En bref : Cette FAQ PCCC certification cybersécurité répond aux questions que posent les fournisseurs de la Défense nationale au Canada. Le PCCC (Programme canadien de certification en cybersécurité), ou CPCSC en anglais, encadre la posture de cybersécurité exigée de ces fournisseurs et de leurs sous-traitants, en trois niveaux, de l’auto-évaluation la plus simple à l’évaluation la plus exigeante.
Notre guide complet du PCCC explique le programme dans son ensemble : les trois niveaux, qui est visé, le calendrier de déploiement. Cette page répond plutôt aux questions précises que les fournisseurs nous posent une fois qu’ils connaissent déjà l’existence du programme et cherchent une réponse rapide, sourcée, sans détour. Douze questions, douze réponses courtes.
Le programme est récent, il change encore, et plusieurs textes qui circulent à son sujet mélangent des chiffres exacts avec des approximations reprises sans vérification. Trois types de détails se corrompent particulièrement vite d’un article à l’autre :
- Le délai de signalement d’un incident de cybersécurité.
- Le décompte des familles d’exigences de l’ITSP.10.171.
- La fréquence des évaluations de niveau 2.
Chaque réponse ci-dessous cite sa source, et quand une affirmation courante n’a pas de source officielle, nous le disons plutôt que de la répéter.
Dans cet article
Pour aller plus loin avec Factero :
FAQ PCCC certification cybersécurité : les trois niveaux en un coup d’œil
Pour situer les niveaux avant d’entrer dans le détail de chaque question :
| Niveau | Contrôles | Exigences | Qui évalue | Échéance |
|---|---|---|---|---|
| Niveau 1 | 13 | 37 | Auto-évaluation (outil gouvernemental gratuit) | En vigueur depuis le 1er avril 2026 |
| Niveau 2 | 98 | 226 | Évaluateur tiers accrédité par le Conseil canadien des normes | Attendu au printemps 2027 |
| Niveau 3 | 200 contrôles évalués | Détail non publié | Ministère de la Défense nationale | Calendrier non annoncé |
Dois-je avoir complété l’auto-évaluation pour soumissionner à un contrat de défense ?
Non, l’auto-évaluation de niveau 1 est exigée à l’attribution du contrat, pas au dépôt de la soumission. Vous pouvez donc soumissionner sans l’avoir complétée, mais si vous remportez le contrat, elle devra être faite avant la signature.
L’outil gouvernemental gratuit est ouvert depuis le 1er avril 2026 : mieux vaut la compléter tôt que de la découvrir dans l’urgence entre l’annonce du gagnant et la signature du contrat. L’ordre des étapes reste le même d’un appel d’offres à l’autre :
- Dépôt de la soumission, sans auto-évaluation requise à cette étape.
- Attribution du contrat au fournisseur retenu.
- Auto-évaluation de niveau 1 complétée avant la signature du contrat.
Un fournisseur qui attend l’annonce du résultat pour commencer risque de retarder sa propre signature, pas celle du ministère : le calendrier ne s’ajuste pas pour vous. Le mode d’emploi complet, étape par étape, est dans Auto-évaluation PCCC niveau 1 : le mode d’emploi pas à pas.
Un sous-traitant de sous-traitant est-il visé par le PCCC ?
Oui. Le programme vise l’ensemble de la chaîne d’approvisionnement de la défense, pas seulement les fournisseurs qui signent directement avec le ministère de la Défense nationale.
Si vous fournissez un service ou un produit à un sous-traitant qui lui-même travaille pour un maître d’œuvre de la défense, la question se pose pour vous aussi, et elle se pose tôt : découvrir l’exigence après avoir signé un sous-contrat coûte plus cher que de la vérifier avant. Les critères précis d’application sont détaillés dans Qui est visé par le CPCSC ?
Combien de temps l’auto-évaluation PCCC de niveau 1 est-elle valide ?
L’auto-évaluation de niveau 1 est valide un an : elle se refait chaque année pour rester à jour.
Un fournisseur qui l’a complétée en 2026 devra la refaire en 2027, et ainsi de suite tant qu’il fait affaire avec la Défense nationale. C’est une charge récurrente légère, mais une charge quand même, à intégrer dans votre calendrier annuel plutôt qu’à redécouvrir chaque printemps.
Le renouvellement n’est pas qu’une formalité administrative. Si votre environnement technologique a changé, nouveau fournisseur infonuagique, nouvel outil de gestion des accès, l’auto-évaluation renouvelée doit refléter la réalité actuelle, pas celle de l’an dernier.
