En bref : CAN/DGSI 104 Rev 2 désigne le projet de révision, en consultation publique jusqu’au 20 mai 2026, de la norme qui sert de base au programme CyberSécuritaire Canada. La version en vigueur, Rev 1:2024, sert de base à la certification niveau 1 obtenue par Factero le 19 avril 2026. Aucune version finale de la Rev 2:2026 n’est publiée à ce jour.
Nous écrivons cet article un peu plus d’un mois après avoir obtenu notre propre certification CyberSécuritaire Canada niveau 1, le 19 avril 2026, au terme d’une démarche entamée le 7 avril, soit douze jours plus tôt. La nouvelle de cette consultation nous concerne directement. Autant la traiter avec la même rigueur que celle qu’on demande à nos clients : ce qui est confirmé d’un côté, ce qui reste un projet de l’autre.
Dans cet article
Qu’est-ce que la norme CAN/DGSI 104 ?
CAN/DGSI 104 est le numéro d’une norme nationale du Canada. Elle définit les contrôles de cybersécurité qu’une PME doit démontrer pour obtenir la certification du programme CyberSécuritaire Canada (CyberSecure Canada, en anglais).
La norme est développée et maintenue par le Digital Governance Standards Institute (DGSI). Son statut de norme nationale du Canada découle de l’accréditation du Conseil canadien des normes (CCN), l’organisme fédéral qui encadre l’accréditation des organismes développeurs de normes au pays, y compris les périodes de consultation publique qui accompagnent une révision.
Factero détient la certification niveau 1 sur cette norme depuis le 19 avril 2026, dans sa version Rev 1:2024, celle en vigueur au moment de notre démarche. C’est cette version, et non un projet en consultation, qui sert de base à tout certificat CAN/DGSI 104 délivré aujourd’hui.
Pour une PME, la certification répond souvent à une exigence externe plutôt qu’à une initiative spontanée. Un client, un assureur ou un donneur d’ordre demande une preuve de posture de cybersécurité, et CAN/DGSI 104 offre un référentiel canadien reconnu plutôt qu’une attestation maison. Ce n’est pas la seule voie : une entreprise peut aussi documenter sa posture par un audit indépendant ou par d’autres cadres reconnus, selon ce que son secteur exige. Mais quand l’exigence nomme précisément CAN/DGSI 104, ou le programme CyberSécuritaire Canada, il n’y a pas d’équivalence à négocier.
Pourquoi une norme de cybersécurité est-elle révisée ?
Une norme qui ne change jamais devient obsolète. Les menaces évoluent, les technologies aussi. Un référentiel qui décrivait des pratiques suffisantes en 2021 peut laisser des angles morts en 2026.
La révision périodique fait partie du fonctionnement normal d’une norme nationale accréditée par le CCN. Concrètement, réviser une norme veut dire produire un projet, le soumettre à une consultation publique, recueillir les commentaires des parties prenantes, puis publier une version révisée qui tient compte, ou non, de ces commentaires.
Rien de tout cela ne se fait en secret. C’est un processus documenté, avec des dates fixes et des interlocuteurs identifiables. Ce mécanisme protège autant l’organisme accréditeur que l’entreprise certifiée : une norme révisée sans consultation ouvrirait la porte à des changements imposés du jour au lendemain, sans que les PME déjà engagées dans une démarche puissent s’ajuster. La consultation publique donne au contraire un droit de regard, même si elle n’oblige personne à l’exercer. C’est précisément l’étape que CAN/DGSI 104 vient de traverser.
Qu’est-ce qui s’est passé pendant la consultation du printemps 2026 ?
Le DGSI et le Conseil canadien des normes ont tenu la consultation publique sur le projet CAN/DGSI 104 Rev 2, officiellement désigné Rev 2:2026, du 28 avril au 20 mai 2026. Ces quelques semaines étaient la fenêtre pendant laquelle toute partie intéressée, entreprise certifiée, auditeur, expert ou simple observateur, pouvait soumettre des commentaires sur le texte proposé.
Nous n’avons pas participé à cette consultation à titre d’expert de la norme. Notre légitimité, un mois après notre propre certification, est celle d’une PME certifiée qui suit le dossier, pas celle d’un organisme accréditeur. C’est d’ailleurs la posture la plus honnête qu’on puisse adopter ici.
À la date de publication de cet article, le 21 mai 2026, soit le lendemain de la clôture de la consultation, aucune version finale de la Rev 2:2026 n’a été publiée. Le projet reste un projet.
Rev 1:2024 et projet Rev 2:2026 : que sait-on, que ne sait-on pas ?
Un tableau vaut mieux qu’un résumé approximatif sur un sujet où la moitié des cases sont encore vides. Voici où en est le projet CAN/DGSI 104 Rev 2 par rapport à la norme actuellement en vigueur.
| Aspect | Rev 1:2024 (en vigueur) | Projet Rev 2:2026 (en consultation) |
|---|---|---|
| Statut | Norme en vigueur, base de toute certification actuelle | Projet soumis à consultation publique, non adopté |
| Période de consultation | Terminée, antérieure à Rev 1:2024 | 28 avril au 20 mai 2026 |
| Texte intégral publié | Oui | Non, à la date de publication de cet article |
| Base du certificat Factero | Oui, certification niveau 1 du 19 avril 2026 | Aucune, un projet en consultation n’est pas une base de certification |
| Règles de transition pour les certifiés existants | Sans objet | Non annoncées à ce jour |
Un mot sur ce que ce tableau ne dit pas, volontairement. Nous ne résumons pas ici le contenu du projet Rev 2:2026 article par article, parce que résumer un projet non finalisé revient à commenter un texte qui peut encore changer d’ici sa publication définitive. Un dirigeant qui planifie sa démarche sur la base d’un résumé de brouillon prend un risque qu’il n’a pas à prendre.
