En bref : Marchandises contrôlées cybersécurité : le Programme des marchandises contrôlées (PMC) exige un plan de sécurité et un responsable désigné pour protéger l’accès physique et documentaire aux marchandises contrôlées, mais il ne fixe aucune exigence technique de cybersécurité. Si un contrat de défense ajoute une exigence PCCC, vos dessins techniques numérisés relèvent d’un second périmètre, distinct, à évaluer séparément.
Vous dirigez une PME manufacturière inscrite au Programme des marchandises contrôlées depuis des années. Le plan de sécurité est déposé, le responsable désigné est nommé, les classeurs sont verrouillés à clé. Puis un client de la défense ajoute une clause de cybersécurité à son appel d’offres, ou pire, une exigence PCCC directement dans le contrat. La question surgit alors, légitime : est-ce que tout ça n’était pas déjà couvert ?
La réponse courte est non. Le Programme des marchandises contrôlées (PMC) et le Programme canadien de certification en cybersécurité (PCCC, aussi désigné CPCSC en anglais) protègent deux choses différentes, avec deux logiques différentes. Ce dossier trace la frontière entre les deux, pour une entreprise qui gère déjà la paperasse du premier et qui découvre le second.
Dans cet article
Qu’est-ce que le Programme des marchandises contrôlées protège, au juste ?
Le Programme des marchandises contrôlées protège l’accès physique et documentaire aux marchandises contrôlées, pas l’environnement informatique qui les entoure. Il est administré par Services publics et Approvisionnement Canada (SPAC), par l’entremise de sa Direction de la sécurité des marchandises contrôlées. L’inscription est obligatoire pour toute entreprise qui examine, possède ou transfère des marchandises contrôlées au Canada, qu’il s’agisse de pièces, d’équipements ou de données techniques liées à des produits de défense.
Le mot clé est « marchandises ». Le programme est né pour encadrer l’accès physique à des objets et à des documents sensibles : qui entre dans l’atelier, qui consulte le plan d’un composant, qui reçoit une pièce par la poste. C’est un programme de sécurité industrielle, pas un programme de sécurité informatique. Cette distinction paraît technique, elle ne l’est pas : elle détermine tout ce qui suit dans ce dossier.
Marchandises contrôlées cybersécurité : les deux mots ne se recoupent pas ici, le programme n’y touche pas.
Marchandises contrôlées cybersécurité : le PMC m’oblige-t-il déjà à des mesures techniques ?
L’inscription au PMC exige un plan de sécurité et la nomination d’un responsable désigné, voilà ce que le programme demande noir sur blanc. Ce plan couvre trois volets :
- La sécurité du personnel : qui a accès et comment on le vérifie.
- La sécurité physique des lieux : portes, classeurs et registre des visiteurs.
- Le contrôle des documents contenant des marchandises contrôlées.
Ce que le plan de sécurité du PMC ne dicte pas, c’est une architecture de cybersécurité. Aucune exigence de chiffrement n’y est précisée, aucune norme de segmentation réseau, aucune liste de contrôles techniques à cocher pour vos systèmes informatiques. Le programme a été conçu à une époque où « marchandise contrôlée » évoquait d’abord une pièce sur une tablette, pas un fichier de conception sur un serveur.
C’est exactement là que le bât blesse pour une PME manufacturière d’aujourd’hui. Vos dessins techniques ne dorment plus dans un classeur sous clé, ils vivent dans un logiciel de conception assistée par ordinateur, sur un partage réseau, parfois synchronisés vers un service infonuagique que personne n’a vraiment audité. Le plan de sécurité du PMC, respecté à la lettre, peut très bien ne rien dire de cette réalité numérique. Ce n’est pas une faille du programme : ce n’est simplement pas son mandat.
Mes plans et données techniques sont-ils de l’information désignée au sens du PCCC ?
Vos dessins techniques et vos données de fabrication peuvent être de l’information désignée au sens du PCCC, indépendamment du fait que la pièce elle-même soit une marchandise contrôlée au sens du PMC. Pour une vue d’ensemble complète du programme et de ses deux niveaux, notre guide CPCSC / PCCC : guide complet de la certification cyberdéfense reste la référence. Ici, l’angle est plus précis : ce que ce programme vise concrètement chez une entreprise déjà inscrite au PMC.
Le Programme canadien de certification en cybersécurité (PCCC) vise un autre périmètre : l’information non classifiée mais sensible qui circule dans les contrats de défense, ce que le gouvernement fédéral appelle de l’information désignée. Un dessin technique, une spécification de fabrication ou une donnée de performance d’un composant militaire peuvent entrer dans cette catégorie.
