CSRD au Luxembourg : les entreprises de vague 1 publient sans loi nationale

Depuis 2025, les plus grandes entreprises luxembourgeoises publient leur rapport de durabilité en application directe du règlement délégué européen ESRS, sans attendre la loi qui doit encadrer la CSRD au Luxembourg. Ces entreprises dites de « vague 1 », héritières de l'ancienne NFRD et comptant plus de 500 salariés, se retrouvent dans une situation inédite : obligées de publier depuis 2025, alors qu'aucune autorité de contrôle, aucun régime de sanctions et aucune obligation d'audit n'ont encore été fixés par une loi nationale. Comprendre les échéances CSRD pour les entreprises du Luxembourg suppose donc de distinguer ce qui relève du droit européen, directement applicable, de ce qui reste suspendu à Luxembourg.

Le vide juridique de la vague 1 luxembourgeoise

Le projet de loi 8370, qui doit transposer la CSRD en droit luxembourgeois, a été déposé à la Chambre des Députés le 29 mars 2024. Fort de 452 pages, il est examiné conjointement par les commissions de la Justice et des Finances, selon le dossier parlementaire consultable sur chd.lu. Le dernier avis rendu sur ce texte date du 22 décembre 2025 et, au 12 septembre 2026, le texte n'a toujours pas été voté en séance plénière.

Ce retard laisse les entreprises de vague 1 dans une zone grise. Elles publient leur rapport de durabilité en s'appuyant sur le règlement délégué ESRS, qui s'applique directement dans tous les États membres sans nécessiter de transposition pour les normes de reporting elles-mêmes. Mais l'architecture nationale qui doit accompagner cette obligation, à savoir l'autorité compétente chargée du contrôle, le régime de sanctions en cas de manquement et les obligations d'audit ou d'assurance des rapports, n'est pas encore en vigueur au Luxembourg, selon les newsflashs juridiques publiés par le cabinet CMS Law. Concrètement, une entreprise qui publierait un rapport incomplet ne s'expose aujourd'hui à aucune sanction définie par une loi luxembourgeoise, faute de texte voté.

Pour les parties prenantes qui lisent ces rapports, investisseurs, clients professionnels ou administrations, cette situation signifie que la fiabilité du contenu publié repose, en l'état, sur le seul règlement européen et sur la diligence propre de chaque entreprise, en l'absence de relais de contrôle national opérationnel.

Les échéances CSRD à surveiller jusqu'en 2027

Deux textes européens successifs sont venus modifier le calendrier initial de la CSRD, sans changer la situation des entreprises déjà soumises à l'obligation. La directive « Stop the clock », publiée au Journal officiel de l'Union européenne le 16 avril 2025 et entrée en vigueur le lendemain, reporte de deux ans la première publication des entreprises de vague 2, désormais attendue en 2028 au lieu de 2026, et de celles de vague 3, reportée à 2029 au lieu de 2027, selon le texte publié sur EUR-Lex. Ce report ne concerne pas la vague 1, qui continue de publier chaque année depuis 2025.

Le second texte est plus structurant pour l'avenir du dispositif. La directive Omnibus I, publiée au Journal officiel de l'UE le 26 février 2026 après son adoption le 24 février 2026, relève les seuils d'application de la CSRD à 1 000 salariés et 450 millions d'euros de chiffre d'affaires net cumulés, contre 250 salariés et 50 millions d'euros auparavant, selon le texte consultable sur EUR-Lex. Cette hausse des seuils exclurait environ 80 % des entreprises jusqu'ici dans le champ de la directive. Les États membres disposent de douze mois pour transposer ce nouveau texte, soit jusqu'au 19 mars 2027.

• 29 mars 2024 : dépôt du projet de loi 8370 à la Chambre des Députés
• 17 avril 2025 : entrée en vigueur de la directive « Stop the clock », qui reporte les vagues 2 et 3
• 22 décembre 2025 : dernier avis rendu sur le projet de loi 8370
• 19 mars 2026 : entrée en vigueur de la directive Omnibus I relevant les seuils CSRD
• 19 mars 2027 : échéance de transposition des nouveaux seuils par les États membres

Cette échéance de mars 2027 est celle qui doit concentrer l'attention des entreprises luxembourgeoises de vague 1 : si le Luxembourg transpose les nouveaux seuils dans ce délai, une partie d'entre elles pourrait sortir du champ de l'obligation, à condition de repasser sous les seuils de 1 000 salariés et 450 millions d'euros. L'accord politique qui a rendu ce relèvement possible a été trouvé entre le Parlement européen et le Conseil le 9 décembre 2025, avant l'approbation finale du Conseil de l'Union européenne le 24 février 2026, selon les communiqués officiels du Conseil.

Face à ce calendrier à deux vitesses, la Chambre de Commerce du Luxembourg a demandé publiquement que le mécanisme de report « stop the clock » soit également appliqué aux entreprises de vague 1 déjà soumises à l'obligation, afin d'éviter un régime à trois vitesses entre celles qui publient depuis 2025 sans cadre national, celles qui attendent 2028, et celles qui pourraient sortir totalement du champ en 2027, selon l'avis officiel publié par cc.lu.

Que faire maintenant, entreprises et commissaires aux comptes

Pour les entreprises concernées, l'obligation de publier ne disparaît pas avec l'absence de loi luxembourgeoise : elle découle du règlement délégué européen, directement applicable indépendamment du calendrier parlementaire national. La publication du rapport de durabilité reste due, même si son contrôle et ses suites en cas de manquement demeurent à ce jour indéfinis au Luxembourg.

Pour les commissaires aux comptes chargés d'accompagner ces entreprises, l'absence d'obligation d'audit ou d'assurance formellement fixée par une loi nationale crée une incertitude sur le niveau d'assurance à apporter et sur le référentiel de contrôle applicable, tant que la loi 8370 n'a pas fixé ces règles. Cette situation invite à suivre de près deux calendriers en parallèle : celui des travaux parlementaires sur le projet de loi 8370, dont le dernier avis remonte au 22 décembre 2025, et celui de la transposition des nouveaux seuils Omnibus, attendue au plus tard le 19 mars 2027.

Les entreprises de vague 1 publient depuis 2025 un rapport que personne, au Luxembourg, n'a aujourd'hui le pouvoir explicite de sanctionner ni d'auditer.

Dans cet entre-deux, la meilleure boussole pour les entreprises luxembourgeoises de vague 1 reste de suivre les échéances CSRD telles qu'elles se dessinent au niveau européen, plutôt que d'attendre un cadre national qui, un an et demi après le dépôt du projet de loi 8370, n'est toujours pas fixé. Le sort de la loi luxembourgeoise et celui des nouveaux seuils Omnibus se joueront probablement sur des calendriers proches, entre le vote encore attendu du texte national et l'échéance du 19 mars 2027.