En bref : Qui est visé par le CPCSC ? Quiconque manipule des marchandises contrôlées ou de l’information désignée dans le cadre de contrats avec le ministère de la Défense nationale, un périmètre qu’une analyse Factero permet maintenant de chiffrer. Sur 362 845 contrats du MDN et 65 442 fournisseurs recensés en divulgation proactive, 3 478 entreprises sont inscrites au Programme des marchandises contrôlées, le meilleur indicateur public disponible.
Si votre entreprise vend à la Défense nationale, sous-traite pour un fournisseur qui le fait, ou s’interroge simplement sur sa place dans cette chaîne, la question du Programme canadien de certification en cybersécurité, généralement désigné par son sigle anglais CPCSC (on le voit aussi sous PCCC en français), est probablement déjà sur votre table sans réponse claire. Personne n’avait encore chiffré publiquement l’ampleur de ce qui s’en vient. Nous l’avons fait.
Le CPCSC s’ajoute à deux régimes fédéraux déjà en place. Le Programme de sécurité des contrats encadre les habilitations de sécurité du personnel et des installations. Le Programme des marchandises contrôlées (PMC) encadre la manipulation physique de biens et de technologies de défense contrôlés. Le CPCSC vise autre chose : la cybersécurité des systèmes qui traitent l’information désignée, telle que définie par le Centre canadien pour la cybersécurité dans sa publication ITSP.10.171.
Le modèle s’inspire directement du Cybersecurity Maturity Model Certification (CMMC) du département de la Défense des États-Unis, qui impose à ses fournisseurs le respect de la norme NIST SP 800-171 pour protéger l’information non classifiée contrôlée. Au Canada, le programme est porté par Services publics et Approvisionnement Canada, et c’est le Conseil canadien des normes qui accrédite les organismes autorisés à réaliser les vérifications de niveau 2.
Le contexte qui pousse ce dossier : la dépense de défense du Canada tourne autour de 2 % du produit intérieur brut, avec un engagement à atteindre 5 % d’ici 2035. Cet argent descend dans une chaîne d’approvisionnement dont, jusqu’ici, personne n’avait publié l’ampleur.
Dans cet article
D’où viennent ces données et comment les avons-nous traitées ?
La divulgation proactive est l’obligation, pour les ministères fédéraux, de publier périodiquement le détail des contrats qu’ils attribuent : fournisseur, valeur, période, description sommaire. C’est une source publique, gratuite, mise à jour par le gouvernement lui-même, pas une fuite ni une extrapolation. C’est sur cette base que repose l’essentiel de cette analyse.
Deux sources publiques et officielles, aucune donnée propriétaire.
La première est le jeu de données des contrats du gouvernement fédéral, publié en vertu des obligations de divulgation proactive sur ouvert.canada.ca. Nous en avons extrait 362 845 lignes rattachées au ministère de la Défense nationale. La seconde est le registre public du Programme des marchandises contrôlées, qui compte 3 478 entreprises inscrites.
Le traitement s’est fait en trois étapes.
- Extraction complète des contrats du MDN dans le jeu de données fédéral, sans filtrage arbitraire sur la taille ou la nature du contrat.
- Normalisation des noms de fournisseurs. Aucun des deux registres ne partage d’identifiant commun, pas de numéro d’entreprise unique entre les deux jeux de données : le rapprochement s’est fait par comparaison de noms normalisés, avec les imprécisions que cette méthode comporte forcément.
- Croisement des deux jeux de données et validation des totaux par un second calcul indépendant, pour détecter les erreurs d’agrégation avant publication.
La méthode est reproductible. Les deux registres sont publics, notre script d’extraction ne fait rien qu’un tiers ne pourrait refaire, et nous publions les chiffres qui en résultent sans les arrondir dans un sens qui nous avantage. Une analyse de données qui ne peut pas se refaire n’est pas une analyse, c’est une affirmation.
Combien de fournisseurs la vague CPCSC touche-t-elle ?
65 442 fournisseurs ont signé au moins un contrat avec le ministère de la Défense nationale depuis 2008, pour une valeur cumulée de 471,4 milliards de dollars. L’ampleur surprend, même pour qui suit le dossier de près. Le tableau qui suit résume les six indicateurs de cette analyse.
| Indicateur | Valeur |
|---|---|
| Contrats du MDN analysés | 362 845 |
| Fournisseurs uniques identifiés | 65 442 |
| Valeur cumulée des contrats | 471,4 G$ |
| Fournisseurs québécois identifiés | 3 144 |
| Valeur cumulée, fournisseurs québécois | 8,81 G$ |
| Entreprises inscrites au Programme des marchandises contrôlées | 3 478 |
Ce ne sont pas des fournisseurs actifs aujourd’hui : c’est un historique de dix-huit ans, une échelle bien plus large que le portrait d’une seule année.