Le niveau 1 du PCCC est en vigueur depuis avril 2026 et repose sur une autodéclaration : l’entreprise atteste elle-même sa conformité à un ensemble de contrôles techniques. Le niveau 2, avec vérification par un tiers, est prévu pour le printemps 2027. Les deux niveaux s’appuient sur ITSP.10.171, la norme technique du Centre canadien pour la cybersécurité qui encadre la protection de l’information désignée dans un environnement informatique.
La nuance à retenir : être inscrit au PMC ne dit rien de votre obligation PCCC, et l’inverse est vrai aussi. Ce sont deux inscriptions distinctes, déclenchées par deux logiques distinctes. Le PMC se déclenche par la nature de la marchandise. Le PCCC se déclenche par une clause contractuelle, insérée par le ministère de la Défense nationale ou par un maître d’œuvre pour un contrat donné. Nous détaillons qui est concrètement visé par cette obligation contractuelle dans Qui est visé par le CPCSC ? PME, sous-traitants et défense.
Marchandises contrôlées et PCCC : deux inscriptions, deux inspections, deux plans ?
Marchandises contrôlées cybersécurité : le tableau suivant aligne les deux régimes point par point.
| Aspect | Programme des marchandises contrôlées (PMC) | PCCC (niveaux 1 et 2) |
|---|---|---|
| Administré par | SPAC, Direction de la sécurité des marchandises contrôlées | SPAC, obligation déclenchée par une clause dans un contrat de défense |
| Ce qui est protégé | L’accès physique et documentaire à une marchandise contrôlée | L’information non classifiée mais sensible, dite information désignée, dans l’environnement numérique |
| Déclencheur | La nature du bien ou de la technologie visée | Une clause du contrat ou de l’appel d’offres de défense |
| Exigence centrale | Plan de sécurité et responsable désigné | Conformité aux contrôles ITSP.10.171, autodéclarée au niveau 1 ou vérifiée par un tiers au niveau 2 |
| Portée numérique | Non spécifiée dans le plan de sécurité | Explicite : réseaux, postes de travail, gestion des accès, journalisation |
Une entreprise inscrite au PMC pour ses pièces peut très bien signer, la même année, un contrat qui exige en plus le PCCC pour ses systèmes numériques. Les deux dossiers ne se substituent pas l’un à l’autre. Un auditeur qui vérifie votre plan de sécurité PMC ne validera pas vos contrôles ITSP.10.171, et l’inverse est vrai aussi. Deux inscriptions, potentiellement deux inspections, et deux jeux de preuves à conserver séparément.
Une entreprise qui craint de devoir mettre tout son réseau à niveau pour satisfaire le PCCC peut réduire cet effort en isolant les systèmes réellement visés par l’information désignée, plutôt que de traiter l’ensemble de son parc informatique comme s’il l’était. Cette logique de périmètre restreint est expliquée dans Périmètre restreint ITSP.10.171 : réduire l’effort sans tricher.
Par où commencer quand on gère déjà la paperasse du PMC ?
Quatre gestes, dans l’ordre, pour une entreprise qui découvre le PCCC alors qu’elle connaît déjà le PMC par cœur.
- Relisez votre contrat, pas votre inscription PMC. La clause PCCC, si elle existe, se trouve dans le contrat ou l’appel d’offres, jamais dans votre dossier PMC. Cherchez les mentions de PCCC, CPCSC, ITSP.10.171 ou d’information désignée.
- Cartographiez où vivent vos données techniques numériques : postes de conception, serveur de fichiers, service infonuagique, boîtes courriel. Le plan de sécurité du PMC parle de vos classeurs, pas de vos répertoires réseau. Cette cartographie-là reste entièrement à faire.
- Vérifiez le niveau exigé par le contrat. Une autodéclaration de niveau 1 et une vérification de niveau 2 par un tiers ne demandent ni le même effort, ni le même échéancier.
- Ne fusionnez pas les deux dossiers par réflexe administratif. Le responsable désigné du PMC et le responsable de vos contrôles ITSP.10.171 peuvent être la même personne dans une petite entreprise, mais les preuves à produire pour chaque programme ne sont pas interchangeables.
Combien d’entreprises canadiennes composent aujourd’hui avec ce chevauchement entre PMC et PCCC est une question sans chiffre officiel fiable à citer ici. Ce qui est certain, c’est que le bassin d’entreprises manufacturières inscrites au PMC, en aérospatiale comme en défense terrestre, recoupe largement celui des sous-traitants susceptibles de voir une clause PCCC apparaître dans leurs contrats à mesure que le programme se déploie.
