En bref : En juillet 2026, aucun évaluateur PCCC accrédité niveau 2 n’existe encore au Canada. Le Conseil canadien des normes l’a confirmé par écrit à Factero : « il n’existe actuellement aucun C3PAO accrédité ni aucun évaluateur PCCC ». Le schéma d’accréditation existe depuis janvier 2026 ; les évaluateurs, eux, n’existent pas encore.
Si vous planifiez un budget 2027 autour d’une certification niveau 2, ou si un fournisseur vous a déjà affirmé être « accrédité PCCC niveau 2 », cet article change votre lecture du dossier. Plutôt que de reprendre ce qui circule sur les blogues et dans les présentations commerciales, nous avons posé la question directement à l’organisme qui accrédite les évaluateurs au Canada. La réponse est écrite, datée, et elle dit le contraire de ce que plusieurs prétendent vendre.
Le sujet n’a rien d’abstrait pour un dirigeant qui reçoit des soumissions de fournisseurs technologiques ou de firmes de conformité. Certaines de ces soumissions arrivent déjà avec des mentions d’accréditation niveau 2, présentées comme un avantage concurrentiel ou une garantie de rapidité. Avant de vous en servir pour trancher un appel d’offres ou pour justifier un échéancier serré, la question de fond mérite d’être posée : accrédité par qui, et depuis quand ?
Dans cet article
Qu’est-ce que le PCCC (CPCSC) et pourquoi le niveau 2 change-t-il la donne ?
Le Programme canadien de certification en cybersécurité, PCCC en français et CPCSC pour son acronyme anglais, est l’équivalent canadien du programme américain CMMC (Cybersecurity Maturity Model Certification) du département de la Défense des États-Unis. Il encadre la cybersécurité des fournisseurs qui traitent de l’information désignée pour le ministère de la Défense nationale et ses donneurs d’ordres.
Le niveau 1 s’auto-atteste : l’entreprise évalue elle-même sa conformité à ses contrôles et signe une déclaration, sans intervention externe. Le niveau 2 est différent. Il exige une certification aux trois ans par un évaluateur externe accrédité, avec confirmation annuelle entre les cycles, contre 98 contrôles regroupés en 226 exigences tirées de la norme ITSP.10.171, Protection de l’information désignée, publiée par le Centre canadien pour la cybersécurité. C’est ce niveau 2, celui qui a besoin d’un tiers pour juger votre dossier, qui est au cœur de cet article. Nous avons publié un guide complet du CPCSC et du PCCC si vous partez de zéro.
Le niveau 2 vise les entreprises qui traitent, transmettent ou stockent de l’information désignée pour le compte du gouvernement fédéral, directement ou comme sous-traitant d’un donneur d’ordres déjà visé. Une PME manufacturière qui usine une pièce pour un contrat de défense peut se retrouver soumise au même niveau d’exigence que le grand intégrateur qui la sous-traite : l’obligation descend la chaîne contractuelle, elle ne s’arrête pas au premier maillon. C’est cette réalité, plus que la complexité technique de la norme elle-même, qui explique pourquoi tant d’entreprises se posent aujourd’hui la question de leur échéancier.
Qu’avons-nous demandé au Conseil canadien des normes, et qu’a-t-il répondu ?
Le Conseil canadien des normes, ou CCN, est l’organisme fédéral qui accrédite les organismes de certification et d’inspection au pays, PCCC compris. C’est lui qui décide quelles firmes ont le droit de délivrer une certification niveau 2. Pas le ministère de la Défense nationale, pas Services publics et Approvisionnement Canada, qui administre le programme sans en accréditer les évaluateurs.
Nous lui avons écrit directement en juillet 2026 pour savoir où en était l’accréditation des évaluateurs niveau 2. La réponse, obtenue par écrit et reproduite ici telle que reçue :
« Le programme PCCC (Niveau 2) est encore en développement… il n’existe actuellement aucun C3PAO accrédité ni aucun évaluateur PCCC. »
C3PAO désigne un organisme d’évaluation tierce partie certifié, un terme emprunté au programme américain CMMC et repris pour son équivalent canadien. Le CCN précise aussi que les tarifs et les exigences finales du programme sont attendus « au cours de l’été » 2026, sans date plus précise à ce jour. Tant que ces deux étapes ne sont pas franchies, aucun évaluateur PCCC accrédité niveau 2 ne peut légalement porter ce titre.