Le Québec compte 3 144 fournisseurs identifiés dans cet ensemble, soit un peu moins de 5 % du total, pour 8,81 milliards de dollars, un peu moins de 2 % de la valeur cumulée. Ce chiffre est probablement sous-estimé, pour une raison méthodologique que nous détaillons plus bas.
65 442 entreprises ne devront pas toutes se certifier CPCSC. Un contrat au MDN ne suffit pas, à lui seul, à établir l’obligation. C’est là que le second registre devient utile.
Pourquoi l’inscription aux marchandises contrôlées est-elle le meilleur signal de qui est visé par le CPCSC ?
L’inscription au Programme des marchandises contrôlées est le meilleur indicateur public disponible d’un assujettissement probable au CPCSC, parce qu’elle prouve la manipulation de marchandises contrôlées là où un contrat du MDN ne prouve qu’une relation commerciale.
Un contrat du MDN prouve une relation commerciale. Il ne prouve pas que le fournisseur manipule de l’information désignée ou des marchandises contrôlées. Une entreprise peut très bien vendre du mobilier de bureau ou des services de traiteur à une base militaire sans jamais toucher à une donnée sensible.
L’inscription au PMC prouve autre chose. Elle est obligatoire pour toute entreprise qui examine, possède ou transfère des marchandises ou des technologies de défense contrôlées, qu’il s’agisse d’équipement militaire ou de technologies à double usage. Une entreprise inscrite a déjà démontré, devant le gouvernement, qu’elle manipule ce type de matériel.
Les deux régimes ne se recoupent pas parfaitement : le CPCSC vise la protection de l’information numérique désignée, le PMC vise la manipulation physique de marchandises contrôlées. Mais le profil d’entreprise qui justifie l’un est, la plupart du temps, celui qui justifie l’autre. Une entreprise déjà inscrite au PMC est, selon nos données, une candidate fortement probable à un assujettissement CPCSC.
Fortement probable n’est pas certain. Le périmètre exact du niveau 2 n’est pas encore arrêté, et l’inscription au PMC ne déclenche aucune obligation CPCSC automatique. Nous présentons ce signal pour ce qu’il est : le meilleur proxy public que nous avons trouvé, pas une liste de certitudes.
Aucune analyse publique équivalente ne semblait exister avant celle-ci, ni en français ni en anglais. C’est en partie pour cette raison que nous la publions avec sa méthode complète : d’autres pourront la vérifier, la critiquer ou l’améliorer.
Que faut-il garder en tête en lisant ces chiffres ?
Trois limites méritent d’être dites sans détour, parce qu’elles changent la lecture des chiffres.
- Le rapprochement entre les deux registres se fait par noms d’entreprises normalisés, pas par identifiant unique. Une entreprise inscrite sous une raison sociale légèrement différente dans les deux registres peut échapper au rapprochement, ou y apparaître en double.
- Les codes postaux, nécessaires pour identifier un fournisseur comme québécois, ne sont renseignés que pour 15 497 des 65 442 fournisseurs, un peu moins du quart. Le chiffre de 3 144 fournisseurs québécois est donc un plancher, pas un plafond : le nombre réel est vraisemblablement plus élevé.
- Les valeurs de contrats sont cumulées sur la période 2008-2026, dix-huit ans d’historique. Un fournisseur qui apparaît pour plusieurs millions de dollars de contrats cumulés n’a pas nécessairement ce chiffre en revenus annuels avec le MDN aujourd’hui. Lire ces chiffres comme un portrait annuel serait une erreur.
Une dernière limite touche le CPCSC lui-même, pas notre méthode. Le niveau 1, une auto-attestation, est accessible dès maintenant. Le niveau 2, qui exige une vérification par un organisme tiers accrédité, ne l’est pas : le Conseil canadien des normes confirmait en juillet 2026 qu’aucun organisme n’était encore accrédité pour réaliser ces vérifications. Une entreprise peut donc être une candidate fortement probable au niveau 2 sans qu’il existe, à ce jour, de chemin pour l’obtenir.
