En bref : Coût certification CyberSécuritaire Canada : la réponse tient en cinq variables, pas en un prix fixe. Taille de l’organisation, périmètre technologique, niveau visé, maturité de départ en sécurité et part de l’infrastructure confiée à un tiers : ces cinq réponses déterminent l’ampleur du travail à fournir. Sans elles, tout chiffre trouvé en ligne reste une moyenne, pas votre budget.
Dans cet article
Coût certification CyberSécuritaire Canada : de quoi dépend-il ?
Le coût dépend d’abord de la nature du programme lui-même : à qui il s’adresse, quelle norme il applique et combien de niveaux il propose. CyberSécuritaire Canada est le programme fédéral de certification en cybersécurité destiné aux petites et moyennes entreprises canadiennes. Il s’appuie sur la norme CAN/DGSI 104, publiée par le Digital Governance Standards Institute, qui définit les contrôles de base à démontrer. Nous décrivons cette norme en détail dans notre guide complet CAN/DGSI 104.
Le programme vise spécifiquement les petites et moyennes entreprises, pas les grandes organisations dotées d’une équipe de sécurité dédiée. Ce choix a une conséquence directe sur le coût réel : une PME sans poste de sécurité à temps plein absorbe elle-même une partie du travail que d’autres organisations confient d’emblée à un tiers.
Le programme compte deux niveaux de certification. Le niveau visé change à lui seul l’ampleur du travail à fournir, donc son coût. Une entreprise qui vise le niveau 1 ne fait pas face à la même charge de preuve qu’une entreprise qui vise le niveau 2. Le choix du niveau se fait rarement sur la seule base du prix : un client, un assureur ou un appel d’offres peut exiger un niveau précis, auquel cas la question n’est plus « combien ça coûte » mais « combien ça coûte d’atteindre ce niveau-là ».
Deux organisations de taille comparable peuvent vivre deux démarches très différentes. Celle qui a déjà une politique de sécurité écrite, un inventaire de ses actifs et des sauvegardes testées part avec une bonne partie du travail déjà fait. Celle qui part de zéro paie le même tarif de vérification, mais un temps de préparation interne beaucoup plus long.
Quels sont les postes de coût d’une certification CyberSécuritaire Canada ?
Coût certification CyberSécuritaire Canada : cinq postes de dépense, jamais un seul chiffre. Voici lesquels, sans montant, parce qu’aucun montant fiable ne s’applique à toutes les organisations à la fois.
| Poste de dépense | Ce qu’il couvre |
|---|---|
| Frais de l’organisme de certification | La vérification externe de vos preuves par une tierce partie accréditée, l’examen du dossier et la délivrance du certificat. Un certificat authentique se vérifie dans le registre public IAF CertSearch. |
| Temps interne pour monter les preuves | Les heures des équipes TI, sécurité et direction pour rassembler documentation, politiques et configurations. |
| Correctifs techniques éventuels | Ce qu’il faut corriger avant de pouvoir démontrer la conformité : un contrôle manquant, une configuration à revoir, un accès à retirer. |
| Accompagnement externe, s’il y a lieu | Un consultant qui structure le dossier, comble les écarts de documentation et prépare l’organisation à la vérification. |
| Maintien et re-certification | Ce qui revient chaque cycle : autodéclaration, mise à jour des preuves, re-vérification périodique. |
Les trois premiers postes sont les plus visibles, parce qu’ils tombent tous dans les premiers mois de la démarche. Le cinquième est celui qu’on oublie le plus souvent en budgétant. Une certification qui s’arrête à la remise du certificat n’est pas un budget complet, c’est un budget de départ.
Il existe aussi un coût qui n’apparaît sur aucune facture : le temps que vos équipes ne passent pas ailleurs pendant qu’elles montent le dossier. Ce coût d’opportunité est réel, même s’il ne figure dans aucun poste budgétaire formel. Une organisation qui le sous-estime se retrouve avec un échéancier qui glisse, pas avec une facture qui grimpe.
Quelles variables font monter ou descendre la facture ?
Cinq facteurs déterminent l’ampleur réelle de chacun des cinq postes ci-dessus.
- La taille de l’organisation. Plus il y a de postes de travail, de comptes et d’employés à couvrir, plus la preuve à rassembler est large.
- Le périmètre TI. Un environnement simple, avec peu de systèmes et peu de fournisseurs, se documente plus vite qu’un environnement fragmenté entre plusieurs plateformes.
