CSDDD: qué es y qué exige la directiva europea

La CSDDD es la directiva europea sobre diligencia debida de las empresas en materia de sostenibilidad. Su objetivo es integrar la gestión de los impactos ambientales y sociales en los procesos de toma de decisiones de las empresas más grandes.

La diligencia debida es un proceso continuo a través del cual una empresa evalúa los impactos adversos reales y potenciales relacionados con sus propias operaciones, las de sus filiales y las relaciones comerciales cubiertas por su cadena de actividades. Esta evaluación debe ir seguida de medidas proporcionadas a la gravedad y probabilidad de los riesgos identificados.

La Directiva abarca los impactos relacionados con los derechos de los trabajadores, la salud y la seguridad, el trabajo forzoso, el trabajo infantil, la contaminación, la biodiversidad y el uso de los recursos naturales. El alcance específico de la evaluación depende de las actividades de la empresa, los mercados de abastecimiento y la estructura de su cadena de suministro.

Para entender lo que exige la CSDDD, resulta útil verla como un sistema de gestión basado en datos, responsabilidades y controles. Las empresas deben ser capaces de demostrar cómo identifican los riesgos materiales, qué información utilizan, cómo establecen las prioridades y qué medidas implementan. Contar con una política corporativa o un código de conducta para proveedores no demuestra, por sí solo, que la diligencia debida se esté aplicando de manera eficaz.

Tras los cambios introducidos por el paquete Ómnibus, las empresas pueden centrar su análisis en las áreas donde se considera que los impactos adversos son más probables y más graves, basándose en la información razonablemente disponible. Este enfoque ayuda a dirigir los recursos y controles hacia proveedores, instalaciones, regiones geográficas o categorías de productos con un perfil de riesgo más elevado.

La CSDDD difiere de la Directiva sobre información corporativa en materia de sostenibilidad, o CSRD. La CSRD regula principalmente la divulgación de información sobre sostenibilidad, mientras que la CSDDD regula el proceso mediante el cual una empresa debe identificar y abordar impactos específicos.

La información recopilada para los informes de sostenibilidad puede servir de apoyo a la diligencia debida, pero ambos requisitos responden a propósitos diferentes. La elaboración de informes describe datos, políticas y resultados; la CSDDD también exige a las empresas documentar las decisiones y acciones adoptadas para gestionar los riesgos a lo largo de su cadena de actividades.

CSDDD: entrada en vigor, transposición y plazos clave

La CSDDD original entró en vigor el 25 de julio de 2024, veinte días después de su publicación en el Diario Oficial de la Unión Europea. Esta fecha marcó la entrada en vigor formal de la Directiva, pero no supuso la aplicación inmediata de las obligaciones operativas para las empresas.

El texto oficial de la CSDDD da acceso a la legislación original y a sus modificaciones posteriores.

En 2025, la Unión Europea aprobó un aplazamiento inicial de los plazos mediante la Directiva (UE) 2025/794. En febrero de 2026, se adoptó la Directiva (UE) 2026/470, que modificó sustancialmente tanto la CSDDD como la CSRD. Las disposiciones revisadas sobre diligencia debida entraron en vigor el 18 de marzo de 2026 y representan ahora el marco europeo aplicable.

Los Estados miembros de la UE deben adoptar y publicar sus medidas nacionales de transposición a más tardar el 26 de julio de 2028. Estas disposiciones nacionales deberán aplicarse a partir del 26 de julio de 2029, mientras que los requisitos de comunicación en virtud del artículo 16 se aplicarán a los ejercicios financieros que comiencen a partir del 1 de enero de 2030.

La Comisión Europea ofrece una visión general del alcance revisado, los plazos y los cambios introducidos a través de Ómnibus I.

Cada Estado miembro deberá definir las normas nacionales necesarias para aplicar la Directiva, incluidos las autoridades de control competentes, los procedimientos de ejecución y el régimen sancionador. Por tanto, algunos detalles de aplicación pueden variar según la jurisdicción, aunque los requisitos básicos de diligencia debida seguirán basándose en el marco europeo común.

Las empresas que operan en varios países de la UE deben supervisar el proceso de transposición en cada jurisdicción pertinente. Las diferencias en las estructuras de supervisión, los procedimientos y las prácticas de ejecución pueden afectar a la forma en que se asignan las responsabilidades y se documenta el cumplimiento a nivel de grupo.

El período anterior a 2029 puede aprovecharse para evaluar la disponibilidad de datos, actualizar los procedimientos de homologación de proveedores y asignar responsabilidades claras a las funciones implicadas. En el caso de grupos con cadenas de suministro complejas, esperar a que se hayan finalizado todas las medidas nacionales podría dejar un margen de tiempo limitado para implantar un sistema documentado y coherente en todas las filiales, unidades de negocio y países.

