En bref : Voici comment faire l’auto-évaluation PCCC niveau 1 : cinq étapes gratuites, dans l’outil officiel de Services publics et Approvisionnement Canada (SPAC), ouvert depuis le 1er avril 2026. Elle n’est pas requise pour soumissionner à un contrat de défense, mais elle devient obligatoire au moment de l’attribution. Ce guide détaille comment la compléter, quelles preuves conserver et les pièges à éviter.
Si vous dirigez une PME qui vend à la Défense nationale ou à un maître d’œuvre de la chaîne d’approvisionnement militaire, quelqu’un vous a probablement transmis cette exigence par courriel, avec peu d’explications. Ce guide s’adresse à vous, pas à votre équipe TI, si vous en avez une.
Un avertissement avant de commencer. Ceci n’est pas un avis juridique. C’est un mode d’emploi pratique, écrit par un cabinet qui accompagne ce type de dossier. Si votre situation sort de l’ordinaire, faites confirmer par un conseiller juridique avant de soumettre quoi que ce soit.
Le fédéral resserre ses exigences de cybersécurité pour l’ensemble de sa chaîne d’approvisionnement de défense, pas seulement pour les grands intégrateurs. Une PME sous-traitante n’est pas moins visée qu’un donneur d’ordres. Elle est parfois même le maillon le moins protégé, et c’est précisément ce que le niveau 1 cherche à corriger.
Dans cet article
PCCC, CPCSC, ITSP.10.171, CMMC : de quoi parle-t-on au juste ?
PCCC et CPCSC désignent un seul et même programme, sous deux sigles différents selon la langue du document : Programme canadien de certification en cybersécurité en français, CPCSC en anglais. Les deux sont administrés par Services publics et Approvisionnement Canada (SPAC), et vous croiserez l’un ou l’autre sans que ça change rien à vos obligations.
Deux autres sigles gravitent autour de ce dossier. ITSP.10.171 est la norme technique canadienne sur laquelle repose le programme, intitulée Protection de l’information désignée. Au niveau 1, elle se décline en 13 contrôles et 37 exigences ; nous les détaillons un par un dans un article séparé : PCCC niveau 1 : comprendre les 13 contrôles avant d’attester. Ce guide-ci ne les reprend pas, il montre comment remplir l’auto-évaluation elle-même.
CMMC est le programme équivalent du département de la Défense des États-Unis, bâti sur la norme NIST SP 800-171. Les deux programmes ne sont pas interchangeables, une certification CMMC ne vous dispense pas du PCCC, mais ils s’inspirent d’un modèle apparenté et un exercice de mise en conformité sérieux sert souvent les deux.
Le tableau ci-dessous résume ces sigles avant d’entrer dans le vif du sujet : comment faire l’auto-évaluation PCCC niveau 1, étape par étape.
| Sigle | Ce que c’est |
|---|---|
| PCCC | Programme canadien de certification en cybersécurité, le nom en français |
| CPCSC | Le même programme, sous son sigle anglais |
| SPAC | Services publics et Approvisionnement Canada, l’organisme qui administre le programme |
| ITSP.10.171 | La norme technique canadienne (Protection de l’information désignée) derrière le niveau 1 |
| CMMC | Le programme équivalent du département de la Défense des États-Unis |
Pour une vue d’ensemble du programme au complet, avant de plonger dans l’auto-évaluation, notre guide pilier : CPCSC / PCCC : guide complet de la certification cyberdéfense.
Comment faire l’auto-évaluation PCCC niveau 1 : par où commencer ?
Cinq étapes, dans l’ordre.
- Déterminez si vous êtes visé. Si un contrat, un appel d’offres ou votre donneur d’ordres exige le niveau 1, vous êtes visé : la clause ITSP.10.171 apparaît de plus en plus dans les appels d’offres de la chaîne d’approvisionnement de la défense. Sinon, rien ne presse aujourd’hui, mais le niveau 1 sera exigé dans certains contrats dès l’été 2026. Vérifiez plutôt que de présumer que ça ne vous concernera jamais.
- Faites-vous expliquer la norme. ITSP.10.171 niveau 1 n’est pas écrite pour un non-technicien. Faites-vous traduire les 13 contrôles en langage clair, en interne ou non, avant de commencer à cocher quoi que ce soit dans l’outil.
