En bref : PCCC niveau 2 organisme accrédité : à la date de publication, la réponse tient en un mot, aucun. Ce niveau exige une évaluation externe complète de 98 contrôles et 226 exigences, contre la norme ITSP.10.171. La certification est valide trois ans, avec une confirmation annuelle entre les cycles, et elle est attendue au printemps 2027.
Si vous fournissez du matériel, des services ou du soutien technique au ministère de la Défense nationale, ou si vous êtes sous-traitant d’un fournisseur qui le fait, ce guide s’adresse à vous. Le niveau 1 est probablement déjà sur votre radar. Le niveau 2 est la marche suivante, et elle change de nature.
Dans cet article
Que couvre le niveau 2 du PCCC ?
Au niveau 2, votre entreprise ne s’auto-évalue plus. Un organisme d’évaluation externe accrédité vérifie sa conformité aux 98 contrôles de la norme ITSP.10.171, la norme canadienne de protection de l’information désignée, dérivée de la norme américaine NIST SP 800-171. Ces 98 contrôles se déclinent en 226 exigences précises : chaque contrôle regroupe en moyenne deux à trois exigences vérifiables, documentées, prouvées par des preuves concrètes, pas par une déclaration d’intention.
Le Programme canadien de certification en cybersécurité (PCCC), aussi désigné par son sigle anglais CPCSC (Canadian Program for Cyber Security Certification), compte plusieurs niveaux. Le niveau 1 se règle par auto-attestation : 13 contrôles, que l’entreprise déclare elle-même respecter, sans vérification externe. Le niveau 2 change complètement de registre.
Le tableau suivant résume la différence entre les deux niveaux.
| Élément | Niveau 1 | Niveau 2 |
|---|---|---|
| Méthode | Auto-attestation | Évaluation externe accréditée |
| Portée | 13 contrôles | 98 contrôles, 226 exigences |
| Norme de référence | Bonnes pratiques de base | ITSP.10.171 |
| Qui évalue | L’entreprise elle-même | Un organisme accrédité par le CCN |
| Cadence | Déclaration annuelle | Certification aux trois ans, confirmation annuelle entre les cycles |
Notre guide complet du PCCC situe le niveau 2 dans l’ensemble du programme, avec les trois niveaux et leur portée respective.
Comment se déroule la certification, concrètement ?
Un organisme d’évaluation externe, accrédité par le Conseil canadien des normes (CCN), examine votre entreprise contre chacune des 226 exigences. Le résultat n’a pas de nuance : conforme ou non conforme, contrôle par contrôle. Il n’existe pas de certification partielle au niveau 2.
Le mot « triennial », emprunté au vocabulaire du programme américain, prête à confusion chez plusieurs dirigeants qui le découvrent pour la première fois. Il ne signifie pas trois évaluations par année. Il signifie une évaluation complète tous les trois ans, avec une confirmation annuelle entre les deux, généralement une déclaration attestant qu’aucun changement significatif n’a compromis votre conformité depuis la dernière évaluation. Compter dans le mauvais sens fausse complètement votre planification budgétaire et vos délais.
Aux États-Unis, ce rôle d’évaluateur externe est joué par les organismes C3PAO (Certified Third-Party Assessor Organizations), accrédités pour le programme CMMC du département de la Défense. Le PCCC canadien suit une logique comparable, sans nécessairement reprendre ce sigle : ce sera un organisme d’évaluation externe accrédité par le CCN, distinct de votre entreprise et distinct de qui vous accompagne dans votre préparation. Notre comparatif CPCSC vs CMMC détaille les ressemblances et les différences entre les deux programmes.
Quand la certification niveau 2 du PCCC entre-t-elle en vigueur ?
Le niveau 2 est attendu au printemps 2027, sur l’exercice budgétaire fédéral qui suit. Cette échéance vise l’ensemble du dispositif d’accréditation et d’évaluation, pas seulement votre propre dossier : elle dépend de la mise en place effective d’organismes accrédités, capables d’absorber la demande du secteur.
