En bref : CMMC pause fournisseurs canadiens : le programme américain suspend son traitement pour environ 60 jours depuis l’été 2026, mais le calendrier du PCCC ne change pas. Le niveau 1 reste déjà exigé dans certains contrats, le niveau 2 reste attendu au printemps 2027. Les deux programmes restent distincts, chacun avec sa propre décision finale.
Dans cet article
CMMC pause fournisseurs canadiens : que faut-il comprendre ?
Le CMMC, ou Cybersecurity Maturity Model Certification, est le programme de certification cybersécurité du département de la Défense des États-Unis (DoD). Il vise les entreprises qui touchent, à un titre ou un autre, à l’information de la base industrielle de défense américaine, de la PME sous-traitante jusqu’au grand manufacturier. L’objectif affiché est simple à énoncer : vérifier que chaque maillon de cette chaîne d’approvisionnement protège correctement l’information sensible qui transite entre les mains du gouvernement américain et celles de ses fournisseurs.
Selon les informations qui circulent depuis quelques semaines, l’administration du programme serait mise sur pause pour environ 60 jours. Le mot compte : une pause n’est pas une annulation. Elle touche vraisemblablement le rythme d’application ou de traitement des dossiers côté américain, pas l’existence même du programme ni l’obligation contractuelle sous-jacente.
Pour une entreprise canadienne qui vend directement à un donneur d’ordres américain et qui attend elle-même une évaluation CMMC, la pause peut se traduire concrètement par un délai de traitement plus long. Ce n’est pas rien pour une échéance contractuelle serrée, mais ce n’est pas non plus un motif pour remettre en question votre démarche canadienne, qui répond à une autre autorité, pour d’autres raisons.
Cette information est encore fluide au moment d’écrire ces lignes. Si votre entreprise a un dossier CMMC en cours, la seule source fiable reste votre agent de négociation des contrats ou l’autorité contractante du DoD directement. Une manchette n’a jamais remplacé une confirmation écrite.
Le calendrier du PCCC canadien change-t-il ?
Non. Rien n’indique un report.
Le PCCC, le Programme canadien de certification en cybersécurité, est administré par Services publics et Approvisionnement Canada (SPAC), un organisme distinct du DoD américain. Son calendrier n’a jamais dépendu du calendrier du CMMC : les deux programmes avancent en parallèle, pas en cascade.
Le niveau 1 du PCCC est déjà exigé dans certains contrats depuis l’été 2026. Le niveau 2 reste attendu pour le printemps 2027. Ces échéances proviennent du programme canadien lui-même, pas d’un alignement automatique sur les décisions américaines.
Beaucoup de fournisseurs canadiens ont conclu de la pause du CMMC que le PCCC allait suivre le même chemin. C’est une lecture rapide qui confond deux administrations, deux calendriers et deux décisions.
Une certification CMMC compte-t-elle automatiquement pour le PCCC ?
Non, et c’est le point que la plupart des fournisseurs comprennent mal.
Le PCCC et le CMMC sont deux certifications distinctes. Une certification CMMC obtenue aux États-Unis peut donner droit à un crédit de reconnaissance vers le PCCC, mais ce crédit s’évalue au cas par cas, dossier par dossier. Ce n’est pas une reconnaissance mutuelle automatique : personne ne peut simplement présenter son certificat CMMC au Canada et repartir avec un PCCC équivalent le jour même.
La confusion vient en partie d’un fait réel : les deux programmes sont volontairement proches. Ottawa a aligné la structure et les exigences techniques du PCCC sur celles du CMMC pour faciliter la vie des entreprises actives des deux côtés de la frontière. La norme technique canadienne, ITSP.10.171 (le guide du Centre canadien pour la cybersécurité qui balise la protection de l’information désignée), recoupe environ 95 % de la norme américaine NIST SP 800-171. Un recoupement technique élevé n’égale pas une équivalence administrative.
