Combien coûte la conformité ITSP.10.171 pour une PME ?

En bref : Coût conformité ITSP.10.171 PME : la facture dépend d’abord de la dette technique de l’entreprise, pas d’un tarif fixe. Le seul repère public, un sondage de mai 2024, situe 46 % des sous-traitants sous les 50 000 $, une anticipation, pas une facture. La note varie selon le point de départ, le périmètre et le niveau visé.

Que sait-on des coûts anticipés de la conformité ITSP.10.171 ?

La question revient dans presque toutes les conversations avec des dirigeants de PME visées par un contrat de la Défense nationale : combien ça va coûter ? La réponse honnête commence par admettre ce qu’on sait et ce qu’on ne sait pas.

Le seul chiffre public disponible vient d’un sondage mené en mai 2024 auprès de sous-traitants canadiens : 46 % d’entre eux prévoyaient dépenser moins de 50 000 $ pour se conformer au régime de cybersécurité qui leur serait imposé. C’est une anticipation, pas une facture. Aucune donnée publique ne documente à ce jour ce que les entreprises ont réellement dépensé une fois le travail terminé.

Ce chiffre mérite d’être lu pour ce qu’il est : un signal que la majorité des sous-traitants sondés ne s’attendaient pas à un chantier hors de portée d’une PME. Il ne dit rien de votre situation particulière. Quiconque vous le cite comme s’il s’agissait d’un forfait applicable à votre entreprise simplifie plus qu’il n’informe.

C’est aussi pourquoi un forfait à prix fixe, vendu avant même d’avoir vu votre parc informatique, mérite un sourcil levé.

Coût conformité ITSP.10.171 PME : la variable qui compte, c’est ce que l’entreprise a déjà en place, pas une grille tarifaire universelle. Une entreprise qui gère déjà ses accès avec rigueur et teste ses sauvegardes paie beaucoup moins que celle qui découvre ces angles morts en cours de route.

Qu’est-ce qui est gratuit ?

Avant de parler de ce qui coûte, il faut être clair sur ce qui ne coûte rien.

L’outil d’auto-évaluation de niveau 1, mis en ligne par Services publics et Approvisionnement Canada (SPAC), est gratuit. Il permet à une entreprise de mesurer elle-même sa conformité aux exigences du niveau 1 du CPCSC (le Programme canadien de certification en cybersécurité, aussi désigné PCCC), sans frais et sans intermédiaire obligatoire. La norme elle-même, ITSP.10.171 (Protection de l’information désignée), est publiée par le Centre canadien pour la cybersécurité, en français, et accessible à quiconque veut la lire.

Si un fournisseur vous vend un logiciel ou une plateforme « spécialement conçue pour le niveau 1 », posez une question simple : qu’est-ce que cet outil fait de plus que celui du gouvernement, gratuit ? Bien souvent, la réponse est une interface plus jolie autour du même questionnaire.

Factero a fait cet exercice pour son propre compte. Notre cabinet détient une auto-attestation de niveau 1 du CPCSC, obtenue avec l’outil du gouvernement, sans payer personne pour la remplir. Ce n’est pas un exploit, c’est ce que l’outil est conçu pour permettre.

Coût conformité ITSP.10.171 PME : quelles variables font la facture ?

Le niveau 1 n’a rien de technique au sens où un dirigeant l’imagine parfois. C’est de l’hygiène informatique de base :

• Inventaire des appareils et des comptes actifs.
• Un compte par personne, jamais de compte partagé.
• Vérification d’identité par un second moyen, comme un texto.
• Suppression des comptes le jour du départ d’un employé.
• Mises à jour appliquées sur les postes et les serveurs.
• Sauvegardes qui fonctionnent vraiment, une fois testées.

Une sauvegarde qu’on n’a jamais testée, ce n’est pas une sauvegarde. C’est de l’espoir.

Quatre variables déterminent où vous vous situez sur l’échelle des coûts.

