En bref : CAN/DGSI 104 vs ISO 27001 : la première est le socle canadien de contrôles de base pour les petites et moyennes organisations, la seconde la norme internationale de système de management de la sécurité de l’information. Les deux se certifient, mais elles ne visent pas la même organisation ni la même ambition.
Ce texte compare les deux référentiels sans en dénigrer aucun. Ni l’un ni l’autre n’est meilleur dans l’absolu : chacun a été construit pour un public différent, et la bonne réponse pour votre organisation dépend de qui vous êtes, pas d’un classement universel.
Si un client ou un appel d’offres vient de vous mettre le mot ISO 27001 sous les yeux et que vous vous demandez si vous devez viser cette norme ou commencer plus modestement, ce guide est écrit pour vous répondre en langage clair.
Dans cet article
Qu’est-ce que CAN/DGSI 104 ?
CAN/DGSI 104 est une norme nationale canadienne, élaborée par le Digital Governance Standards Institute (DGSI), organisme national de normalisation en gouvernance numérique. Son titre exact : contrôles de base de cybersécurité pour les petites et moyennes organisations (PME).
Cette norme est le socle technique du programme fédéral CyberSecure Canada. Le lien entre les deux est direct : le gouvernement fédéral a construit un programme de certification autour de ce texte précis. Obtenir la certification CyberSecure Canada, c’est démontrer sa conformité à CAN/DGSI 104, rien de plus.
Le programme comporte deux niveaux, du niveau 1, qui vérifie les contrôles de base par un organisme de certification accrédité tiers, à un niveau 2 plus approfondi. Ce n’est pas une norme qui vise l’exhaustivité. Elle vise un point de départ réaliste pour une organisation qui n’a pas d’équipe de sécurité dédiée à temps plein.
Qu’est-ce qu’ISO 27001 ?
ISO 27001 est une norme internationale publiée par l’Organisation internationale de normalisation (ISO), en collaboration avec la Commission électrotechnique internationale (IEC). Elle porte sur la mise en place d’un système de management de la sécurité de l’information (SMSI) : une démarche structurée et récurrente de gestion des risques liés à l’information, pas une simple liste de contrôles techniques.
La norme est reconnue dans la grande majorité des pays et s’applique à des organisations de toute taille, de la PME à la multinationale. La certification est délivrée par un organisme de certification accrédité tiers, indépendant, à l’issue d’un audit.
Décrire ici la portée exacte d’ISO 27001, sa structure et le détail de ses exigences dépasserait le cadre de cet article comparatif. Pour le texte qui fait autorité, consultez la norme officielle sur le site de l’Organisation internationale de normalisation.
CAN/DGSI 104 vs ISO 27001 : à qui s’adresse chaque norme ?
Les deux programmes ciblent un public différent, et c’est ce qui les distingue le plus, davantage que leur contenu technique respectif.
| CAN/DGSI 104 (CyberSecure Canada) | ISO 27001 | |
|---|---|---|
| Portée | Socle de contrôles de base | Système de management complet, récurrent |
| Public visé | Petites et moyennes organisations canadiennes | Organisations de toute taille, tout pays |
| Reconnaissance | Programme fédéral canadien | Norme internationale |
| Vérification | Organisme de certification accrédité tiers, inscrite dans IAF CertSearch | Organisme de certification accrédité tiers |
CAN/DGSI 104 s’adresse aux organisations canadiennes qui n’ont pas encore de fonction de sécurité formalisée et qui cherchent un cadre structurant, réaliste avec les ressources d’une PME. ISO 27001 s’adresse à des organisations prêtes à maintenir un système de management complet dans la durée, avec les ressources humaines et le budget que ça suppose, souvent parce que leurs clients ou leurs marchés l’exigent explicitement.
Une PME québécoise qui vend surtout au Québec ou ailleurs au Canada, à des clients qui demandent une certification reconnue en cybersécurité sans en préciser le nom, trouve généralement dans CAN/DGSI 104 une réponse suffisante et proportionnée. Une entreprise qui vend à l’international, ou dont les clients exigent nommément ISO 27001 dans leurs contrats, n’a pas vraiment le choix du référentiel.
