BSI C5 vs TGV : 113 correspondances sur 382 critères

En bref : BSI C5 vs TGV : le catalogue allemand de critères de conformité infonuagique obtient 113 correspondances avec la grille québécoise, devant le RGPD (110) et HITRUST (101). Mais correspondance n’égale pas équivalence : sur l’ensemble des correspondances recensées entre la TGV et 13 référentiels internationaux, une minorité seulement sont des équivalences strictes, utilisables telles quelles.

Vous dirigez une entreprise infonuagique européenne, votre produit détient une attestation BSI C5, et un appel d’offres du réseau de la santé québécois vient de vous mettre la TGV sous les yeux pour la première fois. Ce comparatif BSI C5 vs TGV est écrit pour vous situer, pas pour vous vendre un raccourci qui n’existe pas.

Dans cet article

Qu’est-ce que l’attestation BSI C5 ?

C5 (Cloud Computing Compliance Criteria Catalogue) est le référentiel de sécurité infonuagique publié par le Bundesamt für Sicherheit in der Informationstechnik, l’agence fédérale allemande de sécurité de l’information. Une entreprise qui héberge ses services dans l’Union européenne, ou qui vend à une clientèle européenne exigeante, croise généralement C5 tôt dans son parcours de conformité.

Le référentiel évalue l’infrastructure et l’exploitation d’un service infonuagique :

Gestion des accès
Chiffrement
Continuité des opérations
Gestion des incidents
Sécurité physique des centres de données
Encadrement des sous-traitants

Une attestation C5, produite par un auditeur indépendant selon la norme ISAE 3000, démontre à un client européen que ces contrôles sont en place et vérifiés.

C’est une preuve sérieuse. Ce n’est pas une preuve québécoise.

C5 attestation Québec : pourquoi regarder la TGV ?

Parce que C5 ne remplace rien au Québec. La Trousse globale de vérification (TGV) est le processus de certification propre à Santé Québec : tout produit ou service technologique destiné à un établissement du réseau de la santé et des services sociaux du Québec doit démontrer sa conformité à la grille TGV, peu importe les certifications déjà détenues ailleurs. Notre guide sur la TGV face à 13 référentiels explique pourquoi une certification étrangère ne se traduit jamais automatiquement en certification québécoise.

Deux précisions structurelles qui surprennent souvent les éditeurs européens habitués aux audits d’entreprise. La TGV certifie un produit, dans une version donnée, pas une organisation : votre attestation C5 couvre peut-être plusieurs lignes de produits, mais chaque produit destiné au réseau québécois suit sa propre démarche TGV. Et la vérification externe TGV comprend des tests d’intrusion obligatoires, réalisés par une firme spécialisée dans ce processus précis. Un test de pénétration européen déjà en main renforce votre dossier de sécurité, il ne remplace pas cette étape.

Nous avons cartographié les correspondances entre la grille TGV (382 critères, répartis en 7 familles) et 13 référentiels de sécurité et de protection des renseignements personnels reconnus à l’international. Cette matrice a été remise à Santé Québec le 28 juillet 2026. BSI C5 en fait partie, au même titre que le RGPD, HITRUST, SOC 2 et ISO 27001. Elle sera publiée en données ouvertes dans les semaines suivantes ; les chiffres cités ici en proviennent déjà.

BSI C5 vs TGV : combien de correspondances existe-t-il ?

113. C’est le nombre de critères de la grille TGV pour lesquels un critère C5 apporte une preuve pertinente, en tout ou en partie. Ce chiffre place C5 devant plusieurs référentiels analysés dans la même série de comparaisons, mais loin derrière d’autres :

Référentiel	Correspondances avec la TGV
SOC 2	220
ISO 27001	135 (dont 36 équivalences strictes)
BSI C5	113
RGPD	110
HITRUST CSF	101

113 correspondances sur 382 critères, c’est un peu moins de trois critères sur dix. Le reste, l’éditeur doit le démontrer par d’autres moyens : documentation propre à la TGV, preuves construites spécifiquement pour le Québec, ou pièces qui n’existent tout simplement pas encore dans son dossier de conformité européen.

