En bref : La préparation PCCC niveau 2 doit commencer un an avant l’ouverture du programme, prévue au printemps 2027, pour éviter la file d’attente chez les rares évaluateurs accrédités. Les entreprises qui consolident leur niveau 1 dès maintenant échappent à cette attente, juste au moment où les appels d’offres commenceront à l’exiger.
Si vous dirigez une PME manufacturière ou de services et que votre donneur d’ordres a commencé à glisser le mot « niveau 2 » dans ses communications, ce texte est pour vous. Il ne décrit pas le niveau 2 en détail : nous avons déjà fait ce travail dans PCCC niveau 2 : 98 contrôles, certification aux trois ans, et le portrait complet du programme vit dans notre guide CPCSC / PCCC. Ici, un seul sujet : pourquoi commencer un an avant l’ouverture, plutôt que d’attendre. Un an, ce n’est pas un chiffre arbitraire. C’est le temps que prennent, en parallèle, l’accréditation des premiers organismes évaluateurs et la fermeture des écarts d’une entreprise qui part d’aujourd’hui.
Dans cet article
Préparation PCCC niveau 2 : pourquoi un an d’avance ?
Le goulot d’étranglement chez les rares évaluateurs accrédités, pas la complexité de la norme, justifie de commencer un an avant l’ouverture du niveau 2. Le PCCC est calqué sur le programme américain CMMC (Cybersecurity Maturity Model Certification, le dispositif du département de la Défense des États-Unis qui a inspiré le modèle canadien) et repose sur la même architecture : trois niveaux, une reconnaissance qui grimpe en exigence, et un lien direct avec la protection de l’information désignée décrite dans ITSP.10.171, le guide du Centre canadien pour la cybersécurité qui s’appuie lui-même sur la norme américaine NIST SP 800-171 rev. 3.
L’information désignée regroupe des renseignements gouvernementaux sensibles, sans atteindre le niveau du secret, mais dont la fuite reste sérieuse : plans techniques, données de fournisseurs, spécifications de projets fédéraux. C’est ce type d’information que le niveau 2 cherche à protéger chez les fournisseurs, pas seulement chez le gouvernement lui-même.
Le niveau 1 se règle en auto-déclaration, un formulaire que l’entreprise remplit elle-même sur l’outil gouvernemental gratuit d’auto-évaluation niveau 1. Le niveau 2, lui, exige une évaluation menée par un organisme accrédité par le Conseil canadien des normes (CCN). Et c’est précisément là que se trouve le problème pour qui attend.
Un programme de certification aussi structuré ne fait pas apparaître des dizaines d’évaluateurs accrédités du jour au lendemain. Le processus d’accréditation lui-même prend du temps, la formation des évaluateurs prend du temps, et la première cohorte d’organismes accrédités sera petite. Quand les appels d’offres qui exigent le niveau 2 sortiront au printemps 2027, l’enjeu ne sera pas la norme elle-même : ce sera la file d’attente chez les rares évaluateurs disponibles. Une entreprise qui commence sa préparation au moment où l’appel d’offres tombe sur son bureau part avec un an de retard qu’elle ne rattrapera pas dans les délais habituels d’une soumission.
Ce goulot d’étranglement n’a rien d’hypothétique : c’est le patron classique de tout nouveau régime d’accréditation. Les premiers organismes accrédités se comptent sur les doigts d’une main, la demande grimpe au même moment où l’exigence contractuelle tombe, et les entreprises non préparées perdent des mois précieux simplement à attendre un rendez-vous d’évaluation plutôt qu’à corriger leurs écarts.
Que faire dès aujourd’hui pour combler ses écarts ITSP.10.171 ?
Le niveau 1 est un prérequis du niveau 2 : sans une base solide, l’évaluation complète se heurte à des écarts qui auraient dû être fermés bien avant. Une préparation PCCC niveau 2 sérieuse repose sur quatre chantiers, et aucun n’attend qu’un seul organisme soit accrédité.
- Consolider le niveau 1. Une auto-déclaration remplie une fois et oubliée n’aide personne. Le niveau 1 se maintient, se documente, et se revalide.
