En bref : CAN/DGSI 104 vs ITSP.10.171 : deux normes distinctes, chacune au socle d’un programme différent. La première sert de fondation au programme fédéral CyberSécuritaire Canada, ouvert à toute PME, la seconde au CPCSC (Programme canadien de certification en cybersécurité), réservé aux fournisseurs de la défense. Aucun crédit officiel ne convertit l’une en l’autre : ce sont deux démarches menées par deux organismes distincts.
Deux sigles, deux programmes, une confusion qui revient sans arrêt dans nos échanges avec des dirigeants de PME. Si un client, un appel d’offres ou un conseiller vous a mis l’un de ces deux sigles sous les yeux et que vous ne savez plus lequel vous concerne, cet article répond directement à la question.
Dans cet article
Qu’est-ce que CAN/DGSI 104 ?
CAN/DGSI 104 est une norme publiée par le Digital Governance Standards Institute. Elle décrit un ensemble de contrôles de base attendus d’une petite ou moyenne entreprise pour se protéger contre les cybermenaces les plus courantes :
- Hameçonnage
- Gestion des accès
- Sauvegardes
- Mise à jour des systèmes
C’est cette norme qui sert de fondation au programme CyberSécuritaire Canada (CyberSecure Canada en anglais). Le programme est administré par le Conseil canadien des normes (CCN), qui en a repris l’autorité en mars 2023, après Innovation, Sciences et Développement économique Canada (ISED) à ses débuts. Il reste volontaire et ouvert à toute PME canadienne, peu importe son secteur d’activité. Nous détaillons la démarche complète dans notre guide de la certification CyberSécuritaire Canada.
Le mot « toute » a son importance. Contrairement à la norme dont il est question au prochain paragraphe, CAN/DGSI 104 ne vise aucun secteur en particulier. Une clinique, un cabinet comptable ou un fabricant peuvent tous s’en servir comme point de départ, et les contrôles de base CAN/DGSI 104 sont pensés pour rester accessibles à une équipe TI restreinte.
Pour une PME québécoise, un dernier repère évite un autre mélange de genres : CAN/DGSI 104 n’a aucun lien direct avec la Loi 25 ni avec la certification TGV du réseau de la santé. C’est un programme fédéral, avec son propre organisme, sa propre norme et sa propre grille, indépendant des obligations provinciales que votre entreprise porte déjà par ailleurs.
Qu’est-ce que ITSP.10.171 ?
ITSP.10.171 est une publication du Centre canadien pour la cybersécurité intitulée Protection de l’information désignée. Elle décrit les contrôles attendus d’une organisation qui manipule de l’information sensible liée à la défense nationale, dans le cadre d’un contrat ou d’un sous-contrat avec le ministère de la Défense nationale.
La norme est directement inspirée du NIST 800-171 américain, adaptée au contexte réglementaire canadien. Nous l’expliquons en détail dans ITSP.10.171 expliquée : la norme canadienne née de NIST 800-171.
C’est cette norme qui sert de socle au CPCSC, le Programme canadien de certification en cybersécurité, aussi désigné PCCC. Il est administré par Services publics et Approvisionnement Canada (SPAC), en lien avec le Centre canadien pour la cybersécurité. Notre guide complet du CPCSC couvre l’ensemble du programme, ses niveaux et ses délais. Si vous soumissionnez ou sous-traitez pour un contrat de défense, la question n’est pas de savoir si ITSP.10.171 vous concerne, mais depuis quand.
L’exigence descend souvent loin dans la chaîne d’approvisionnement. Un sous-traitant de troisième ou quatrième rang peut se voir imposer ITSP.10.171 sans jamais avoir de contact direct avec le ministère de la Défense nationale, simplement parce qu’un maillon plus haut dans la chaîne le répercute vers ses propres fournisseurs. Ne pas vendre directement à la Défense ne vous met pas à l’abri de la question.
CAN/DGSI 104 vs ITSP.10.171 : quelle norme s’applique à qui ?