- Le niveau visé. Le niveau 1 et le niveau 2 n’exigent pas la même profondeur de preuve.
- La maturité de départ. Une organisation qui a déjà une politique de sécurité écrite, un registre de ses actifs et des sauvegardes testées démarre avec une partie du travail déjà faite.
- La part de l’infrastructure confiée à un tiers. Une TI entièrement infonuagique ou externalisée déplace une partie de la preuve vers le fournisseur, mais ajoute un travail de coordination : obtenir ses attestations, comprendre ce qu’il couvre et ce qu’il ne couvre pas.
Ces cinq facteurs interagissent entre eux. Une petite organisation avec une TI infonuagique bien documentée peut avancer plus vite qu’une organisation plus grande partie de zéro, même si les deux visent le même niveau.
Prenez deux organisations fictives d’une douzaine d’employés chacune. La première héberge tout chez un fournisseur infonuagique reconnu et tient déjà une politique de sécurité à jour : l’essentiel de son travail consiste à rassembler des attestations qui existent déjà. La seconde gère ses propres serveurs sans documentation formelle : elle doit d’abord écrire ce qui, ailleurs, existait déjà. Le tarif affiché par l’organisme de certification serait identique pour les deux. Le temps et l’énergie qu’elles y consacrent ne le seraient pas.
Que change la révision Rev 1:2024 de la norme CAN/DGSI 104 ?
La norme CAN/DGSI 104 a reçu une révision, Rev 1:2024, qui clarifie plusieurs zones grises : comment démontrer un contrôle quand la TI est infonuagique ou externalisée, ce qu’on attend en matière de sauvegardes, et à qui revient la responsabilité de la preuve quand un fournisseur héberge les systèmes de l’organisation.
Cette clarification ne réduit pas le nombre de contrôles à démontrer. Elle précise où l’effort se concentre. Une organisation qui héberge tout chez un fournisseur infonuagique sérieux passe moins de temps à documenter l’infrastructure elle-même, et plus de temps à rassembler les attestations de ce fournisseur et à démontrer qu’elle en a fait l’examen. C’est un déplacement de l’effort, pas une élimination.
Avant cette clarification, deux vérificateurs pouvaient interpréter différemment ce qui suffit comme preuve pour une infrastructure hébergée à l’externe. Rev 1:2024 réduit cette ambiguïté, ce qui aide à mieux estimer l’effort avant de commencer, pas seulement à le justifier après coup.
Qu’est-ce que notre propre parcours de certification nous a appris ?
Coût certification CyberSécuritaire Canada : notre propre parcours n’y échappe pas. Nous avons obtenu la certification niveau 1 le 19 avril 2026, après avoir amorcé la démarche début avril. Nous ne publions aucun montant sur ce que ça nous a coûté, pour la même raison que nous n’en publions aucun ailleurs dans cet article : notre structure n’est pas la vôtre, et un chiffre isolé de son contexte induit en erreur plus qu’il n’éclaire.
Ce que nous pouvons dire, qualitativement. Le temps est réellement parti dans la préparation de la preuve documentaire, pas dans la correction technique : nos contrôles techniques de base étaient déjà en place avant d’amorcer la démarche, ce qui a réduit d’autant le troisième poste de dépense du tableau plus haut. À l’inverse, rassembler une documentation cohérente, à jour et présentable à un vérificateur externe a demandé plus d’heures que prévu, même pour une petite structure.
Ce qui a surpris : la préparation elle-même a mis en lumière des zones où notre pratique était plus solide que notre documentation le montrait, et d’autres où l’inverse était vrai. Nous racontons cette démarche en détail, étape par étape, dans notre certification CAN/DGSI 104, racontée de l’intérieur. Le lancement de la démarche et l’obtention du certificat font chacun l’objet d’un billet distinct : Factero lance sa démarche de certification CyberSecure Canada et Factero est certifié CyberSecure Canada (CAN/DGSI 104).
Un dernier constat, qu’on partage volontiers parce qu’il ne dépend d’aucun chiffre : la démarche avance plus vite quand une seule personne porte le dossier d’un bout à l’autre, plutôt que de le répartir entre plusieurs équipes sans responsable clair. Ce n’est pas une question de taille de budget, c’est une question de structure de projet.
Pourquoi les chiffres trouvés en ligne se contredisent-ils ?
