CSRD e CS3D: la due diligence nella catena di fornitura che cambia le regole del business europeo

Il 5 luglio 2024 la Gazzetta Ufficiale dell'Unione europea pubblica la Direttiva 2024/1760. Centouno articoli. Duemila imprese europee direttamente obbligate dalla prima fase di applicazione. Centinaia di migliaia di fornitori nella catena, piccoli e medi, che sentono il peso di quelle norme senza esserne destinatari diretti. Si chiama Corporate Sustainability Due Diligence Directive — CS3D per i tecnici, "la direttiva sulla due diligence" nei comunicati stampa, "l'incubo dei contratti di fornitura" nelle email dei legali aziendali che mi arrivano da Bruxelles da sei mesi a questa parte.

Sono Thibault. Vengo dal Belgio, dove la Corporate Social Responsibility ha sempre avuto un peso nella cultura d'impresa che in altri Paesi europei fatica ancora ad affermarsi, e mi occupo della parte del diritto europeo che le aziende scoprono sempre troppo tardi: quella che impone non solo di dichiarare che il proprio business è sostenibile, ma di dimostrarlo lungo tutta la catena di fornitura, con documenti, procedure, audit e — quando le cose vanno male — con la propria responsabilità patrimoniale davanti ai tribunali. La CS3D e il suo strumento gemello, la CSRD, sono il sistema normativo più ambizioso che l'Unione europea abbia mai costruito in materia di diritti umani e ambiente nell'economia. L'Avvocato del Diavolo non è qui per celebrarlo. È qui per spiegarvi esattamente cosa c'è scritto, chi rischia, e perché la maggior parte delle aziende ha già perso un anno prezioso.

Due direttive, un sistema: CSRD e CS3D non sono la stessa cosa

Il primo errore che sento ripetere in ogni convegno è trattare CSRD e CS3D come sinonimi. Non lo sono. Hanno obiettivi diversi, destinatari diversi, meccanismi sanzionatori diversi. Confonderle produce strategie di compliance incomplete che coprono solo metà del rischio.

La CSRD — Corporate Sustainability Reporting Directive (Direttiva 2022/2464/UE) è una direttiva di rendicontazione. Modifica la vecchia Non-Financial Reporting Directive e impone alle grandi imprese di pubblicare, all'interno della relazione di gestione, una rendicontazione di sostenibilità redatta secondo gli European Sustainability Reporting Standards (ESRS), standard tecnici sviluppati dall'EFRAG (European Financial Reporting Advisory Group) e adottati dalla Commissione con atti delegati. Non dice cosa fare: dice come raccontarlo, cosa misurare, come documentarlo.

La CS3D — Corporate Sustainability Due Diligence Directive (Direttiva 2024/1760/UE) è una direttiva di condotta. Non basta rendicontare: bisogna agire. Impone alle imprese di identificare, prevenire, attenuare e porre fine agli impatti negativi sui diritti umani e sull'ambiente lungo la catena del valore, upstream (fornitori) e downstream (distribuzione, uso del prodotto). E quando l'impresa non lo fa, risponde con il suo patrimonio.

La distinzione pratica è questa: la CSRD colpisce chi non dice; la CS3D colpisce chi non fa. In molti casi le stesse imprese sono obbligate da entrambe, ma i presupposti, le scadenze e i rimedi sono diversi. Iniziamo dalle soglie.

Chi è obbligato: soglie, calendari e il problema delle PMI a cascata

La CS3D si applica a tre categorie di imprese, con un calendario scaglionato che corre dal 2027 al 2029.

La prima fascia — applicazione dal 26 luglio 2027 — riguarda le società che nell'ultimo esercizio superano entrambe le soglie di: più di 5.000 dipendenti e più di 1,5 miliardi di euro di fatturato netto a livello mondiale. Si tratta di circa 900-1.000 imprese dell'UE, più le società controllanti di gruppi che nell'insieme superano quelle soglie (art. 2, par. 1, lett. a, CS3D). A queste si aggiungono le società di Paesi terzi con più di 1,5 miliardi di fatturato generato nell'UE.

La seconda fascia — applicazione dal 26 luglio 2028 — riguarda le imprese UE con più di 3.000 dipendenti e più di 900 milioni di fatturato. Circa 1.000-1.200 imprese aggiuntive.

La terza fascia — applicazione dal 26 luglio 2029 — copre le imprese con più di 1.000 dipendenti e più di 450 milioni di fatturato. Si stima che a questo punto gli obbligatori diretti arrivino a circa 5.000 imprese europee (da verificare la stima definitiva della Commissione, le proiezioni variano tra le analisi d'impatto pubblicate nel 2023 e quelle successive all'adozione del testo finale).