Le niveau 1 est déjà une réalité pour de nombreux fournisseurs et sous-traitants de la défense, par voie d’auto-attestation. Le niveau 2 est réservé aux contrats touchant l’information la plus sensible, celle que le ministère de la Défense nationale désigne comme telle dans ses exigences contractuelles. Un fournisseur peut très bien opérer plusieurs années sous le seul niveau 1 avant qu’un contrat particulier exige le niveau 2.
PCCC niveau 2 organisme accrédité : qui peut vous certifier aujourd’hui ?
Personne ne peut vous certifier au niveau 2 du PCCC aujourd’hui. Au 18 février 2026, aucun organisme n’apparaît sur une liste d’organismes accrédités pour évaluer une entreprise à ce niveau.
Le Conseil canadien des normes (CCN) a publié le schéma d’accréditation du PCCC le 27 janvier 2026. Ce schéma s’appuie sur la norme ISO/IEC 17020, qui encadre les organismes d’inspection en général. Publier un schéma d’accréditation n’est pas la même chose qu’accréditer un premier organisme. Entre les deux étapes :
- Dossier de candidature déposé par l’organisme qui vise l’accréditation
- Évaluation menée par le CCN lui-même contre la norme ISO/IEC 17020
- Délai qui reste à courir avant qu’une première accréditation soit accordée
Si un consultant, un cabinet de sécurité ou un « organisme partenaire » vous affirme aujourd’hui pouvoir vous certifier au niveau 2, la question à lui poser est simple : sur quelle liste d’accréditation publiée par le CCN apparaît son nom ? PCCC niveau 2 organisme accrédité, la réponse ne change pas à la date de publication de cet article : il n’y en a aucun. Un fournisseur sérieux vous le dira sans détour, plutôt que de laisser planer une confusion payante pour lui.
Pourquoi se préparer dès maintenant, si personne ne peut encore vous évaluer ?
Aucun PCCC niveau 2 organisme accrédité n’existe à ce jour, mais cette absence ne dispense de rien. Les 226 exigences existent déjà, dans le texte même de la norme ITSP.10.171. Combler l’écart entre votre posture actuelle et cette norme prend des mois, selon l’ampleur de la dette à rattraper :
- Politiques à rédiger
- Contrôles techniques à déployer
- Preuves à documenter
- Rôles à clarifier
Ce travail ne commence pas le jour où un évaluateur devient disponible.
Le nombre d’organismes accrédités sera restreint au départ. Une poignée d’organismes, peut-être moins au tout début, se partageront une demande venue de tout le secteur canadien de la défense en même temps. Les entreprises qui arrivent prêtes, dossier en main, passent avant celles qui commencent leur analyse d’écarts après l’ouverture du guichet. Un appel d’offres qui exige le niveau 2 n’attendra pas que votre tour vienne.
Notre analyse sur l’urgence de s’y préparer détaille ce raisonnement, échéance par échéance, pour les entreprises qui anticipent déjà cette exigence dans leurs prochains contrats.
Votre accompagnateur peut-il aussi être votre certificateur ?
Non, et ce n’est pas une question de préférence. C’est un principe de gouvernance.
L’entreprise qui vous aide à combler vos écarts, qui rédige vos politiques, qui configure vos contrôles, ne peut pas être celle qui signe ensuite votre certification. Ce n’est pas une règle qui existe pour compliquer votre vie : elle protège la valeur même du résultat. Un évaluateur qui a participé à construire une partie du dossier qu’il évalue ne peut pas être totalement indépendant de son propre travail, même de bonne foi.
Des montages en « compagnies sœurs », où l’accompagnement et la certification appartiennent au même groupe sous deux raisons sociales distinctes, ne sont pas illégaux. Mais la simple apparence d’un conflit d’intérêts suffit à jeter un doute sur la valeur de l’évaluation qui en résulte, aux yeux d’un donneur d’ordre qui pose la question un jour ou l’autre.