Cet alignement volontaire n’est pas un hasard administratif. Il sert un objectif d’efficacité industrielle des deux côtés de la frontière : éviter qu’un fournisseur transfrontalier reconstruise deux dossiers de preuves entièrement séparés pour des contrôles qui, sur le fond, se ressemblent. L’efficacité s’arrête cependant à la préparation du dossier. La décision de certifier reste propre à chaque programme.
CMMC pause fournisseurs canadiens : la nuance tient en une phrase, crédit de reconnaissance au cas par cas, jamais automatique.
PCCC vs CMMC : quelles sont les différences ?
Le tableau suivant résume les repères utiles pour un dirigeant qui doit trancher où investir son énergie en premier.
| Élément | PCCC (Canada) | CMMC (États-Unis) |
|---|---|---|
| Autorité responsable | Services publics et Approvisionnement Canada (SPAC) | Département de la Défense des États-Unis (DoD) |
| Norme technique de référence | ITSP.10.171, alignée à environ 95 % sur la norme américaine | NIST SP 800-171 rev. 3 |
| Structure | Trois niveaux | Trois niveaux |
| Statut du niveau 1 | Déjà exigé dans certains contrats depuis l’été 2026 | En vigueur, application en pause annoncée pour environ 60 jours |
| Statut du niveau 2 | Attendu au printemps 2027 | En vigueur, programme établi |
| Reconnaissance de l’autre certification | Crédit possible pour un CMMC existant, évalué au cas par cas | Aucune reconnaissance automatique d’un PCCC |
Le portrait qui se dégage : deux programmes construits sur une base technique presque identique, mais administrés séparément, avec des décisions qui ne se transfèrent pas d’un pays à l’autre sans démonstration.
CAN/DGSI 104 CyberSecure Canada compte-t-il aussi pour le PCCC ?
Non, et cette confusion mérite d’être réglée aussi clairement que la précédente.
CyberSecure Canada, identifié par la norme CAN/DGSI 104, est un programme de certification distinct, orienté vers les petites et moyennes entreprises canadiennes en général, pas spécifiquement vers la chaîne d’approvisionnement de la Défense. Il n’a aucun crédit officiel vers le PCCC.
Détenir une certification CAN/DGSI 104 est une bonne pratique en soi. Ce n’est pas un raccourci vers le PCCC, et personne ne devrait planifier son dossier de défense en supposant le contraire.
Quelle stratégie adopter selon votre profil ?
La bonne stratégie dépend de qui achète vos produits ou services, pas de ce qui se passe à Washington cette semaine. Il n’y a pas une seule bonne réponse : elle se lit dans votre carnet de commandes, pas dans les manchettes.
- Sous-traitant actif uniquement au Canada. Si votre carnet de commandes reste du côté canadien de la frontière, la cible est claire : ITSP.10.171 et le PCCC. Bâtissez votre dossier sur la norme canadienne directement, sans détour par le CMMC.
- Fabricant ou fournisseur actif des deux côtés de la frontière. Si vous vendez ou espérez vendre autant à des donneurs d’ordres canadiens qu’américains, les deux certifications entrent en jeu. La bonne nouvelle : une seule démarche technique, bâtie sur ITSP.10.171 et NIST SP 800-171, couvre déjà environ 95 % des exigences communes aux deux référentiels. Le reste se documente séparément selon le programme visé, et le crédit de reconnaissance au cas par cas peut alléger une partie du second dossier, sans le remplacer.
- Entreprise encore incertaine de la direction de son carnet de commandes. Si vous soumissionnez sans savoir encore si un contrat visera la Défense canadienne, américaine, ou les deux, commencez par ITSP.10.171. La norme couvre l’essentiel des deux référentiels et ne retarde aucune des deux voies possibles le jour où la réponse devient claire.
Dans les trois cas, la même mise en garde s’applique. Un consultant, un accompagnateur ou une firme de préparation peuvent structurer votre dossier, cartographier vos écarts, vous aider à documenter vos contrôles. Aucun ne peut vous garantir une certification, ni au Canada ni aux États-Unis. C’est une obligation de moyens des deux côtés de la frontière, jamais une obligation de résultat.
