ITSP.10.171 appel d'offres défense : pourquoi un signal

En bref : ITSP.10.171 appel d’offres défense : depuis le 29 avril 2026, certains appels d’offres fédéraux exigent que la manipulation de l’information soit conforme à cette norme de cybersécurité, sans exiger de certification. Cette ligne, discrète dans les documents, annonce le Programme canadien de certification en cybersécurité (PCCC) : le niveau 1 devient obligatoire dans certains contrats dès l’été 2026.

Le 29 avril 2026, un appel d’offres est paru sur AchatsCanada. Rien de spectaculaire à première vue : un défi d’innovation de l’Armée canadienne, à la recherche de drones abordables capables de mesurer une distance à deux mètres près depuis un kilomètre, par télémétrie laser. Des appels d’offres de ce genre, nous en voyons passer chaque semaine depuis Saint-Jean-sur-Richelieu, à quelques minutes du Collège militaire royal de Saint-Jean.

Celui-ci porte le numéro W7714-248676/012. Il ferme le 10 juin 2026, encore ouvert au moment d’écrire ces lignes. Ce n’est pas le drone qui nous a arrêtés. C’est une ligne, noyée dans les résultats obligatoires du document : la manipulation de l’information du projet doit être conforme à la norme de cybersécurité ITSP.10.171.

Une exigence technique parmi d’autres, pourrait-on penser. C’est plutôt un signal avant-coureur, et voici pourquoi.

Dans cet article

ITSP.10.171 appel d’offres défense : que dit exactement l’exigence ?

Le document, dans la section des résultats obligatoires, exige que le télémètre laser fonctionne en toute sécurité pour les yeux (classe 1) et que la manipulation de l’information du projet soit conforme à la norme ITSP.10.171, publiée par le Centre canadien pour la cybersécurité.

Une nuance mérite toute votre attention, parce que c’est elle qui distingue un signal avant-coureur d’un cas isolé. L’appel d’offres exige de respecter la norme. Il n’exige pas d’être certifié. Aucune ligne du document ne demande un certificat, un audit externe ou une attestation déposée avec la soumission. On vous demande de démontrer, si on vous le demande, que vos pratiques de manipulation de l’information respectent les contrôles de la norme.

C’est une différence de degré, pas de vocabulaire. Une norme à respecter se vérifie par la bonne foi du fournisseur et, au besoin, par une vérification ponctuelle. Une certification se prouve par un document daté, signé, délivré par un tiers. Le jour où l’appel d’offres passera de l’un à l’autre, l’exigence deviendra une barrière à l’entrée.

Ce jour-là n’est pas encore arrivé pour ce type de contrat précis. Mais il approche, et il a déjà une date pour d’autres.

Pourquoi cette ligne est-elle un signal, et non un cas isolé ?

Parce qu’elle n’est pas seule. Le 14 avril 2026, Services publics et Approvisionnement Canada a lancé le niveau 1 du Programme canadien de certification en cybersécurité, appelé PCCC en français et CPCSC en anglais. Le niveau 1 sera exigé dans certains contrats de défense dès l’été 2026.

ITSP.10.171 appel d’offres défense : le mécanisme est simple une fois qu’on le voit. La norme s’installe d’abord dans le vocabulaire des appels d’offres, comme une exigence à respecter parmi d’autres, sans preuve formelle exigée au dépôt. Ensuite, pour une partie de ces contrats, le PCCC transforme cette même exigence en autoévaluation obligatoire, complétée et attestée par le fournisseur, au moment de l’attribution du contrat. Les niveaux 2 et 3, prévus pour les prochaines années, ajouteront une évaluation externe menée par un organisme accrédité par le Conseil canadien des normes, puis une évaluation menée par la Défense nationale elle-même.

Le PCCC s’aligne sur le programme américain CMMC (Cybersecurity Maturity Model Certification, le programme de certification en cybersécurité du département de la Défense des États-Unis), sans le dupliquer. Les deux pays utilisent essentiellement les mêmes contrôles techniques, dérivés de la norme américaine NIST SP 800-171, publiée par le National Institute of Standards and Technology. Un fournisseur qui travaille des deux côtés de la frontière gagne à comprendre les deux cadres en parallèle, pas l’un après l’autre.

Voici où en est le calendrier, tel qu’on peut le lire aujourd’hui.

