En bref : Exigence de cybersécurité contrat fédéral : la clause renvoie presque toujours à l’un de deux programmes, le PCCC (Programme canadien de certification en cybersécurité), qui s’applique aux contrats du ministère de la Défense nationale, ou CyberSécuritaire Canada (CAN/DGSI 104), une certification volontaire pancanadienne pour PME. Identifier le bon programme est la première étape, pas la dernière.
Vous avez ouvert un appel d’offres fédéral, ou relu un contrat déjà signé, et une phrase vous a arrêté : une certification de cybersécurité est exigée. Vous ne savez pas laquelle, vous n’avez jamais entendu ces acronymes, et l’échéance de soumission approche. Ce guide part de là où vous êtes, pas d’un sigle que vous ne connaissez pas encore.
Personne ne tape « PCCC » la première fois qu’il cherche. On tape « certification cybersécurité contrat gouvernement », ou « on me demande une certification cybersécurité, c’est quoi ». C’est le bon réflexe : commencez par l’exigence telle qu’elle est écrite, le programme suivra.
Vous n’avez pas besoin de comprendre la cybersécurité pour comprendre cette clause. Vous avez besoin de savoir quel programme s’applique à votre contrat, ce qu’il exige concrètement, et combien de temps la démarche prend avant l’échéance de votre soumission. C’est ce que couvre ce guide, sans détour par le jargon technique.
Dans cet article
Exigence de cybersécurité contrat fédéral : quelle clause avez-vous reçue, exactement ?
Le libellé exact de la clause détermine presque tout. Retrouvez-le dans votre contrat ou votre appel d’offres et comparez-le au tableau suivant.
| Ce que dit la clause ou le contrat | Le programme visé | Pour aller plus loin |
|---|---|---|
| Contrat ou sous-contrat avec le ministère de la Défense nationale (MDN), ou clause qui nomme le PCCC | PCCC, Programme canadien de certification en cybersécurité | Guide complet CPCSC / PCCC |
| La clause cite l’ITSP.10.171 ou la norme américaine NIST 800-171 | La norme ITSP.10.171 qui sert de base au PCCC | Article dédié à l’ITSP.10.171 |
| Contrat fédéral civil, hors défense, ou exigence formulée comme un avantage dans une soumission générale | CyberSécuritaire Canada (CAN/DGSI 104) | Guide complet CyberSécuritaire Canada |
| La clause ne précise rien, elle demande seulement « une certification reconnue en cybersécurité » | Les deux programmes sont plausibles | Voir la section suivante |
Dans le doute, une question directe à l’acheteur ou au responsable de l’appel d’offres règle le débat en un courriel. C’est plus rapide que de deviner, et ça évite de préparer le mauvais dossier.
C’est un contrat fédéral de défense : quoi faire avec le PCCC ?
Le Programme canadien de certification en cybersécurité, ou PCCC (CPCSC en anglais), s’adresse aux entreprises qui font affaire, directement ou en sous-traitance, avec le ministère de la Défense nationale. Son niveau 1, en vigueur depuis avril 2026, repose sur une auto-attestation de conformité à la norme ITSP.10.171, elle-même dérivée de la norme américaine NIST 800-171.
Pour une PME qui découvre l’exigence dans un contrat existant ou un appel d’offres, l’auto-attestation de niveau 1 consiste à démontrer, contrôle par contrôle, votre conformité à l’ITSP.10.171. En pratique, ça veut dire inventorier vos systèmes, documenter vos politiques de sécurité et rassembler les preuves qu’un acheteur pourrait vous demander de produire. Le travail est autant documentaire que technique. Le guide complet CPCSC / PCCC détaille la norme, les niveaux et la démarche.
C’est un contrat civil ou une demande générale : on me demande une certification cybersécurité, que faire ?
