Audit de cybersécurité obligatoire : 4 obligations Loi 25

En bref : Non, aucune loi québécoise n’impose un audit de cybersécurité obligatoire. La Loi 25 exige toutefois un responsable de la protection des renseignements personnels, un registre des incidents, une évaluation des facteurs relatifs à la vie privée pour certains projets et des mesures de sécurité raisonnables, des obligations difficiles à démontrer sans une forme d’évaluation indépendante.

Dans cet article

La Loi 25 m’oblige-t-elle à faire un audit de cybersécurité ?

Pas au sens où vous l’entendez probablement. Cherchez l’expression « audit de cybersécurité obligatoire » dans le texte de la Loi 25, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, vous ne la trouverez pas telle quelle. La loi ne dit nulle part que vous devez faire vérifier votre sécurité par un tiers chaque année.

Ce qu’elle dit, en revanche, engage votre entreprise directement, et depuis un moment déjà. Depuis le 22 septembre 2022, toute entreprise privée qui traite des renseignements personnels doit désigner un responsable de la protection de ces renseignements et tenir un registre des incidents de confidentialité.

Depuis le 22 septembre 2023, une évaluation des facteurs relatifs à la vie privée est exigée avant certains projets, notamment l’acquisition ou la refonte d’un système qui traite des renseignements personnels, et avant une communication de renseignements hors Québec. Depuis le 22 septembre 2024, dernier volet du calendrier de mise en œuvre, s’ajoute le droit à la portabilité des données pour les personnes concernées.

Aucune de ces obligations ne s’appelle audit. Mais essayez de démontrer, sans jamais avoir fait vérifier vos mesures de sécurité par quelqu’un d’externe à votre équipe, que ces mesures sont raisonnables au sens où la loi l’entend. C’est là que le mot audit revient par la porte arrière : pas parce que la loi l’exige nommément, mais parce qu’il devient le moyen le plus direct de prouver une conformité que la loi, elle, exige bel et bien.

Qu’est-ce que la loi exige alors, concrètement ?

La loi exige quatre choses concrètes : un responsable désigné, un registre des incidents, une évaluation des facteurs relatifs à la vie privée pour certains projets et des mesures de sécurité raisonnables. Ce sont les obligations qui reviennent le plus souvent dans nos échanges avec des dirigeants qui découvrent la Loi 25 à cause d’un appel d’offres ou d’un incident.

Un responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise, souvent la présidence, à moins qu’elle délègue la fonction par écrit à quelqu’un d’autre. Ce rôle n’est pas symbolique : c’est le point de contact que la Commission d’accès à l’information joint en cas de plainte.
Un registre des incidents de confidentialité. Chaque incident touchant des renseignements personnels, même mineur, s’y consigne. Un incident qui présente un risque de préjudice sérieux doit en plus être déclaré à la Commission d’accès à l’information et aux personnes concernées.
Une évaluation des facteurs relatifs à la vie privée pour les projets qui touchent des renseignements personnels : nouveau système, refonte importante, communication de renseignements hors Québec.
Des mesures de sécurité proportionnées à la sensibilité des renseignements détenus. La loi ne fixe pas de norme technique précise, elle attend un niveau de protection raisonnable compte tenu de ce que vous détenez.

Ces quatre obligations ont un point commun : elles se documentent. Un responsable nommé qui n’a jamais rien évalué, un registre vide alors que des incidents sont survenus, une évaluation jamais faite avant une refonte de système, ce sont exactement les lacunes qu’une vérification, interne ou externe, met au jour.

Comment distinguer une obligation légale d’une exigence contractuelle ?

La loi vous oblige à certaines choses ; vos clients, vos assureurs ou vos prêteurs peuvent en exiger d’autres, plus précises, sans qu’aucune loi ne les y force. C’est ici que la confusion s’installe le plus souvent chez les dirigeants qu’on rencontre : les deux colonnes ne se superposent pas.

Le tableau qui suit distingue les trois sources d’exigences et ce qui arrive si vous les ignorez.

