En bref : CMMC Canada : une entreprise d’ici doit s’y conformer dès qu’un client américain l’exige par contrat, même sans lien direct avec les États-Unis. Le CMMC, ou Cybersecurity Maturity Model Certification, est le programme que le département de la Défense américain impose à sa chaîne d’approvisionnement, jusqu’au dernier sous-traitant.
Si un client américain vient de vous envoyer un courriel avec les mots « CMMC » et « obligatoire » dans la même phrase, ce guide est pour vous. Pas pour votre équipe technique, pour vous : le dirigeant qui doit décider quoi faire, dans quel ordre, et avec qui.
Dans cet article
CMMC Canada : est-ce que ça s’applique à une entreprise d’ici ?
Oui, et le mécanisme n’a rien de mystérieux. Le CMMC n’est pas une loi américaine qui s’imposerait au Canada. C’est une exigence contractuelle que le département de la Défense américain attache à ses marchés, et qui se transmet vers le bas de la chaîne : votre client vous impose ce qu’on lui impose à lui. Dans l’univers du CPCSC (le programme canadien de certification en cybersécurité, aussi désigné PCCC), on appelle ce mécanisme le « flow-down » : l’exigence descend contrat par contrat, jusqu’au dernier sous-traitant.
Concrètement, si votre entreprise fournit un produit, un service ou du personnel à un maillon de la chaîne d’approvisionnement du département de la Défense, même à titre de sous-traitant de troisième ou quatrième niveau, votre contrat va probablement porter une clause exigeant un palier CMMC précis. Le niveau exigé dépend du type d’information que vous manipulez : simple information contractuelle fédérale, ou une catégorie plus sensible que nous détaillons plus loin dans ce guide. Plus l’information est sensible, plus le palier CMMC exigé est élevé.
Le CMMC Canada ne fait pas d’exception pour votre nationalité : rien ne vous exempte. Il complique même la donne, parce que vous devez composer avec deux appareils réglementaires en même temps, celui de votre client américain et le vôtre, celui du PCCC qui s’installe au Canada.
Si vous partez de zéro, notre guide complet de la certification CPCSC/PCCC explique toute la mécanique canadienne avant d’aborder la couche américaine.
Où en est le programme CMMC aujourd’hui ?
Le CMMC Canada suit le même calendrier que le programme américain, et ce calendrier a changé plusieurs fois depuis son lancement. À l’été 2026, une pause dans la mise en œuvre a modifié les attentes envers les fournisseurs, y compris les fournisseurs canadiens. Nous avons suivi cet épisode en détail dans CMMC en pause : quel impact pour les fournisseurs canadiens ?, et nous ajustons nos recommandations à mesure que le calendrier du département de la Défense se précise.
Ne calez pas votre échéancier sur une date affichée quelque part en ligne si vous préparez votre dossier maintenant. Le calendrier qui compte pour vous se confirme directement dans le texte de votre contrat, ou auprès de votre client, pas sur une page qui peut dater de plusieurs mois. Un programme dont le calendrier bouge n’est pas un programme optionnel : c’est un programme dont la date exacte se revalide à chaque nouvelle négociation, pas une seule fois au début.
Ma préparation PCCC compte-t-elle pour le CMMC ?
En bonne partie, oui, et c’est la meilleure nouvelle de ce guide. Le PCCC s’appuie sur ITSP.10.171, la norme technique du Centre canadien pour la cybersécurité qui détermine les contrôles exigés. Cette norme est elle-même calquée sur NIST SP 800-171, la norme américaine du National Institute of Standards and Technology. Le CMMC s’appuie sur cette même norme NIST SP 800-171 pour ses paliers intermédiaires et avancés.
Les deux régimes descendent donc du même arbre généalogique, ce qui est une bonne nouvelle pour qui prépare son dossier CMMC Canada. Nous détaillons cette parenté dans CPCSC vs CMMC : comprendre les deux programmes de cybersécurité, et voici l’essentiel.
| Élément | PCCC (Canada) | CMMC (États-Unis) |
|---|---|---|
| Norme technique sous-jacente | ITSP.10.171, calquée sur NIST SP 800-171 | NIST SP 800-171 (paliers intermédiaire et avancé) |
| Autorité | Gouvernement du Canada, programme fédéral | Département de la Défense américain |
| Palier de base | Niveau 1 : auto-attestation | Palier de base : auto-évaluation |
| Palier avancé | Niveau 2 : certifié par un organisme accrédité | Paliers supérieurs : évaluation par un C3PAO (voir plus bas) |
| Portée | Fournisseurs du gouvernement du Canada et de sa chaîne de défense | Fournisseurs et sous-traitants du département de la Défense, où qu’ils soient situés |
Un contrôle d’accès, une politique de gestion des incidents ou un mécanisme de journalisation que vous avez déjà documenté pour votre auto-évaluation PCCC niveau 1, ou votre préparation au niveau 2, a de bonnes chances de répondre, en tout ou en partie, à un contrôle équivalent du côté américain.
