedores con mayor riesgo en materia de derechos humanos y medio ambiente.
• Recopilar datos verificables sobre emisiones, consumos y efectos ambientales de la propia actividad, útiles tanto para la diligencia debida como para el reporte CSRD.
• Formalizar una política de diligencia debida, incluso sin obligación directa, para responder a las solicitudes de los clientes sujetos a la directiva.
• Seguir la tramitación de la transposición española para adaptar a tiempo las políticas y los contratos a las normas nacionales definitivas.

Fuentes

• EUR-Lex, directiva (UE) 2024/1760, texto consolidado a 18 de marzo de 2026 (CELEX 02024L1760-20260318). https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024L1760-20260318. Consultado el 25 de agosto de 2026.
• EUR-Lex, directiva (UE) 2026/470 (modificaciones a la CSRD y la CSDDD, paquete Omnibus I). https://eur-lex.europa.eu/eli/dir/2026/470/oj. Consultado el 25 de agosto de 2026.
• Comisión Europea, Corporate sustainability due diligence. https://commission.europa.eu/topics/business-and-industry/doing-business-eu/sustainability-due-diligence-responsible-business/corporate-sustainability-due-diligence_en. Consultado el 25 de agosto de 2026.
• Accountancy Europe, Omnibus explained: key changes to the CSRD and CSDDD. https://accountancyeurope.eu/publications/omnibus-explained-key-changes-to-the-csrd-and-csddd/. Consultado el 25 de agosto de 2026.
• Plataforma por Empresas Responsables, transposición de la CSDDD en España. https://empresasresponsables.org/transposicion/. Consultado el 25 de agosto de 2026.
• Mercadona, sala de prensa — Mercadona alcanza una facturación de 41.858 millones de euros (+8%) y un beneficio neto de 1.729 millones en 2025. https://info.mercadona.es/en/current-affairs/mercadona-achieves-turnover-of-e41858-million-up-8-and-net-profit-of-e1729-million/news. Consultado el 26 de agosto de 2026.
• Datos de facturación y de plantilla de las demás empresas citadas: últimas cuentas consolidadas publicadas por los respectivos grupos.