Source de l’exigence	Qui l’impose	Conséquence si vous l’ignorez
Obligation légale	La Loi 25, et pour certaines entreprises d’autres lois fédérales	Sanction administrative ou poursuite pénale de la Commission d’accès à l’information
Exigence contractuelle	Un client, un donneur d’ordre, un assureur, un prêteur	Perte du contrat, refus ou hausse de la prime d’assurance, refus de financement
Bonne pratique	Aucune autorité externe, jugement professionnel de votre équipe ou de vos conseillers	Rien d’immédiat, jusqu’à ce qu’un incident ou un audit révèle l’écart

La sanction pour non-respect de la Loi 25 n’est pas symbolique. La Commission d’accès à l’information peut imposer à une entreprise une sanction administrative pécuniaire allant jusqu’à 10 millions de dollars ou 2 % de son chiffre d’affaires mondial, selon le montant le plus élevé. Des sanctions distinctes s’appliquent aux personnes physiques. La loi prévoit aussi la possibilité d’une poursuite pénale devant les tribunaux, avec des amendes qui grimpent en cas de récidive.

Ces montants concernent l’obligation légale. Une exigence contractuelle n’a pas besoin d’atteindre ce niveau pour vous coûter cher : un client qui retire un appel d’offres parce que votre dossier de sécurité est incomplet ne vous poursuit pas, il vous laisse simplement de côté.

Le RGPD et NIS2, ça s’applique-tu à mon entreprise ?

Probablement pas, et c’est important de le dire clairement, parce qu’une bonne partie du contenu trouvé en cherchant « audit de cybersécurité obligatoire » en français parle en réalité du RGPD ou de la directive NIS2, deux cadres européens.

Le RGPD, le règlement général sur la protection des données, s’applique à une entreprise établie dans l’Union européenne, ou à une entreprise hors de l’Union qui offre des biens ou services à des personnes situées dans l’Union, ou qui suit leur comportement. Une PME québécoise qui vend au Québec et au reste du Canada, sans activité dirigée vers l’Europe, n’est généralement pas visée.

NIS2, la directive européenne sur la sécurité des réseaux et de l’information, vise des secteurs précis d’infrastructures essentielles à l’intérieur de l’Union européenne. Une entreprise québécoise sans établissement ni infrastructure critique en Europe ne s’y trouve pas assujettie non plus.

Ce que ces deux cadres ont en commun avec la Loi 25, c’est la logique : un responsable désigné, un registre des incidents, une évaluation de risque avant certains projets. C’est probablement pour ça que les moteurs de recherche les mêlent dans les mêmes résultats. Mais l’autorité qui peut vous sanctionner, au Québec, c’est la Commission d’accès à l’information, pas un régulateur européen. Si votre entreprise vend réellement en Europe ou y détient un établissement, la question change de nature et mérite un avis juridique distinct de ce guide.

Audit de cybersécurité obligatoire : qui peut me l’imposer même si la loi ne le fait pas ?

Vos clients, vos assureurs, vos prêteurs et vos donneurs d’ordre peuvent l’exiger, même si la loi ne les y force pas. C’est la partie que beaucoup de dirigeants découvrent trop tard, en pleine négociation d’un contrat :

Un client important, surtout dans la finance, la santé ou tout secteur où vous traitez ses données, peut exiger un audit de cybersécurité avant de signer ou de renouveler une entente. C’est une clause contractuelle, pas une obligation légale. Notre article sur l’audit de cybersécurité pour PME détaille ce que ce type de vérification couvre concrètement, et comment il diffère d’un test d’intrusion.
Un assureur peut conditionner votre police de cyber-risque, ou son renouvellement, à un audit ou à un questionnaire de sécurité détaillé.
Un prêteur peut faire de même avant d’accorder ou de renouveler du financement, surtout si votre entreprise dépend fortement de ses systèmes.
Un donneur d’ordre, notamment dans un contrat gouvernemental ou parapublic, ajoute parfois ses propres exigences par-dessus la loi, avec ses propres délais.

Aucune de ces parties n’invoque la Loi 25 pour vous imposer un audit. Elles s’en servent, tout au plus, comme argument de sérieux dans leur propre gestion du risque. Leur pouvoir vient du contrat que vous êtes libre de signer ou non, pas d’une loi qui vous y forcerait.