Le coffre-fort suffit-il quand les plans sont sur le serveur ?
L’image qui revient le plus souvent dans nos échanges avec des dirigeants de PME manufacturières inscrites au PMC, c’est celle du coffre-fort. L’entreprise a un coffre-fort solide pour ses documents papier les plus sensibles, une porte à code pour l’atelier, un registre des visiteurs tenu à jour. Tout ça est réel, tout ça compte pour le PMC.
Mais le dessin technique qui justifiait ce coffre-fort existe aussi en fichier numérique, généré par le même logiciel de conception que tous les autres postes de l’entreprise utilisent, sauvegardé sur un serveur que personne n’a jamais fait auditer. Le coffre-fort protège une copie imprimée. Le fichier source, lui, circule ailleurs, sans le même niveau d’attention, parfois envoyé par courriel à un fournisseur sans qu’on y pense deux fois.
C’est l’écart exact que le PCCC vient combler pour les entreprises visées par une clause contractuelle : la protection ne s’arrête pas à la porte de l’atelier, elle continue jusqu’au réseau, jusqu’au poste de travail, jusqu’à la boîte courriel.
Marchandises contrôlées cybersécurité : la vraie ligne de partage n’est pas entre deux programmes, elle est entre le papier verrouillé et le fichier qui circule.
Une entreprise inscrite au PMC qui voit apparaître une exigence PCCC dans un contrat n’a pas à reconstruire sa sécurité en double, ni à traiter les deux dossiers comme deux projets étanches menés par deux équipes qui ne se parlent pas. Un audit indépendant qui recoupe les deux périmètres, la sécurité physique et documentaire d’un côté, les contrôles ITSP.10.171 de l’autre, identifie ce qui est déjà couvert par votre plan PMC et ce qui reste réellement à démontrer pour le PCCC. C’est le rôle de notre accompagnement CPCSC : structurer le dossier et cartographier l’écart, pas décider à votre place ni garantir un résultat que personne ne peut garantir.
Pour aller plus loin avec Factero :
Foire aux questions
Toutes les entreprises inscrites au PMC doivent-elles obtenir le PCCC ?
Non. L’obligation PCCC dépend du contrat qui la mentionne, pas de l’inscription au PMC. Une entreprise inscrite au PMC pour ses pièces peut n’avoir aucune clause PCCC dans ses contrats. À l’inverse, une entreprise sans marchandise contrôlée peut être visée par le PCCC si elle traite de l’information désignée pour un autre motif. Marchandises contrôlées cybersécurité : deux inscriptions distinctes, jamais automatiques l’une par rapport à l’autre.
Si je suis déjà inscrit au PMC, mon dossier PCCC sera-t-il plus rapide à préparer ?
Votre discipline documentaire aide, mais les preuves ne se recyclent pas d’un programme à l’autre. Le PCCC vérifie des contrôles techniques précis sur vos systèmes numériques, réseaux, postes de travail, gestion des accès, que votre plan de sécurité PMC n’a jamais eu à démontrer. Prévoyez un exercice distinct, pas un simple ajout à votre dossier existant.
Le niveau 1 du PCCC suffit-il si je ne fais que de la sous-traitance mineure ?
Le niveau exigé dépend de la clause du contrat, pas de la taille de votre rôle dans la chaîne d’approvisionnement. Un sous-traitant qui manipule de l’information désignée peut se voir demander le même niveau qu’un maître d’œuvre. Vérifiez la clause exacte plutôt que de présumer : un rôle mineur ne réduit pas automatiquement le niveau exigé.
Le responsable désigné du PMC peut-il aussi être responsable du PCCC ?
Oui, rien n’empêche la même personne d’occuper les deux rôles dans une petite entreprise. Les preuves à produire, elles, ne sont pas interchangeables : le registre de sécurité du PMC ne vaut pas comme preuve de conformité ITSP.10.171. Traitez les deux mandats séparément même s’ils reposent sur une seule personne.
Un fichier numérique peut-il être une marchandise contrôlée au sens du PMC ?
Oui. La définition officielle du programme inclut les biens tangibles, les documents imprimés et les données électroniques. Un dessin technique enregistré sur un serveur ou envoyé par courriel reste une marchandise contrôlée au même titre que la pièce physique qu’il décrit, ce que plusieurs entreprises inscrites au PMC ignorent.
