En bref : Exigences TGV cybersécurité santé Québec : la Trousse globale de vérification (TGV) compte 382 critères, comparés un par un par Factero à 13 référentiels reconnus dans une cartographie de 1302 correspondances. Remise à Santé Québec le 28 juillet 2026, cette matrice deviendra un jeu de données ouvertes, vérifiable plutôt que simplement affirmée.
Si vous dirigez une entreprise en santé numérique et que vous détenez déjà une certification reconnue, une question revient sans cesse dans vos échanges internes : est-ce que ça compte pour la TGV ? Cet article répond avec des chiffres tirés de notre propre matrice, pas avec des impressions générales sur « les bonnes pratiques reconnues ».
Le contexte est presque toujours le même. Un appel d’offres du réseau de la santé cite la certification TGV, votre équipe cherche à savoir combien de travail reste à faire, et personne n’a envie de refaire une démonstration déjà faite ailleurs, dans un autre cadre, devant un autre auditeur. Cette cartographie existe pour répondre à cette question avec une méthode constante, peu importe le référentiel de départ.
Dans cet article
Qu’est-ce que la cartographie Correspondances TGV ?
La cartographie Correspondances TGV compare, critère par critère, les 382 critères de la grille TGV aux contrôles de 13 référentiels reconnus en cybersécurité, en protection des renseignements personnels et en continuité d’activité. La grille compte ces 382 critères depuis sa version publiée le 24 avril 2026, répartis en 7 familles, dans le cadre décrit par l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W).
Une correspondance n’est pas une équivalence. Un critère TGV et un contrôle ISO 27001 peuvent viser la même intention, chiffrer les données au repos, journaliser les accès, tester un plan de reprise, sans exiger exactement la même preuve ni le même format de démonstration devant le Bureau de certification. Notre méthodologie note le degré de recouvrement pour chaque paire de critères, pas seulement sa présence ou son absence.
Pour chacun des 382 critères, comparé individuellement aux 13 référentiels retenus, la méthode suit quatre étapes :
- Lire l’intention réelle du critère TGV.
- Identifier le contrôle du référentiel comparé qui vise la même intention.
- Documenter le niveau de recouvrement observé.
- Noter les limites quand la preuve exigée diffère du format attendu par le Bureau de certification.
Cette matrice a été remise à Santé Québec le 28 juillet 2026, sous la forme d’un crosswalk complet couvrant les 382 critères. Elle deviendra bientôt un jeu de données ouvertes, libre de réutilisation, pour les fournisseurs, les consultants et les chercheurs qui préfèrent vérifier nos chiffres plutôt que nous croire sur parole.
Exigences TGV cybersécurité santé Québec : quelles familles pèsent le plus lourd ?
Les 382 critères se répartissent de façon inégale entre les 7 familles de la grille.
| Famille | Nombre de critères |
|---|---|
| Sécurité | 112 |
| Protection des renseignements personnels | 108 |
| Intelligence artificielle | 69 |
| Interopérabilité | 58 |
| Technique | 26 |
| Performance | 7 |
| Gouvernance | 2 |
Sécurité et protection des renseignements personnels forment à elles seules 220 des 382 critères, plus de la moitié de la grille. Ce sont aussi les deux familles où le recouvrement avec les référentiels reconnus est le plus dense dans notre matrice. Un produit déjà certifié ISO 27001, ou aligné sur un cadre de continuité comme ISO 22301, y trouve une bonne partie de ses preuves déjà en main, pas la totalité.
Pour un dirigeant qui lit ce tableau sans bagage technique, l’information utile n’est pas le nombre absolu de critères par famille : c’est le type de recouvrement associé à chacune. Sécurité et protection des renseignements personnels pèsent presque le même poids dans la grille, mais elles ne recoupent pas les mêmes référentiels de la même façon dans notre matrice. La première recoupe davantage les cadres de sécurité technique, la seconde recoupe davantage les cadres de protection des renseignements personnels, quand le référentiel comparé en prévoit un.
