Norme ITSP.10.171 en français : guide des 17 familles

En bref : La norme ITSP.10.171 en français est le texte de protection de l’information désignée du gouvernement du Canada, publié par le Centre canadien pour la cybersécurité et bâti sur la norme américaine NIST SP 800-171. Ses 17 familles d’exigences servent de fondement technique au Programme canadien de certification en cybersécurité (PCCC, ou CPCSC en anglais).

Si un appel d’offres de la défense ou du secteur public fédéral vient de vous mettre ce numéro sous les yeux pour la première fois, ce guide est écrit pour vous, pas pour votre équipe technique. À notre connaissance, il n’existe pas d’autre texte en français qui explique cette norme sans se contenter de la traduire.

Dans cet article

Qu’est-ce que la « protection de l’information désignée » ?

« Information désignée » est le terme que le Centre canadien pour la cybersécurité a retenu pour rendre l’anglais « controlled unclassified information » (CUI) : des renseignements qui ne sont pas classifiés au sens de la sécurité nationale, mais que le gouvernement fédéral ou un de ses partenaires juge assez sensibles pour exiger une protection particulière. Dans les faits, ce genre de contenu inclut :

un plan technique lié à un système ou un équipement de défense
une spécification technique rattachée à un contrat fédéral
un dossier de propriété intellectuelle transmis dans le cadre d’un contrat gouvernemental

La norme a elle-même changé de nom en cours de route. La première version, publiée le 2 avril 2025, parlait d’« information contrôlée ». La seconde version, publiée le 28 octobre 2025, lui a préféré « information désignée », le terme aujourd’hui en vigueur. Si vous tombez sur un document ou un fournisseur qui emploie encore l’ancienne formule, ce n’est pas une autre norme : c’est la même, avant sa mise à jour terminologique.

ITSP.10.171 s’adresse aux organisations qui ne font pas partie du gouvernement du Canada mais qui manipulent ce type d’information dans le cadre d’un contrat. Concrètement : les fournisseurs et sous-traitants du secteur de la défense et, plus largement, tout partenaire fédéral qui reçoit ou produit de l’information désignée.

En quoi ITSP.10.171 diffère-t-elle de NIST SP 800-171 ?

La norme ITSP.10.171 en français est la version canadienne de la norme américaine NIST SP 800-171 révision 3, « Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations ». Le Centre canadien pour la cybersécurité le dit sans détour : il n’y a pas de changement technique substantiel entre les deux textes.

Ce qui change, ce sont les références. Là où le document américain renvoie à des lois, des politiques et des directives fédérales des États-Unis, la version canadienne renvoie à l’équivalent fédéral canadien. Les 17 familles d’exigences, leurs objectifs et leur logique restent les mêmes d’un pays à l’autre.

Un point mérite d’être clarifié, parce que des décomptes erronés circulent, notamment en anglais, souvent parce qu’ils mélangent la révision 2 et la révision 3 de la norme américaine. La révision 2 comptait 14 familles d’exigences. La révision 3, sur laquelle ITSP.10.171 s’aligne, en compte 17 : trois nouvelles ont été ajoutées, dont la planification et la gestion des risques liés à la chaîne d’approvisionnement, une réponse directe aux attaques par compromission de fournisseurs des dernières années. Si un document ou un fournisseur vous parle de 14 familles pour ITSP.10.171, il décrit l’ancienne révision américaine, pas la norme canadienne actuelle.

Cette parenté entre les deux textes n’est pas un détail cosmétique. Une organisation qui a déjà entamé une démarche de conformité à NIST SP 800-171, par exemple pour vendre au gouvernement américain ou à un maître d’œuvre soumis au programme CMMC du département de la Défense des États-Unis, a fait le plus gros du chemin vers ITSP.10.171. Le travail qui reste porte sur les références réglementaires canadiennes, pas sur une nouvelle liste de contrôles à apprendre par cœur.

Quelles sont les 17 familles d’exigences de la norme ?

La norme regroupe ses exigences en 17 familles. En voici la liste complète, dans l’ordre du document officiel.

