En bref : L’information spécifiée PCCC est le terme canadien désignant l’information gouvernementale non classifiée mais sensible qu’un contrat fédéral de défense exige de protéger. Concrètement : devis, dessins techniques ou configurations système. Le niveau exigé, 1 ou 2, dépend de la nature de l’information et du risque du contrat, pas de la taille de l’entreprise.
Si un client de la Défense vous a envoyé un contrat qui parle d’« information spécifiée » sans jamais définir le terme, vous n’êtes pas seul. La définition existe, elle est publique, mais elle ne dit rien sur votre cas précis. Ce guide répond à la question que la définition officielle ne pose pas : chez vous, concrètement, qu’est-ce qui compte ?
Dans cet article
Qu’est-ce que l’information spécifiée PCCC, concrètement ?
Le Centre canadien pour la cybersécurité la définit ainsi dans le guide ITSP.10.171 : toute information, autre que classifiée, qu’une autorité du gouvernement du Canada identifie et qualifie dans un contrat comme devant être protégée.
Traduit en objets que vous reconnaissez sur votre serveur ou dans votre boîte de courriels, l’information spécifiée prend typiquement la forme de :
- Devis techniques transmis dans le cadre d’un appel d’offres ou d’un contrat de défense.
- Dessins d’ingénierie ou plans de fabrication liés à l’équipement visé.
- Configurations de systèmes décrivant le paramétrage d’un équipement ou d’un réseau.
- Calendriers de livraison précisant les échéances d’un contrat sensible.
- Listes de pièces associées à un équipement militaire ou stratégique.
- Plans de sécurité de site décrivant les mesures de protection physique d’une installation.
Rien de classifié au sens où l’entendent les films d’espionnage. Simplement de l’information que le gouvernement juge sensible parce qu’elle sert à construire, entretenir ou défendre quelque chose.
Le Programme canadien de certification en cybersécurité (PCCC), ou CPCSC pour Canadian Program for Cyber Security Certification en anglais, existe justement pour encadrer la protection de cette information une fois qu’elle quitte les systèmes du gouvernement et arrive chez vous, fournisseur.
Ce guide se concentre sur une seule question, celle du niveau. Pour une vue d’ensemble du programme au complet, ses trois niveaux et ses fondements, notre guide complet de la certification cyberdéfense reste le point de départ.
Le test en 5 questions : détenez-vous de l’information spécifiée ?
Personne ne vous envoie une étiquette « information spécifiée PCCC » collée sur un fichier. Le gouvernement précise que vous pouvez limiter la portée de vos obligations en désignant vous-même les systèmes et les comptes qui traitent, stockent ou transmettent cette information : la détermination du périmètre vous revient, avec les bonnes questions. En voici cinq, dans l’ordre où elles se posent en pratique.
- Recevez-vous, dans le cadre d’un contrat fédéral de défense, des documents que votre client qualifie comme devant être protégés ? Devis, dessins, configurations, calendriers : si le contrat ou une annexe les nomme, la question est réglée d’entrée de jeu.
- Ces documents sont-ils stockés chez vous, même temporairement ? Une boîte de courriels, un disque partagé, un ordinateur portable, un outil infonuagique comptent tous comme du stockage.
- Des employés, des sous-traitants ou un fournisseur infogéré y ont-ils accès, même occasionnellement ? L’accès compte, pas seulement la propriété du système.
- Ces renseignements circulent-ils, en interne ou vers l’extérieur, par courriel, transfert de fichiers ou impression ? La transmission est traitée exactement comme le stockage.
- Votre contrat ou votre client a-t-il déjà employé l’expression « information spécifiée » ou « specified information » dans une clause ou une communication écrite ? Si oui, cherchez la clause, elle précise généralement le niveau visé.
Une seule réponse affirmative suffit à vous mettre dans le périmètre. Le périmètre ne se limite pas au serveur qui clignote dans la salle des serveurs : une pièce jointe oubliée dans une boîte de réception peut suffire.
Reçue par courriel de votre client : ça compte aussi ?
