En bref : CyberFundamentals vs TGV : les deux cadres se recoupent sur 83 correspondances, une base réelle pour les familles Sécurité et Technique de la grille. Le cadre belge évalue la posture de sécurité d’une organisation entière, la TGV certifie un produit précis destiné au réseau de la santé : aucun cadre étranger ne couvre les 7 familles de la grille.
Si votre entreprise détient déjà un label CyberFundamentals et qu’un appel d’offres ou un partenaire vient de vous mettre la certification TGV sous les yeux pour la première fois, cet article compare les deux cadres et situe ce qu’il vous reste réellement à faire.
Dans cet article
Qu’est-ce que le cadre CyberFundamentals du CCB ?
CyberFundamentals est un cadre de cybersécurité de base développé par le Centre for Cybersecurity Belgium, l’autorité fédérale belge en matière de cybersécurité. Il sert de référence pour évaluer la posture de sécurité d’une organisation, avec un label délivré à l’issue d’une vérification.
Le cadre est de plus en plus cité comme socle de conformité en Belgique et, plus largement, en Europe, notamment par des entreprises qui doivent démontrer une hygiène de sécurité de base à leurs clients ou à leurs partenaires. Sa logique diffère toutefois de celle de la TGV sur un point central : CyberFundamentals évalue habituellement la posture de sécurité d’une organisation dans son ensemble, pas un produit précis.
La TGV, elle, certifie un produit technologique, dans une version donnée, destiné au réseau de la santé et des services sociaux du Québec. C’est la différence à retenir avant même de comparer les critères un par un : un label organisationnel européen et une certification produit québécoise ne répondent pas à la même question. Le cadre de référence de la TGV reste l’orientation officielle du MSSS sur la certification TGV (publication 24-715-38W).
Cet article poursuit la comparaison amorcée dans notre guide La TGV face à 13 référentiels : 1302 correspondances analysées et déjà appliquée à un autre cadre européen dans NIS2 et TGV : 95 correspondances, deux logiques réglementaires.
CyberFundamentals vs TGV : comparaison structurelle des deux cadres
Le tableau suivant résume les écarts structurels entre CyberFundamentals et la TGV avant même d’entrer dans le détail des critères.
| Aspect | CyberFundamentals (CCB) | Certification TGV |
|---|---|---|
| Portée | Posture de sécurité de l’organisation | Produit technologique, version précise |
| Autorité | Centre for Cybersecurity Belgium | Bureau de certification de Santé Québec |
| Statut | Cadre volontaire, reconnu en Belgique et ailleurs en Europe | Obligatoire pour vendre au réseau de la santé québécois |
| Étendue | Contrôles de cybersécurité de base | 382 critères répartis en 7 familles |
| Zone d’application | Belgique, Europe | Québec |
Ce tableau n’oppose pas deux cadres équivalents. Il situe deux exercices de nature différente, l’un centré sur la sécurité d’une organisation, l’autre sur l’ensemble d’un produit destiné à un réseau de santé public. Résumée en une phrase, l’opposition CyberFundamentals vs TGV tient moins aux contrôles techniques qu’à leur portée : l’un évalue une organisation, l’autre certifie un produit.
Quelles familles de la grille TGV les correspondances couvrent-elles le mieux ?
L’essentiel des 83 correspondances de CyberFundamentals se concentre dans les familles Sécurité et Technique de la grille TGV, celles qui recoupent le plus directement des contrôles comme la gestion des accès, la journalisation, la gestion des vulnérabilités ou la segmentation réseau.
La grille TGV compte en tout 382 critères répartis en 7 familles : Sécurité (112 critères), Protection des renseignements personnels (108), Intelligence artificielle (69), Interopérabilité (58), Technique (26), Performance (7) et Gouvernance (2).
Les familles Protection des renseignements personnels et Intelligence artificielle restent en grande partie hors du périmètre de CyberFundamentals. Ce n’est pas une lacune du cadre belge : il n’a jamais eu vocation à couvrir la Loi 25, la loi québécoise sur la protection des renseignements personnels dans le secteur privé, ni la gouvernance de l’intelligence artificielle telle que définie par la grille TGV depuis avril 2026.
La famille Gouvernance de la TGV, avec ses deux critères sur l’interface en français et l’absence de publicité, n’a tout simplement pas d’équivalent dans un cadre de cybersécurité générique. C’est une constante que nous observons dans l’ensemble de notre travail de cartographie : aucun des 13 référentiels analysés ne couvre les 7 familles de la grille. Chacun éclaire une partie du terrain, aucun ne le couvre en entier.
Que veut dire une équivalence stricte dans ces correspondances ?
Une équivalence stricte signifie que le critère TGV et le contrôle externe demandent essentiellement la même preuve, formulée dans des termes assez proches pour qu’une seule pièce documente les deux. Nos correspondances distinguent plusieurs niveaux de recoupement entre un critère TGV et un contrôle d’un référentiel externe : une correspondance plus large peut recouper partiellement l’exigence, sans la satisfaire entièrement.
Sur l’ensemble de notre cartographie, 1302 correspondances relient la grille TGV aux 13 référentiels analysés, dont 72 sont des équivalences strictes, un peu plus de 5 % du total. Les correspondances de CyberFundamentals y contribuent, notamment sur des critères opérationnels comme la gestion des accès ou la journalisation, mais la répartition exacte par référentiel n’est pas encore publiée.
Ce que le chiffre de 83 ne dit pas, c’est le travail qui reste à faire. 83 correspondances sur 382 critères, c’est un peu plus d’un cinquième de la grille. Le reste, les quatre cinquièmes, doit être documenté par ailleurs, souvent avec des preuves que CyberFundamentals ne demande jamais.
Le label CyberFundamentals suffit-il pour obtenir la certification TGV ?
