CSDDD: la directiva europea de diligencia debida y su relación con el DPP
Qué es la CSDDD, qué empresas siguen dentro del ámbito tras la reforma Omnibus, cómo funcionan la diligencia debida, los umbrales y el calendario tras la revisión, y cómo la diligencia debida empresarial se solapa con el pasaporte digital de producto.
CSDDD: la directiva europea de diligencia debida y su relación con el DPP
Lo más importante en resumen
CSDDD son las siglas de Corporate Sustainability Due Diligence Directive - la directiva europea sobre diligencia debida de las empresas en materia de sostenibilidad, regulada por la Directiva (UE) 2024/1760. Obliga a las grandes empresas a identificar, prevenir, mitigar y poner fin a los impactos negativos sobre los derechos humanos y el medio ambiente a lo largo de su cadena de actividades - es decir, a implantar un proceso de diligencia debida basado en el riesgo. La reforma Omnibus (en vigor el 18 de marzo de 2026) redujo drásticamente el ámbito: solo quedan cubiertas las empresas con más de 5 000 empleados y más de 1 500 millones de euros de volumen de negocios neto mundial - el número de empresas directamente afectadas baja de unas 13 000 a unas 6 000. La CSDDD es una obligación de proceso a nivel de empresa, no una ley de etiquetado de productos, y no sustituye a un pasaporte digital de producto. Pero ambos se apoyan en el mismo fundamento de datos de cadena de suministro y de producto. myDPP no realiza la diligencia debida ni elabora un informe de diligencia debida; almacena y comunica los datos de producto y de cadena de suministro verificados que necesitan tanto el DPP como el proceso de diligencia debida.
Si primero quieres conocer los fundamentos del propio pasaporte, te recomendamos el artículo introductorio Pasaporte digital del producto en 15 minutos: qué es el DPP y por qué la UE lo introduce.
¿Qué es la CSDDD?
La CSDDD (Corporate Sustainability Due Diligence Directive) es la directiva europea que sitúa la diligencia debida en derechos humanos y medio ambiente sobre una base única y obligatoria. Su base jurídica es la Directiva (UE) 2024/1760, en vigor desde el 25 de julio de 2024. Complementa la obligación de información de la CSRD con un deber de actuar: una empresa dentro del ámbito no solo debe informar, sino demostrar que actúa.
En su núcleo hay un proceso de diligencia debida basado en el riesgo que abarca las operaciones propias y la cadena de actividades (“chain of activities”). Una empresa cubierta debe
- identificar los impactos negativos reales y potenciales sobre los derechos humanos y el medio ambiente,
- prevenirlos, mitigarlos o ponerles fin,
- disponer de un mecanismo de reclamación,
- supervisar las medidas adoptadas y
- comunicar públicamente sobre ellas.
¿A quién se aplica la CSDDD tras la reforma Omnibus?
El ámbito de aplicación es el tema más cambiante de la CSDDD. En origen, la obligación debía escalonarse en oleadas hasta empresas de 1 000 empleados y 450 millones de euros de facturación. La reforma Omnibus lo cambió de raíz.
El paquete Omnibus I entró en vigor el 18 de marzo de 2026 y modifica la CSDDD en puntos clave:
- Umbrales mucho más altos: solo quedan cubiertas las empresas de la UE con más de 5 000 empleados y más de 1 500 millones de euros de volumen de negocios neto mundial (o empresas de fuera de la UE con volumen de negocios en la UE superior a 1 500 millones de euros). El número de empresas directamente cubiertas baja de unas 13 000 a unas 6 000.
- Nuevos plazos: la transposición al derecho nacional se fija para el 26 de julio de 2028, con una primera aplicación para todas las empresas cubiertas unificada en el 26 de julio de 2029 - desaparecen las fechas de aplicación escalonadas anteriores.