« De bonnes chances » n’est pas « automatiquement ». Les deux programmes divergent sur le vocabulaire, sur la portée exacte de certains contrôles et sur les exigences documentaires. Traiter les deux référentiels comme identiques est une erreur aussi coûteuse que de les traiter comme complètement étrangers l’un à l’autre. La bonne méthode consiste à documenter, contrôle par contrôle, où les deux référentiels se recoupent, où ils divergent, et où l’un exige quelque chose que l’autre ignore. C’est la même logique que nous appliquons dans notre cartographie de la certification TGV en santé numérique, dont la version en données ouvertes a été déposée publiquement en août 2026 : documenter chaque correspondance plutôt qu’affirmer une équivalence générale d’un coup d’œil.
Le résultat pratique : votre dossier PCCC n’est jamais du travail perdu pour le CMMC, et l’inverse est vrai aussi. Mais aucun des deux ne remplace l’autre. Vous ferez la démarche une fois, avec deux livrables à la sortie, si vous vous organisez correctement dès le départ.
Qui peut m’évaluer ou m’accompagner pour le CMMC, depuis le Canada ?
Deux rôles à ne pas confondre pour bâtir votre dossier CMMC Canada, et la confusion coûte cher.
Le C3PAO, l’organisme d’évaluation tiers accrédité par le programme CMMC, est celui qui mène l’évaluation officielle pour les paliers qui l’exigent et qui rend la décision de certification. Cette accréditation relève d’un processus américain : elle ne s’obtient pas au Canada par défaut, même pour un cabinet établi ici.
Le rôle du conseil, celui que joue Factero pour le CPCSC, est différent et complémentaire. Nous ne délivrons aucune certification, ni PCCC ni CMMC : nous cartographions l’écart entre votre posture actuelle et les deux référentiels, nous préparons la documentation, nous coordonnons les tests requis, et nous vous amenons devant l’organisme évaluateur avec un dossier qui tient la route. La décision finale, dans les deux régimes, appartient toujours à l’organisme d’évaluation accrédité, jamais au consultant. Quiconque vous promet une certification garantie vous dit quelque chose sur son sérieux, pas sur vos chances réelles.
Un point structurel mérite d’être répété ici, parce qu’il fait toute la différence dans le choix d’un partenaire. Un cabinet qui vous vend aussi un logiciel de conformité ou de l’infogérance a un intérêt commercial dans la façon dont il évalue votre écart. Un cabinet indépendant, sans produit à vendre à côté du mandat, n’a que son évaluation à défendre. C’est aussi pourquoi nous avons complété notre propre auto-attestation PCCC niveau 1 : le cordonnier bien chaussé a plus de poids dans ce genre de discussion.
Comment bâtir un seul programme de conformité pour les deux pays ?
La tentation, pour une entreprise qui jongle avec le CMMC Canada et sa démarche PCCC, est de traiter les deux dossiers en parallèle, avec deux équipes, deux calendriers et deux budgets qui ne se parlent pas. C’est rarement la bonne réponse pour une PME.
Trois gestes structurent une approche plus économique.
- Bâtissez un seul registre de contrôles, avec une colonne PCCC/ITSP.10.171 et une colonne CMMC/NIST SP 800-171 en vis-à-vis, plutôt que deux dossiers qui s’entretiennent chacun de leur côté.
- Concevez vos politiques et vos contrôles techniques au niveau le plus exigeant des deux régimes, puis démontrez la conformité à chaque référentiel séparément à partir de cette même base commune.
- Suivez les deux calendriers séparément. Le PCCC et le CMMC n’avancent pas au même rythme, et une pause d’un côté ne dit rien du calendrier de l’autre.
C’est le genre de travail que nous faisons pour des fournisseurs pris entre les deux régimes : un accompagnement CPCSC qui tient compte, dès le départ, de l’exigence américaine posée sur la table par votre client, plutôt que deux mandats qui se chevauchent sans se coordonner. Nous sommes membres de la CADSI, l’Association des industries canadiennes de défense et de sécurité, sans logiciel ni infogérance à vendre à côté du mandat.