- Mesurez vos écarts. Pour chacune des 37 exigences, une question simple : est-ce en place aujourd’hui, oui ou non ? Pas de zone grise à cette étape, la nuance viendra plus tard dans votre plan d’action, pas dans votre constat.
- Complétez l’outil officiel. L’auto-évaluation se fait dans l’outil gouvernemental gratuit d’auto-évaluation niveau 1, administré par SPAC. Gratuit : personne n’a besoin d’acheter un logiciel ou une licence pour un niveau 1. Si un fournisseur vous en vend un, posez-lui la question directement.
- Documentez et conservez vos preuves. Chaque réponse cochée doit pouvoir se justifier avec quelque chose de tangible. Un dossier de preuves qui n’existe que dans la tête d’une personne ne survit pas à son absence, ni à un audit.
Puis recommencez. L’auto-évaluation de niveau 1 n’est pas un exercice une fois pour toutes, elle se refait au minimum chaque année.
Faut-il avoir terminé l’auto-évaluation pour soumissionner ?
Non, l’auto-évaluation n’est pas exigée pour déposer une soumission. Elle devient obligatoire au moment de l’attribution du contrat.
Cette nuance se perd facilement. Certains fournisseurs, en voyant l’exigence dans un appel d’offres, présument qu’ils doivent tout compléter avant même de soumissionner, et perdent un temps précieux à courir après quelque chose qui n’est pas encore requis. D’autres font l’erreur inverse, plus coûteuse : ils remettent l’auto-évaluation à plus tard, une fois le contrat en poche, et découvrent qu’ils n’ont pas le temps de la terminer avant l’attribution formelle.
Le résultat pratique est le même dans les deux cas : un contrat qui peut vous échapper, pas faute de compétence, mais faute de préparation dans le bon ordre. Vous ne réglez pas les freins du camion une fois rendu sur l’autoroute. Commencez l’auto-évaluation pendant que le contrat est encore une possibilité, pas une fois qu’il est confirmé.
Combien de temps faut-il prévoir ?
De quelques jours à quelques mois, selon votre point de départ.
Une entreprise qui a déjà des pratiques de base solides, comptes utilisateurs contrôlés, mises à jour appliquées, sauvegardes testées, peut compléter l’auto-évaluation en quelques jours : le travail consiste surtout à documenter ce qui existe déjà. Une entreprise qui part de plus loin doit compter des mois, le temps de mettre en place certains contrôles avant de pouvoir répondre honnêtement aux 37 exigences.
Le niveau 1 sera exigé dans certains contrats dès l’été 2026. Si vous lisez ce guide en vous demandant si vous avez le temps, la meilleure réponse est de commencer votre mesure d’écart maintenant, pas d’attendre la confirmation d’une date limite précise pour votre secteur.
Deux facteurs allongent presque toujours le délai réel. Le premier, c’est la disponibilité des personnes qui connaissent vraiment vos systèmes : dans une PME de quinze à cent employés sans département TI, cette personne porte souvent trois autres chapeaux, et l’auto-évaluation devient la tâche qu’on repousse d’une semaine à l’autre. Le second, c’est l’écart entre ce que vous pensez avoir en place et ce que vous avez réellement : beaucoup d’entreprises découvrent, en documentant, qu’un contrôle qu’elles croyaient réglé ne l’était qu’à moitié.
Savoir comment faire l’auto-évaluation PCCC niveau 1 avant de s’y mettre ne change pas le résultat, mais ça change presque toujours le nombre de fois où il faut recommencer.
Que risque-t-on à cocher « oui » à tout ?
Une fausse déclaration à l’auto-évaluation n’est pas une formalité administrative sans suite. C’est une fraude potentielle : les peines prévues peuvent viser les dirigeants personnellement, pas seulement l’entreprise, et une organisation prise en défaut peut se retrouver sur une liste de fournisseurs avec qui le gouvernement refuse de faire affaire. C’est la pire décision d’affaires possible dans ce dossier, et elle mérite d’être nommée sans détour.
Le programme américain équivalent, le CMMC, a déjà produit ce genre de dossier. Une entreprise de la chaîne d’approvisionnement militaire y a versé un règlement bien supérieur à la valeur du contrat visé, sans qu’aucune fuite de données ne soit en cause : la seule fausse déclaration de conformité a suffi à déclencher la poursuite. Le Canada n’a pas encore, à notre connaissance, de dossier public équivalent, mais le mécanisme juridique qui rend ce genre de poursuite possible existe aussi ici.