CyberSécuritaire Canada est un programme fédéral volontaire, administré par Innovation, Sciences et Développement économique Canada, fondé sur la norme CAN/DGSI 104. Contrairement au PCCC, il ne vise pas spécifiquement les contrats de défense : c’est la certification qu’une PME obtient pour démontrer un niveau de base en cybersécurité, que ce soit en réponse à une clause contractuelle, à une demande d’un partenaire d’affaires, ou comme argument dans une soumission.
Elle repose sur un ensemble de contrôles de base, vérifiés par un tiers et renouvelés périodiquement :
- Mots de passe
- Pare-feu
- Sauvegardes
- Gestion des accès
Contrairement au PCCC, elle ne suppose pas que votre entreprise ait déjà un fournisseur en TI dédié à la sécurité : elle a été conçue pour des PME dont les ressources internes sont limitées. Le guide complet CyberSécuritaire Canada (CAN/DGSI 104) couvre le programme du début à la fin.
Les deux se ressemblent : lequel me concerne, ou les deux ?
Rien n’empêche une entreprise d’avoir besoin des deux. Une PME qui vend à la fois au MDN et à des clients fédéraux civils peut se retrouver avec un contrat qui exige le PCCC et un autre qui valorise CyberSécuritaire Canada comme avantage concurrentiel.
Les deux programmes ne se remplacent pas l’un l’autre. Le PCCC est spécifique aux contrats de défense et devient, pour certains contrats, une condition d’admissibilité à la soumission. CyberSécuritaire Canada reste volontaire, mais un nombre croissant d’acheteurs, publics et privés, la citent comme critère de sélection.
Ce n’est pas non plus la même chose que votre obligation légale sous la Loi 25. La Loi 25 est une loi québécoise sur la protection des renseignements personnels : elle s’applique à toute organisation qui fait affaire au Québec, qu’elle ait ou non un contrat fédéral. L’exigence de votre contrat, elle, est contractuelle : elle ne s’applique que parce que vous voulez ce contrat précis, et elle disparaît si vous n’y répondez pas, en même temps que le contrat lui-même. Les deux obligations peuvent se chevaucher dans les faits, les deux programmes fédéraux touchent notamment la protection des données, mais elles n’ont ni la même source ni les mêmes conséquences si vous les ignorez.
Combien de temps avant l’échéance de ma soumission ?
Exigence de cybersécurité contrat fédéral : la réponse honnête est que ça dépend de votre point de départ, mais ni l’un ni l’autre programme ne se règle en une semaine. Une auto-attestation PCCC de niveau 1 exige de documenter votre conformité à l’ITSP.10.171 contrôle par contrôle. CyberSécuritaire Canada exige une vérification externe de vos contrôles de base. Dans les deux cas, le délai dépend de l’écart entre votre posture actuelle et la grille applicable, pas d’un chiffre universel valable pour toutes les entreprises.
Si l’échéance de votre soumission est déjà connue, comptez à rebours à partir de cette date plutôt que d’espérer boucler la démarche à la dernière minute. Un premier passage honnête de la grille, avec vos équipes, situe l’écart en quelques heures et vous dit si vous avez le temps de répondre à temps, en accéléré, ou pas du tout pour cette soumission-ci.
Ce qui accélère ou ralentit la démarche n’est presque jamais la taille de l’entreprise, c’est l’état de sa documentation. Une PME qui a déjà des politiques de sécurité écrites, un inventaire de ses systèmes et un fournisseur infonuagique sérieux couvre souvent une partie des contrôles sans effort supplémentaire. Une entreprise qui gère tout de façon informelle repart de plus loin, peu importe sa taille.
Pourquoi la case cochée trop vite est-elle risquée ?
Une clause de cybersécurité dans un appel d’offres ressemble souvent à une case parmi d’autres : « L’entreprise détient-elle une certification reconnue en cybersécurité ? Oui / Non. » Cocher « oui » sans détenir la certification exacte demandée, ou sans pouvoir la démontrer si l’acheteur pose la question, expose l’entreprise davantage qu’une case honnêtement cochée « non, en démarche ».