Le schéma d’accréditation n’existait-il pas déjà ?
Si, et c’est là que la confusion s’installe. Le CCN a publié son schéma d’accréditation pour le CPCSC le 27 janvier 2026, sous son régime d’accréditation des organismes d’inspection, identifié IBAP, conforme à la norme ISO/IEC 17020. Ce schéma décrit les règles du jeu : ce qu’un organisme doit démontrer pour devenir C3PAO, comment un évaluateur individuel devient qualifié, quels contrôles encadrent leur travail.
Un cadre publié n’est pas un cadre appliqué. Ce qui manque au programme, ce ne sont pas les règles : elles sont publiées. Ce sont les organismes qui les ont traversées avec succès. La norme technique elle-même, ITSP.10.171, est publiée en français depuis avril 2025 et n’a jamais été le point bloquant. Le tableau suivant résume l’état du dossier tel que confirmé en juillet 2026.
| Élément du programme PCCC niveau 2 | État en juillet 2026 |
|---|---|
| Norme technique ITSP.10.171 | publiée en français (avril 2025) |
| Schéma d’accréditation du CCN | publié le 27 janvier 2026 |
| Organismes C3PAO accrédités | aucun |
| Évaluateurs PCCC accrédités | aucun |
| Tarifs et exigences finales du programme | attendus au cours de l’été 2026 |
| Échéance publique du niveau 2 | printemps 2027 |
Est-ce que ça repousse le niveau 2 ?
Rien, dans la réponse du CCN, n’annonce un report de l’échéancier public. Le niveau 2 demeure attendu pour le printemps 2027. Mais un goulot d’étranglement se dessine, et il vaut la peine de le nommer sans détour : les auditeurs ne seront pas nombreux.
Former, faire examiner et accréditer un organisme d’évaluation prend du temps, même une fois le schéma publié. Pendant ce temps, le nombre de fournisseurs qui devront obtenir une certification niveau 2 ne diminue pas. Quand les premiers C3PAO seront accrédités, la file d’attente ne partira pas de zéro : elle partira de tous les fournisseurs qui auront attendu l’ouverture des guichets pour commencer à se préparer.
Un autre effet mérite d’être anticipé. Un programme qui démarre avec un nombre restreint d’organismes accrédités, face à un bassin de fournisseurs déjà nombreux, crée mécaniquement une pression sur les tarifs et les délais de rendez-vous. Rien, à ce stade, ne permet de chiffrer cet effet pour le Canada. Mais l’expérience du programme américain CMMC, où les premiers C3PAO accrédités ont vu leur carnet de rendez-vous se remplir rapidement, donne une indication raisonnable de ce à quoi s’attendre du côté canadien.
Comment reconnaître un faux évaluateur PCCC accrédité niveau 2 ?
Trois questions simples suffisent à démasquer une affirmation qui ne tient pas la route, en date de juillet 2026.
- « Accrédité par qui ? » Le seul organisme habilité à accréditer un C3PAO ou un évaluateur PCCC au Canada est le Conseil canadien des normes. Une certification obtenue ailleurs, ou une accréditation autoproclamée, n’a pas de valeur pour le niveau 2.
- « Depuis quand ? » Une accréditation véritable porte une date de délivrance vérifiable auprès du CCN. Une réponse vague ou une date antérieure au schéma du 27 janvier 2026 devrait immédiatement soulever un doute.
- « Pouvez-vous fournir une confirmation écrite du CCN ? » C’est exactement la démarche que nous avons suivie pour cet article. Un organisme réellement accrédité peut, et devrait, être en mesure d’en fournir la preuve sans hésitation.
Que faire de votre échéancier ?
Trois gestes, dans l’ordre, pour une entreprise qui vise le niveau 2.
- Vérifiez toute prétention d’accréditation avant de signer quoi que ce soit. En juillet 2026, personne ne peut légitimement se présenter comme évaluateur PCCC accrédité niveau 2. Un fournisseur, un consultant ou un partenaire qui prétend le contraire vous dit quelque chose sur sa rigueur, et ce n’est pas rassurant.