#	Famille d’exigences
1	Contrôle d’accès
2	Sensibilisation et formation
3	Vérification et responsabilité
4	Gestion des configurations
5	Identification et authentification
6	Intervention en cas d’incident
7	Maintenance
8	Protection des supports
9	Sécurité du personnel
10	Protection physique
11	Évaluation des risques
12	Évaluation de sécurité et surveillance
13	Protection des systèmes et des communications
14	Intégrité de l’information et des systèmes
15	Planification
16	Acquisition des systèmes et des services
17	Gestion des risques liés à la chaîne d’approvisionnement

Deux familles concentrent la majorité des efforts d’un premier dossier : le contrôle d’accès et l’identification et authentification, parce qu’elles touchent des systèmes que la plupart des organisations utilisent déjà tous les jours, souvent sans les avoir documentés en fonction de cette grille précise. La gestion des risques liés à la chaîne d’approvisionnement, à l’inverse, surprend davantage : elle exige de regarder au-delà de son propre périmètre, vers ses fournisseurs et sous-traitants.

Existe-t-il une norme ITSP.10.171 en français ?

Oui, et nativement. La norme ITSP.10.171 en français n’est pas une traduction tardive d’un document anglais : elle est publiée directement par le Centre canadien pour la cybersécurité, avec les mêmes versions et les mêmes dates que le texte anglais. La première version date du 2 avril 2025, la seconde du 28 octobre 2025.

C’est un point qui mérite d’être dit clairement, parce que l’inverse circule parfois. Il n’existe pas de vide documentaire en français sur cette norme. Le vide est ailleurs. Ce qui manque au programme canadien de certification en cybersécurité, ce ne sont pas les textes de référence : ce sont les évaluateurs accrédités en nombre suffisant pour traiter les dossiers, en particulier pour le niveau 2, qui exige une évaluation externe complète.

Comment les trois niveaux du CPCSC s’appuient-ils sur ITSP.10.171 ?

Le Programme canadien de certification en cybersécurité, ou CPCSC (PCCC en anglais), compte trois niveaux. Les trois s’appuient directement sur ITSP.10.171, avec une intensité croissante.

Niveau 1 repose sur une autoattestation. L’organisation évalue elle-même sa conformité à un sous-ensemble de 13 contrôles tirés de la norme, sans passer par un évaluateur externe.
Le niveau 2 du PCCC exige une évaluation complète des 98 contrôles de la norme, réalisée par un organisme tiers accrédité par le Conseil canadien des normes.
Niveau 3 va au-delà de la norme elle-même : 200 contrôles évalués directement par le ministère de la Défense nationale, réservés aux contrats les plus sensibles.

Nous décrivons l’ensemble de ce programme, ses trois niveaux et sa progression dans notre guide complet du CPCSC et du PCCC. Pour un fournisseur de la défense, ITSP.10.171 n’est pas une norme parmi d’autres : c’est le texte que le programme entier évalue, à des degrés différents selon le niveau visé par le contrat, et un dossier de niveau 1 ne recycle qu’une fraction de ce que le niveau 2 exige en entier.

Quelles sont les erreurs fréquentes sur les exigences d’ITSP.10.171 ?

Deux malentendus reviennent souvent dans les discussions avec des fournisseurs qui découvrent la norme, et ils recoupent une bonne partie des mythes qui circulent sur le CPCSC.

Le premier porte sur le périmètre. ITSP.10.171 permet explicitement, à sa section 1.1, de limiter la démarche à un périmètre restreint : une séparation logique du reste du réseau de l’organisation, plutôt qu’une conformité exigée pour l’ensemble du système d’information. C’est souvent la stratégie la plus réaliste pour une PME qui ne veut pas remettre en cause tout son environnement TI pour un seul contrat. Le mot « enclave », qu’on entend parfois pour décrire cette approche, ne vient toutefois pas de la norme elle-même : il figure dans le guide pratique de Services publics et Approvisionnement Canada, pas dans le texte d’ITSP.10.171.