« Triennial » veut-il dire trois fois par année ?
Non, c’est l’inverse. Pour le niveau 2, « triennial » signifie une fois aux trois ans, avec une confirmation annuelle entre les évaluations complètes.
C’est un terme qui prête à confusion en français, où le préfixe évoque parfois une fréquence plutôt qu’un intervalle. Le niveau 2 est attendu au printemps 2027 : 98 contrôles, 226 exigences, évalués par un tiers accrédité. Les détails complets sont dans PCCC niveau 2 : 98 contrôles, certification aux trois ans.
Y a-t-il un délai fixe pour signaler un incident de cybersécurité ?
Aucun délai précis n’est fixé dans la norme elle-même. Le chiffre de 24 à 72 heures qui circule dans certains textes n’a pas de source officielle identifiable à ce jour, et cette FAQ PCCC certification cybersécurité ne le reprend pas tant qu’une source ne l’appuie pas.
Même le chiffrement FIPS n’est que « recommandé » dans l’exigence correspondante, 03.13.11, un paramètre que chaque organisation définit elle-même. Avant de vous fier à un délai précis trouvé dans un article ou un gabarit de politique, vérifiez ce que dit votre contrat, pas ce qui circule en ligne.
Faut-il héberger ses données au Canada pour être conforme au PCCC ?
Non, il n’y a pas d’exigence de résidence des données dans le programme. C’est une confusion fréquente avec d’autres régimes qui, eux, l’imposent explicitement.
Cela dit, votre contrat avec le maître d’œuvre de la défense ou votre fournisseur infonuagique peut contenir sa propre clause de résidence, indépendante du PCCC. Vérifiez votre contrat, ne présumez pas de la réponse à partir du programme seul. Nous revenons sur cette confusion et sur d’autres dans Mythes du CPCSC : ce que la norme exige vraiment (et pas).
Une certification CMMC américaine compte-t-elle pour le PCCC ?
Non, ce sont deux programmes distincts, chacun administré par son propre gouvernement. Le CMMC américain et le PCCC canadien s’appuient tous deux sur une base issue de NIST SP 800-171, mais leurs niveaux, leurs délais et leurs organismes d’évaluation ne sont pas interchangeables.
Une certification CMMC ne dispense pas d’un dossier PCCC, et l’inverse est vrai aussi. Un fournisseur qui vend à la fois au gouvernement canadien et à des maîtres d’œuvre américains peut se retrouver à préparer deux dossiers en parallèle, avec des preuves qui se recoupent en partie sans être identiques. Le comparatif complet des deux programmes, contrôle par contrôle, est dans CPCSC vs CMMC : comprendre les deux programmes de cybersécurité.
Le PCCC remplace-t-il le Programme de sécurité des contrats ou le Programme des marchandises contrôlées ?
Non, il s’ajoute à ces deux programmes existants, il ne les remplace pas. Un fournisseur peut donc se retrouver visé simultanément par le Programme de sécurité des contrats, le Programme des marchandises contrôlées et le PCCC, chacun avec ses propres exigences et ses propres échéances.
Vérifier lequel de ces programmes s’applique à votre contrat, et lesquels se cumulent, fait partie du travail à faire avant de soumissionner, pas après avoir signé. Trois régimes qui se chevauchent partiellement, ce n’est pas trois fois le même travail, mais ce n’est pas rien non plus : chacun a son propre processus, son propre organisme et ses propres délais.
Combien de familles d’exigences compte l’ITSP.10.171 ?
Dix-sept. L’ITSP.10.171 est la version canadienne de NIST SP 800-171 révision 3, publiée en français par le Centre canadien pour la cybersécurité depuis le 2 avril 2025.
Des décomptes différents circulent parfois dans des textes non officiels sur le sujet, une confusion que cette FAQ PCCC certification cybersécurité corrige avec la source exacte. En cas de doute, la référence reste le document publié par le Centre canadien pour la cybersécurité, pas un résumé trouvé ailleurs, même bien intentionné.
Quand le niveau 2 du PCCC entre-t-il en vigueur ?
Il est attendu au printemps 2027. Le niveau 2 exige 98 contrôles et 226 exigences, évalués par un tiers accrédité, contre une simple auto-évaluation pour le niveau 1.
Si votre contrat actuel ou à venir touche de l’information plus sensible, commencer à vous préparer avant l’entrée en vigueur officielle vous évite de tout faire dans l’urgence une fois le calendrier confirmé. L’écart entre votre posture actuelle et 226 exigences ne se comble pas en quelques semaines.
