En bref : Vendre à la défense Canada PME : c’est répondre au CPCSC (Canadian Program for Cyber Security Certification), le PCCC en français. Le gouvernement fédéral intègre cette exigence de cybersécurité aux contrats de défense et à toute leur chaîne d’approvisionnement, fondée sur la norme ITSP.10.171, par autoévaluation puis par audit externe accrédité.
Ce texte ne s’adresse pas à votre équipe technique. Il s’adresse à vous, qui devez décider du moment et de l’ampleur de l’effort, avant qu’un appel d’offres ne le décide à votre place.
Dans cet article
Vendre à la défense Canada PME : qu’est-ce que le CPCSC ?
Le CPCSC est le programme fédéral qui exige des fournisseurs et sous-traitants de la chaîne d’approvisionnement de la défense qu’ils démontrent la protection de l’information sensible qu’ils manipulent. Le gouvernement du Canada l’appelle CPCSC (Canadian Program for Cyber Security Certification) en anglais et PCCC (Programme canadien de certification en cybersécurité) en français. Les deux sigles circulent dans les communications officielles et dans les appels d’offres. Retenez les deux, vous croiserez les deux.
Le programme est piloté par Services publics et Approvisionnement Canada (SPAC), avec la Défense nationale. Il définit les exigences de cybersécurité que doivent respecter les fournisseurs pour protéger l’information désignée : cette catégorie d’information sensible mais non classifiée que le gouvernement confie à ses fournisseurs et à leurs sous-traitants.
Le point que les dirigeants de PME québécoises ratent le plus souvent : le CPCSC ne vise pas seulement les entreprises qui signent un contrat directement avec la Défense nationale. Il vise toute la chaîne d’approvisionnement. Si vous fabriquez une pièce, développez un logiciel ou fournissez un service à une entreprise qui, elle, contracte avec la Défense, l’exigence peut descendre jusqu’à vous par la voie contractuelle. Le maillon faible d’une chaîne d’approvisionnement n’est presque jamais le plus visible : c’est celui qu’on a oublié de vérifier.
Concrètement, si vous êtes sous-traitant d’un sous-traitant, la bonne pratique est de poser la question directement à votre donneur d’ordre : le CPCSC s’applique-t-il à ce contrat, et si oui, à quel niveau. L’obligation se transmet par le contrat, pas par une annonce générale que vous auriez pu manquer.
Le CPCSC s’appuie sur la norme canadienne ITSP.10.171, une adaptation du document américain NIST SP 800-171 (publié par le National Institute of Standards and Technology, ou NIST) au contexte réglementaire canadien. Le contenu technique sous-jacent n’a pas été modifié dans l’adaptation, seul le contexte de conformité l’a été. Nous consacrons un guide complet au programme dans CPCSC / PCCC : guide complet de la certification cyberdéfense.
Quel est le calendrier réel du programme ?
Le calendrier avance par paliers : le niveau 1 est accessible depuis avril 2026, le niveau 2 est prévu à compter de 2027, et le niveau 3 n’a pas encore d’échéance annoncée. Le rythme a déjà changé plus d’une fois depuis le lancement du programme, ce qui reste le lot de tout programme fédéral de cette ampleur.
Le niveau 1 est le premier concrètement accessible. Depuis avril 2026, les fournisseurs peuvent réaliser leur autoévaluation de niveau 1 par le portail CanadaBuys : 13 exigences de sécurité à cocher, une attestation annuelle à signer. C’est le programme officiel de certification des fournisseurs du secteur de la défense, administré par SPAC, qui documente cette étape.
À partir de l’été 2026, le respect du niveau 1 devient une condition obligatoire dans certains contrats de la Défense nationale et des marchés qui s’y rattachent. Le mot clé est « certains » : tous les contrats ne l’exigent pas encore, la clause s’ajoute contrat par contrat.
Le niveau 2 ajoute une vérification par une tierce partie accréditée, répétée tous les trois ans, en plus de l’autoévaluation annuelle. Il vise les contrats où l’information désignée est plus sensible. Son intégration graduelle aux contrats est prévue à compter de 2027, selon le calendrier publié par le gouvernement au moment d’écrire ces lignes. Le niveau 3, réservé aux dossiers les plus sensibles, sera évalué directement par le gouvernement du Canada plutôt que par une tierce partie ; aucune échéance ferme n’a encore été annoncée pour son entrée en vigueur.