Le CUI et l’ITAR : quels pièges quand vous hébergez des données américaines ?
Un dernier piège, plus juridique que technique, revient souvent dans nos échanges avec des fournisseurs qui préparent leur dossier CMMC Canada : celui du CUI, l’information contrôlée non classifiée, l’équivalent américain de ce que le PCCC appelle l’information spécifiée, et celui de l’ITAR, le régime américain de contrôle des exportations de matériel de défense.
Si votre contrat américain touche à du matériel ou à des données visées par l’ITAR, la question n’est plus seulement de sécuriser l’information : c’est de savoir qui, dans votre entreprise, a le droit d’y accéder. L’ITAR restreint l’accès à certaines données même à l’intérieur du Canada, selon la citoyenneté des personnes qui les manipulent. Un employé qui n’est pas citoyen américain, ou qui n’a pas la résidence permanente aux États-Unis, peut se voir refuser l’accès à de l’information par ailleurs stockée sur vos propres serveurs. C’est une contrainte qui n’a rien à voir avec le CMMC lui-même, elle vient d’un régime distinct, et elle surprend les dirigeants qui ne l’ont pas vue venir.
Le CUI pose un problème différent, celui de la localisation. Où hébergez-vous cette information ? Chez quel fournisseur infonuagique ? Dans quelle région ? Ces questions se répondent avant de signer le contrat, pas après un audit qui les découvre à votre place.
Vos obligations ne s’arrêtent pas à la frontière du CMMC. Sur une même infrastructure, une entreprise binationale peut se retrouver à gérer, en même temps :
- PCCC : la norme technique ITSP.10.171, celle de votre auto-attestation ou de votre certification canadienne.
- CMMC : l’exigence posée par votre client américain, avec son propre calendrier.
- ITAR : le contrôle d’accès selon la citoyenneté, s’il s’applique à votre contrat.
- Loi 25 : vos obligations québécoises pour tout renseignement personnel détenu par ailleurs.
Ce dossier ne se règle pas avec une seule case à cocher.
Pour aller plus loin avec Factero :
Foire aux questions
Combien coûte une mise en conformité CMMC pour une PME canadienne ?
Aucun chiffre officiel généralisable n’existe : le coût dépend du palier exigé, de l’ampleur de l’écart entre votre posture actuelle et les contrôles requis, et du nombre de systèmes touchés. Une entreprise déjà avancée dans sa démarche PCCC part avec une longueur d’avance mesurable. Méfiez-vous de quiconque avance un prix fixe avant d’avoir cartographié votre écart réel.
Combien de temps prend une certification CMMC ?
Aucune durée fixe n’est publiée par le département de la Défense américain : le délai dépend du palier visé, de la disponibilité d’un C3PAO pour les paliers qui l’exigent, et de l’ampleur du travail de mise à niveau avant l’évaluation. Une entreprise qui a déjà structuré sa démarche PCCC réduit ce délai. Prévoyez des mois, pas des semaines.
Mes propres sous-traitants sont-ils aussi visés par le CMMC ?
Oui, si l’information visée continue de circuler jusqu’à eux. Le CMMC descend par clause contractuelle d’un maillon à l’autre de la chaîne, quel que soit le pays : si votre propre sous-traitant touche à la même information que vous, votre contrat avec lui va probablement porter la même exigence. Vérifiez vos contrats de sous-traitance avant que votre client américain ne le fasse pour vous.
Quel palier CMMC mon entreprise doit-elle viser ?
Ce n’est pas vous qui choisissez : c’est votre client américain qui l’indique dans votre contrat, selon le type d’information qu’il vous confie. Une simple information contractuelle fédérale exige le palier de base, une information plus sensible en exige un supérieur. Si votre contrat ne précise rien, demandez-le explicitement à votre client avant de bâtir votre dossier au mauvais niveau.
Le PCCC et le CMMC seront-ils un jour reconnus l’un par l’autre ?
Aucune reconnaissance mutuelle officielle n’existe à ce jour entre les deux programmes, malgré leur base technique commune. Tant qu’elle n’est pas confirmée par les deux gouvernements, une entreprise qui vend des deux côtés de la frontière doit prévoir deux démarches distinctes, arrimées mais séparées, chacune avec son propre dossier.