Aucun programme ne se garantit à l’avance. Un consultant peut préparer votre dossier, structurer vos preuves, accélérer votre démarche. Aucun ne peut vous promettre l’obtention d’une certification avant que le vérificateur externe ou l’organisme responsable n’ait tranché. C’est une obligation de moyens, pas une obligation de résultat, et quiconque vous garantit le contraire avant même d’avoir vu votre dossier vous dit quelque chose sur sa rigueur.
Par où commencer ?
Exigence de cybersécurité contrat fédéral : trois gestes concrets suffisent pour avancer, dans l’ordre.
- Relisez la clause exacte de votre contrat ou appel d’offres et comparez-la au tableau plus haut. Si elle reste ambiguë, une question directe à l’acheteur règle le doute plus vite qu’une recherche en ligne.
- Une fois le programme identifié, ouvrez le guide complet correspondant : celui du CPCSC / PCCC pour un contrat de défense, celui de CyberSécuritaire Canada pour un contrat civil ou une demande générale.
- Faites un premier passage honnête de la grille de contrôles applicable. L’écart réel entre votre posture actuelle et l’exigence détermine l’essentiel du délai et de l’effort, bien avant toute question de coût.
Factero accompagne des entreprises des deux côtés de cette distinction : le cabinet détient la certification CyberSécuritaire Canada de niveau 1, obtenue le 19 avril 2026 et vérifiable dans le registre public des organismes certifiés, et a complété l’auto-attestation PCCC de niveau 1, conforme à l’ITSP.10.171. Si vous avez la clause sous les yeux et que l’échéance approche, planifiez un appel exploratoire avec Factero : en un appel, on identifie le programme visé et le chemin réaliste.
Pour aller plus loin avec Factero :
Foire aux questions
Le PCCC est-il la même chose que le CMMC américain ?
Non, ce sont deux programmes distincts, un par pays : le PCCC vise les fournisseurs du ministère de la Défense nationale canadien, le CMMC vise ceux du département de la Défense des États-Unis. Leurs bases techniques se ressemblent : le PCCC s’appuie sur l’ITSP.10.171, publiée par le Centre canadien pour la cybersécurité, qui est la version canadienne de la norme américaine NIST SP 800-171, sans changement technique important. Une certification obtenue dans un pays ne vaut pas automatiquement dans l’autre.
Exigence de cybersécurité contrat fédéral : est-elle obligatoire pour tous les contrats fédéraux ?
Non. Le PCCC devient une condition d’admissibilité seulement pour les fournisseurs qui soumissionnent ou travaillent sur des contrats du ministère de la Défense nationale, selon la page officielle de Services publics et Approvisionnement Canada. CyberSécuritaire Canada reste une démarche volontaire, même si un nombre croissant d’acheteurs fédéraux et privés la citent comme critère de sélection. Le seul moyen de savoir si vous êtes concerné reste de relire la clause exacte de votre contrat.
Le PCCC comptera-t-il d’autres niveaux que le niveau 1 ?
Oui. Services publics et Approvisionnement Canada prévoit deux niveaux additionnels, 2 et 3, décrits comme des jalons de mise en œuvre futurs sur la page officielle du programme. Seul le niveau 1, en vigueur depuis avril 2026 et fondé sur une auto-attestation, s’applique actuellement aux contrats du ministère de la Défense nationale. Aucune date de mise en vigueur des niveaux 2 et 3 n’est publiée à ce jour.
Ma certification ISO 27001 ou mon rapport SOC 2 suffit-il pour répondre à l’exigence ?
Pas automatiquement. Le PCCC repose sur une auto-attestation de conformité à l’ITSP.10.171, et CyberSécuritaire Canada sur une vérification des contrôles définis par la norme CAN/DGSI 104 : aucun des deux programmes ne mentionne ISO 27001 ou SOC 2 comme équivalence reconnue dans sa documentation publique. Ces certifications peuvent appuyer certaines preuves demandées, mais ne remplacent pas la démarche propre à chaque programme. Vérifiez la clause exacte de votre contrat : c’est elle qui détermine ce qui est réellement exigé.