Fin qui sembra un problema delle grandi. Il punto cruciale è che le grandi imprese obbligate devono esercitare due diligence anche sui loro fornitori. Un'azienda italiana con 300 dipendenti che produce componentistica per un colosso tedesco della manifattura sarà raggiunta dagli obblighi CS3D non perché la direttiva la obblighi direttamente — non supera le soglie — ma perché il suo cliente la obbligherà contrattualmente a fornire documentazione, a rispettare codici di condotta, a sottoporsi ad audit. Questo meccanismo a cascata è esplicito nell'art. 10 CS3D, che permette alle imprese soggette alla direttiva di richiedere ai fornitori "ragionevoli assicurazioni contrattuali" sul rispetto delle norme, e di trasmetterle lungo la catena. In pratica: la PMI fornitrice che non si attrezza perde il contratto.

Stessa logica per la CSRD: la direttiva si applica direttamente alle grandi imprese e alle società quotate (con soglie progressive dal 2024 al 2026), ma gli ESRS richiedono la rendicontazione dell'impatto lungo tutta la catena del valore. Per raccogliere i dati necessari, le grandi imprese interrogheranno i fornitori. L'EFRAG ha sviluppato un set di standard semplificati per le PMI (VSME — Voluntary Sustainability Reporting Standards for SMEs) proprio per rispondere a questa esigenza: non sono obbligatori per le PMI, ma chi li adotta si prepara meglio alle richieste dei clienti.

Cosa bisogna verificare: gli impatti negativi nell'Allegato della CS3D

L'art. 3 della CS3D definisce gli "impatti negativi" che le imprese devono identificare, prevenire e attenuare. L'Allegato della direttiva elenca le violazioni dei diritti umani e gli standard ambientali che costituiscono il perimetro degli obblighi. Non è un elenco simbolico.

Sul versante dei diritti umani, l'Allegato richiama le convenzioni OIL fondamentali (n. 29 sul lavoro forzato, n. 87 e 98 sulla libertà sindacale, n. 100 e 111 sulla parità retributiva e la non discriminazione, n. 138 e 182 sul lavoro minorile), la Dichiarazione universale dei diritti dell'uomo, il Patto internazionale sui diritti civili e politici. Vietano, tra le altre cose: il lavoro forzato in qualunque forma nella catena di fornitura, il lavoro minorile al di sotto delle soglie convenzionali, la privazione del diritto di organizzazione sindacale, la discriminazione retributiva.

Sul versante ambientale, l'Allegato richiama la Convenzione di Basilea sui rifiuti pericolosi, la Convenzione di Stoccolma sugli inquinanti organici persistenti, la Convenzione di Minamata sul mercurio, il Protocollo di Montreal sulle sostanze che riducono l'ozono e — punto che interessa molte industrie estrattive e agricole — la Convenzione sulla biodiversità biologica nel limite degli obblighi di valutazione d'impatto ambientale.

In pratica: un'impresa che si approvvigiona da fornitori che usano lavoro forzato nella catena di fornitura, anche a tre o quattro livelli di distanza, può essere chiamata a rispondere se non ha attivato le misure di due diligence appropriate per identificare e interrompere quella relazione. La direttiva non impone il risultato assoluto — eliminare ogni abuso è impossibile — ma impone il processo: mappatura del rischio, contratti con clausole di condotta, audit periodici, meccanismi di segnalazione (whistleblowing), e un piano di azione correttiva quando i problemi emergono.

Gli ESRS e il reporting obbligatorio: cosa va scritto e come

Parallelamente agli obblighi di condotta della CS3D, la CSRD impone alle imprese soggette di redigere la propria rendicontazione di sostenibilità secondo gli ESRS adottati dalla Commissione europea con il Regolamento delegato (UE) 2023/2772. Gli ESRS si articolano in standard trasversali (ESRS 1 e ESRS 2, che definiscono principi generali e informazioni di governance) e standard tematici che coprono le tre aree ESG: ambientale (da ESRS E1 sui cambiamenti climatici a ESRS E5 sull'uso delle risorse e l'economia circolare), sociale (da ESRS S1 sulla forza lavoro propria a ESRS S4 sui consumatori) e di governance (ESRS G1 sulla condotta degli affari).