Moment	Ce qui est exigé	Depuis / à partir de
Au dépôt de la soumission	Rien de formel : l’autoévaluation PCCC n’est pas une condition pour soumissionner	Déjà en vigueur
À l’attribution du contrat	Respect démontré de la norme ITSP.10.171 ; pour certains contrats, autoévaluation et attestation du niveau 1 du PCCC	Été 2026
Les prochaines années	Niveaux 2 et 3 du PCCC : évaluation externe par un organisme accrédité, puis évaluation par la Défense nationale	Calendrier non fixé

Pour une vue d’ensemble des trois niveaux et de leurs exigences respectives, notre guide complet du CPCSC et du PCCC détaille chaque palier.

Qu’est-ce que la norme ITSP.10.171, au juste ?

ITSP.10.171 est la version canadienne de la norme américaine NIST SP 800-171, révision 3. Le Centre canadien pour la cybersécurité l’a publiée en français pour la première fois le 2 avril 2025, accompagnée d’un second document, ITSP.10.171-01, qui explique comment évaluer la conformité aux exigences. La norme regroupe ses exigences en 17 familles, notamment :

Contrôle d’accès
Identification et authentification
Intervention en cas d’incident
Protection des supports
Gestion des risques liés à la chaîne d’approvisionnement

Ce que la norme protège n’est pas votre entreprise en entier. C’est l’information désignée que le gouvernement vous confie, ou que vous produisez pour lui, dans le cadre d’un contrat précis. Une image aide à cerner l’enjeu. Un usineur qui reçoit le plan d’une pièce militaire détient une information sensible, même s’il ne fabrique qu’une vis. Un transporteur qui sait quoi, quand et vers quelle base livrer détient, lui aussi, une information sensible, même s’il ne touche jamais à un plan technique. La norme vise cette information-là, où qu’elle circule dans la chaîne de sous-traitance, pas seulement chez le maître d’œuvre du contrat.

Ce qui manque aujourd’hui, ce n’est pas la norme : elle existe, elle est publiée, elle est en français depuis plus d’un an. Ce qui manque, ce sont les évaluateurs accrédités pour les niveaux 2 et 3 du PCCC. Le schéma d’accréditation est publié, mais la liste des organismes accrédités reste à construire au fil des prochains mois.

Qui, dans la chaîne de sous-traitance, est concerné ?

Pas seulement l’entreprise qui décroche le contrat de drones. La norme suit l’information, pas le nom inscrit sur le contrat principal. Trois exemples suffisent à le montrer.

Sous-traitant qui reçoit un plan technique pour usiner une pièce : il détient l’information.
Fournisseur de logiciel embarqué qui reçoit des spécifications de vol : il la détient aussi.
Firme de transport qui connaît le quoi, le quand et la destination d’une livraison : elle la détient, même sans jamais voir un schéma.

Au Québec, une partie de cette chaîne gravite autour de Saint-Jean-sur-Richelieu et de la Montérégie, dans le rayon du Collège militaire royal de Saint-Jean et des donneurs d’ordre en défense qui y font affaire. Une PME manufacturière qui répond à l’appel d’offres d’un maître d’œuvre, sans jamais soumissionner elle-même sur AchatsCanada, peut se voir imposer les mêmes exigences par contrat privé, en cascade, un ou deux rangs plus loin dans la chaîne.

Est-ce que vous manipulez, même indirectement, de l’information liée à un contrat de défense ? Et si un client principal vous demande demain une attestation de conformité à l’ITSP.10.171 ou au PCCC, avez-vous de quoi répondre ? Notre article Qui est visé par le CPCSC ? détaille les catégories de fournisseurs touchées, des maîtres d’œuvre jusqu’aux sous-traitants de rang éloigné.

Que faire si un appel d’offres visé par ITSP.10.171 vous intéresse ?

ITSP.10.171 appel d’offres défense : trois gestes suffisent, dans l’ordre.