La famille intelligence artificielle se comporte différemment. Nous l’avons documentée en détail dans Les 69 critères d’IA de la TGV : aucun des 13 référentiels comparés dans notre matrice ne la couvre entièrement. Ses exigences sur la transparence des décisions automatisées et l’encadrement des données d’entraînement sont propres au contexte québécois de la santé, pas importées d’un cadre générique.
La famille protection des renseignements personnels, avec ses 108 critères, mérite le même examen attentif : nous la détaillons dans Les 108 critères de protection des renseignements personnels de la TGV, notamment où elle recoupe la Loi 25 (la loi québécoise sur la protection des renseignements personnels dans le secteur privé) et où elle s’en distingue.
Si votre produit est déjà conforme à un référentiel reconnu, quelle part du chemin TGV est faite ?
Ça dépend du référentiel, et ça dépend de votre produit. C’est la réponse honnête, même si elle déçoit les dirigeants qui espèrent un pourcentage universel applicable à toute leur industrie.
Un produit déjà certifié sur un référentiel de sécurité de l’information couvre une partie significative des familles sécurité et technique de la grille : c’est là que le recouvrement est le plus fort dans notre matrice. Un produit aligné sur un cadre de continuité d’activité gagne du terrain sur les critères de disponibilité et de reprise après sinistre. Aucun des deux, à lui seul, ne couvre la famille intelligence artificielle ni les deux critères de gouvernance propres à la TGV : une interface en français obligatoire, et l’absence de publicité dans le produit.
Deux fournisseurs avec un produit techniquement comparable peuvent aborder la certification TGV très différemment selon le référentiel qu’ils détiennent déjà. Celui qui a investi dans ISO 27001 depuis plusieurs années aborde la famille sécurité avec une longueur d’avance documentaire. Celui qui n’a qu’un rapport de test d’intrusion ponctuel repart d’une base plus mince, même si son produit est, sur le plan technique, tout aussi solide.
Une correspondance documentée n’est donc pas un raccourci vers la certification. Elle indique où chercher vos preuves en premier, pas ce que vous pouvez ignorer. La démarche qui transforme ces correspondances en dossier de certification concret reste une analyse d’écarts complète, critère par critère, sur la version de grille applicable à votre dossier. Nous en détaillons la méthode dans Analyse d’écarts TGV : méthode, livrables et pièges.
Où sont les angles morts que les certifications génériques ne couvrent pas ?
Exigences TGV cybersécurité santé Québec : trois zones reviennent constamment quand nous croisons une certification internationale existante avec la grille.
- La langue : le critère de gouvernance G01 exige une interface en français pour les utilisateurs. Aucun référentiel de cybersécurité international n’a de raison de l’exiger, et pourtant il est éliminatoire s’il est découvert trop tard dans le calendrier d’un fournisseur anglophone qui comptait « traduire plus tard ».
- La Loi 25 : les référentiels internationaux couvrent la sécurité de l’information en général, pas les obligations spécifiques du régime québécois de protection des renseignements personnels, évaluation des facteurs relatifs à la vie privée, désignation d’un responsable, délais précis de déclaration d’incident. La famille protection des renseignements personnels de la grille TGV les reflète directement, et c’est en partie pour cette raison qu’elle pèse 108 critères, presque autant que la sécurité.
- L’intelligence artificielle en santé : un cadre générique de gouvernance de l’IA ne parle pas nécessairement de dossiers de patients, de décisions cliniques assistées ou d’outils d’aide à la documentation clinique. La famille IA de la grille TGV, elle, s’adresse précisément à ce contexte, ce qui explique pourquoi elle reste, dans notre matrice, la famille la moins recoupée par les référentiels génériques.
Aucun de ces trois angles morts ne devrait surprendre une équipe qui lit la grille au complet avant de commencer sa démarche. Ils surprennent presque toujours une équipe qui part d’une certification existante en supposant, sans le vérifier, qu’elle couvre le reste.
Comment ces données ouvertes sur les exigences TGV en cybersécurité deviendront-elles réutilisables ?