L’une remplace-t-elle l’autre ?
Non : une certification CAN/DGSI 104 ne remplace pas une exigence contractuelle d’ISO 27001, et l’inverse n’est pas vrai non plus. C’est une confusion fréquente chez les dirigeants qui découvrent les deux noms en même temps. Nous ne prétendons ici à aucune équivalence ni passerelle entre les deux référentiels : ce texte compare leur positionnement et leur public, pas leurs contrôles ligne par ligne.
Si un contrat ou un appel d’offres nomme spécifiquement ISO 27001, présenter un certificat CyberSecure Canada ne répond pas à l’exigence, même si votre posture de sécurité réelle est solide.
L’inverse est vrai aussi, dans une moindre mesure. Une entreprise certifiée ISO 27001 n’a pas besoin d’ajouter CAN/DGSI 104 pour prouver sa posture de sécurité à un client canadien, sauf si ce client demande précisément cette certification par son nom. Les deux certificats répondent chacun à une demande précise, pas à une demande générique de sécurité prouvée.
CAN/DGSI 104 vs ISO 27001 : ce n’est pas une question de norme meilleure que l’autre, c’est une question de public visé et d’exigence contractuelle précise. Un acheteur qui a écrit « ISO 27001 » dans son appel d’offres ne changera pas d’avis parce que votre organisation détient un autre certificat, aussi sérieux soit-il. La bonne réponse à cette confusion n’est pas de choisir un camp, mais de vérifier ce que le contrat exige réellement avant de lancer une démarche de certification.
Par quelle certification commencer selon votre taille, vos clients et vos obligations contractuelles ?
Trois questions permettent de trancher dans la majorité des cas.
- Un contrat ou un appel d’offres nomme-t-il une norme précise ? Si un client exige ISO 27001 par écrit, la question ne se pose plus : vous visez ISO 27001, peu importe votre taille.
- Votre organisation a-t-elle déjà une fonction de sécurité formalisée, avec des politiques écrites, une gestion des risques documentée et une personne responsable identifiée ? Si la réponse est non, CAN/DGSI 104 est la marche à votre hauteur : elle structure ce qui manque sans exiger un système de management complet dès le départ.
- Votre marché est-il majoritairement canadien, ou visez-vous des clients internationaux ? CAN/DGSI 104 est un programme fédéral canadien. ISO 27001 est reconnue au-delà de nos frontières.
Une PME en croissance qui répond à des appels d’offres québécois ou canadiens, sans exigence contractuelle explicite d’ISO 27001, gagne généralement à commencer par CAN/DGSI 104. C’est une marche d’entrée réaliste, pas une case à cocher au rabais. Le socle de contrôles est exigeant pour une organisation qui n’a jamais formalisé sa sécurité, et il se vérifie par un organisme accrédité tiers comme toute certification sérieuse.
CAN/DGSI 104 vs ISO 27001 : ces trois critères tranchent la majorité des cas, pas la réputation de l’une ou l’autre norme. Une organisation qui coche les trois en faveur d’ISO 27001, soit une exigence contractuelle explicite, une fonction de sécurité déjà en place et un marché international, n’a pas vraiment de décision à prendre : la norme est déjà choisie par son contexte. C’est quand aucun de ces trois signaux n’est net que l’hésitation est légitime, et c’est précisément le cas où un avis extérieur aide le plus.
Comment vérifier qu’une certification CAN/DGSI 104 est réelle ?
La certification et le niveau détenus par une organisation certifiée CyberSecure Canada sont vérifiables publiquement dans IAF CertSearch, le registre international qui recense les certifications de systèmes de management délivrées par des organismes de certification accrédités. C’est la preuve qui fait foi, plus fiable qu’un badge affiché sur un site web.
Nous avons choisi ce socle pour notre propre cabinet. Factero détient la certification CyberSecure Canada niveau 1, valide du 19 avril 2026 au 19 avril 2027, inscrite dans IAF CertSearch comme toute certification du programme. Nous ne le mentionnons pas pour vendre un accompagnement, mais parce qu’écrire sur une norme qu’on a traversée soi-même, côté audité, change la nature de ce qu’on peut en dire.