L’écart avec SOC 2 (220) et ISO 27001 (135) n’est pas une faiblesse de C5. C’est un rappel que la couverture d’un référentiel dépend de son objet. C5 a été conçu pour évaluer un fournisseur infonuagique, pas pour couvrir la vie privée, la gouvernance de l’intelligence artificielle ou l’interopérabilité clinique que la TGV exige aussi.

Une correspondance, est-ce une équivalence ?

Non, et c’est la distinction qui coûte le plus cher aux éditeurs pressés. Une correspondance signale qu’un critère C5 touche au même sujet qu’un critère TGV : le chiffrement au repos, par exemple, apparaît des deux côtés. Une équivalence stricte va plus loin : elle signifie que la preuve C5, telle quelle, satisfait le critère TGV sans adaptation.

Sur l’ensemble des correspondances recensées entre la TGV et les 13 référentiels de notre matrice, seules 72 correspondances sur 1302 sont des équivalences strictes. Autrement dit, une correspondance sur dix-huit, toutes provenances confondues, se dépose sans retouche. Toutes les autres exigent un travail d’adaptation : reformuler une politique, ajouter une preuve, documenter un écart, ou parfois reconnaître qu’il n’y a rien à récupérer.

Pour un éditeur attesté C5, l’implication pratique est simple. Ne présumez d’aucune de vos 113 correspondances qu’elle est prête à déposer. Chacune doit être vérifiée individuellement avant d’entrer dans votre dossier TGV.

Quelles familles de la grille TGV le C5 ne couvre-t-il pas ?

Aucun des 13 référentiels de notre matrice, C5 y compris, ne couvre les 7 familles de la grille TGV. La grille se répartit ainsi : sécurité (112 critères), protection des renseignements personnels (108), intelligence artificielle (69), interopérabilité (58), technique (26), performance (7) et gouvernance (2).

C5 est fort sur la famille sécurité, son objet premier. Il touche une partie de la famille technique, notamment tout ce qui concerne l’exploitation infonuagique. Il est structurellement plus faible sur trois familles :

Protection des renseignements personnels : C5 aborde la sécurité des données, pas les droits des personnes concernées, les finalités de traitement ou les mécanismes de consentement propres au droit québécois. Notre comparatif RGPD, ISO 27701 et TGV couvre ce terrain avec un référentiel mieux positionné pour ça.
Intelligence artificielle : la famille IA, avec ses 69 critères, est apparue dans la grille TGV en avril 2026. Aucun référentiel de sécurité infonuagique publié avant cette date, C5 inclus, n’a été construit pour y répondre.
Gouvernance : deux critères seulement, une interface utilisateur en français et l’absence de publicité dans le produit. Ce sont des exigences réglementaires propres au Québec. Aucun catalogue de sécurité étranger, quelle que soit sa rigueur, ne les couvre par accident.

Qu’est-ce qui change pour un éditeur cloud européen visant la santé numérique du Québec ?

Trois choses changent, au-delà des correspondances techniques :

La localisation des données devient une question distincte de la sécurité. Un centre de données attesté C5 en Allemagne ou en France est sécuritaire au sens de C5. La question TGV n’est pas seulement où vos serveurs se trouvent, mais comment votre traitement de renseignements personnels s’aligne sur la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) et sur les exigences propres au réseau de la santé québécois. C’est un exercice distinct de votre conformité RGPD, même si les deux se recoupent par endroits.
La langue cesse d’être un détail d’interface. L’exigence de français n’est pas une case de localisation à cocher en fin de projet : c’est un critère de gouvernance de la grille TGV, vérifié comme les autres.
Le contexte réglementaire n’a pas d’équivalent européen tout fait. Une entreprise habituée aux audits RGPD ou aux vérifications C5 arrive au Québec avec de bons réflexes de conformité, mais avec un référentiel qu’elle doit apprendre : la TGV a son propre processus, son propre Bureau de certification, et personne, ni nous ni qui que ce soit d’autre, ne peut vous garantir une décision favorable. C’est une obligation de moyens.