Oui, sans nuance. La protection définie par ITSP.10.171 couvre le stockage et la transmission de l’information de façon large, que le fichier reste sur un poste, circule par courriel ou par transfert de fichiers, ou soit simplement imprimé. Un document papier dans un classeur compte aussi.
Concrètement, une spécification technique reçue une seule fois par courriel, jamais imprimée, jamais retransmise, place déjà l’ordinateur qui l’a reçue, le compte de courriel et la personne qui y a accès dans votre périmètre. Le nombre de fois où le fichier a été ouvert n’a aucune importance. Sa seule présence suffit.
C’est une des confusions les plus coûteuses que nous rencontrons : des dirigeants qui pensent que « nous ne faisons que consulter le document » les met à l’abri. Ce n’est pas le cas. Consulter, c’est traiter.
Information spécifiée ou classifiée : quelle est la différence ?
L’information spécifiée relève du PCCC ; l’information classifiée relève d’un régime distinct, administré par Services publics et Approvisionnement Canada (SPAC). Les confondre fait perdre du temps.
L’information spécifiée n’exige aucune cote de sécurité du personnel, aucune enquête de sécurité sur l’organisation. Elle se protège par des contrôles techniques et organisationnels, ceux d’ITSP.10.171.
L’information classifiée (Confidentiel, Secret, Très secret) relève du Programme de sécurité des contrats de SPAC. Y accéder exige une attestation de sécurité d’organisation, souvent une cote de fiabilité ou une cote de sécurité pour le personnel, et une inspection en bonne et due forme avant même de pouvoir traiter l’information sur vos propres systèmes.
Les deux régimes peuvent coexister dans un même contrat, mais ils ne se substituent jamais l’un à l’autre. Une entreprise avec une attestation de sécurité d’organisation en règle pour de l’information classifiée n’est pas dispensée de la démarche PCCC si elle manipule aussi de l’information spécifiée non classifiée. Ce sont deux cases à cocher, pas une.
Verdict niveau 1 ou niveau 2 : qui décide, et sur quoi ?
Le niveau requis pour votre information spécifiée PCCC est déterminé par le contrat et par la nature de l’information qu’il vise, pas par votre chiffre d’affaires ni votre nombre d’employés. C’est la question qui revient le plus souvent, et la réponse déçoit ceux qui espèrent une formule magique liée à la taille de l’entreprise. Une entreprise de cinq personnes peut se voir exiger le niveau 2 si l’information qu’elle manipule le justifie ; une entreprise de deux cents personnes peut rester au niveau 1 si son contrat ne l’expose qu’à de l’information moins sensible.
Trois niveaux composent le programme, chacun avec son propre nombre de contrôles et son propre mode de vérification.
| Niveau | Nombre de contrôles | Type de vérification |
|---|---|---|
| 1 | 13 | Autoévaluation annuelle par l’entreprise |
| 2 | 98 | Évaluation externe par un organisme de certification accrédité, plus attestation annuelle |
| 3 | 200 | Évaluation menée par le ministère de la Défense nationale, plus attestation annuelle |
Le niveau 1 couvre les fournisseurs qui manipulent de l’information spécifiée de sensibilité de base : une hygiène de cybersécurité raisonnable, vérifiée par vous-même. Il est accessible depuis avril 2026. Le niveau 2 s’adresse aux fournisseurs qui manipulent de l’information spécifiée plus sensible, ou dont le contrat comporte un risque plus élevé : ici, une firme accréditée par le Conseil canadien des normes vérifie votre conformité de l’extérieur, ce que nous détaillons dans PCCC niveau 2 : 98 contrôles, certification aux trois ans. Le niveau 3, réservé aux contrats les plus sensibles, est évalué directement par le ministère de la Défense nationale.
L’autorité contractante du gouvernement identifie et qualifie l’information visée directement dans le contrat, souvent dans une annexe de sécurité. C’est là, pas dans un tableau de correspondance générique, que se trouve la réponse pour votre dossier précis. Si la clause est absente ou ambiguë, la poser à votre agent de contrat reste la façon la plus fiable de trancher, bien avant de deviner.