Peut-on viser les deux normes, l’une après l’autre ?
Oui, et c’est un chemin que plusieurs organisations empruntent avec le temps. CAN/DGSI 104 structure une première fonction de sécurité formelle : politiques, gestion des risques de base, réponse aux incidents, sauvegardes. Une fois ce socle en place, une organisation qui grandit ou qui ouvre des marchés internationaux a déjà une partie du chemin organisationnel fait pour envisager un système de management complet comme celui exigé par ISO 27001.
Nous ne prétendons pas que la première certification en accélère la seconde de façon mesurable. Aucune correspondance formelle entre les deux référentiels n’existe à notre connaissance, et nous n’en inventerons pas une pour simplifier votre décision. Ce que nous observons, c’est qu’une organisation qui a déjà appris à documenter ses contrôles et à se faire auditer par un tiers aborde un projet ISO 27001 avec une culture de conformité en place, ce qui compte, même si ça ne se traduit par aucun crédit formel entre les deux démarches.
Par où commencer ?
CAN/DGSI 104 vs ISO 27001 : deux gestes concrets suffisent pour trancher, dans l’ordre.
Répondez d’abord aux trois questions de la section précédente avec vos équipes, sans les deviner : un contrat qui nomme une norme, une fonction de sécurité qui existe ou non, un marché canadien ou international. Ces trois réponses éliminent déjà la majorité des hésitations.
Consultez ensuite les sources officielles de la norme qui ressort de cet exercice. Pour CAN/DGSI 104, le Digital Governance Standards Institute publie le texte, et le programme CyberSecure Canada en explique les modalités. Notre guide complet sur la certification CAN/DGSI 104 détaille les deux niveaux, le déroulement de la démarche et la façon de vérifier un certificat existant. Si votre organisation évolue plutôt du côté de la défense ou de l’approvisionnement fédéral, notre comparatif CAN/DGSI 104 ou ITSP.10.171 : quelle norme pour votre PME ? répond à une question voisine.
Vous hésitez encore entre les deux chemins ? Un échange sans engagement avec un cabinet indépendant, qui n’a rien à vendre d’autre que son jugement, aide à choisir la marche à votre hauteur plutôt que celle qui impressionne le plus sur une page web. Notre vision, vos décisions : nous éclairons l’écart, vous décidez du référentiel. Vous pouvez échanger avec Factero sur votre accompagnement certification.
Pour aller plus loin avec Factero :
Foire aux questions
ISO 27001 est-elle obligatoire pour une PME au Québec ?
Non, pas dans l’absolu. Rien n’oblige une PME à détenir ISO 27001 tant qu’aucun client ni appel d’offres ne l’exige explicitement par écrit. Dès qu’un contrat nomme cette norme précisément, elle devient une condition à remplir, et aucun autre certificat, y compris CyberSecure Canada, ne la remplace à ce moment-là.
Combien coûte une certification ISO 27001 pour une PME ?
Ni l’ISO ni les organismes de certification ne publient de tarif fixe : le coût dépend de l’organisme accrédité choisi, de la taille de l’organisation et de l’étendue du système de management audité. Une PME doit demander une soumission directement à un organisme de certification plutôt que de se fier à un chiffre générique trouvé en ligne.
Quelle est la différence entre les niveaux 1 et 2 du programme CyberSecure Canada ?
Le niveau 1 vérifie un socle de contrôles de base par un organisme de certification accrédité tiers, un point de départ réaliste pour une PME sans équipe de sécurité dédiée. Le niveau 2 va plus loin dans la même norme CAN/DGSI 104. Factero détient le niveau 1, valide du 19 avril 2026 au 19 avril 2027, vérifiable dans IAF CertSearch.
Un badge « CyberSecure Canada » affiché sur un site web est-il une preuve suffisante ?
Non. Un badge affiché sur un site web ne prouve rien par lui-même. La preuve fiable est le registre IAF CertSearch, qui recense publiquement les certifications de systèmes de management délivrées par des organismes accrédités, dont celles du programme CyberSecure Canada, avec le nom de l’organisation, la norme visée et la période de validité du certificat.