Para julio de 2027, también se espera que la Comisión Europea publique una parte significativa de las directrices de apoyo a la aplicación de la Directiva. Se prevén más directrices para julio de 2028. Estos documentos podrán aclarar aspectos operativos, como el uso de cláusulas contractuales, la priorización de riesgos y la participación de las empresas dentro de la cadena de actividades.

¿A qué empresas se aplica la CSDDD?

Tras las modificaciones de 2026, la CSDDD se aplica directamente a un grupo más restringido de grandes empresas.

Para las empresas constituidas en la Unión Europea, el ámbito de aplicación incluye a aquellas con:

• un promedio de más de 5.000 empleados;

• un volumen de negocios neto a escala mundial superior a 1.500 millones de euros.

Deben cumplirse ambos requisitos. Los umbrales introducidos a través de Ómnibus I son significativamente más altos que los incluidos en la versión original de la Directiva.

El Consorcio del Consejo de la Unión Europea ha resumido los cambios en el ámbito de aplicación de la CSDDD, incluidos los umbrales revisados y las medidas destinadas a reducir las cargas administrativas.

La CSDDD también puede aplicarse a empresas constituidas fuera de la Unión Europea cuando su volumen de negocios neto generado en la UE supere el umbral correspondiente. En estos casos, la legislación utiliza el volumen de negocios generado dentro de la Unión para determinar si la empresa tiene suficiente relevancia económica en el mercado europeo.

Para los grupos empresariales, la evaluación del ámbito de aplicación debe tener en cuenta las normas aplicables a las empresas matrices y las cifras consolidadas. Por lo tanto, no basta con evaluar de forma aislada el número de empleados o el volumen de negocios de una empresa operativa individual. El análisis debe realizarse a nivel de grupo, con la participación de los equipos jurídico, financiero y de sostenibilidad.

Las pequeñas y medianas empresas quedan, por lo general, fuera del ámbito de aplicación directo de la Directiva. No obstante, pueden verse implicadas como proveedores o socios comerciales de empresas sujetas a la CSDDD. Pueden recibir solicitudes relativas a condiciones de trabajo, gestión ambiental, origen de materiales, procedimientos de control o acciones correctivas.

Responder a la pregunta «¿A quién se aplica la CSDDD?» requiere, por tanto, realizar dos comprobaciones: si la empresa supera directamente los umbrales aplicables y si opera dentro de la cadena de suministro de clientes que entran en el ámbito de aplicación de la Directiva.

Las enmiendas de 2026 tratan de limitar la transferencia indiscriminada de requisitos a las empresas más pequeñas. Esto no elimina las solicitudes de información en la cadena de suministro, pero exige que las empresas sujetas a la CSDDD apliquen un enfoque proporcionado y basado en el riesgo, evitando la recopilación masiva de datos cuando no esté justificada por la naturaleza de la relación comercial o los impactos potenciales.

Por tanto, los proveedores deben evaluar cuántos de sus clientes entran dentro del ámbito de aplicación, qué información les solicitan ya estos clientes y qué parte de sus ingresos depende de las relaciones comerciales con grandes grupos europeos.

En algunos sectores, los requisitos de la CSDDD pueden solaparse con normas más específicas sobre la trazabilidad de las materias primas. Un ejemplo es el Reglamento de la UE sobre deforestación, o EUDR, que exige a las empresas incluidas en su ámbito de aplicación recopilar información detallada sobre el origen de determinadas materias primas y productos.

¿Qué obligaciones introduce la CSDDD para las empresas?

El primer requisito es integrar la diligencia debida en las políticas corporativas y los sistemas de gestión. Las empresas deben definir responsabilidades, criterios de evaluación, fuentes de información y procedimientos de revisión. El proceso debe implicar a los equipos de compras, legal, sostenibilidad, gestión de riesgos y control interno, con una coordinación constante en todo el grupo.

A continuación, la empresa debe mapear sus propias operaciones, las de sus filiales y las áreas pertinentes de su cadena de actividades. El objetivo es identificar dónde pueden producirse los impactos más graves o probables. Un ejercicio de mapeo eficaz combina datos internos, información de proveedores, riesgo del sector, ubicación geográfica, características del producto e historial de incidencias previas.

En virtud de las modificaciones de Ómnibus I, el proceso puede comenzar con una evaluación general de las principales áreas de riesgo. Las revisiones más detalladas deben centrarse en los segmentos que presenten las mayores preocupaciones. Para una empresa de fabricación, por ejemplo, el análisis puede revelar diferentes niveles de riesgo entre los proveedores de materias primas, los proveedores de servicios profesionales y las operaciones logísticas.