CAN/DGSI 104 Rev 2 : mon certificat actuel devient-il caduc ?
Non, pas dans l’état actuel des choses. Un projet en consultation n’a aucune valeur normative tant qu’il n’est pas adopté et publié comme version officielle. Rev 1:2024 demeure la norme en vigueur, et c’est elle qui continue de servir de base à toute certification, nouvelle ou existante.
Quand une norme accréditée passe d’une révision à l’autre, une période de transition accompagne généralement le changement, le temps que les organismes déjà certifiés ajustent leur dossier à la nouvelle version. Rien n’indique, à la date de publication de cet article, quelle forme prendrait une telle transition pour CAN/DGSI 104, ni même si la Rev 2:2026 sera adoptée telle qu’elle a été soumise à consultation.
Ce que nous pouvons dire avec certitude : notre propre certification, obtenue le 19 avril 2026, reste valide selon les termes de la Rev 1:2024. Nous suivrons la publication d’une éventuelle version finale comme n’importe quel autre certifié, ni plus ni moins vite.
Nous avons une intuition sur la façon dont ce genre de transition se déroule habituellement, tirée d’une autre certification que nous suivons de près. Quand le ministère de la Santé et des Services sociaux du Québec publie une nouvelle version de sa propre grille de vérification, la version en vigueur au moment du dépôt d’un dossier continue généralement de s’appliquer à ce dossier, la nouvelle version visant les dépôts qui suivent. Rien ne garantit que CAN/DGSI 104 suivra la même logique de transition. C’est néanmoins le genre de règle qu’une entreprise a intérêt à confirmer dès qu’une version finale de la Rev 2:2026 sera publiée, plutôt que de la présumer.
Que faire, comme PME, pendant que la norme est révisée ?
Quatre gestes raisonnables face à CAN/DGSI 104 Rev 2, que vous soyez déjà certifié ou encore en démarche.
- Ne mettez pas votre dossier en pause. Rev 1:2024 est la norme en vigueur, et elle le restera tant qu’aucune version finale n’est officiellement adoptée. Attendre une hypothétique Rev 2 pour commencer, c’est repousser une échéance réelle au profit d’une échéance qui n’existe pas encore.
- Suivez les publications officielles du DGSI et du Conseil canadien des normes plutôt que des résumés de tiers. Un projet de révision circule vite dans les réseaux professionnels, souvent déformé au passage.
- Si vous êtes déjà certifié, gardez votre dossier de preuves à jour. Une transition, quand elle survient, part toujours d’un dossier existant bien tenu, jamais d’un dossier reconstruit à la dernière minute.
- Demandez à quiconque vous accompagne dans votre démarche, consultant, auditeur ou partenaire, comment il suit lui-même l’évolution de la norme. La réponse en dit long sur son sérieux, et sur ce qu’il vous fera vivre le jour où la norme changera pour de vrai.
Si votre PME évalue sa posture face à CAN/DGSI 104, qu’elle soit déjà certifiée ou encore en réflexion, nous pouvons situer votre démarche en un appel exploratoire. Notre rôle reste celui du guide : nous cartographions l’écart, vous décidez de la suite. Si votre entreprise vend aussi au réseau de la santé québécois, la même logique de démarche s’applique à notre accompagnement à la certification TGV, une norme différente, un principe identique.
Pour aller plus loin avec Factero :
Foire aux questions
La certification CyberSécuritaire Canada est-elle obligatoire ?
Non. L’adhésion au programme est volontaire, selon la fiche d’information du gouvernement du Canada. Aucune loi n’oblige une entreprise à l’obtenir. Elle répond le plus souvent à une demande externe, un client, un assureur ou un donneur d’ordre qui exige une preuve de posture de cybersécurité, ou à une décision interne de renforcer sa sécurité.
Combien de temps une certification CyberSécuritaire Canada est-elle valide ?
Deux ans. Le gouvernement du Canada délivre une marque de certification valide deux ans, après quoi l’organisation doit repasser par une réévaluation pour la maintenir. C’est la durée qui couvre la certification niveau 1 de Factero, obtenue le 19 avril 2026 sous la Rev 1:2024. Un projet en consultation comme la Rev 2:2026 n’y change rien tant qu’il n’est pas adopté.
Quel est le rôle du Conseil canadien des normes dans tout ça ?
Le Conseil canadien des normes (CCN) est l’organisme fédéral qui accrédite les organismes développeurs de normes au Canada, dont le Digital Governance Standards Institute, éditeur de CAN/DGSI 104. Cette accréditation donne à la norme son statut de norme nationale et encadre le processus de consultation publique suivi lors d’une révision. Le CCN n’évalue pas lui-même les entreprises : ce rôle revient aux organismes de certification du programme CyberSécuritaire Canada.
Comment vérifier qu’une certification CyberSécuritaire Canada est authentique ?
En consultant l’organisme de certification qui l’a délivrée : la plupart publient la liste de leurs clients certifiés. Le Conseil canadien des normes, qui accrédite ces organismes, reste la référence pour confirmer qu’un organisme donné est bien accrédité pour ce programme. IAF CertSearch, base de données mondiale des certifications accréditées, peut aussi être consultée, sans garantie qu’elle couvre un programme national comme CyberSécuritaire Canada.