Il principio di doppia materialità è il cuore del sistema ESRS: le imprese devono identificare le questioni di sostenibilità che sono materiali sia per i loro impatti sull'ambiente e sulle persone (materialità d'impatto) sia per i loro rischi e opportunità finanziarie (materialità finanziaria). Non basta rendicontare quello che fa bella figura nel report annuale. Bisogna rendicontare ciò che è materiale per entrambe le prospettive, anche quando è scomodo. Tra le informazioni richieste dagli ESRS S1 e S2, compaiono esplicitamente i dati sulle condizioni di lavoro nella catena di fornitura, le politiche di due diligence sui diritti umani e i risultati ottenuti — compreso il numero di casi identificati, le misure adottate e gli esiti.

Il collegamento con la CS3D è diretto: ciò che un'impresa fa ai sensi della CS3D diventa la materia prima del reporting ai sensi della CSRD. Le due direttive si alimentano a vicenda, e chi gestisce la due diligence senza pensare alla rendicontazione — o costruisce il report senza avere una vera due diligence alle spalle — finisce per produrre documenti che non reggono all'esame di un revisore esterno o di un'autorità di vigilanza.

Le sanzioni: fino al 5% del fatturato globale e responsabilità civile

La CS3D ha denti. L'art. 27 impone agli Stati membri di prevedere sanzioni pecuniarie effettive, proporzionate e dissuasive per la violazione degli obblighi, con un massimale che la direttiva fissa a non meno del 5% del fatturato netto mondiale dell'impresa per l'esercizio precedente. Per un gruppo con 10 miliardi di fatturato, il massimale della sanzione è 500 milioni di euro. Non è un numero simbolico.

L'art. 27 impone inoltre agli Stati membri di designare una o più autorità nazionali di vigilanza competenti a ricevere reclami, svolgere indagini e irrogare sanzioni. Le autorità devono avere la capacità di accedere ai locali, richiedere informazioni, eseguire ispezioni. Devono pubblicare le sanzioni inflitte. E devono coordinarsi con le autorità degli altri Stati membri attraverso la rete europea delle autorità di vigilanza prevista dall'art. 33 della direttiva.

Ma la sanzione amministrativa è solo una faccia della medaglia. L'art. 29 della CS3D introduce un regime di responsabilità civile che non ha precedenti nel diritto europeo delle imprese: le persone fisiche e giuridiche che abbiano subito un danno causato dalla violazione degli obblighi di due diligence da parte di un'impresa soggetta alla direttiva possono agire in giudizio per il risarcimento. La vittima — un lavoratore di una miniera africana, un abitante di una comunità rurale esposta a contaminazione da un fornitore — ha il diritto di portare la causa davanti ai tribunali dello Stato membro in cui l'impresa è stabilita, ottenere la scoperta delle prove (disclosure) in mano all'impresa, e — se prova il nesso causale — ottenere il pieno risarcimento del danno.

Il legislatore europeo ha consapevolmente scelto di abbassare le barriere processuali: l'art. 29 par. 1 lett. c prevede che i giudici nazionali possano ordinare all'impresa di divulgare le informazioni pertinenti che abbiano in suo possesso, e che i sindacati e le organizzazioni della società civile possano agire in giudizio per conto o a sostegno delle vittime. Non è solo responsabilità individuale: è una porta aperta alle azioni collettive transnazionali.

Strumento	Norma di riferimento	Sanzione massima	Autorità competente
CS3D — violazione obblighi di due diligence	Art. 27 Dir. 2024/1760/UE	5% del fatturato netto mondiale	Autorità nazionale designata dallo Stato membro
CS3D — responsabilità civile verso le vittime	Art. 29 Dir. 2024/1760/UE	Risarcimento integrale del danno (nessun cap)	Giurisdizione civile, azioni individuali e collettive
CSRD — omissione o falsità nel reporting	Dir. 2022/2464/UE, recepita dagli Stati	Variabile per Stato; Italia prevede sanzioni CONSOB per quotate	Autorità di vigilanza finanziaria/societaria nazionale

Il calendario di applicazione: dove siamo e dove dobbiamo arrivare

La CSRD è già operativa per la prima categoria di imprese. Le grandi imprese di interesse pubblico con più di 500 dipendenti erano già soggette alla NFRD precedente, e il primo reporting secondo gli ESRS riguarda l'esercizio 2024, con pubblicazione nel 2025. La seconda fascia — le altre grandi imprese UE (più di 250 dipendenti e più di 40 milioni di fatturato, o più di 20 milioni di attivo) — è entrata nel perimetro per l'esercizio 2025. Le PMI quotate nei mercati regolamentati UE seguono per l'esercizio 2026, con facoltà di opt-out per due anni (da verificare eventuali modifiche introdotte dall'Omnibus Package discusso dalla Commissione nel corso del 2025-2026).