Cocher « oui » à une exigence que vous ne rencontrez pas ne fait pas disparaître l’écart, elle le cache jusqu’au moment où il coûte le plus cher à découvrir. C’est permis de ne pas être parfait à l’auto-évaluation. Prétendre l’être quand ce n’est pas le cas ne l’est pas.
Encore une fois : ceci n’est pas un avis juridique. Si vous avez un doute sur ce que vous pouvez cocher honnêtement, faites confirmer par un conseiller avant de soumettre, pas après.
Quelles preuves d’auto-évaluation niveau 1 conserver, et combien de temps ?
Au moins un an. Les résultats de votre auto-évaluation et leur date d’expiration sont consignés à votre profil fournisseur auprès de SPAC, mais le dossier de preuves qui appuie chaque réponse reste de votre responsabilité.
Concrètement, gardez tout ce qui démontre, à la date de l’auto-évaluation, que la réponse cochée correspondait à la réalité :
- Politiques écrites décrivant les pratiques de sécurité en place
- Captures de configuration des systèmes visés
- Registres d’accès aux comptes et aux données
- Preuves de mise à jour logicielle et de correctifs
L’objectif n’est pas de produire un dossier impressionnant, c’est de pouvoir répondre en cinq minutes si quelqu’un vous demande de justifier une réponse précise, un an plus tard.
Classez ce dossier de preuves à part, pas éparpillé dans les courriels ou sur le poste d’une seule personne. Le jour où on vous demande de justifier une réponse, ce n’est généralement pas un jour où vous avez du temps devant vous.
Ce n’est pas un exercice à faire seul dans le doute, surtout la première fois. Besoin d’un regard indépendant avant d’attester ? Factero accompagne les fournisseurs de la chaîne d’approvisionnement de la défense dans cette démarche, et ne vend aucun outil de niveau 1, parce qu’il est gratuit. Parlons de vos écarts avant que votre client appelle.
Pour aller plus loin avec Factero :
Foire aux questions
Le PCCC et le CPCSC sont-ils deux programmes différents ?
Non. Ce sont deux abréviations pour un seul et même programme : PCCC en français, CPCSC en anglais. Les deux désignent le Programme canadien de certification en cybersécurité, administré par Services publics et Approvisionnement Canada (SPAC), et aucune des deux formes n’entraîne d’obligations différentes pour votre entreprise.
Qui doit faire l’auto-évaluation de niveau 1 ?
Les fournisseurs de la chaîne d’approvisionnement de la Défense nationale visés par un contrat ou un appel d’offres qui l’exige. Si votre donneur d’ordres ne l’a pas mentionné, la question vaut la peine d’être posée directement : ce n’est pas une exigence universelle, elle s’applique contrat par contrat, selon ce que le donneur d’ordres exige.
L’auto-évaluation coûte-t-elle quelque chose ?
Non. L’outil gouvernemental gratuit d’auto-évaluation niveau 1, administré par Services publics et Approvisionnement Canada, ne demande aucun achat de licence ni de logiciel. Le niveau 1 se complète intégralement sans frais ; si un fournisseur vous en propose un payant, posez-lui directement la question.
Faut-il obligatoirement utiliser l’outil en ligne du gouvernement pour faire l’auto-évaluation ?
Non. Un fournisseur peut attester qu’il répond aux 13 contrôles sans passer par l’outil du gouvernement, mais Services publics et Approvisionnement Canada en recommande l’usage : il balise la démarche et réduit le risque d’oublier une exigence. S’en passer ne change rien à l’obligation elle-même, seulement à la difficulté de s’y retrouver seul.
Quelle est la différence entre le niveau 1 et les niveaux supérieurs du PCCC ?
Le niveau 1 se complète par auto-évaluation, sans intervention externe obligatoire. Les niveaux supérieurs exigent une évaluation réalisée par un tiers accrédité par le Centre canadien pour la cybersécurité, ce que Factero ne pratique pas : nous accompagnons la préparation du dossier, pas l’évaluation elle-même.
Sources citées
- NIST SP 800-171 rév. 3 (National Institute of Standards and Technology)
- Outil gouvernemental gratuit d’auto-évaluation niveau 1 (Centre canadien pour la cybersécurité)
- Programme CMMC, département de la Défense des États-Unis
- Programme canadien de certification en cybersécurité (PCCC), Services publics et Approvisionnement Canada
- ITSP.10.171-01, document compagnon (Centre canadien pour la cybersécurité)
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