Non, et il faut le dire sans détour à toute entreprise qui pense pouvoir raccourcir sa démarche sur cette seule base. L’écart CyberFundamentals vs TGV se résume simplement : le premier démontre une hygiène de cybersécurité, la seconde exige, en plus, une démonstration produit par produit, des tests d’intrusion obligatoires réalisés par une firme spécialisée, une conformité à la Loi 25 sur les renseignements personnels et, si le produit intègre de l’intelligence artificielle, une réponse aux 69 critères de la famille IA.
Personne, ni un consultant, ni un partenaire, ni le cabinet qui écrit ces lignes, ne peut garantir l’obtention de la certification à partir d’un label existant. La décision appartient au Bureau de certification de Santé Québec, à personne d’autre. Un label CyberFundamentals réduit l’écart à combler, il ne l’annule pas.
Pourquoi une entreprise labellisée CyberFundamentals songerait-elle à la certification TGV ?
Une entreprise européenne, belge ou d’ailleurs, qui a déjà investi dans un label CyberFundamentals a généralement construit un produit avec des attentes de sécurité déjà élevées. Si ce produit intéresse le réseau de la santé du Québec, que ce soit par un appel d’offres direct ou par l’intermédiaire d’un distributeur local, la certification TGV devient une condition d’entrée, pas une option.
Dans la comparaison CyberFundamentals vs TGV, l’écart réel n’est donc pas dans les fondamentaux de sécurité, souvent déjà couverts, mais dans trois zones précises.
- Protection des renseignements personnels selon la Loi 25 : traitement des données, droits des personnes concernées, tenue d’un registre des incidents.
- Hébergement et localisation des données : un point examiné de près par le Bureau de certification, particulièrement pour un produit hébergé hors du Québec.
- Gouvernance de l’intelligence artificielle, si le produit s’appuie sur de l’IA : exigée par la famille IA de la grille.
Par où commencer quand on détient déjà le label CyberFundamentals ?
Trois gestes, dans l’ordre.
- Cartographiez vos preuves CyberFundamentals existantes contre les 382 critères de la grille TGV en vigueur. Les 83 correspondances donnent un point de départ, pas un résultat : chaque preuve doit être revalidée dans le format attendu par le Bureau de certification.
- Concentrez l’effort sur les familles orphelines : protection des renseignements personnels, intelligence artificielle si applicable, et gouvernance. C’est là que se trouve l’essentiel du travail restant, pas dans la sécurité que vous avez déjà démontrée une fois.
- Planifiez les tests d’intrusion obligatoires et la préparation du dossier avec une marge réaliste. Un appel d’offres qui exige la certification impose un calendrier ; comptez à rebours depuis sa date de clôture.
Nous accompagnons des fournisseurs technologiques, y compris des entreprises qui arrivent au Québec avec des certifications ou labels européens, dans cette transition vers la certification TGV. Notre rôle reste celui du guide local : cartographier l’écart réel entre vos preuves existantes et la grille en vigueur, puis structurer le dossier.
Un appel exploratoire sur l’accompagnement à la certification TGV permet de clarifier l’écart CyberFundamentals vs TGV pour votre produit : trente minutes suffisent pour le situer.
Notre cartographie complète des 13 référentiels face à la grille TGV, avec le détail des correspondances CyberFundamentals, sera publiée en données ouvertes.
Pour aller plus loin avec Factero :
Foire aux questions
Une entreprise européenne peut-elle vendre son produit au réseau de la santé du Québec sans certification TGV ?
Non. La certification TGV s’applique à tout produit ou service technologique destiné au réseau de la santé et des services sociaux du Québec, peu importe le pays d’origine du fournisseur ou les certifications déjà détenues ailleurs. Un label européen comme CyberFundamentals ne remplace pas cette exigence : il peut appuyer certaines preuves du dossier, pas dispenser de la démarche complète auprès du Bureau de certification de Santé Québec.
Le label CyberFundamentals dispense-t-il des tests d’intrusion exigés par la TGV ?
Non. Les tests d’intrusion sont un prérequis à la certification TGV pour tout produit traitant des données personnelles, de santé ou de services sociaux, réalisés par un prestataire indépendant répondant aux critères du Bureau de certification. Une fois certifié, au moins un test par année reste exigé pour maintenir la certification. Un label CyberFundamentals n’en dispense à aucune étape.
83 correspondances veulent-elles dire que ces critères TGV sont automatiquement couverts ?
Pas automatiquement. Une correspondance signale qu’un contrôle CyberFundamentals recoupe, en tout ou en partie, un critère de la grille TGV, pas qu’une preuve est prête à déposer telle quelle. Sur l’ensemble de notre cartographie, 72 des 1302 correspondances seulement sont des équivalences strictes, un peu plus de 5 %. La plupart des 83 correspondances CyberFundamentals demandent un travail d’adaptation avant dépôt.
L’hébergement du produit hors Québec pose-t-il un problème pour la certification TGV ?
Oui, potentiellement. L’hébergement et la localisation des données comptent parmi les points que le Bureau de certification examine de près, surtout pour un produit hébergé hors du Québec, en lien avec la protection des renseignements personnels sous la Loi 25. Un label CyberFundamentals ne couvre pas cet aspect : c’est un écart à documenter tôt dans la démarche.
La certification TGV a-t-elle une durée de validité limitée ?
Oui. Toutes les certifications délivrées par le Bureau de certification de Santé Québec, dont la TGV, sont valides cinq ans, avec reconduction tacite d’un an dès l’acceptation du formulaire d’autodéclaration démontrant le respect des engagements pris, notamment le registre des changements et les tests d’intrusion annuels. Cette durée s’applique au produit certifié, pas au label CyberFundamentals détenu par ailleurs.