Per la CS3D il calendario è quello indicato sopra: prima fascia luglio 2027, seconda luglio 2028, terza luglio 2029. Gli Stati membri avevano tempo fino al 26 luglio 2026 per recepire la direttiva nel diritto nazionale. Il recepimento nei singoli ordinamenti — con le scelte che ogni Stato farà sui dettagli del regime sanzionatorio, sulla designazione dell'autorità di vigilanza, sulla disciplina procedurale delle azioni civili — è la variabile che i legali aziendali devono monitorare con attenzione nelle prossime settimane.

In Belgio, dove mi trovo, il recepimento è coordinato dal Servizio pubblico federale Economia con il contributo dell'Istituto belga per lo sviluppo sostenibile. Le prime bozze legislative circolanti indicano che l'autorità di vigilanza competente sarà l'Ispettorato del lavoro (per la parte sui diritti umani nel lavoro) in coordinamento con l'autorità ambientale. La responsabilità civile dell'art. 29 CS3D sarà integrata nelle norme ordinarie di responsabilità extracontrattuale del Codice civile belga (da verificare il testo definitivo del disegno di legge di recepimento).

Due diligence in pratica: cosa deve verificare un'azienda nei suoi fornitori

L'art. 5 della CS3D disegna il processo di due diligence in sei passi: integrare la due diligence nelle politiche aziendali; identificare e valutare gli impatti negativi reali e potenziali; prevenire e attenuare gli impatti negativi potenziali; porre fine agli impatti negativi reali o ridurne al minimo la portata; stabilire e mantenere una procedura di reclamo; monitorare l'efficacia delle misure e rendicontare pubblicamente.

Il cuore operativo è il secondo passo: la mappatura della catena del valore. L'impresa deve identificare i fornitori diretti (di primo livello) e, "ove proporzionato", anche quelli indiretti (di secondo, terzo livello e oltre) nelle aree in cui il rischio di impatto negativo è più elevato. La direttiva non impone di controllare ogni sub-fornitore del pianeta: impone un approccio risk-based, che concentra le risorse sui segmenti della catena dove i rischi sono statisticamente più alti.

In pratica, questo significa: fare un'analisi di rischio per settore, Paese e tipo di attività; identificare i fornitori ad alto rischio; inviare questionari di autovalutazione; richiedere certificazioni di terze parti (es. auditor sociali certificati, certificazioni di schema SA8000, ISO 26000); inserire clausole contrattuali che vincolino il fornitore al rispetto dei codici di condotta e consentano audit; prevedere un piano di azione correttiva in caso di non conformità, con tempistiche e punti di verifica; e — nei casi più gravi, dove l'impatto negativo non può essere prevenuto o attenuato — sospendere o interrompere la relazione commerciale (art. 10 e 11 CS3D).

L'art. 13 della direttiva permette all'impresa di basarsi su standard di settore e schemi di due diligence riconosciuti dalla Commissione europea. Già oggi esistono schemi settoriali — nel tessile, nell'elettronica, nel settore estrattivo — che le associazioni di categoria stanno aggiornando per allinearli ai requisiti CS3D. Partecipare a questi schemi non elimina la responsabilità individuale, ma costituisce un elemento di difesa rilevante in caso di procedimento: dimostrare di aver adottato lo standard settoriale riconosciuto è molto meglio che partire da zero davanti a un'autorità di vigilanza.

Il piano di transizione climatica: l'elemento spesso dimenticato

L'art. 22 della CS3D impone un obbligo che spesso viene trattato come secondario ma che ha implicazioni strategiche enormi: le imprese soggette devono adottare e attuare un piano di transizione climatica che garantisca la compatibilità del modello aziendale con il percorso verso la neutralità climatica previsto dall'Accordo di Parigi e dall'obiettivo UE di riduzione netta delle emissioni del 90% entro il 2040 (obiettivo clima 2040, proposto dalla Commissione nel 2024 e in iter legislativo al momento della redazione di questo articolo — da verificare approvazione definitiva).