Repérez la ligne exacte. Elle se cache souvent dans les résultats obligatoires ou les exigences techniques du document, pas dans une section dédiée à la sécurité. Lisez l’appel d’offres au complet : un mot comme conforme, aligné ou respecte change tout, un mot comme certifié en change encore plus.
Vérifiez si l’attestation du niveau 1 du PCCC est exigée pour ce contrat précis, et à quel moment. Si vous ne savez pas encore si votre organisation est visée, l’article Qui est visé par le CPCSC ? cité plus haut répond à la question. L’autoévaluation n’est généralement pas une condition de dépôt de soumission ; elle devient une condition d’attribution pour certains contrats à partir de l’été 2026. Un fournisseur qui gagne un contrat sans être prêt à temps peut perdre ce contrat déjà gagné.
Évaluez l’écart entre vos pratiques actuelles et les 17 familles de la norme, à l’aide de l’outil gouvernemental gratuit d’autoévaluation. La marche à suivre pas à pas est détaillée dans Auto-évaluation PCCC niveau 1 : le mode d’emploi. Selon la maturité de votre organisation, la mise à niveau prend de quelques jours à plusieurs mois. Le seul moyen de le savoir est de faire l’exercice, pas de le deviner.

ITSP.10.171 appel d’offres défense : une ligne comme celle-ci sur le bureau ne se lit pas seule, et personne ne devrait avoir à la déchiffrer sans accompagnement la première fois. Nous suivons ces appels d’offres chaque semaine depuis Saint-Jean-sur-Richelieu, en toute indépendance : Factero ne vend ni logiciel ni service géré, seulement une lecture claire de ce que l’exigence demande vraiment. Si une ligne ITSP.10.171 ou PCCC vient d’apparaître dans vos documents, vous pouvez planifier un appel exploratoire avec Factero avant de soumissionner. Notre vision, vos décisions.

Planifier un appel exploratoire

Pour aller plus loin avec Factero :

accompagnement ITSP.10.171 et certification PCCC

Foire aux questions

Le PCCC (CPCSC), qu’est-ce que c’est exactement ?

Le Programme canadien de certification en cybersécurité (PCCC en français, CPCSC en anglais) est le programme fédéral qui vérifie que les fournisseurs de la défense protègent l’information désignée selon la norme ITSP.10.171. Lancé le 14 avril 2026 par Services publics et Approvisionnement Canada, il compte trois niveaux : autoévaluation au niveau 1, évaluation externe accréditée aux niveaux 2 et 3. Notre guide complet du CPCSC et du PCCC explique les trois paliers en détail.

Dois-je être certifié pour soumissionner à un appel d’offres qui mentionne ITSP.10.171 ?

Non, pas pour déposer une soumission. Aujourd’hui, aucun appel d’offres n’exige de certificat au dépôt : on vous demande de respecter la norme, pas de le prouver formellement. L’autoévaluation du niveau 1 du PCCC devient une condition à l’attribution du contrat pour certains contrats de défense, à partir de l’été 2026. Vérifiez toujours le texte exact du document qui vous intéresse : la règle varie d’un contrat à l’autre.

Quand le PCCC devient-il obligatoire ?

Le niveau 1 sera exigé dans certains contrats de défense dès l’été 2026, pas dans l’ensemble des marchés fédéraux. Aucune date n’est encore fixée pour les niveaux 2 et 3, qui ajouteront une évaluation externe par un organisme accrédité puis par la Défense nationale. D’ici là, la norme ITSP.10.171 s’installe déjà dans le vocabulaire des appels d’offres, sans preuve de certification exigée au dépôt.

Le CMMC américain et le PCCC canadien sont-ils la même chose ?

Non, ce sont deux programmes distincts, mais proches. Les deux s’appuient sur des contrôles techniques largement communs, dérivés de la norme NIST SP 800-171. Le PCCC canadien s’aligne sur le CMMC américain sans le dupliquer : une certification obtenue dans l’un des deux programmes ne vaut pas automatiquement dans l’autre. Un fournisseur actif des deux côtés de la frontière doit se qualifier séparément dans chaque programme.

Le certificat CyberSécuritaire Canada est-il la même chose que le PCCC ?

Non. CyberSécuritaire Canada est une certification volontaire de base, ouverte à toute PME peu importe le secteur, administrée par le Conseil canadien des normes. Le PCCC est un programme distinct, propre aux fournisseurs de la défense, administré par Services publics et Approvisionnement Canada. Factero détient le niveau 1 de CyberSécuritaire Canada ; ce n’est pas une équivalence au PCCC.

La petite ligne ITSP.10.171 qui change vos appels d’offres de défense

Besoin d’aide sur ce sujet ?