- Foco en los socios comerciales directos: el proceso de diligencia debida se reorienta hacia los socios comerciales directos (nivel Tier 1) y un ejercicio previo de delimitación (“scoping”), en lugar de cartografiar a cada socio de la cadena uno a uno. Solo se profundiza cuando existe información plausible de un problema.
- Evaluación menos frecuente: la revisión periódica pasa de anual a cada cinco años.
- Plan climático y responsabilidad: se eliminó la obligación de “poner en práctica” activamente el plan de transición climática; se retiró el régimen armonizado de responsabilidad civil a escala de la UE, que queda en manos del derecho nacional.
Importante: quien no alcance los nuevos umbrales ya no está directamente obligado a ejecutar el proceso, pero como proveedor suele seguir afectado de forma indirecta (véase más abajo).
CSDDD y las leyes nacionales de cadena de suministro
Varios Estados miembros ya cuentan con leyes nacionales de orientación similar - la ley alemana de diligencia debida en la cadena de suministro (Lieferkettensorgfaltspflichtengesetz, LkSG) es el ejemplo más conocido. La CSDDD crea un marco a escala de la UE al que se alinea el derecho nacional: las empresas muy grandes seguirán las normas europeas y las leyes nacionales se adaptarán en consecuencia. Para las empresas cubiertas esto significa un proceso de diligencia debida y un fundamento de datos, no dos sistemas paralelos.
CSDDD y el pasaporte digital de producto: dónde se solapan
La CSDDD y el pasaporte digital de producto son dos instrumentos distintos. La CSDDD regula un proceso a nivel de empresa - cómo gestiona una empresa los riesgos de su cadena; el DPP describe un producto concreto a lo largo de su ciclo de vida. Aun así, ambos se nutren de los mismos datos de cadena de suministro y de producto.
- Origen y proveedores: la diligencia debida presupone que una empresa sabe de dónde vienen los materiales y quiénes son sus proveedores. Esa misma trazabilidad es la columna vertebral del DPP bajo el ESPR.
- Datos ambientales: el uso de recursos, la composición material y la huella de carbono del producto (PCF) son a la vez indicadores de riesgo ambiental para la diligencia debida y campos del DPP.
- Regímenes de diligencia debida a nivel de producto: el Reglamento EUDR contra la deforestación, con su geolocalización y su declaración de diligencia debida, y la diligencia debida específica de las baterías en el pasaporte de la batería son expresiones a nivel de producto de la misma lógica - y se nutren de los mismos datos.
El denominador común es un fundamento de datos auditable por producto y por proveedor: origen, materiales, proveedores y las cifras ambientales derivadas de ellos. Mantén ese fundamento una sola vez y servirá al DPP, al proceso de diligencia debida de la CSDDD, al EUDR y a la información CSRD desde una única fuente.
También fuera del ámbito: el efecto de la cadena de valor
La reforma Omnibus saca a muchas empresas de la obligación directa, pero eso no hace irrelevantes los datos de cadena de suministro. Las empresas muy grandes que siguen dentro del ámbito tienen que obtener información de sus socios comerciales directos para su proceso de diligencia debida. Un proveedor fuera de la CSDDD recibirá igualmente esas solicitudes.
La reforma sí limita qué datos pueden exigir las grandes empresas a los socios pequeños y medianos (la salvaguarda contra el efecto “trickle-down”). Aun así, una empresa que ya mantiene estructurados sus datos de producto y de proveedores responde a esas solicitudes con mucho menos esfuerzo. Aquí es donde un fundamento de datos listo para el DPP rinde por partida doble: para tu propio pasaporte y para las solicitudes de diligencia debida que bajan por la cadena.
Lo que la CSDDD no es
Un encuadre honesto es necesario aquí:
- La CSDDD es una obligación de proceso de diligencia debida a nivel de empresa, no una ley de etiquetado de productos. No genera ningún código QR ni una página de producto orientada al consumidor.