Par où commencer votre démarche ?

Trois gestes concrets pour passer du comparatif BSI C5 vs TGV à un plan d’action, si votre point de départ est une attestation C5.

Faites l’inventaire de vos 113 correspondances possibles et vérifiez, critère par critère, lesquelles sont de vraies équivalences strictes et lesquelles exigent un ajustement. Ne présumez rien avant vérification individuelle.
Identifiez les familles où C5 ne vous apporte rien : intelligence artificielle, gouvernance, et une bonne partie de la protection des renseignements personnels. C’est là que votre effort de rédaction et de documentation ira, pas dans la sécurité que vous maîtrisez déjà.
Situez votre écart par rapport à un calendrier réel. Si un appel d’offres est déjà sur la table, comptez à rebours depuis sa date de clôture : le calendrier décidera de vos priorités mieux qu’une liste de souhaits.

Si votre attestation C5 est déjà en main, convertissez-la en plan TGV lors d’un appel exploratoire : l’objectif est de voir lesquelles de vos preuves européennes tiennent la route au Québec, et lesquelles restent à construire.

Planifier un appel exploratoire

Pour aller plus loin avec Factero :

plan de certification TGV après l’attestation C5

Foire aux questions

Une attestation BSI C5 suffit-elle pour obtenir la certification TGV ?

Non. Le comparatif BSI C5 vs TGV s’arrête à 113 des 382 critères de la grille, et seules 72 des 1302 correspondances recensées entre la TGV et les 13 référentiels analysés sont des équivalences strictes, utilisables sans adaptation. Le reste de vos 113 correspondances possibles doit être vérifié critère par critère, et les familles intelligence artificielle et gouvernance restent à démontrer par d’autres moyens.

Un test d’intrusion réalisé en Europe compte-t-il pour le test d’intrusion obligatoire de la TGV ?

Non, il ne remplace pas l’étape. La vérification externe TGV exige au moins un test d’intrusion par année, réalisé par un prestataire indépendant qui répond aux critères du Bureau de certification et d’homologation : représentants légalement autorisés au Canada, personnel certifié, rapport remis en français. Un test déjà réalisé en Europe renforce votre dossier de sécurité, il ne s’y substitue pas.

Quelle est la différence entre une attestation C5 et une certification ISO 27001 ?

Une attestation C5 résulte d’un audit indépendant selon la norme ISAE 3000 et porte sur un service infonuagique précis, pas sur une organisation entière. La certification ISO 27001 porte sur un système de gestion de la sécurité de l’information, délivrée par un organisme de certification tiers. Le catalogue C5 intègre les exigences de base d’ISO 27001, mais l’un n’entraîne jamais automatiquement l’autre.

Faut-il héberger ses données au Québec pour être certifié TGV ?

La localisation et le traitement de vos données font partie des points examinés de près, en lien avec la Loi 25 et les exigences propres au réseau de la santé. La réponse dépend de votre architecture réelle : un centre de données situé hors Québec n’est pas disqualifiant en soi, mais l’écart doit être identifié tôt, parce qu’il peut être structurel plutôt que documentaire.

Une attestation C5 doit-elle être renouvelée chaque année, comme la certification TGV ?

Dans la pratique, oui pour C5 : un rapport porte sur une période passée et perd vite son utilité, ce qui pousse la plupart des prestataires à en produire un nouveau chaque année. La TGV suit une autre logique : la certification est valide cinq ans avec reconduction tacite, mais elle exige tout de même un test d’intrusion annuel et une autodéclaration transmise quinze jours avant la date d’anniversaire.

BSI C5 vs TGV : 113 correspondances pour l’éditeur qui vise le Québec

Besoin d’aide sur ce sujet ?