L’outil d’auto-évaluation de niveau 1 est-il payant ?
Non, il est gratuit. Le gouvernement du Canada met à disposition un outil d’auto-évaluation niveau 1 du PCCC sans frais.
Ce qui coûte du temps, et parfois de l’accompagnement, ce n’est pas l’outil : c’est la préparation en amont. Documenter vos contrôles, corriger vos écarts, rassembler vos preuves avant de répondre au questionnaire, voilà où se joue la vraie charge de travail.
Qui peut me certifier au PCCC aujourd’hui ?
Pour le niveau 1, personne ne vous « certifie » au sens strict : vous vous auto-évaluez avec l’outil gouvernemental, sans intervenant externe.
Pour le niveau 2, seul un organisme accrédité selon le schéma d’accréditation du CPCSC du Conseil canadien des normes pourra procéder à l’évaluation, une fois ce niveau en vigueur. Les détails que nous avons à ce jour sur le processus sont réunis dans PCCC niveau 2 : 98 contrôles, certification aux trois ans.
Cette FAQ PCCC certification cybersécurité s’allonge avec chaque nouvelle question qui nous arrive. Une question qui ne figure pas dans cette liste ? Écrivez-nous : cette page est mise à jour au fil du programme, à mesure que le niveau 2 se précise et que de nouvelles questions reviennent. Si la réponse à l’une de ces douze questions engage un contrat que vous êtes en train de préparer, notre accompagnement CPCSC sert exactement à ça : cartographier votre écart avant que le calendrier de l’appel d’offres ne décide pour vous.
Foire aux questions
Le PCCC s’applique-t-il aux contrats provinciaux, ou seulement aux contrats fédéraux ?
Seulement aux contrats fédéraux. Le programme vise les fournisseurs qui soumissionnent ou exécutent des contrats de la Défense nationale du gouvernement du Canada, pas les marchés publics provinciaux ou municipaux. Un fournisseur québécois actif à la fois au fédéral et au provincial n’a d’obligation PCCC que pour son volet fédéral en défense. Les critères précis de qui est visé dans cette chaîne sont détaillés dans Qui est visé par le CPCSC ?
PCCC et CPCSC désignent-ils le même programme ?
Oui, ce sont deux noms pour un seul programme. PCCC (Programme canadien de certification en cybersécurité) est la désignation française, CPCSC (Canadian Program for Cyber Security Certification) son équivalent anglais officiel : mêmes trois niveaux, même exigence, mêmes échéances. Vous croiserez les deux sigles selon la source consultée, gouvernementale ou industrielle. Cette FAQ PCCC certification cybersécurité utilise les deux tout au long du texte, comme notre guide complet du PCCC, pour éviter la confusion.
Combien coûte une évaluation externe de niveau 2 ou 3 du PCCC ?
Aucun tarif national n’est publié. Le niveau 1 se fait sans frais avec l’outil gouvernemental ; les niveaux 2 (98 contrôles) et 3 (200 contrôles) exigent un organisme tiers accrédité selon le schéma d’accréditation du Conseil canadien des normes, à des honoraires qui varient selon la portée du mandat. Le niveau 2 n’étant attendu qu’au printemps 2027, aucun barème de marché n’est encore établi. Détails connus à ce jour dans PCCC niveau 2 : 98 contrôles, certification aux trois ans.
Combien de temps faut-il conserver les preuves de conformité de l’auto-évaluation PCCC ?
Au moins un an, soit la durée du cycle de certification. Le site du programme demande de conserver la liste des comptes utilisateurs, l’inventaire des appareils, les notes d’audit des accès et une copie des politiques de sécurité en vigueur au moment de l’auto-évaluation. Ces preuves ne sont pas transmises d’office, elles servent en cas de vérification. Le détail de ce qu’il faut rassembler est dans Auto-évaluation PCCC niveau 1 : le mode d’emploi pas à pas.
Sources citées
- Schéma d’accréditation CPCSC, Conseil canadien des normes
- NIST SP 800-171 Rev. 3, NIST Computer Security Resource Center
- Outil d’auto-évaluation niveau 1 du PCCC, gouvernement du Canada
- Programme CMMC (Cybersecurity Maturity Model Certification), Department of Defense CIO
- Programme canadien de certification en cybersécurité (PCCC), Services publics et Approvisionnement Canada
- ITSP.10.171, Protection de l’information désignée (Centre canadien pour la cybersécurité)