- Préparez votre dossier maintenant, sans attendre un évaluateur. Les 98 contrôles et les 226 exigences de la norme ITSP.10.171 ne changeront pas selon qui vous certifie. Cartographier votre écart, corriger ce qui peut l’être et documenter vos preuves sont des travaux que vous pouvez commencer aujourd’hui, indépendamment de l’accréditation des évaluateurs.
- Planifiez votre budget 2027 sur l’hypothèse d’une file d’attente, pas sur l’hypothèse contraire. Nous détaillons cette logique dans PCCC niveau 2 : pourquoi se préparer avant tout le monde : ce n’est pas parce qu’il n’y a pas encore d’évaluateur qu’il faut attendre, c’est précisément parce que la file sera longue qu’il faut être prêt avant l’ouverture des guichets.
Quelle est la position de Factero dans ce dossier ?
Autant le dire clairement. Factero n’a pas l’intention de devenir un évaluateur PCCC accrédité niveau 2 et ne le sera pas : accompagner des fournisseurs dans leur préparation et juger leur conformité sont deux rôles qui ne devraient jamais appartenir à la même firme. Notre cabinet est lui-même auto-attesté niveau 1 et vise sa propre certification niveau 2 dès qu’un organisme sera accrédité pour la délivrer, au même titre que nos clients.
Ce que nous offrons, c’est la préparation :
- Cartographie de votre écart face aux 226 exigences de la norme ITSP.10.171.
- Priorisation des correctifs à apporter.
- Documentation des preuves de conformité.
La décision de certifier restera toujours entre les mains d’un tiers accrédité, quand ce tiers existera. Si votre échéancier niveau 2 repose sur des suppositions plutôt que sur des faits vérifiés, un accompagnement CPCSC structuré peut clarifier où vous en êtes réellement, sans vous vendre une accréditation qui n’existe pas encore.
D’autres questions reviennent souvent d’un dossier à l’autre : nous en avons rassemblé douze dans notre FAQ PCCC (CPCSC).
Pour aller plus loin avec Factero :
Foire aux questions
Puis-je me faire certifier niveau 2 dès maintenant ?
Non. En date de juillet 2026, aucun organisme n’est accrédité par le Conseil canadien des normes pour délivrer cette certification, une réalité confirmée par écrit par le CCN lui-même. Toute offre de certification ou d’accréditation niveau 2 immédiate devrait être vérifiée avant d’être acceptée : exigez une preuve écrite et datée.
Combien coûte la certification PCCC niveau 2 ?
Le prix n’est pas encore fixé. Le Conseil canadien des normes indique que les tarifs et les exigences finales du programme sont attendus « au cours de l’été » 2026, sans montant publié à ce jour. Sans organisme accrédité, personne ne peut encore soumettre un prix ferme pour une évaluation niveau 2.
Le niveau 1 est-il touché par ce retard d’accréditation ?
Non. Le niveau 1 repose sur une auto-attestation que l’entreprise complète elle-même, sans évaluateur externe. Les fournisseurs qui n’ont besoin que du niveau 1 peuvent avancer sans attendre l’accréditation des C3PAO, une exigence propre au niveau 2.
Que faire si un fournisseur affirme déjà être accrédité PCCC niveau 2 ?
Demandez une preuve écrite et datée, délivrée par le Conseil canadien des normes. En l’absence de tout organisme accrédité confirmé par le CCN en date de juillet 2026, une telle affirmation ne peut pas être exacte : elle mérite d’être clarifiée avant toute décision d’achat ou d’attribution de contrat.
Un sous-traitant qui ne travaille pas directement pour la Défense nationale est-il quand même visé par le niveau 2 ?
Oui, si l’information qu’il traite est désignée au sens de l’ITSP.10.171. L’obligation descend la chaîne contractuelle : un sous-traitant d’un fournisseur déjà soumis au niveau 2 peut devoir l’obtenir aussi, même sans lien contractuel direct avec le ministère. Vérifier son propre statut avant de signer un sous-contrat évite une découverte coûteuse plus tard.
Sources citées
- Schéma d’accréditation CPCSC — Conseil canadien des normes
- NIST SP 800-171 rév. 3
- Programme CMMC (Cybersecurity Maturity Model Certification) — Département de la Défense des États-Unis
- Programme canadien de certification en cybersécurité (PCCC) — Services publics et Approvisionnement Canada
- ITSP.10.171-01 (document compagnon) — Centre canadien pour la cybersécurité
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