Une recherche rapide fait apparaître des chiffres très différents d’un site à l’autre pour le coût d’une certification CyberSécuritaire Canada. Aucune de ces pages ne publie sa méthode. On ne sait pas si le chiffre couvre les frais de vérification seuls ou l’accompagnement en plus, s’il vise le niveau 1 ou le niveau 2, ni pour quelle taille d’organisation il a été calculé.
Un chiffre sans méthode n’est pas un mauvais chiffre. C’est un chiffre qu’on ne peut ni confirmer ni contredire. Nous préférons vous donner la structure qui détermine votre coût plutôt qu’une moyenne calculée sur des organisations qu’on ne connaît pas. C’est plus long à lire, mais c’est la seule réponse honnête tant qu’on n’a pas vos cinq variables sous les yeux.
Un nombre croissant de recherches passe désormais par des outils qui résument une réponse plutôt que d’afficher dix liens à comparer soi-même. Un chiffre non sourcé, répété assez souvent, finit par ressembler à un fait établi alors que personne ne peut dire d’où il vient. C’est une raison de plus pour exiger une méthode avant de retenir un chiffre, peu importe où on le trouve.
Par où commencer pour budgéter le coût de votre certification CyberSécuritaire Canada ?
Coût certification CyberSécuritaire Canada : trois gestes concrets suffisent pour le budgéter, dans l’ordre.
- Situez vos cinq variables : taille de l’organisation, périmètre TI, niveau visé, maturité de départ et part de l’infrastructure externalisée. Ce portrait, même approximatif, vaut plus que n’importe quel chiffre trouvé en ligne.
- Faites l’inventaire de ce que vous avez déjà : politiques écrites, inventaire des actifs, sauvegardes testées. Chaque preuve qui existe déjà réduit le troisième poste de dépense du tableau plus haut. Le Centre canadien pour la cybersécurité publie des guides destinés aux PME utiles pour bâtir ce premier inventaire.
- Décidez ensuite comment combler l’écart : à l’interne, accompagné, ou les deux. La réponse dépend de votre échéance et des ressources internes disponibles.
Nous accompagnons des organisations dans cette démarche, de l’évaluation initiale jusqu’à la certification. Si vous voulez un portrait de vos propres variables plutôt qu’une moyenne calculée sur d’autres, vous pouvez demander une évaluation de votre point de départ.
Pour aller plus loin avec Factero :
- accompagnement vers la certification CyberSécuritaire Canada
- audit de cybersécurité indépendant pour PME
Foire aux questions
Le niveau 1 coûte-t-il moins cher que le niveau 2 ?
Coût certification CyberSécuritaire Canada : le niveau visé est l’une des cinq variables qui déterminent l’ampleur de la preuve à démontrer, donc l’effort à y consacrer. Les deux niveaux n’exigent pas la même profondeur de démonstration. Aucun montant n’établit lequel des deux revient moins cher : cela dépend surtout de votre maturité de départ face aux exigences propres au niveau visé.
Combien de temps la certification CyberSécuritaire Canada reste-t-elle valide ?
Deux ans. C’est la durée de validité que le gouvernement du Canada confirme pour la marque de certification CyberSécuritaire Canada une fois obtenue. Ce cycle correspond au cinquième poste de dépense du tableau plus haut, maintien et re-certification. Une organisation qui ne budgète que l’obtention initiale se retrouve, deux ans plus tard, devant une dépense qu’elle n’avait pas prévue.
Qui délivre la certification, le gouvernement ou une entreprise privée ?
Ni l’un ni l’autre directement. Un organisme de certification, accrédité par le Conseil canadien des normes, évalue la mise en œuvre des contrôles de sécurité exigés. Le gouvernement du Canada délivre ensuite la marque de certification sur la base de cette évaluation. C’est cet organisme tiers qui facture l’évaluation, pas le gouvernement fédéral : d’où la variabilité du premier poste de dépense du tableau plus haut.
Une TI infonuagique réduit-elle le coût ?
Elle déplace une partie de l’effort plutôt que de l’éliminer. La révision Rev 1:2024 de la norme CAN/DGSI 104 clarifie comment démontrer un contrôle quand la TI est hébergée ou externalisée, mais rassembler et examiner les attestations d’un fournisseur demande du temps.
Faut-il un accompagnement externe pour se faire certifier ?
Non, ce n’est pas obligatoire. C’est une variable de coût parmi d’autres. Elle est utile pour les organisations qui manquent de temps interne, qui n’ont jamais monté un dossier de ce type, ou qui préfèrent structurer la démarche avec quelqu’un qui l’a déjà fait plusieurs fois.