Factero ne sera pas organisme d’évaluation pour le PCCC : notre rôle s’arrête à l’accompagnement, à la cartographie des écarts, à la préparation du dossier. Nous visons par ailleurs notre propre certification de niveau 2, dès qu’un organisme sera accrédité pour l’évaluer : le cordonnier bien chaussé, en quelque sorte, avant de conseiller les autres sur leurs propres souliers.
Par où commencer ?
Trois gestes concrets, dans l’ordre.
- Confirmez ce que votre contrat exige réellement. Le niveau 1 par auto-attestation et le niveau 2 par évaluation externe ne visent pas les mêmes contrats : la sensibilité de l’information désignée dans vos ententes avec le ministère de la Défense nationale détermine lequel s’applique à vous.
- Faites une analyse d’écarts honnête contre les 226 exigences, même sans évaluateur accrédité disponible aujourd’hui. La norme existe déjà et ne changera pas d’ici l’ouverture du guichet d’accréditation.
- Suivez les publications du Conseil canadien des normes sur les organismes accrédités, et positionnez-vous tôt une fois qu’ils existent. Le nombre de places sera limité au départ, la file se formera vite.
Factero prépare des fournisseurs et des sous-traitants de la défense à cette transition, de l’analyse d’écarts jusqu’au dossier prêt pour évaluation. Nous ne promettons aucune certification, personne ne peut le faire de bonne foi : nous mesurons des écarts et documentons des décisions. PCCC niveau 2 organisme accrédité : le jour où l’un d’eux existera, votre dossier doit être prêt à passer devant lui. Vous pouvez planifier un échange sur votre accompagnement CPCSC pour situer votre point de départ.
Pour aller plus loin avec Factero :
Foire aux questions
Le niveau 1 suffit-il pour l’instant, ou faut-il déjà viser le niveau 2 ?
Pour une partie des contrats, oui : le niveau 1 par auto-attestation couvre les 13 contrôles de base. Mais le niveau 1 est aussi le prérequis du niveau 2 : une entreprise qui vise éventuellement un contrat de niveau 2 doit d’abord avoir réglé son niveau 1, pas le mener en parallèle en espérant rattraper le retard plus tard.
Combien coûte la certification PCCC niveau 2 ?
Aucun barème officiel n’existe encore : sans organisme accrédité, il n’y a pas de tarif à comparer. La facture dépendra surtout de l’écart à combler avant l’évaluation externe des 226 exigences, puis des honoraires propres à chaque organisme accrédité une fois qu’ils existeront. Prévoir ce poste budgétaire dès maintenant reste plus prudent que d’attendre un chiffre officiel qui n’est publié nulle part.
Combien de temps faut-il pour se préparer au niveau 2 ?
Cela dépend entièrement de l’écart entre votre posture actuelle et les 226 exigences de la norme. Une entreprise déjà avancée sur ses contrôles de base peut compter en semaines ce qu’une entreprise partant de zéro comptera en mois. Personne ne peut donner un chiffre unique sans avoir vu votre dossier.
Le PCCC canadien et le CMMC américain sont-ils équivalents ?
Ils partagent une parenté directe, la norme ITSP.10.171 étant dérivée de la norme NIST SP 800-171 utilisée par le CMMC, mais pas une équivalence automatique. Le comparatif entre les deux programmes détaille où ils se recoupent et où ils divergent, notamment sur la norme de référence et le calendrier de déploiement de chacun.
Qui décide si mon contrat exige le niveau 2 ?
Le ministère de la Défense nationale, à travers la classification de l’information désignée dans chaque contrat. La clause de cybersécurité de votre entente, ou de l’appel d’offres qui y mène, indique le niveau exigé. Ce n’est pas une décision que votre entreprise prend elle-même.
Sources citées
- Schéma d’accréditation CPCSC du Conseil canadien des normes
- NIST SP 800-171 rev. 3
- Programme CMMC du département de la Défense des États-Unis
- Programme canadien de certification en cybersécurité (PCCC) — SPAC/TPSGC
- ITSP.10.171-01 (document compagnon)
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
