En bref : L’échéancier PCCC fixe les dates où chaque niveau du Programme canadien de certification en cybersécurité (PCCC) devient exigible dans les contrats fédéraux. Le niveau 1 (auto-évaluation, 13 contrôles) est en vigueur depuis avril 2026. Le niveau 2 (98 contrôles, évaluation par un tiers) s’intègre aux contrats sélectionnés à partir du printemps 2027, annoncé mais pas encore en vigueur.
État au 16 octobre 2026. Le niveau 1 est en vigueur et apparaît déjà dans des appels d’offres de la chaîne d’approvisionnement de la défense. Le niveau 2 reste au stade de l’annonce : aucun organisme n’est encore accrédité pour l’évaluer. Le journal des changements, en bas de cette page, garde la trace de chaque mise à jour.
Le PCCC, aussi désigné par son sigle anglais CPCSC (Canadian Program for Cyber Security Certification), est le programme fédéral qui encadre la posture de cybersécurité des fournisseurs de la chaîne d’approvisionnement de la défense canadienne. Nous en avons détaillé le fonctionnement dans notre guide complet CPCSC / PCCC. Cette page-ci répond à une question plus étroite, celle de l’échéancier PCCC exact, posée sans cesse par les dirigeants et leurs conseillers en soumissions : à quelle date, exactement, chaque niveau devient-il une exigence réelle dans un contrat ?
C’est une question qui n’a pas une seule bonne réponse un jour donné. Elle a une réponse qui bouge, à mesure que les annonces officielles précisent le calendrier. Cette page est construite pour bouger avec elle.
Elle revient chez les mêmes lecteurs, mois après mois : un responsable des soumissions qui prépare un appel d’offres, un conseiller juridique qui négocie une clause de conformité, un dirigeant qui veut savoir s’il doit bouger cette année ou l’an prochain. Cette page existe pour eux, avec une seule promesse : chaque date y est datée, sourcée, et distinguée entre ce qui est confirmé et ce qui est seulement annoncé.
Dans cet article
Quel est l’échéancier PCCC en vigueur aujourd’hui ?
Deux niveaux sont annoncés à ce jour. Un seul est en vigueur. Le tableau ci-dessous les distingue en un coup d’œil.
| Niveau | Contrôles | Type de vérification | Statut au 16 octobre 2026 |
|---|---|---|---|
| Niveau 1 | 13 | Auto-évaluation par l’entreprise | En vigueur depuis avril 2026 |
| Niveau 2 | 98 | Évaluation par un organisme tiers, renouvelée aux trois ans | Annoncé pour le printemps 2027, aucun évaluateur accrédité à ce jour |
Le niveau 1 est simple à situer : il existe, une entreprise peut s’y conformer aujourd’hui même, et il commence déjà à apparaître dans des exigences contractuelles. Le niveau 2 est plus difficile à situer, parce qu’il combine une date annoncée et une inconnue structurelle, l’absence d’organismes évaluateurs accrédités. Les deux prochaines sections détaillent chacun de ces niveaux.
Pour un dirigeant qui planifie sur 12 à 24 mois, l’écart entre les deux niveaux compte autant que les dates elles-mêmes. Le niveau 1 se traite en semaines, avec les ressources internes. Le niveau 2 se traite en mois, avec une préparation qui commence bien avant qu’un évaluateur accrédité existe.
Quand le PCCC niveau 1 s’applique-t-il déjà à des contrats ?
Services publics et Approvisionnement Canada (SPAC) a lancé le niveau 1 du PCCC en avril 2026. C’est une auto-évaluation : l’entreprise atteste elle-même sa conformité à 13 contrôles de cybersécurité de base, sans vérification externe obligatoire à ce niveau.
Auto-évaluation ne veut pas dire sans conséquence. La personne qui signe l’attestation engage sa signature, pas seulement l’équipe technique de l’entreprise. C’est un exercice à traiter avec le sérieux d’un document contractuel, pas comme une formalité qu’on coche en vitesse avant une soumission.
L’exigence apparaît déjà dans des appels d’offres liés à la chaîne d’approvisionnement de la défense. Si votre entreprise vend à ce secteur, la question n’est plus de savoir si le niveau 1 vous rejoindra, mais quand un donneur d’ordre l’exigera dans un appel d’offres précis.