1. La dette technique de départ : le vieux poste sous un système d’exploitation qui n’est plus supporté, branché sur la machine de production, les mots de passe collés sur l’écran, les comptes d’employés partis depuis longtemps encore actifs, les clés USB qui circulent librement, les sauvegardes qu’on suppose fonctionnelles sans jamais les avoir restaurées. Chacun de ces éléments ajoute du temps de correction avant même de parler d’auto-évaluation.
2. Le périmètre visé : l’article 1.1 de la norme ITSP.10.171 permet une séparation logique du réseau qui traite l’information désignée, plutôt que d’exiger la conformité de l’ensemble du parc informatique de l’entreprise. Bien fait, ce découpage réduit fortement l’effort. Nous détaillons cette mécanique dans Périmètre restreint ITSP.10.171 : réduire l’effort sans tricher.
3. Le niveau visé : le niveau 1 s’auto-évalue avec l’outil gratuit du gouvernement. Le niveau 2 exige une certification par un organisme accrédité, renouvelée aux trois ans avec une confirmation annuelle entre les deux, et compte 98 contrôles. Les tarifs de ces organismes ne sont pas encore publiés : le Centre canadien pour la cybersécurité les annonce pour l’été, une information confirmée par écrit en juillet 2026. Un rapport d’évaluation de SPAC daté du 5 janvier 2026 notait que 19 % des livrables du programme respectaient leur échéance. Ce n’est pas une raison d’attendre, c’est un rappel que les dates publiques bougent et qu’il vaut mieux avancer sur ce qui est déjà connu.
4. Le temps : le délai pour se mettre à niveau va de quelques jours à quelques semaines, parfois quelques mois, selon la maturité de départ de l’organisation. Une entreprise qui gère déjà ses accès et ses sauvegardes correctement traverse le niveau 1 vite. Une entreprise qui découvre ses angles morts en même temps que la grille prend plus de temps, pas parce que la norme est sévère, mais parce que le travail de rattrapage existait déjà, non fait.

<table> <tr><th></th><th>Niveau 1 (N1)</th><th>Niveau 2 (N2)</th></tr> <tr><td>Mécanisme</td><td>Auto-évaluation par l’entreprise</td><td>Certification par un organisme accrédité</td></tr> <tr><td>Fréquence</td><td>Annuelle</td><td>Aux trois ans, confirmation annuelle</td></tr> <tr><td>Outil d’évaluation</td><td>Gratuit (SPAC)</td><td>Organisme externe payant</td></tr> <tr><td>Nombre de contrôles</td><td>Hygiène de base, non chiffré publiquement</td><td>98 contrôles</td></tr> <tr><td>Tarifs de certification</td><td>Aucuns frais d’organisme</td><td>Non publiés à ce jour</td></tr> </table>

Le niveau 2 ajoute une dimension que le niveau 1 effleure à peine : des politiques écrites, un registre des incidents, une preuve documentée que les contrôles techniques sont appliqués dans la durée, pas seulement le jour de l’évaluation. Ce travail de documentation prend du temps, mais il ne demande pas d’expertise rare. Une entreprise qui a déjà des procédures internes claires en a fait une bonne partie sans le savoir.

Le guide complet CPCSC / PCCC situe ces deux niveaux dans l’ensemble du programme, avec les paliers qui viendront après.

Quel est le coût de ne pas se conformer à l’ITSP.10.171 ?

Le vrai risque n’est pas la facture de la conformité, c’est le contrat.

Un client de la Défense nationale qui exige le CPCSC dans son appel d’offres ne négocie pas de délai de grâce le jour où il découvre qu’un fournisseur n’est pas prêt. L’entreprise perd le contrat, ou ne le décroche jamais. Coût conformité ITSP.10.171 PME : une facture se compare, un contrat perdu ne se rattrape pas.

Pour une PME qui vit de contrats gouvernementaux, l’absence de certification ne coûte pas qu’un contrat. Elle ferme la porte aux appels d’offres suivants, ceux qui exigent la certification dès le dépôt de la soumission, pas après l’attribution.

Il y a pire que ne pas être prêt : répondre « oui » à un contrôle qu’on ne respecte pas vraiment. L’auto-évaluation de niveau 1 repose sur la bonne foi de l’entreprise qui la remplit, et notre mode d’emploi de l’auto-évaluation PCCC niveau 1 insiste sur ce point : cocher oui pour aller plus vite coûte, à terme, infiniment plus cher que de cocher non et de corriger l’écart.

Aux États-Unis, où le régime équivalent s’appelle le CMMC (Cybersecurity Maturity Model Certification, le programme du département de la Défense), des entreprises ont fait face à des poursuites pour avoir mal représenté leur conformité cybersécurité dans des contrats fédéraux. Le régime canadien ITSP.10.171 s’inspire directement de la norme américaine NIST SP 800-171 (National Institute of Standards and Technology), sur laquelle repose aussi le CMMC. La logique est la même des deux côtés de la frontière : une fausse déclaration de conformité n’est pas un raccourci, c’est un risque contractuel et légal que la facture d’une auto-évaluation honnête ne permet même pas de comparer.