- Mesurer l’écart réel vers le niveau 2. Pas une estimation impressionniste : un exercice honnête, contrôle par contrôle, entre ce que fait déjà l’entreprise et ce qu’exige une évaluation complète. Le résultat sert autant à prioriser le travail qu’à juger, en toute honnêteté, si l’échéance visée est réaliste.
- Rattraper la dette technique et documentaire. Politiques manquantes, inventaires incomplets, contrôles techniques partiels : selon l’ampleur de la dette accumulée, la mise à niveau se compte en mois, pas en semaines. Une politique rédigée à la hâte la semaine précédant une évaluation se voit tout de suite ; celle qui a vécu un an dans l’organisation se défend d’elle-même.
- Surveiller le signal dans ses propres appels d’offres. La mention d’ITSP.10.171 se glisse parfois dans une seule ligne d’un devis, comme nous le documentions dans La petite ligne ITSP.10.171 qui change vos appels d’offres. C’est souvent le premier indice, bien avant que le donneur d’ordres ne prononce le mot « niveau 2 ».
Aucun de ces quatre chantiers ne dépend de l’existence d’un évaluateur accrédité. C’est justement ce qui les rend urgents : le temps qu’ils demandent ne se compresse pas en attendant que le programme rattrape son propre calendrier.
À quoi ressemble l’auto-déclaration PCCC niveau 1 de Factero ?
Le vieux proverbe du cordonnier mal chaussé existe pour une raison : bien des cabinets de conseil recommandent une rigueur qu’ils n’appliquent pas à eux-mêmes. Factero a choisi l’inverse.
Le cabinet est conforme à ITSP.10.171 et auto-déclaré au niveau 1 du PCCC depuis le 19 avril 2026, une auto-déclaration valide jusqu’au 19 avril 2027 et vérifiable publiquement au Trust Center de Factero. Ce n’est pas un exercice théorique fait pour l’occasion : c’est le même chemin que celui décrit plus haut, parcouru avant de le recommander à qui que ce soit.
| Niveau 1 | Niveau 2 | |
|---|---|---|
| Mécanisme de reconnaissance | Auto-déclaration en ligne, gratuite | Évaluation par un organisme accrédité par le CCN |
| Disponible aujourd’hui | Oui | Non, aucun organisme n’est encore accrédité |
| Ouverture attendue | Déjà accessible | Printemps 2027 (attendue, non confirmée) |
| Statut de Factero | Auto-déclaré depuis le 19 avril 2026 | Visé, dès qu’un organisme sera accrédité pour l’évaluer |
Structurée sur les exercices budgétaires fédéraux, qui courent d’avril à mars, la préparation PCCC niveau 2 de Factero place le niveau 1 dans l’exercice 2026-2027 et vise le niveau 2 dans l’exercice suivant. L’auto-déclaration publiée au Trust Center n’est pas un exercice de communication : c’est la même preuve qu’un client ou un donneur d’ordres irait vérifier avant de signer un contrat. Une fois qu’un organisme sera accrédité, Factero visera sa propre certification niveau 2, comme évalué, pas comme évaluateur. Traverser soi-même le processus reste la meilleure façon d’en connaître les pièges avant de guider une autre entreprise à travers eux.
Qui certifiera, au fait ?
Personne, pour l’instant. À la date de publication de cet article, aucun organisme n’est encore accrédité par le Conseil canadien des normes pour évaluer le niveau 2 du PCCC. Le schéma d’accréditation officiel du CCN reste la source à consulter pour suivre l’évolution de la liste.
Le modèle prévu sépare clairement l’accompagnement de l’évaluation : qui vous aide à vous préparer n’est pas censé être qui vous évalue, un principe que nous détaillons dans notre article sur les 98 contrôles du niveau 2. Factero applique déjà ce principe pour le niveau 1 et compte le maintenir pour le niveau 2 : le cabinet accompagne la préparation, jamais l’évaluation, y compris via une compagnie sœur. Le jour où des organismes seront accrédités, Factero n’en fera pas partie. Ce choix tient à la cohérence du modèle, pas à une contrainte du programme.