Le second porte sur le chiffrement validé FIPS. Beaucoup d’entreprises tiennent pour acquis qu’ITSP.10.171 impose des modules cryptographiques validés FIPS 140. Ce n’est pas le cas. L’exigence numéro 03.13.11 le recommande, mais en fait un paramètre que l’organisation définit elle-même, pas une obligation au sens strict. Certains contrats fédéraux l’exigent séparément, par leurs propres clauses, ce qui entretient la confusion.

Par où commencer si votre organisation est visée par cette norme ?

Trois gestes, dans l’ordre, si un contrat ou un appel d’offres vient de vous exposer à la norme ITSP.10.171 en français.

Lisez le document officiel ITSP.10.171 du Centre canadien pour la cybersécurité et repérez la version qui s’applique à votre dossier. Tout commentaire, ce guide compris, vient après la source.
Passez vos 17 familles d’exigences en revue avec vos équipes, honnêtement : couvert, partiellement couvert, écart. Décidez ensuite si un périmètre restreint est réaliste pour votre organisation, plutôt que de présumer d’emblée qu’il faut tout couvrir.
Situez le niveau du CPCSC visé par votre contrat avant de bâtir votre plan. Un dossier de niveau 1 et un dossier de niveau 2 ne demandent ni le même effort, ni le même calendrier, ni le même budget.

Nous accompagnons des fournisseurs qui découvrent cette norme dans le cadre d’un contrat, de la première lecture de la grille jusqu’au dossier prêt pour l’évaluateur. Nous ne sommes pas cet évaluateur : notre rôle s’arrête où commence celui de l’organisme accrédité, par choix, pas par obligation. Si ITSP.10.171 vient d’entrer dans vos discussions contractuelles, vous pouvez planifier un échange sur votre accompagnement CPCSC pour situer où vous en êtes.

Planifier un appel exploratoire

Pour aller plus loin avec Factero :

se préparer au PCCC avec un accompagnement indépendant

Foire aux questions

ITSP.10.171 remplace-t-elle NIST SP 800-171 pour une entreprise canadienne ?

Non, ce sont deux normes distinctes, même si elles se ressemblent presque trait pour trait puisque la seconde adapte la première au contexte canadien. Une entreprise qui vend uniquement au gouvernement du Canada suit ITSP.10.171. Une entreprise qui vend aussi au département de la Défense américain démontre généralement sa conformité aux deux normes séparément, chacune évaluée par son propre programme.

Faut-il être certifié CPCSC pour appliquer ITSP.10.171 ?

Non. La norme elle-même n’est pas un programme de certification : c’est le jeu de contrôles technique. Vous pouvez l’appliquer par choix, avant même qu’un contrat ne l’exige, pour structurer votre sécurité. Le CPCSC est le programme qui vérifie et atteste formellement cette conformité, à trois niveaux d’exigence, devant un évaluateur pour les niveaux 2 et 3.

Un sous-traitant qui reçoit de l’information désignée d’un contractant principal est-il aussi visé par ITSP.10.171 ?

Oui. Le Centre canadien pour la cybersécurité précise que les exigences s’appliquent à tout système, hors gouvernement du Canada, qui gère, traite, stocke ou transmet de l’information désignée, peu importe si le contrat est signé directement avec le gouvernement ou avec un contractant principal. Recevoir cette information en sous-traitance ne vous met pas à l’abri de l’obligation.

La norme s’applique-t-elle seulement au secteur de la défense ?

Son usage le plus visible passe par le CPCSC, dans les contrats de défense, mais ITSP.10.171 vise plus largement toute organisation hors gouvernement du Canada qui manipule de l’information désignée pour le compte d’un ministère ou organisme fédéral, défense ou non.

Une certification ISO 27001 suffit-elle pour démontrer la conformité ?

Elle peut servir de preuve pour une partie des 17 familles d’exigences, parce que les deux référentiels se recoupent sur plusieurs contrôles, notamment la protection physique et la sécurité du personnel. Elle ne remplace pas une démonstration complète contre ITSP.10.171, dont certaines exigences restent propres au contexte fédéral canadien.

ITSP.10.171 en français : la norme canadienne née de NIST SP 800-171

Besoin d’aide sur ce sujet ?