La cartographie complète, avec sa méthodologie, ses limites et la version exacte de la grille utilisée, deviendra un jeu de données ouvertes. L’objectif est simple : que n’importe qui, fournisseur, consultant concurrent ou chercheur, puisse recalculer nos 1302 correspondances et nous contredire avec des données, pas avec des impressions.
Un audit ou une cartographie dont le résultat ne peut pas être vérifié ne vaut pas mieux qu’une promesse verbale. Nous ne revendons aucun produit et ne touchons aucune commission liée aux référentiels comparés dans cette matrice, ISO 27001 et ISO 22301 compris.
Cette position n’est pas nouvelle chez nous. Nous ne sommes pas un fournisseur de technologies, nous n’agissons jamais à la place des équipes en place, et nous n’avons rien à vendre parmi les référentiels ou les outils qu’un fournisseur choisit ensuite d’adopter. Exigences TGV cybersécurité santé Québec : une cartographie vérifiable est la version la plus concrète de cette indépendance. Vous n’avez pas à nous croire sur parole, vous pouvez recalculer. C’est ce que « notre vision, vos décisions » veut dire quand on l’applique à des données plutôt qu’à une opinion.
En attendant cette publication, notre équipe applique déjà cette matrice dans ses mandats d’audit informatique indépendant, notamment lors de l’audit pré-certification qui prépare un dossier au jour officiel de la vérification externe. Si vous voulez savoir précisément ce qu’elle signifie pour votre produit, c’est une conversation, pas une fiche technique à cocher : vous pouvez planifier un audit TI indépendant ou nous écrire pour discuter d’un accompagnement à la certification TGV.
Pour aller plus loin avec Factero :
Foire aux questions
Combien de temps prend la certification TGV, une fois le dossier soumis ?
Comptez de 1 à 6 semaines de préparation selon la maturité de votre produit, puis 30 jours ouvrables de vérification externe : les délais publiés par Santé Québec pour la certification TGV. La page officielle ne précise pas de réduction pour un fournisseur déjà certifié ailleurs. Une correspondance documentée avec ISO 27001 ou un autre référentiel aide surtout à préparer votre dossier plus vite en amont, pas à raccourcir la vérification externe elle-même.
Qui paie les coûts de la certification TGV ?
Le fournisseur du produit ou service, en totalité. Santé Québec précise que ces coûts ne sont pas remboursables et varient selon la complexité du produit, sans grille tarifaire fixe publiée. Aucun montant n’est donc comparable d’un fournisseur à l’autre : votre budget dépend de ce que révèle votre propre analyse d’écarts, pas d’un tarif standard.
Une certification ISO 27001 signifie-t-elle une conformité TGV automatique ?
Non. ISO 27001 recoupe fortement les familles sécurité et technique de la grille TGV, selon notre matrice de 1302 correspondances, mais un recoupement d’intention n’est pas une équivalence de preuve. Votre dossier doit démontrer chaque critère selon le format exigé par le Bureau de certification, même pour les critères où ISO 27001 couvre déjà l’essentiel du travail.
Le Bureau de certification peut-il refuser une certification déjà obtenue comme preuve ?
Exigences TGV cybersécurité santé Québec : le Bureau ne la refuse pas d’emblée, mais il ne l’accepte pas non plus telle quelle. Chaque critère TGV est évalué sur les preuves déposées dans votre dossier, pas sur le nom de la certification détenue. Une certification reconnue sert de preuve partielle pour les critères où le recoupement est fort, sans dispenser votre dossier des critères qu’elle ne couvre pas, notamment en intelligence artificielle et en gouvernance.
Sources citées
- Page de certification des solutions numériques — Santé Québec / MSSS
- Orientation — Certification TGV (MSSS, publication 24-715-38W)
- ISO 22301:2019 — Sécurité et résilience, systèmes de management de la continuité d’activité
- ISO/IEC 27001:2022 — Sécurité de l’information, cybersécurité et protection de la vie privée