CAN/DGSI 104 s’applique à toute PME canadienne ; ITSP.10.171 s’applique aux fournisseurs et sous-traitants qui touchent à de l’information désignée liée à la Défense nationale. Le tableau suivant résume la différence.
| CAN/DGSI 104 (CyberSécuritaire Canada) | ITSP.10.171 (CPCSC) | |
|---|---|---|
| Public visé | Toute PME canadienne | Fournisseurs et sous-traitants du ministère de la Défense nationale |
| Organisme responsable | Conseil canadien des normes (CCN) | SPAC, avec le Centre canadien pour la cybersécurité |
| Norme technique de référence | CAN/DGSI 104 (Digital Governance Standards Institute) | ITSP.10.171 (Centre canadien pour la cybersécurité) |
| Caractère de la démarche | Volontaire, sauf si un client l’exige au contrat | Devient obligatoire dès qu’un contrat ou sous-contrat de défense l’exige |
| Statut de Factero | Certification niveau 1, obtenue le 19 avril 2026 | Auto-déclaration niveau 1, obtenue le 19 avril 2026 |
Les contrôles des deux normes se ressemblent par endroits, parce que les deux traitent des mêmes fondamentaux : accès, sauvegardes, mises à jour, journalisation. Ils divergent sur un point qui change tout : ITSP.10.171 encadre spécifiquement la protection de l’information désignée liée à la défense, une catégorie d’information que CAN/DGSI 104 ne traite pas.
CAN/DGSI 104 n’est pas non plus une version allégée d’un référentiel international comme ISO 27001 : les deux répondent à des logiques différentes, un point que nous détaillons dans CAN/DGSI 104 vs ISO 27001 : la marche d’entrée canadienne.
Si votre entreprise vend uniquement au secteur privé ou aux réseaux publics civils, CAN/DGSI 104 est votre point d’entrée naturel. Si un contrat ou un sous-contrat de défense figure dans vos revenus, actuels ou visés, ITSP.10.171 entre en jeu, peu importe la taille de votre entreprise.
Peut-on faire créditer une certification CAN/DGSI 104 vers le CPCSC ?
Non, aucun crédit officiel de reconnaissance ne convertit une certification CAN/DGSI 104 en conformité au CPCSC. Ce sont deux démarches administrées par deux organismes différents, contre deux normes différentes, et rien à ce jour ne prévoit d’équivalence automatique de l’une vers l’autre.
Dans la comparaison CAN/DGSI 104 vs ITSP.10.171, c’est le point qui surprend le plus : un mécanisme comparable existe ailleurs. Le CMMC (Cybersecurity Maturity Model Certification), l’équivalent américain administré par le département de la Défense des États-Unis, dispose lui d’un crédit de reconnaissance vers le CPCSC, évalué au cas par cas. Une entreprise déjà certifiée CMMC peut voir une partie de son travail reconnue dans sa démarche CPCSC. Une entreprise certifiée CAN/DGSI 104 ne bénéficie pas du même raccourci.
Concrètement, si vous détenez déjà une certification CyberSécuritaire Canada et qu’un contrat de défense exige le CPCSC, vous repartez d’une feuille blanche du point de vue administratif. Votre maturité en sécurité, elle, ne repart pas de zéro : les politiques déjà rédigées, les contrôles déjà en place, la culture de sécurité déjà instaurée réduisent l’effort réel. Mais aucun automatisme ne dispense d’une étape de la démarche CPCSC.
C’est une distinction à intégrer dans votre calendrier, pas seulement dans votre budget. Une entreprise qui planifie les deux démarches en pensant que la première accélère automatiquement la seconde risque de découvrir l’absence de crédit au pire moment, celui où un échéancier contractuel est déjà fixé.
CyberSécuritaire Canada ou CPCSC : pourquoi les deux programmes sont-ils si souvent confondus ?
La confusion CAN/DGSI 104 vs ITSP.10.171 est facile à comprendre : les deux programmes portent un nom qui commence par « cyber », les deux sont fédéraux, les deux s’adressent officiellement aux PME, et leurs sigles se ressemblent à l’oreille. Dans nos échanges avec des dirigeants, la confusion revient sans arrêt : certains sont convaincus qu’obtenir CyberSécuritaire Canada les met en règle pour un contrat de défense, d’autres pensent qu’une auto-évaluation CPCSC niveau 1 suffit à répondre à un appel d’offres qui exige explicitement CAN/DGSI 104.
Les deux erreurs coûtent cher, dans des sens opposés. La première fait perdre un contrat de défense au moment de la vérification. La seconde fait investir temps et argent dans une démarche qui ne répondait pas à l’exigence réelle du client.
Comment Factero a obtenu ses attestations CyberSécuritaire Canada et PCCC niveau 1 ?
Nous cumulons les deux attestations depuis le 19 avril 2026, avec exactement la même fenêtre de validité. La certification CyberSécuritaire Canada niveau 1, valide jusqu’au 19 avril 2027, se vérifie publiquement sur IAF CertSearch, la base de données internationale de vérification des certifications accréditées. La conformité ITSP.10.171, par auto-déclaration PCCC niveau 1, est valide jusqu’à la même date. Les deux attestations sont affichées sur notre centre de confiance, et nous racontons la démarche CyberSécuritaire Canada en détail dans Factero est certifié CyberSecure Canada (CAN/DGSI 104).
