En bref : Les 13 contrôles PCCC niveau 1 forment une auto-évaluation annuelle de 37 exigences de cyberhygiène de base, tirée de la norme ITSP.10.171 du Centre canadien pour la cybersécurité. Ce premier échelon du Programme canadien de certification en cybersécurité ne devient obligatoire qu’au moment où le gouvernement attribue le contrat, pas au dépôt de la soumission.
Vous dirigez une PME de 15 à 100 employés, vous n’avez pas de département TI dédié, et un appel d’offres fédéral vient de vous demander une attestation PCCC niveau 1. Ce guide répond à une seule question avant tout le reste : qu’est-ce que ce niveau exige, concrètement ? Le mode d’emploi pour remplir l’auto-évaluation dans l’outil, étape par étape, viendra dans un article séparé. Ici, on regarde ce qu’il y a dans la boîte avant de l’ouvrir. Si vous vous demandez d’abord si votre entreprise est même visée par cette exigence, la réponse est dans Qui est visé par le CPCSC ? PME, sous-traitants et défense.
Dans cet article
Que couvrent les 13 contrôles PCCC niveau 1 ?
Les 13 contrôles PCCC niveau 1 se déclinent en 37 exigences précises, un sous-ensemble de la norme ITSP.10.171 (Protection de l’information désignée) du Centre canadien pour la cybersécurité. Un contrôle peut porter plus d’une exigence, ce qui explique l’écart entre les deux chiffres.
Ce premier palier du PCCC (Programme canadien de certification en cybersécurité, aussi désigné CPCSC) s’impose aux fournisseurs et sous-traitants fédéraux qui touchent à l’information non classifiée mais sensible de la Défense nationale. Il s’inspire du programme américain CMMC (Cybersecurity Maturity Model Certification), que le département de la Défense des États-Unis impose à sa propre chaîne d’approvisionnement, et s’appuie sur des exigences techniques proches de la norme américaine NIST SP 800-171, dont ITSP.10.171 est l’adaptation canadienne. Le Centre canadien pour la cybersécurité publie aussi un document compagnon, ITSP.10.171-01, qui détaille les procédures pour évaluer si ces exigences sont respectées.
Rien, dans ces 37 exigences, ne relève de la haute technologie. Le niveau 1 regroupe six catégories de cyberhygiène de base, le strict minimum qu’une organisation devrait déjà appliquer avant même de penser au PCCC :
- Savoir qui a accès à quoi : un inventaire des comptes et des systèmes, un compte par personne, jamais de compte partagé entre plusieurs employés.
- Des mots de passe qui protègent réellement : fini les « patate123 » ou les mots de passe collés sur l’écran, une vérification en deux étapes par texto ou par application, comme votre institution financière l’exige déjà pour vos transactions.
- Des comptes fermés le jour même du départ : un employé qui quitte l’entreprise ne garde pas un accès actif trois ans plus tard, un cas que nous croisons plus souvent qu’on le pense.
- Un contrôle des supports amovibles : les plans techniques ou les dossiers clients qui traînent sur une clé USB, sans chiffrement ni suivi, sont exactement ce que le niveau 1 vise.
- Un accès physique encadré : qui peut s’approcher d’un poste de travail ou d’une machine reliée au réseau, y compris une vieille machine de production qui tourne encore sous un système d’exploitation qui n’est plus mis à jour.
- Des sauvegardes qui fonctionnent vraiment : pas seulement programmées, testées. Une sauvegarde jamais restaurée pour vérification n’est pas une protection, c’est de l’espoir.
Ces six catégories ne couvrent pas tout ce que la cybersécurité peut exiger d’une organisation. Elles couvrent ce qu’une organisation ne devrait plus avoir à découvrir en marge d’un appel d’offres.
Le tableau suivant résume les repères du niveau 1 avant d’entrer dans le détail de l’attestation :
<table> <thead> <tr><th>Repère</th><th>Réponse</th></tr> </thead> <tbody> <tr><td>Nombre de contrôles</td><td>13</td></tr> <tr><td>Nombre d’exigences</td><td>37</td></tr> <tr><td>Norme d’origine</td><td>ITSP.10.171 (Centre canadien pour la cybersécurité)</td></tr> <tr><td>Coût de l’outil d’auto-évaluation</td><td>Gratuit</td></tr> <tr><td>Disponible depuis</td><td>1er avril 2026</td></tr> <tr><td>Administré par</td><td>Services publics et Approvisionnement Canada (SPAC)</td></tr> <tr><td>Obligatoire pour soumissionner ?</td><td>Non</td></tr> <tr><td>Obligatoire à l’attribution du contrat ?</td><td>Oui</td></tr> <tr><td>Intervention en cas d’incident incluse ?</td><td>Non</td></tr> </tbody> </table>
L’attestation PCCC niveau 1 est-elle exigée à l’attribution du contrat ?
