En bref : Coût certification CPCSC : aucun chiffre n’est publié au Canada, ni par le gouvernement ni par le marché. Le niveau 1, treize contrôles en auto-évaluation, tient surtout en heures internes pour une PME déjà organisée. Le niveau 2, 98 contrôles vérifiés par un tiers, n’a encore aucun prix ferme : aucun évaluateur n’est accrédité au Canada.
Dans cet article
Coût certification CPCSC : pourquoi personne ne chiffre ?
Tapez « coût certification CPCSC » ou son équivalent anglais dans un moteur de recherche et vous tomberez sur des généralités. Des cabinets décrivent le processus, énumèrent les contrôles, promettent un accompagnement. Aucun n’avance de chiffre en dollars canadiens, ni en français ni en anglais.
Ce n’est pas un oubli. Le programme lui-même ne fixe aucun prix, et une partie du dispositif, le niveau 2, ne peut tout simplement pas encore être chiffrée : personne au Canada n’a le droit de le vérifier contre rémunération. Nous avons couvert le programme au complet dans notre guide de la certification cyberdéfense ; cet article se concentre uniquement sur le budget, poste par poste, plutôt que d’inventer une fourchette qui rassurerait sans rien garantir.
Le scénario est presque toujours le même. Un donneur d’ordre de la défense insère une clause CPCSC dans un contrat ou une soumission, souvent sans grand préavis, et l’entreprise découvre l’exigence au moment le moins pratique pour évaluer calmement un budget. Pour une PME manufacturière ou de services de 10 à 200 employés déjà présente dans la chaîne d’approvisionnement du ministère de la Défense nationale, la première question n’est pas technique, elle est financière : combien pour rester dans ce marché ?
Niveau 1 : que coûte une auto-évaluation faite sérieusement ?
Le coût direct du niveau 1 peut être proche de zéro pour une PME déjà bien organisée : c’est d’abord un exercice de documentation, pas d’achat. Le niveau 1 du PCCC repose sur treize contrôles de base, vérifiés par l’entreprise elle-même, sans organisme externe, et il est en place depuis avril 2026. Nous détaillons ces treize contrôles dans PCCC niveau 1 : comprendre les 13 contrôles avant d’attester.
Pour une PME dont l’hygiène de base est déjà en place (antivirus à jour, sauvegardes, gestion des accès, correctifs appliqués), l’exercice se joue surtout dans les heures de la personne qui doit rassembler les preuves, répondre point par point, et signer l’attestation en toute connaissance de cause.
Pour une entreprise qui part de plus loin, où deux ou trois des treize contrôles ne sont pas en place, le calcul change. Le coût devient celui de corriger l’écart avant d’attester, pas celui de l’attestation elle-même. Beaucoup de dirigeants ratent cette distinction en lisant les treize contrôles pour la première fois : la liste a l’air courte, la remise en état ne l’est pas toujours.
Le niveau 1 est une auto-évaluation, pas une vérification externe. Personne ne vient sur place valider vos réponses avant l’attestation. Cela ne rend pas l’exercice moins sérieux : c’est vous, et non un tiers, qui signez que les treize contrôles sont en place, et c’est cette signature que le donneur d’ordre lira le jour où il vérifiera votre dossier.
Niveau 2 : que coûtera l’évaluation par un organisme accrédité ?
Le niveau 2 n’a encore aucun prix ferme au Canada : aucun organisme n’est accrédité pour réaliser ces évaluations. Le niveau 2 exige 98 contrôles, vérifiés cette fois par un organisme tiers, avec une évaluation complète aux trois ans et une affirmation annuelle entre les deux. C’est un ordre de grandeur différent du niveau 1, en nombre de contrôles comme en type de démarche. Nous détaillons ce cycle dans PCCC niveau 2 : 98 contrôles, certification aux trois ans.
Le Conseil canadien des normes l’a confirmé : aucun organisme n’est encore accrédité pour réaliser des évaluations de niveau 2 au Canada, un constat que nous avons documenté dans Niveau 2 : aucun évaluateur accrédité, confirmé par le CCN. Sans évaluateur accrédité, il n’existe aucun tarif de référence : personne n’a encore facturé une seule évaluation de niveau 2 au tarif du marché, puisque le marché n’existe pas encore.