- Un pasaporte digital de producto no sustituye a un proceso de diligencia debida. No señala riesgos para los derechos humanos ni prueba que se hayan cumplido las obligaciones de diligencia debida.
- myDPP no realiza la diligencia debida, no evalúa riesgos para los derechos humanos y no elabora un informe de diligencia debida. El proceso es responsabilidad de la empresa y de sus funciones especializadas.
Lo que hace un pasaporte digital de producto - y myDPP - es almacenar, versionar y comunicar los datos de producto y de cadena de suministro verificados de forma estructurada, de modo que las mismas cifras sobre origen, materiales e impacto ambiental sean reutilizables para el DPP y para la documentación de diligencia debida, en lugar de capturarse de nuevo en cada sistema.
Preparar la CSDDD: cinco pasos
1. Comprueba si estás dentro del ámbito
Compara tu empresa con los nuevos umbrales Omnibus (5 000 empleados y 1 500 millones de euros de facturación). Comprueba también si estás afectado de forma indirecta como socio comercial directo de un cliente cubierto.
2. Cartografía tu cadena de actividades
Consigue una visión de tus socios comerciales directos y de los flujos de materiales aguas arriba - esa es la base de la delimitación y de la evaluación de riesgos.
3. Identifica las lagunas de datos
Asigna los requisitos de diligencia debida a tus fuentes de datos existentes. Las cifras sobre origen, proveedores e impacto ambiental suelen ser las que más faltan.
4. Construye el fundamento de datos de producto y de proveedores
Captura el origen, la composición material y el PCF donde ya se necesitan para el DPP - así evitas mantener los mismos datos dos veces para CSDDD, DPP, EUDR y CSRD.
5. Garantiza la trazabilidad
Prepárate para documentar y comunicar las medidas que adoptes. Unos datos de producto y de proveedores versionados y trazables lo facilitan considerablemente.
Preguntas frecuentes (FAQ)
¿Qué es la CSDDD en términos sencillos?
La CSDDD es la directiva europea de diligencia debida empresarial. Obliga a las empresas muy grandes a identificar, prevenir y poner fin a los impactos negativos sobre los derechos humanos y el medio ambiente en su cadena de actividades, es decir, a implantar un proceso de diligencia debida basado en el riesgo y comunicar sobre él.
¿Quién sigue dentro del ámbito tras la reforma Omnibus?
Tras la reforma Omnibus, en vigor desde el 18 de marzo de 2026, solo las empresas con más de 5 000 empleados y más de 1 500 millones de euros de volumen de negocios neto mundial. El número de empresas directamente cubiertas baja de unas 13 000 a unas 6 000.
¿Desde cuándo se aplica la CSDDD?
La transposición al derecho nacional se fija para el 26 de julio de 2028, con una primera aplicación para todas las empresas cubiertas unificada en el 26 de julio de 2029. Desaparecen las fechas de aplicación escalonadas anteriores.
¿Cuál es la diferencia entre CSDDD y CSRD?
La CSRD es una obligación de información (lo que una empresa divulga); la CSDDD es un deber de actuar (lo que una empresa debe hacer realmente en su cadena). Ambas pertenecen al mismo paquete Omnibus y se apoyan en los mismos datos de cadena de suministro y de producto.
¿Sustituye el pasaporte digital de producto a un proceso de diligencia debida?
No. El DPP no señala riesgos para los derechos humanos ni prueba que se haya cumplido la diligencia debida. Almacena y comunica los datos subyacentes de producto y de cadena de suministro que el proceso de diligencia debida también necesita, pero no realiza la diligencia debida en sí.
Sigue leyendo
- CSRD: la información de sostenibilidad de la UE y su relación con el DPP
- EUDR: el reglamento europeo contra la deforestación y su relación con el DPP
- Reglamento ESPR: requisitos de ecodiseño para productos sostenibles
- Huella de carbono del producto (PCF): qué es y cómo se relaciona con el DPP
- Implementación del DPP: la checklist para empresas