Oui : l’auto-évaluation devient obligatoire au moment où le gouvernement attribue le contrat, pas au dépôt de la soumission. Vous pouvez déposer une soumission sans avoir complété votre auto-évaluation. Vous ne pouvez pas recevoir le contrat sans elle, si le niveau 1 y est exigé, un point qui échappe régulièrement aux dirigeants qui découvrent le PCCC pour la première fois.
Le niveau 1 fonctionne par auto-évaluation annuelle, pas par audit d’un tiers. Depuis le 1er avril 2026, l’entreprise y accède par l’entremise de l’outil gouvernemental gratuit d’auto-évaluation, administré par Services publics et Approvisionnement Canada (SPAC), le ministère responsable des marchés publics fédéraux. Elle répond elle-même aux 37 exigences et dépose son résultat.
Certains contrats fédéraux commencent déjà à exiger le niveau 1 dès l’été 2026. Si votre entreprise soumissionne dans la chaîne d’approvisionnement de la Défense, même comme sous-traitant de second rang, l’attestation va finir par vous rattraper. Autant la préparer avant qu’un contrat ne soit suspendu à sa présence.
L’intervention en cas d’incident est-elle exigée au niveau 1 ?
Non, et c’est le genre de détail qui surprend. Beaucoup de dirigeants présument qu’une certification en cybersécurité inclut nécessairement un plan de réponse aux incidents : qui appeler, quoi faire, dans quel ordre, en cas de brèche. Ce n’est pas le cas au niveau 1. Les 13 contrôles portent sur la cyberhygiène de base, pas sur la capacité à réagir après coup.
Ce n’est pas une raison pour l’ignorer. C’est une raison de ne pas confondre « j’ai réussi mon auto-évaluation de niveau 1 » et « mon entreprise est prête à gérer un incident ». Les deux questions sont différentes, et le PCCC comporte des niveaux supérieurs qui abordent des exigences plus poussées, pour les entreprises qui manipulent de l’information plus sensible. Nous détaillons les autres confusions fréquentes sur le sujet dans Mythes du CPCSC : ce que la norme exige vraiment (et pas).
Que risque-t-on en cas de fausse déclaration de conformité au PCCC ?
C’est la question la plus mal comprise, et la plus coûteuse à mal comprendre : prétendre être conforme sans l’être expose à trois conséquences distinctes, cumulables, et aucune d’elles n’est symbolique.
- Poursuite pour fraude : fournir un faux rapport pour obtenir un contrat public relève de la fraude. Il n’existe pas de loi propre au PCCC qui punirait spécifiquement une fausse déclaration, ce sont les lois générales qui s’appliquent, et elles ne sont pas indulgentes.
- Responsabilité personnelle des dirigeants : la jurisprudence canadienne a déjà établi des peines qui visent les dirigeants personnellement, pas seulement l’entreprise. Cocher « oui » à une exigence que vous ne rencontrez pas n’est pas une zone grise administrative.
- Inscription sur la liste d’exclusion fédérale : le gouvernement tient une liste des entreprises avec lesquelles il refuse de faire affaire. Une déclaration trompeuse, même involontaire, même née d’un malentendu sur ce qu’une exigence couvrait vraiment, peut vous y mener, et la relation avec l’ensemble de l’appareil fédéral en change.
La bonne nouvelle, si on peut l’appeler ainsi : il est permis de ne pas être parfait. Un écart documenté, avec un plan pour le combler, n’a jamais ruiné une entreprise. Ce qui coûte cher, c’est de prétendre que l’écart n’existe pas.
Ce qui précède n’est pas un avis juridique. Un dossier douteux mérite l’avis d’un avocat, pas seulement celui d’un consultant en gouvernance.
Combien de temps prend la préparation ?
La préparation prend de quelques jours à quelques mois, selon la maturité de l’organisation, jamais selon la complexité des 13 contrôles PCCC niveau 1 eux-mêmes. Une entreprise qui gère déjà ses comptes rigoureusement, qui applique une politique de mots de passe et dont les sauvegardes sont testées peut compléter sa préparation en quelques jours.