Il piano di transizione non è un documento di aspirazioni: deve includere obiettivi quantificati, traguardi intermedi, risorse allocate, ruoli e responsabilità. Deve essere coerente con il reporting ESRS E1 (cambiamenti climatici) richiesto dalla CSRD. E deve essere aggiornato ogni anno. Un'impresa che pubblica un bel report climatico ai sensi della CSRD ma non ha un piano di transizione strutturato ai sensi dell'art. 22 CS3D viola la seconda direttiva anche se rispetta la prima.

L'impatto sulle PMI: fornitori sotto pressione senza obblighi diretti

Ho già detto che le PMI non sono destinatarie dirette della CS3D, ma è necessario essere precisi sul meccanismo con cui i suoi obblighi le raggiungono. Esistono tre canali.

Il primo è il canale contrattuale: la grande impresa obbligata richiede al fornitore clausole di condotta, autodichiarazioni, permessi di audit. La PMI che rifiuta perde il contratto. La PMI che accetta assume obblighi contrattuali la cui violazione può generare responsabilità per inadempimento. Non è un obbligo di legge, ma ha gli stessi effetti pratici.

Il secondo è il canale finanziario: le banche e gli investitori istituzionali soggetti alla SFDR (Sustainable Finance Disclosure Regulation) e alle norme di taxonomy europea stanno incorporando i criteri ESG nelle valutazioni di merito creditizio e nei covenant dei finanziamenti. Una PMI che non può documentare il rispetto dei criteri ambientali e sociali di base rischia di vedere peggiorare le condizioni del credito.

Il terzo è il canale della reputazione: il reporting CSRD delle grandi imprese è pubblico. Se un fornitore compare nelle note come "relazione sospesa per rischio di violazione dei diritti umani" o "in corso di valutazione per impatto ambientale non conforme", il danno reputazionale e commerciale può essere immediato e difficile da quantificare.

La risposta strategica per le PMI che operano come fornitori di grandi gruppi non è aspettare di essere obbligate per legge. È anticipare le richieste dei clienti, adottare una baseline documentale minima (codice etico, politica ambientale, certificazione di schema riconosciuto dove disponibile), e usare i VSME come guida per una rendicontazione volontaria che renda visibile la propria postura ESG.

Cosa fa un'impresa concretamente, oggi

Ai clienti che mi chiedono da dove si inizia rispondo sempre allo stesso modo: si inizia dall'inventario della catena di fornitura. Non dalla redazione di un codice etico — quello viene dopo. Prima occorre sapere chi sono i fornitori diretti, in quali Paesi operano, in quali settori, con quali processi produttivi. Questo inventario è la base di qualsiasi valutazione del rischio, e senza di esso il resto è carta.

Il secondo passo è la valutazione del rischio per segmento: quali fornitori operano in Paesi con basso indice di stato di diritto o con alta incidenza di lavoro forzato secondo i dati delle organizzazioni internazionali (ILO, Transparency International, Freedom House)? Quali segmenti della produzione implicano attività ad alto impatto ambientale? Questo non richiede di assumere un esercito di auditor: richiede di usare le mappe di rischio già disponibili e di applicarle alla propria catena.

Il terzo passo — quello che le imprese tendono a rimandare perché sembra burocratico — è la revisione dei contratti di fornitura. Le clausole di sostenibilità, la possibilità di audit, i piani di azione correttiva, i meccanismi di segnalazione: tutto questo deve essere nel contratto prima che la direttiva diventi applicabile. Modificare i contratti in corsa, quando l'autorità di vigilanza ha già bussato alla porta, è possibile ma molto meno efficace come difesa.

Il quarto passo è il collegamento con il team di reporting: chi gestisce la due diligence operativa deve parlare con chi redige il report CSRD. I dati raccolti nella due diligence (fornitori mappati, rischi identificati, casi gestiti, misure adottate) sono esattamente le informazioni che devono entrare negli ESRS S2 (lavoratori della catena del valore). Costruire due silos separati — uno per la compliance CS3D e uno per il reporting CSRD — è un errore organizzativo che produce inefficienza e incoerenze che saltano all'occhio in qualsiasi audit di terza parte.

Le informazioni contenute in questo articolo sono basate su fonti pubblicamente disponibili, citate inline, e riflettono il quadro normativo al 30 giugno 2026. I dati marcati "(da verificare)" indicano affermazioni non ancora riscontrate su fonti ufficiali primarie al momento della redazione. In particolare, il testo definitivo delle norme di recepimento nazionale della CS3D non era ancora disponibile in forma consolidata in tutti gli Stati membri alla data di pubblicazione. Questo articolo non costituisce parere legale né consulenza professionale. Per valutazioni specifiche rivolgersi a un professionista abilitato.