Nous avons complété notre propre auto-attestation PCCC niveau 1 chez Factero. Cela nous permet de connaître l’exercice de l’intérieur, pas seulement en théorie : les 13 contrôles, le vocabulaire, les zones où une entreprise sous-estime son écart réel.
Une nuance à garder en tête : l’auto-évaluation n’est pas une certification délivrée par un tiers. Personne ne vous remet un certificat de niveau 1 après vérification externe, vous attestez vous-même votre conformité, et cette attestation peut être vérifiée après coup par le donneur d’ordre. C’est une différence structurelle avec le niveau 2, où l’évaluation, elle, sera menée par un organisme accrédité indépendant de votre entreprise.
Quel est l’échéancier PCCC du niveau 2 en 2027, et qu’est-ce qui reste incertain ?
Le niveau 2 est plus exigeant : 98 contrôles, vérifiés par un organisme tiers accrédité, avec un cycle de renouvellement aux trois ans. L’intégration graduelle aux contrats sélectionnés a été annoncée à partir du printemps 2027, soit quelque part entre mars et juin, sans mois précis confirmé à ce jour.
Cette annonce laisse une inconnue de taille. En juillet 2026, le Conseil canadien des normes (CCN), l’organisme responsable d’accréditer les futurs évaluateurs, confirmait qu’aucun organisme n’était encore accrédité pour réaliser des évaluations de niveau 2. Nous avons documenté cette confirmation dans Niveau 2 : aucun évaluateur accrédité, confirmé par le CCN.
Une fois des évaluateurs accrédités en place, le processus ressemblera aux autres évaluations tierces reconnues, la même mécanique qui régit la plupart des certifications sérieuses :
- Le fournisseur prépare son dossier de conformité aux 98 contrôles.
- L’organisme tiers accrédité examine les preuves, documente les écarts et vérifie la conformité.
- L’organisme responsable du programme reçoit les conclusions et décide de délivrer la certification.
C’est l’inconnue clé de tout cet échéancier. Une date d’intégration annoncée ne vaut rien si personne n’est habilité à faire passer l’évaluation qu’elle exige. Tant que le CCN n’a accrédité aucun évaluateur, la date réelle à laquelle une entreprise pourra obtenir sa certification de niveau 2 reste, en pratique, suspendue à cette accréditation, même si l’intégration aux contrats, elle, avance selon le calendrier annoncé.
Comme pour toute certification, personne, ni consultant ni cabinet, ne peut vous garantir un résultat au niveau 2. C’est une obligation de moyens. Ce qu’un accompagnement sérieux peut faire, c’est vous éviter d’arriver devant un évaluateur avec un écart que vous auriez pu combler un an plus tôt. Nous détaillons pourquoi l’avance compte dans PCCC niveau 2 : pourquoi se préparer avant tout le monde.
Quelles sont les dates clés du PCCC, confirmées et estimées ?
Certaines dates de cet échéancier sont des faits. D’autres sont des annonces qui peuvent encore bouger. Les distinguer est l’objet même de cette page.
- Avril 2026, confirmé : lancement officiel du niveau 1 par SPAC, auto-évaluation, 13 contrôles, en vigueur depuis cette date.
- Juillet 2026, confirmé : le CCN confirme qu’aucun organisme évaluateur n’est encore accrédité pour le niveau 2.
- Printemps 2027, annoncé : intégration graduelle du niveau 2 aux contrats sélectionnés, selon le calendrier publié par le programme. Le mois exact n’est pas précisé.
- Date inconnue, non annoncée : l’accréditation des premiers organismes évaluateurs de niveau 2. C’est la date à suivre en priorité, elle conditionne toutes les suivantes.
Quand commencer pour être prêt à temps ?
Le rétroplanning d’une certification ne se compte pas depuis l’échéancier PCCC officiel. Il se compte depuis la date de clôture de l’appel d’offres qui va l’exiger, ou depuis le moment où votre secteur en fera une condition de facto.