Comment réduire son périmètre d’information spécifiée ?
La séparation logique permet d’isoler les systèmes, les comptes et les employés qui touchent réellement à l’information spécifiée, plutôt que d’étendre les contrôles à l’ensemble du réseau. Un sous-réseau distinct, un accès limité aux personnes qui en ont besoin, une frontière technique claire entre l’enclave protégée et le reste de l’entreprise : moins de systèmes dans le périmètre, moins de contrôles à démontrer, moins d’effort. Nous expliquons la mécanique en détail dans Périmètre restreint ITSP.10.171 : réduire l’effort sans tricher, avec les limites à respecter pour que la réduction du périmètre reste défendable devant un évaluateur.
Une fois le périmètre identifié, la tentation est pourtant de traiter toute l’entreprise comme si elle manipulait de l’information spécifiée. C’est rarement nécessaire, et c’est presque toujours plus cher que ça ne devrait l’être.
Ce travail de délimitation, fait tôt, change souvent la réponse à la question de départ. Une entreprise convaincue de devoir couvrir tout son réseau découvre parfois qu’une poignée de postes de travail suffit à contenir l’ensemble de son information spécifiée PCCC. Incapable de trancher niveau 1 ou niveau 2 par vous-même ? Une analyse de périmètre indépendante répond en quelques jours, et peut réduire votre effort de conformité au passage.
Pour aller plus loin avec Factero :
Foire aux questions
Mon fournisseur infonuagique gère-t-il l’information spécifiée à ma place ?
Non, pas automatiquement. Vous restez responsable de vérifier que votre fournisseur externe respecte les exigences applicables, comme l’authentification multifacteur exigée par ITSP.10.171. Un contrat avec un fournisseur infonuagique sérieux facilite la démarche, il ne la remplace pas.
Que faire si mon contrat ne précise pas le niveau exigé pour l’information spécifiée PCCC, 1 ou 2 ?
Posez la question directement à votre autorité contractante ou à votre agent de contrat avant de deviner. C’est l’autorité gouvernementale qui identifie et qualifie l’information visée dans le contrat, personne d’autre n’a ce pouvoir. Le niveau dépend du contrat et de l’information en jeu, jamais de la taille de votre entreprise.
Le PCCC niveau 2 est-il exigé pour tous les contrats de la Défense ?
Non. Seuls les contrats qui exposent le fournisseur à de l’information spécifiée plus sensible, ou qui comportent un risque élevé, exigent le niveau 2. Un contrat qui ne vise que de l’information spécifiée de sensibilité de base reste au niveau 1. C’est l’autorité contractante qui tranche, contrat par contrat, jamais une règle applicable à l’ensemble des fournisseurs de la Défense.
« Specified information » et « information spécifiée » désignent-ils la même chose ?
Oui. « Information spécifiée » est le terme utilisé en français pour ce que les autorités fédérales appellent « specified information » en anglais, dans les mêmes documents du Centre canadien pour la cybersécurité et de Services publics et Approvisionnement Canada. Un contrat rédigé en anglais qui emploie « specified information » vise la même obligation qu’un contrat en français qui parle d’« information spécifiée ».
L’information spécifiée est-elle un renseignement personnel au sens de la Loi 25 ?
Pas nécessairement. L’information spécifiée est un régime fédéral lié aux contrats de défense, distinct de la Loi 25 québécoise sur la protection des renseignements personnels. Un même document peut toutefois relever des deux régimes à la fois s’il contient, par exemple, des données personnelles d’employés en plus de spécifications techniques : les deux obligations s’appliquent alors en parallèle, sans se substituer l’une à l’autre.
Sources citées
- Program Overview : Canadian Program for Cyber Security Certification (Services publics et Approvisionnement Canada)
- Exigences de sécurité des contrats du gouvernement du Canada : Programme de sécurité des contrats (SPAC)
- Protecting specified information in non-Government of Canada systems and organizations, ITSP.10.171 (Centre canadien pour la cybersécurité)