Une entreprise qui découvre, en faisant l’exercice, qu’un ancien employé a toujours accès au réseau, que les plans de fabrication dorment sur une clé USB non chiffrée dans un tiroir et que personne n’a jamais restauré une sauvegarde pour vérifier qu’elle fonctionne, compte plutôt en mois. La dette technique et organisationnelle accumulée détermine l’effort, pas le nombre de contrôles.
Le premier passage honnête de la grille, exigence par exigence, reste le meilleur indicateur : couvert, partiellement couvert, écart. Ce portrait vaut plus que n’importe quelle estimation générale donnée avant de l’avoir fait.
Par où commencer ?
Trois gestes, dans l’ordre :
- Premier passage des 37 exigences avec les personnes qui gèrent réellement vos comptes, vos accès et vos sauvegardes, pas seulement avec la direction.
- Documentation de chaque écart trouvé, même les plus embarrassants : un dossier honnête vaut mieux qu’un dossier flatteur devant le Bureau.
- Échéancier pour combler ce qui reste, décidé avant de remplir l’auto-évaluation dans l’outil gouvernemental.
Le neveu qui connaît ça en informatique n’est pas la bonne personne pour porter ce dossier seul, pas plus qu’une seule personne déjà débordée à l’interne. Les 13 contrôles PCCC niveau 1 touchent à des décisions de gouvernance autant qu’à des réglages techniques : qui a le pouvoir de fermer un compte, qui approuve une politique, qui documente un écart.
Nous appliquons cette même démarche chez Factero : le cordonnier bien chaussé, littéralement, puisque nous déposerons nous-mêmes notre auto-déclaration de niveau 1. Nous accompagnons aussi des PME de la chaîne d’approvisionnement de la Défense dans cet exercice, de la cartographie des écarts jusqu’au dépôt. Vous pouvez planifier un accompagnement CPCSC avec Factero pour situer où vous en êtes. Un principe reste non négociable : l’outil d’auto-évaluation du gouvernement est gratuit, et nous ne vendons aucun outil de niveau 1, seulement l’accompagnement pour bien s’en servir.
Pour aller plus loin avec Factero :
Foire aux questions
L’auto-évaluation PCCC niveau 1 coûte-t-elle quelque chose ?
Non. L’outil gouvernemental, administré par Services publics et Approvisionnement Canada, est gratuit et accessible depuis le 1er avril 2026. Ce qui a un coût, c’est le travail de préparation en amont, pas l’accès au questionnaire. Méfiez-vous de tout prestataire qui vend un « outil niveau 1 » : rien dans le processus officiel n’exige un achat.
Quelle est la différence entre le PCCC et le CMMC américain ?
Le CMMC est le programme du département de la Défense des États-Unis, imposé à sa propre chaîne d’approvisionnement. Le PCCC est l’équivalent canadien, bâti sur des exigences techniques proches de la norme NIST SP 800-171. Les deux régimes restent distincts sur le plan administratif : une certification CMMC ne dispense pas d’une attestation PCCC pour un contrat fédéral canadien, ni l’inverse.
Remplir l’auto-évaluation dans l’outil, ça prend combien de temps ?
Le gouvernement indique que l’évaluation peut se faire en moins d’une heure, une fois les 37 exigences connues et les politiques internes déjà passées en revue. Ce chiffre couvre seulement la saisie dans l’outil, pas le travail en amont : rassembler les preuves et corriger les écarts prend, lui, de quelques jours à plusieurs mois selon le point de départ de l’entreprise.
Et si on découvre un écart après avoir attesté ?
Documentez l’écart et corrigez-le sans attendre le prochain cycle annuel. Un écart trouvé et corrigé de bonne foi n’a rien à voir avec une fausse déclaration maintenue sciemment devant un client fédéral. Ce qui expose l’entreprise n’est pas l’écart lui-même, c’est de laisser un « oui » coché sur une exigence qu’elle ne rencontre plus.
Sources citées
- NIST SP 800-171 rev. 3
- Outil gouvernemental gratuit d’auto-évaluation PCCC niveau 1
- Programme CMMC du département de la Défense des États-Unis
- Programme canadien de certification en cybersécurité (PCCC) — Services publics et Approvisionnement Canada, canada.ca
- ITSP.10.171-01 (document compagnon, Centre canadien pour la cybersécurité)
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