Pour le niveau 2, notre expérience de terrain suggère de prévoir de 12 à 18 mois entre le début d’une démarche sérieuse et une entreprise réellement prête à passer une évaluation tierce. Ce n’est pas un chiffre officiel du programme, c’est une estimation fondée sur l’écart typique entre une posture de sécurité courante et 98 contrôles vérifiés. Une entreprise déjà avancée en ITSP.10.171 ou en conformité contractuelle avec la défense partira avec une longueur d’avance ; une entreprise qui découvre le sujet aujourd’hui devra compter plus large.
Concrètement, si un appel d’offres sur votre radar mentionne déjà le niveau 2, comptez à rebours depuis sa date de clôture, pas depuis le printemps 2027. Le calendrier officiel donne une fenêtre, votre contrat donne l’échéance réelle.
Trois repères pour construire ce rétroplanning sans attendre le printemps 2027 :
- Situez votre écart réel face aux 98 contrôles, même approximativement, plutôt que d’attendre une grille officielle d’auto-évaluation pour le niveau 2.
- Identifiez les appels d’offres où le niveau 2 est susceptible d’apparaître dans les 12 à 24 prochains mois, en fonction de vos donneurs d’ordre habituels.
- Suivez l’accréditation des évaluateurs par le CCN : c’est l’événement qui transforme une date annoncée en calendrier réel pour votre entreprise.
Si vous voulez situer votre propre écart avant que le calendrier ne vous mette au pied du mur, vous pouvez planifier un rétroplanning personnalisé avec Factero. Nous vous prévenons aussi, sans frais, à chaque changement significatif de cet échéancier.
Qu’est-ce qui a changé sur cette page, et quand ?
- 16 octobre 2026 : publication initiale. Grille de dates établie à partir des annonces officielles du programme et de la confirmation du CCN de juillet 2026.
Cet échéancier PCCC est révisé à chaque annonce officielle touchant le niveau 1 ou le niveau 2 du programme, en particulier la première accréditation d’un organisme évaluateur de niveau 2, qui sera le prochain jalon à documenter ici.
Pour aller plus loin avec Factero :
Foire aux questions
Le PCCC niveau 1 est-il exigé pour soumissionner, ou seulement pour obtenir le contrat ?
Seulement pour obtenir le contrat. Selon l’annonce officielle de Services publics et Approvisionnement Canada, la certification n’est pas exigée pendant le processus d’appel d’offres, mais au moment de l’attribution du contrat. Une entreprise peut donc déposer une soumission sans avoir complété son auto-évaluation, à condition de l’avoir en main si le contrat lui est accordé.
Le PCCC niveau 2 a-t-il une date d’entrée en vigueur officielle confirmée ?
Non, seulement une fenêtre annoncée. Le programme prévoit une intégration graduelle du niveau 2 aux contrats sélectionnés à partir du printemps 2027, sans mois précis publié à ce jour. C’est l’un des points clés de l’échéancier PCCC : tant qu’aucun organisme n’est accrédité pour réaliser les évaluations, cette fenêtre reste une intention plutôt qu’un calendrier ferme.
Existe-t-il déjà des organismes accrédités pour évaluer le niveau 2 ?
Non, pas à notre connaissance. Le Conseil canadien des normes confirmait en juillet 2026 qu’aucun organisme n’était encore accrédité pour réaliser des évaluations de niveau 2. C’est l’inconnue centrale de tout l’échéancier : une date d’intégration annoncée ne vaut rien tant que personne n’est habilité à évaluer une entreprise. Nous suivons cette accréditation dans Niveau 2 : aucun évaluateur accrédité, confirmé par le CCN.
Combien de temps faut-il prévoir pour se préparer au niveau 2 ?
De 12 à 18 mois selon notre expérience de terrain, une estimation, pas un chiffre officiel du programme. Une entreprise déjà avancée en ITSP.10.171 ou en conformité contractuelle avec la défense partira plus près de 12 mois ; une entreprise qui découvre le sujet aujourd’hui doit compter plus large.
Une entreprise peut-elle être vérifiée après avoir attesté sa conformité au niveau 1 ?
Oui. L’auto-évaluation de niveau 1 n’est pas validée par un tiers au moment de l’attestation, mais rien n’empêche un donneur d’ordre de vérifier après coup si les 13 contrôles attestés sont réellement en place. La signature engage l’entreprise, pas seulement son équipe technique : ce n’est pas une formalité à cocher en vitesse.