Si un consultant vous annonce un prix ferme pour votre certification de niveau 2, demandez-lui contre quel tarif réel il l’a établi. La réponse honnête, à l’heure où cet article est publié, est qu’il n’y en a pas.
| Caractéristique | Niveau 1 | Niveau 2 |
|---|---|---|
| Nombre de contrôles | 13 | 98 |
| Mode de vérification | Auto-évaluation | Organisme tiers accrédité |
| Fréquence | Affirmation annuelle | Évaluation complète aux trois ans, affirmation annuelle entre les deux |
| Évaluateur accrédité disponible au Canada | Non requis | Aucun à ce jour (confirmé par le Conseil canadien des normes) |
| Tarif de référence publié | Aucun | Aucun |
| Intégration aux contrats | Déjà en cours | Graduelle, à partir du printemps 2027 |
Quels sont les coûts cachés d’une démarche CPCSC ?
Trois postes composent le coût certification CPCSC, peu importe le niveau visé.
- Le temps interne : quelqu’un doit porter le dossier, rassembler les preuves, répondre aux questions, tenir le registre à jour. Ce temps existe même quand aucune facture externe n’arrive, et il est souvent sous-estimé parce qu’il ne ressemble pas à une dépense.
- La documentation : les contrôles du PCCC, comme la plupart des cadres de cybersécurité, exigent des politiques écrites, pas seulement des pratiques appliquées. Une entreprise techniquement bien protégée mais qui n’a jamais rien écrit repart de plus loin qu’elle ne le pense.
- La remédiation : c’est le poste le plus variable, et le plus facile à sous-estimer avant un premier passage honnête de la grille. Un contrôle manquant découvert tôt coûte une correction. Le même contrôle découvert pendant l’évaluation coûte une correction, un délai, et parfois une deuxième tentative.
Qu’est-ce qui fait varier la facture du simple au triple ?
Cinq variables font varier le coût certification CPCSC du simple au triple entre deux entreprises qui visent, sur papier, le même niveau.
- Maturité de départ : une entreprise qui a déjà une politique de sécurité, un inventaire des actifs et une gestion des accès documentée aborde le niveau 1 comme une formalité. Une entreprise qui part de zéro aborde la même liste de treize contrôles comme un chantier. C’est la variable qui pèse le plus lourd.
- Périmètre visé : isoler les systèmes qui traitent réellement de l’information visée par le programme, plutôt que de soumettre l’ensemble du parc informatique, réduit l’effort sans réduire la conformité. Nous en parlons plus en détail dans Combien coûte la conformité ITSP.10.171 ? Les vraies variables, la norme technique derrière une partie du niveau 2 du PCCC.
- Dépendance aux sous-traitants : leurs pratiques deviennent, en partie, votre problème.
- Choix de l’accompagnement : faire seul ou se faire accompagner change aussi la facture, pas nécessairement dans le sens qu’on imagine, puisqu’un dossier mal préparé qui échoue et doit repasser coûte souvent plus cher qu’un accompagnement dès le départ.
- Taille du parc informatique : plus il est grand, plus il multiplie mécaniquement le nombre de preuves à produire.
Une PME sur un seul site, avec un parc homogène et peu de systèmes hérités, traverse les deux niveaux plus vite qu’une entreprise répartie sur plusieurs emplacements, avec des systèmes accumulés au fil des rachats ou des générations de logiciels. Ce n’est pas une question de taille de l’entreprise au sens du chiffre d’affaires, c’est une question de complexité de ce qu’il faut couvrir.
Peut-on étaler la dépense jusqu’au printemps 2027 ?
Oui, et c’est la bonne façon de budgéter. L’intégration du niveau 2 aux contrats est prévue de façon graduelle à partir du printemps 2027 : ce n’est pas une échéance unique où toute la facture tombe le même jour.