Par où commencer si je pars de zéro ?

Trois gestes, dans l’ordre, avant même de penser à un audit formel.

Vérifiez si vous avez un responsable désigné de la protection des renseignements personnels, et si son rôle est écrit quelque part, pas seulement compris tacitement par l’équipe. Si personne n’a jamais formalisé la chose, c’est le premier trou à combler : il coûte une heure de travail.
Regardez si un registre des incidents existe déjà. S’il n’existe pas, créez-le maintenant, pas après le premier incident. Un registre ouvert après coup a beaucoup moins de valeur devant la Commission d’accès à l’information qu’un registre tenu depuis le début.
Faites le tour de vos contrats en cours et de vos polices d’assurance pour repérer ce qu’ils exigent déjà en matière de sécurité. C’est souvent là, pas dans la loi, que se trouve l’échéance qui presse réellement.

Le Centre canadien pour la cybersécurité publie par ailleurs des guides gratuits destinés spécifiquement aux petites et moyennes entreprises, un bon point de départ pour traduire ces obligations légales en gestes techniques concrets, même s’ils ne remplacent pas un avis adapté à votre situation.

Notre article C’est quoi, un audit informatique ? explique en langage simple ce que couvre une vérification indépendante, et notre guide complet de l’audit informatique détaille la démarche du début à la fin.

Si après ce premier tour vous ne savez toujours pas si un audit de cybersécurité obligatoire s’applique à votre entreprise, ce n’est pas un signe d’incompétence : c’est un signe que la question est mal posée pour la plupart des dirigeants, coincée entre un texte de loi écrit pour des juristes et une SERP qui répond pour la France. Une heure d’échange avec un auditeur indépendant clarifie vos obligations réelles, sans vous vendre plus que nécessaire, à travers notre accompagnement en audit TI indépendant.

Planifier un appel exploratoire

Pour aller plus loin avec Factero :

Foire aux questions

Une PME de dix employés est-elle visée par la Loi 25 ?

Oui. La Loi 25 ne fixe pas de seuil de taille d’entreprise. Si vous traitez des renseignements personnels, employés ou clients, les obligations s’appliquent, même à une très petite structure. Il n’existe pas d’audit de cybersécurité obligatoire réservé aux grandes entreprises : l’ampleur des mesures attendues tient compte raisonnablement de votre taille.

Qui applique les sanctions de la Loi 25 ?

La Commission d’accès à l’information du Québec. Elle peut imposer une sanction administrative pécuniaire allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé, depuis le 22 septembre 2023. Elle peut aussi intenter une poursuite pénale devant les tribunaux, avec des amendes qui grimpent en cas de récidive.

Quand dois-je faire une évaluation des facteurs relatifs à la vie privée (EFVP) ?

Avant certains projets qui touchent des renseignements personnels : l’acquisition ou la refonte importante d’un système, ou une communication de renseignements personnels hors Québec. La Loi 25 exige cette évaluation depuis le 22 septembre 2023. Elle documente les risques du projet et les mesures prévues pour les réduire, un exercice différent d’un audit de sécurité ponctuel.

Dois-je déclarer tous mes incidents à la Commission d’accès à l’information ?

Non, pas tous. Chaque incident touchant des renseignements personnels doit être consigné à votre registre interne, même mineur. Seul un incident qui présente un risque de préjudice sérieux doit en plus être déclaré à la Commission d’accès à l’information et aux personnes concernées. C’est la distinction que les dirigeants confondent le plus souvent.

Le Commissariat à la protection de la vie privée du Canada a-t-il aussi un rôle ?

Oui, pour les organisations assujetties à la Loi sur la protection des renseignements personnels et les documents électroniques, généralement les entreprises fédérales ou celles qui opèrent hors Québec. Une entreprise strictement québécoise relève d’abord de la Loi 25 et de la Commission d’accès à l’information.

Audit de cybersécurité obligatoire ? La réponse québécoise

Besoin d’aide sur ce sujet ?