La pause américaine est-elle une raison d’attendre avant de lancer votre démarche PCCC ?
CMMC pause fournisseurs canadiens : la réponse ne dépend pas des manchettes de Washington. Non. Régler votre calendrier canadien sur ces manchettes, c’est régler votre montre sur l’horloge du mauvais aéroport.
La démonstration est déjà faite ailleurs dans les appels d’offres canadiens. Le 29 avril 2026, un appel d’offres portant sur des drones a fait entrer une exigence technique tirée d’ITSP.10.171 directement dans son libellé, sans lien avec l’actualité américaine. Nous avons documenté ce signal dans La petite ligne ITSP.10.171 qui change vos appels d’offres : la norme canadienne s’installe dans les exigences réelles, pause ou pas pause au sud de la frontière.
Le PCCC avance selon son propre calendrier, décidé par ses propres autorités, pour ses propres raisons. Une entreprise qui attend un signal de Washington avant de bouger au Canada retarde une démarche qui ne dépendait pas de Washington en premier lieu.
Pour une vue d’ensemble des deux niveaux déjà en vigueur ou attendus, notre guide complet CPCSC / PCCC détaille la structure du programme canadien du début à la fin. Et si la distinction entre les deux régimes reste floue pour votre équipe, CPCSC vs CMMC : comprendre les deux programmes de cybersécurité pose les bases plus en détail que ce que cet article peut couvrir.
Pour aller plus loin avec Factero :
Foire aux questions
Le PCCC est-il obligatoire pour vendre à la Défense nationale du Canada ?
Le niveau 1 est déjà exigé dans certains contrats depuis l’été 2026, et le niveau 2 est attendu au printemps 2027. L’obligation dépend du contrat précis et de la sensibilité de l’information visée. Services publics et Approvisionnement Canada, l’autorité responsable, confirme l’exigence contrat par contrat : elle ne se devine pas, elle se vérifie dans l’appel d’offres.
Combien de temps va durer la pause du CMMC aux États-Unis ?
Les informations disponibles évoquent une pause d’environ 60 jours annoncée à l’été 2026, mais ce chiffre reste à confirmer directement auprès du Department of Defense si votre entreprise a un dossier CMMC actif. Une pause administrative peut se prolonger, se lever sans préavis large, ou ne toucher qu’une partie du traitement des dossiers.
Le PCCC compte-t-il un niveau 3, en plus des niveaux 1 et 2 ?
Oui. La structure du programme prévoit trois niveaux, à l’image du CMMC américain. Le niveau 1 est déjà exigé dans certains contrats et le niveau 2 est attendu au printemps 2027. Le niveau 3 existe dans cette structure, mais Services publics et Approvisionnement Canada n’a pas publié d’échéance ferme pour son entrée en vigueur.
Une entreprise déjà certifiée CyberSecure Canada devrait-elle quand même viser le PCCC ?
Oui, si elle vend ou espère vendre à la Défense. CyberSecure Canada (CAN/DGSI 104) reste une bonne pratique générale, mais n’a aucun crédit officiel vers le PCCC. Les deux démarches se complètent, elles ne se remplacent pas : la première rassure un client générique, la seconde ouvre l’accès aux contrats de défense.
Actif des deux côtés de la frontière ? Ne laissez pas une manchette américaine décider de votre stratégie canadienne. Nous démêlons ce qui s’applique concrètement à votre carnet de commandes, accompagnement CPCSC à l’appui. Notre vision, vos décisions.
Sources citées
- NIST SP 800-171 rev. 3
- Programme CMMC du département de la Défense des États-Unis
- Divulgation proactive des contrats fédéraux
- Programme canadien de certification en cybersécurité (PCCC)
- ITSP.10.171-01 (document compagnon)
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