Concrètement, cela laisse une fenêtre pour séquencer la dépense. Le niveau 1 se traite maintenant, avec des moyens surtout internes. La préparation au niveau 2, elle, peut avancer par étapes : documenter au fur et à mesure, corriger les écarts les moins coûteux d’abord, et attendre que le paysage des évaluateurs accrédités se précise avant d’engager les dépenses les plus lourdes. Budgéter tout d’un coup pour une exigence qui arrive graduellement, c’est payer d’avance un calendrier qui n’existe pas encore.
Combien coûte de ne pas se certifier ?
C’est la question que peu de dirigeants posent, et c’est pourtant celle qui devrait ouvrir la discussion budgétaire, pas la fermer.
Notre analyse de 362 845 contrats du ministère de la Défense nationale, publiée dans 362 845 contrats du MDN analysés : qui devra se certifier ?, a cartographié l’ampleur de la chaîne d’approvisionnement que le PCCC va toucher. La valeur des marchés en jeu pour les fournisseurs concernés dépasse, et de loin, ce que coûte la démarche de certification elle-même. Ne pas se certifier n’est pas gratuit : c’est le choix de sortir d’une chaîne d’approvisionnement, avec les contrats en cours et à venir que cela suppose de laisser filer.
Par où commencer ?
Le premier geste utile n’est pas de chercher un prix : budgéter le coût certification CPCSC commence par savoir où vous en êtes réellement contre les treize contrôles du niveau 1. C’est un exercice qui se fait rapidement et qui donne, lui, une base chiffrable : le nombre d’écarts, pas une estimation de marché.
Nous accompagnons des PME fournisseurs et sous-traitants de la défense dans cette démarche. Avant de budgéter, sachez où vous en êtes : une analyse d’écarts indépendante contre les 13 contrôles du niveau 1, par un cabinet qui n’a rien d’autre à vous vendre ensuite.
Pour aller plus loin avec Factero :
Foire aux questions
Le niveau 1 du PCCC coûte-t-il vraiment zéro dollar ?
Non. Le coût certification CPCSC, pour le niveau 1, peut être proche de zéro pour une PME déjà bien organisée (antivirus à jour, sauvegardes, gestion des accès) : c’est un exercice de documentation, pas d’achat. Le vrai coût est le temps interne pour rassembler les preuves et attester, et il augmente avec chaque contrôle manquant à corriger avant de signer.
Existe-t-il un prix officiel pour le niveau 2 ?
Non. Aucun organisme évaluateur n’est accrédité au Canada à ce jour pour réaliser les évaluations de niveau 2, comme l’a confirmé le Conseil canadien des normes. Sans évaluateur accrédité, aucun tarif de référence n’existe : personne n’a encore facturé une seule évaluation au tarif du marché. Tout chiffre annoncé ailleurs est une estimation, pas un prix confirmé.
Le PCCC remplace-t-il la norme ITSP.10.171 ?
Non, les deux sont liées mais distinctes. ITSP.10.171 est une norme technique de contrôles, publiée par le Centre canadien pour la cybersécurité, sur laquelle s’appuie une partie du niveau 2 du PCCC. Le PCCC est le programme de certification qui en vérifie la conformité.
Dois-je me certifier si je ne suis pas fournisseur direct du ministère de la Défense nationale ?
Non, pas nécessairement. Le PCCC s’applique aux fournisseurs qui soumissionnent un contrat de défense du gouvernement du Canada ou qui y travaillent, ce qui inclut les sous-traitants dans la chaîne d’approvisionnement, pas seulement les titulaires directs du contrat. Une entreprise dont les revenus viennent uniquement de clients commerciaux n’a, à ce jour, aucune obligation de s’y soumettre.
Dois-je attendre que le niveau 2 devienne obligatoire pour m’y préparer ?
Non. L’intégration graduelle du niveau 2 aux contrats commence seulement au printemps 2027, mais la préparation, la documentation et la correction des écarts prennent du temps, souvent plus que prévu au premier passage de la grille. Commencer tôt coûte moins cher que rattraper un retard une fois la clause déjà dans le contrat.