Nous le mentionnons pour une raison précise : ça répond directement à la question que pose cet article. Peut-on cumuler les deux attestations sans que l’une remplace l’autre ? Oui. C’est exactement ce que nous avons fait, une démarche à la fois, sans raccourci de l’une vers l’autre, puisque ce raccourci n’existe pas.
Par où commencer si vous ne savez pas laquelle vous concerne ?
Trois gestes, dans l’ordre.
- Identifiez la source de la pression. Si elle vient d’un appel d’offres civil, d’un client du secteur privé ou d’une exigence générale liée à votre secteur, CAN/DGSI 104 est la bonne porte d’entrée. Si elle vient d’un contrat ou d’un sous-contrat lié à la Défense nationale, ITSP.10.171 est la norme à regarder en premier.
- Lisez le texte exact de la clause ou de l’exigence qui vous a mis ces sigles sous les yeux. « CAN/DGSI 104 », « CyberSécuritaire Canada », « ITSP.10.171 », « CPCSC » et « PCCC » ne désignent pas la même chose, et le libellé exact élimine la plupart des hésitations.
- Si le doute persiste, ou si les deux s’appliquent à la fois, ce qui arrive à des fournisseurs actifs autant au civil qu’à la défense, cartographiez les deux démarches en parallèle plutôt que d’attendre d’avoir terminé la première pour commencer la seconde. Rien ne les rend compatibles automatiquement, mais rien n’empêche non plus de les mener de front.
Nous accompagnons des PME dans les deux démarches, souvent en même temps, parce que la question CAN/DGSI 104 vs ITSP.10.171, posée dans le titre de cet article, nous l’entendons chaque semaine. Si vos contrats exigent l’une, l’autre ou les deux, vous pouvez discuter de votre situation avec Factero : trente minutes suffisent pour clarifier laquelle des deux normes vous concerne réellement.
Pour aller plus loin avec Factero :
Foire aux questions
ITSP.10.171 s’applique-t-elle à un sous-traitant qui ne vend pas directement au ministère de la Défense nationale ?
Oui, si un contrat de défense figure quelque part dans la chaîne d’approvisionnement. L’exigence descend souvent jusqu’à un sous-traitant de troisième ou quatrième rang, sans contact direct avec le ministère de la Défense nationale, dès qu’un fournisseur plus haut dans la chaîne la répercute vers ses propres fournisseurs. Ne pas vendre directement à la Défense ne met donc personne à l’abri de la question.
Le niveau 1 du CPCSC exige-t-il un audit par un tiers, ou une auto-évaluation suffit-elle ?
Une auto-déclaration suffit au niveau 1. Factero, par exemple, a obtenu sa conformité ITSP.10.171 par auto-déclaration PCCC niveau 1 le 19 avril 2026, sans audit externe à cette étape. Les autres niveaux du CPCSC ne sont pas couverts par cet article : notre guide complet du CPCSC en détaille les exigences.
Obtenir la certification CyberSécuritaire Canada (CAN/DGSI 104) suffit-il pour être conforme à la Loi 25 ?
Non. CAN/DGSI 104 est un programme fédéral, sans lien direct avec la Loi 25 québécoise ni avec la certification TGV du réseau de la santé. Les contrôles se recoupent par endroits (accès, sauvegardes, mises à jour), mais la certification ne dispense d’aucune obligation propre à la Loi 25, qui reste une démarche distincte à traiter séparément.
Comment vérifier qu’une entreprise détient réellement la certification CyberSécuritaire Canada qu’elle annonce ?
Par IAF CertSearch, la base de données internationale de vérification des certifications accréditées. La certification CyberSécuritaire Canada de Factero, par exemple, s’y vérifie publiquement, valide jusqu’au 19 avril 2027. ITSP.10.171 fonctionnant par auto-déclaration, elle ne dispose pas du même registre public : la vérification passe alors par une demande directe des attestations au fournisseur.
Sources citées
- Norme CAN/DGSI 104 (Digital Governance Standards Institute)
- Programme CyberSecure Canada / CyberSécuritaire Canada (ISED)
- Programme canadien de certification en cybersécurité (PCCC) — SPAC/TPSGC
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
- IAF CertSearch (vérification publique des certifications accréditées)