Comment dépenser au bon endroit ?

Avant de signer quoi que ce soit avec qui que ce soit, quatre gestes, dans l’ordre.

1. Confirmez que votre entreprise est réellement visée. Notre analyse des contrats du ministère de la Défense nationale donne un premier repère pour situer qui devra se certifier.
2. Faites l’auto-évaluation de niveau 1 vous-même, avec l’outil gratuit du gouvernement, avant de payer quiconque pour la faire à votre place.
3. Rattrapez la dette technique dans l’ordre où elle coûte le moins cher à corriger : les comptes et les accès d’abord, les sauvegardes ensuite, la documentation en dernier. Rien de tout cela n’exige un budget de grande entreprise.
4. Si le périmètre restreint s’applique à votre architecture, documentez-le avant de commencer le reste. C’est le levier qui réduit le plus l’effort, pas celui qu’on ajoute à la fin.

Coût conformité ITSP.10.171 PME : c’est la somme de ces quatre gestes, jamais un forfait standard.

Le seul devis honnête commence par mesurer vos écarts, pas par vendre un forfait. Factero évalue votre point de départ et votre périmètre avant de parler d’argent : les faits tels qu’ils sont, vos décisions à vous. Vous pouvez demander une évaluation d’écarts pour situer votre budget réel, pas un budget générique.

Pour aller plus loin avec Factero :

• évaluation d’écarts pour la certification PCCC
• second avis indépendant sur un devis de conformité

Foire aux questions

Combien coûte le niveau 1 du CPCSC pour une PME ?

Il n’existe aucun tarif fixe publié. Le seul repère chiffré vient d’un sondage de mai 2024 : 46 % des sous-traitants prévoyaient dépenser moins de 50 000 $ pour l’ensemble de la démarche de conformité, pas seulement pour le niveau 1. L’auto-évaluation elle-même, faite avec l’outil gratuit du gouvernement, ne coûte rien : la facture vient du temps passé à corriger les angles morts qu’elle révèle.

Est-il réaliste de viser moins de 50 000 $ pour l’ensemble de la démarche ?

Pour une partie des sous-traitants, oui : au sondage de mai 2024, 46 % en prévoyaient moins. Ce chiffre reste une anticipation avant travaux, pas une facture vérifiée après coup, et il dépend d’abord de la dette technique de départ. Une PME qui gère déjà ses accès et teste ses sauvegardes s’en approche facilement ; celle qui découvre ses angles morts en cours de route risque de le dépasser.

Faut-il payer un consultant pour faire l’auto-évaluation de niveau 1 ?

Non. L’outil gratuit du gouvernement (SPAC) est conçu pour être rempli par l’entreprise elle-même, sans intermédiaire obligatoire. Un accompagnement peut aider à structurer la démarche ou à corriger des écarts complexes une fois l’auto-évaluation faite, mais l’outil de base ne s’achète nulle part. Notre mode d’emploi de l’auto-évaluation PCCC niveau 1 détaille la marche à suivre étape par étape.

Le budget de la première année est-il le même que celui des années suivantes ?

Non. La première année absorbe le rattrapage de la dette technique accumulée : comptes à fermer, accès à revoir, sauvegardes à tester. Une fois ces angles morts corrigés, l’entretien annuel coûte nettement moins, parce qu’il s’agit de maintenir des pratiques déjà en place plutôt que de les mettre en place pour la première fois.

ITSP.10.171 et NIST 800-171 coûtent-ils la même chose à respecter ?

Non, ce sont deux régimes distincts, même si le second inspire le premier. ITSP.10.171 encadre la protection de l’information désignée au Canada, avec son propre outil d’auto-évaluation gratuit ; NIST SP 800-171 est la norme américaine sur laquelle repose aussi le CMMC du département de la Défense des États-Unis. Comparer leurs prix n’a pas de sens : c’est le contrat qui vous vise, canadien ou américain, qui détermine lequel s’applique, jamais les deux à la fois pour un même marché.

Sources citées

• NIST SP 800-171 rev. 3 (National Institute of Standards and Technology)
• Outil d’auto-évaluation niveau 1 du CPCSC (Services publics et Approvisionnement Canada)
• Cybersecurity Maturity Model Certification (CMMC) — U.S. Department of Defense
• Programme canadien de certification en cybersécurité (PCCC) — Services publics et Approvisionnement Canada
• ITSP.10.171-01 — document compagnon (Centre canadien pour la cybersécurité)
• ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)