Que faire si votre entreprise apparaît dans ces chiffres ?
Si votre entreprise détient un contrat du MDN, est inscrite au Programme des marchandises contrôlées, ou les deux, la question n’est plus de savoir si le CPCSC va vous concerner, mais quand et à quel niveau. Nous détaillons les critères d’assujettissement, au-delà du seul signal PMC, dans Qui est visé par le CPCSC ? PME, sous-traitants et défense, et le portrait complet du programme, ses niveaux et ses obligations dans notre guide CPCSC / PCCC.
Votre entreprise est inscrite aux marchandises contrôlées ou détient des contrats du MDN ? Vous êtes probablement dans ces chiffres. Vérifions ensemble où vous vous situez : membre de CADSI et acteur de la communauté défense de Saint-Jean-sur-Richelieu, Factero connaît ce terrain. Nous appliquons d’ailleurs la même logique chez nous : notre propre auto-attestation PCCC niveau 1 est la preuve qu’on ne demande à personne un exercice qu’on n’a pas fait soi-même. Vous pouvez planifier un échange sur votre accompagnement CPCSC pour y voir clair sur votre situation réelle.
Pour aller plus loin avec Factero :
Foire aux questions
Qui doit se conformer au CPCSC ?
Toute entreprise qui soumissionne ou travaille sur des contrats de défense canadiens impliquant de l’information désignée ou des marchandises contrôlées est visée. Un contrat avec le ministère de la Défense nationale ne suffit pas à lui seul : c’est la nature de l’information manipulée qui détermine l’assujettissement. L’inscription au Programme des marchandises contrôlées reste le meilleur signal public pour évaluer cette probabilité, sans être une confirmation automatique.
Le CPCSC est-il déjà obligatoire aujourd’hui ?
Le niveau 1, une auto-attestation que l’entreprise remplit elle-même, est accessible dès maintenant. Le niveau 2, qui exige une vérification par un organisme tiers accrédité, ne l’est pas : le Conseil canadien des normes confirmait en juillet 2026 qu’aucun organisme n’était encore accrédité pour réaliser ces vérifications au Canada. Une entreprise peut donc devoir s’y conformer sans qu’il existe, à ce jour, de chemin pour le niveau 2.
Le CPCSC entraîne-t-il des frais pour les entreprises visées ?
Aucun barème de frais officiel n’est publié pour l’instant sur les pages gouvernementales du programme. Le niveau 1 repose sur une auto-attestation, un exercice interne qui n’exige pas de payer un tiers pour l’obtenir. Le niveau 2 exigera une vérification par un organisme accrédité, dont les tarifs ne sont pas encore connus puisqu’aucun organisme n’est accrédité au Canada à ce jour. Prévoir un budget reste donc prématuré.
Quel est l’équivalent canadien du CMMC américain ?
Le CPCSC. Le programme canadien s’inspire directement du Cybersecurity Maturity Model Certification (CMMC) du département de la Défense des États-Unis, qui impose à ses fournisseurs le respect de la norme NIST SP 800-171. Au Canada, l’équivalent fonctionnel de cette norme est l’ITSP.10.171 du Centre canadien pour la cybersécurité, et c’est le Conseil canadien des normes qui accrédite les organismes de vérification de niveau 2.
Les sous-traitants d’un contrat de défense doivent-ils s’inscrire au Programme des marchandises contrôlées ?
Ça dépend uniquement de la nature du travail, pas du rang dans la chaîne contractuelle. Un sous-traitant qui examine, possède ou transfère des marchandises ou technologies de défense contrôlées doit s’inscrire au même titre qu’un fournisseur direct. Ne pas être partie prenante du contrat principal avec le ministère de la Défense nationale ne dispense de rien si l’entreprise manipule ce type de matériel.
Sources citées
- Schéma d’accréditation CPCSC — Conseil canadien des normes
- NIST SP 800-171 rev. 3 — National Institute of Standards and Technology
- Cybersecurity Maturity Model Certification (CMMC) — département de la Défense des États-Unis
- Jeu de données des contrats du gouvernement fédéral (divulgation proactive) — ouvert.canada.ca
- Programme canadien de certification en cybersécurité (PCCC) — Services publics et Approvisionnement Canada
- Registre public du Programme des marchandises contrôlées — gouvernement du Canada
- ITSP.10.171 — Protection de l’information désignée — Centre canadien pour la cybersécurité