Cuando se detecta un impacto adverso potencial, la empresa debe adoptar medidas para prevenirlo o mitigarlo. Si el impacto ya se ha producido, la empresa debe actuar para ponerle fin, minimizar su alcance y, cuando sea necesario, contribuir a su reparación. Las acciones pueden incluir cambios en los procesos de compra, planes de acción correctiva acordados con los proveedores, formación, controles adicionales o la revisión de los términos contractuales.

Poner fin a una relación comercial no es automáticamente la solución más adecuada. En algunos casos, podría agravar el impacto sobre las personas afectadas o trasladar el problema a operadores con menor supervisión. Por tanto, la decisión debe sopesar la gravedad del impacto, la capacidad de la empresa para influir en el socio comercial y los resultados que podrían lograrse mediante un plan de mejora.

El sistema también debe incluir procedimientos de notificación y reclamación. Estos canales pueden proporcionar información que tal vez no surja a través de las revisiones de documentos, especialmente en cadenas de suministro largas o actividades situadas en zonas de alto riesgo.

Posteriormente, debe realizarse un seguimiento de las medidas aplicadas. Las empresas deben evaluar si las acciones han logrado el resultado esperado, si el nivel de riesgo ha cambiado y si se requiere una mayor intervención.

La información recopilada mediante la diligencia debida también puede contribuir a la evaluación global del desempeño ESG de los proveedores. Las calificaciones ESG pueden respaldar la clasificación de riesgos, siempre que se basen en datos verificables, criterios transparentes e información actualizada.

Cómo prepararse para la CSDDD y la diligencia debida en la cadena de suministro

El primer paso consiste en determinar la posición de la empresa con respecto a la legislación. La organización debe calcular los umbrales aplicables, identificar las empresas del grupo implicadas y evaluar la exposición indirecta a través de las relaciones con clientes sujetos a la Directiva.

El paso siguiente es revisar los sistemas existentes. Muchas empresas ya utilizan procedimientos de homologación de proveedores, cuestionarios ESG, códigos de conducta, auditorías, canales de notificación y sistemas de gestión certificados. La evaluación inicial debe establecer qué herramientas generan información útil, qué áreas quedan descubiertas y dónde resulta difícil verificar los datos.

Las certificaciones ESG y los sistemas de gestión pueden aportar pruebas útiles, pero deben evaluarse en relación con el riesgo específico, el alcance cubierto y la validez de la certificación. Una certificación no sustituye al análisis de la cadena de suministro, aunque puede reducir la necesidad de solicitar información que ya ha sido verificada de forma independiente.

El mapeo de la cadena de suministro debe permitir asociar a cada proveedor factores de riesgo específicos. Estos pueden incluir el país de operación, el sector, el volumen de compra, la importancia del componente suministrado, la posición dentro de la cadena de suministro y los resultados de evaluaciones anteriores. Esta segmentación evita que las empresas apliquen el mismo nivel de control a proveedores con perfiles de riesgo muy diferentes.

Los indicadores seleccionados deben ser verificables y estar vinculados a una decisión. Por ejemplo, el número de proveedores evaluados ofrece una perspectiva limitada a menos que se considere junto con el porcentaje de proveedores de alto riesgo, el tiempo necesario para cerrar las acciones correctivas y la proporción del gasto de compra cubierto por las evaluaciones.

También debe definirse de antemano la calidad de las pruebas documentales. Una autodeclaración, una certificación, una auditoría independiente y un documento emitido por una autoridad pública ofrecen diferentes niveles de garantía. Establecer una jerarquía de pruebas ayuda a las empresas a asignar puntuaciones coherentes y a solicitar comprobaciones adicionales en los casos más significativos.

El proceso también debe ser capaz de actualizarse. Los proveedores, los países, los volúmenes de compra y las condiciones operativas cambian con el tiempo. Un sistema estático puede quedar obsoleto rápidamente. Por lo tanto, las empresas deben definir la frecuencia de las revisiones, los eventos que desencadenan una reevaluación y la responsabilidad de aprobar las medidas correctivas.

La preparación para la CSDDD puede medirse mediante un número limitado de resultados concretos: porcentaje del gasto de compra mapeado, proveedores clasificados por nivel de riesgo, calidad media de las pruebas recopiladas, acciones correctivas abiertas y tiempos de resolución. Estos datos permiten a la dirección evaluar si la diligencia debida funciona de manera eficaz y documentar las decisiones adoptadas.

Para las empresas que gestionan un gran número de terceros, el software de evaluación de proveedores puede facilitar la recopilación de datos, la clasificación de riesgos y el seguimiento de las acciones correctivas. Una plataforma centralizada permite asociar datos y pruebas a cada proveedor, actualizar las evaluaciones a lo largo del tiempo y medir la cobertura real de la cadena de suministro.