Un dernier point mérite d’être dit sans détour, comme pour toute démarche de certification : personne ne peut garantir l’obtention du niveau 2, pas plus qu’aucune firme ne garantit une certification TGV ou ISO. C’est une obligation de moyens. Le rôle d’un accompagnateur se limite à structurer le dossier, combler les écarts documentés et préparer l’organisation à l’évaluation, jamais à décider à sa place de l’issue. Qui promet le résultat vous dit surtout quelque chose sur sa rigueur.
Le niveau 2 vous concerne-t-il déjà ?
Si votre entreprise fournit du matériel, des logiciels ou des services à un donneur d’ordres exposé à l’information désignée, la question n’est pas hypothétique. Le signal arrive rarement en grand : il prend le plus souvent l’une de ces formes.
- une clause ajoutée dans un devis, sans grande explication
- une exigence de sous-traitance transmise par le donneur d’ordres
- une ligne dans un contrat qui mentionne ITSP.10.171
Les PME manufacturières et les fournisseurs de services de la chaîne d’approvisionnement fédérale et de défense sont les premières concernées, exactement le profil de dirigeant qui nous écrit après avoir repéré cette ligne dans un appel d’offres. Le réflexe le plus commun consiste à répondre à l’appel d’offres d’abord et à s’inquiéter de la conformité ensuite. C’est exactement l’ordre à inverser : à ce rythme, le prochain appel d’offres du même donneur d’ordres arrivera avant que le premier écart ne soit fermé. Repousser la préparation PCCC niveau 2 après l’appel d’offres ne laisse plus le temps de la mener correctement.
Vous croyez que le niveau 2 vous attend en 2027 ? Mesurons vos écarts dès maintenant : Factero a fait le chemin lui-même et ne sera jamais votre auditeur, c’est votre garantie d’un conseil sans conflit d’intérêts. Un accompagnement CPCSC commence par ce même exercice de mesure d’écart, avant même de parler de calendrier.
Pour aller plus loin avec Factero :
Foire aux questions
Le niveau 2 du PCCC est-il déjà obligatoire ?
Non, il n’ouvre pas avant le printemps 2027 et aucun organisme n’est encore accrédité pour l’évaluer. L’obligation viendra par les contrats et les appels d’offres des donneurs d’ordres exposés à l’information désignée, au fil du temps, pas d’un seul coup. Certaines entreprises la verront apparaître avant d’autres, selon la sensibilité des contrats qu’elles visent.
Le niveau 1 suffit-il en attendant ?
Le niveau 1 est un prérequis, pas un substitut. Il démontre une base, mais l’évaluation complète du niveau 2 va plus loin. Consolider un niveau 1 solide reste le meilleur point de départ pour aborder le niveau 2 sans repartir de zéro.
Combien de temps faut-il pour se préparer au niveau 2 ?
Cela dépend entièrement de la dette technique et documentaire déjà accumulée. Selon l’écart mesuré, la mise à niveau se compte en mois. C’est un chantier à commencer avant qu’un appel d’offres n’impose son propre échéancier. Une entreprise déjà rigoureuse sur son niveau 1 part généralement avec une bonne partie du travail déjà fait.
Qui pourra évaluer le niveau 2 ?
Des organismes accrédités par le Conseil canadien des normes, une fois l’accréditation complétée. Aucun ne l’est à la date de publication de cet article. Le schéma d’accréditation du CCN reste la référence pour suivre cette liste au fil de sa publication.
Combien coûte une certification PCCC niveau 2 ?
Aucun tarif n’est publié, puisqu’aucun organisme n’est encore accrédité pour l’évaluer. Le niveau 1 reste gratuit, une auto-déclaration en ligne sur l’outil gouvernemental. Le niveau 2 exigera une évaluation payante par un organisme accrédité par le Conseil canadien des normes, dont les tarifs se fixeront une fois les premiers évaluateurs actifs, probablement au printemps 2027.
Sources citées
- Schéma d’accréditation — Programme de certification en cybersécurité du Canada (Conseil canadien des normes)
- NIST SP 800-171 rev. 3
- Outil gouvernemental d’auto-évaluation CPCSC-PCCC niveau 1
- Cybersecurity Maturity Model Certification (CMMC) — Department of Defense CIO
- Programme canadien de certification en cybersécurité (PCCC) — SPAC/TPSGC
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