Deux conclusions pratiques s’imposent. D’abord, si un appel d’offres devant vous exige déjà le niveau 1, vous n’avez pas la latitude d’attendre : la clause est déjà contractuelle. Ensuite, si rien ne l’exige encore dans votre secteur, ce délai est une fenêtre, pas une dispense. Les entreprises qui commencent leur diagnostic avant l’obligation contractuelle négocient leur échéancier. Celles qui commencent après le subissent.
Quelles sont les exigences concrètes de l’ITSP.10.171 ?
L’ITSP.10.171 fixe 17 familles d’exigences, publiées par le Centre canadien pour la cybersécurité sous le nom complet de Protection de l’information désignée dans les organisations et les systèmes ne relevant pas du gouvernement du Canada. Nous l’expliquons en détail dans ITSP.10.171 expliquée : la norme canadienne née de NIST 800-171, publiée par le Centre canadien pour la cybersécurité.
Pour un dirigeant non technique, l’essentiel n’est pas de mémoriser les 17 familles, c’est de comprendre qu’elles couvrent trois types d’effort très différents :
- des politiques et des processus à documenter ;
- des contrôles techniques à mettre en place ;
- des pratiques de gestion des accès et du personnel à formaliser.
Voici la liste complète, avec ce que chaque famille signifie en langage de direction.
| Famille (nom officiel) | Ce que ça exige de votre entreprise |
|---|---|
| Contrôle d’accès | Limiter qui peut voir ou modifier l’information désignée |
| Sensibilisation et formation | Former le personnel qui manipule cette information |
| Vérification et responsabilité | Conserver des journaux de ce qui a été fait, et par qui |
| Gestion des configurations | Documenter et contrôler la configuration des systèmes |
| Identification et authentification | Vérifier l’identité de chaque utilisateur avant l’accès |
| Intervention en cas d’incident | Avoir un plan écrit pour réagir à une brèche |
| Maintenance | Encadrer les interventions de maintenance sur les systèmes |
| Protection des supports | Sécuriser les supports physiques et numériques (clés USB, disques) |
| Sécurité du personnel | Filtrer et encadrer le personnel ayant accès à l’information |
| Protection physique | Contrôler l’accès physique aux lieux et aux équipements |
| Évaluation des risques | Évaluer périodiquement les risques qui pèsent sur l’information |
| Évaluation de sécurité et surveillance | Vérifier que les contrôles fonctionnent réellement |
| Protection des systèmes et des communications | Sécuriser les réseaux et les échanges de données |
| Intégrité de l’information et des systèmes | Détecter et corriger les altérations non autorisées |
| Planification | Documenter la stratégie de sécurité de l’organisation |
| Acquisition des systèmes et des services | Encadrer la sécurité dès l’achat de systèmes ou de services |
| Gestion des risques liés à la chaîne d’approvisionnement | Évaluer la sécurité de vos propres fournisseurs |
Une précision qui rassure souvent les dirigeants : le CPCSC ne remplace pas vos obligations en matière de renseignements personnels, comme celles de la Loi 25 au Québec. L’information désignée est une catégorie distincte, définie par le gouvernement fédéral pour ses propres besoins de sécurité. Les deux régimes coexistent, ils ne se substituent pas l’un à l’autre.
Si votre entreprise détient déjà une certification ISO 27001, un rapport SOC 2 ou une certification CyberSécuritaire Canada, une partie de ces 17 familles se démontre avec des preuves que vous avez déjà en main. Le travail consiste à cartographier ce qui existe contre la grille, pas à repartir de zéro.
Par où commencer pour préparer sa PME au CPCSC ?
Vendre à la défense Canada PME ne s’improvise pas la veille d’un appel d’offres. Trois gestes, dans l’ordre.
- Confirmez votre position réelle dans la chaîne d’approvisionnement. Vendez-vous directement à la Défense nationale, ou par un donneur d’ordre ? La réponse détermine si l’obligation vous atteint aujourd’hui, dans deux ans, ou jamais.
- Faites un premier passage honnête des 17 familles avec vos équipes : couvert, partiellement couvert, écart. Le Centre canadien pour la cybersécurité publie des guides destinés aux petites et moyennes entreprises pour amorcer ce travail sans devoir tout confier à un tiers dès le départ.
- Décidez comment combler l’écart : à l’interne, accompagné, ou les deux. C’est la même logique que pour toute autre démarche de certification, nous la détaillons dans L’audit pré-certification : arriver prêt le jour officiel.
Un signal à surveiller, même sans appel d’offres actif sur la table : l’entrée dans une nouvelle chaîne d’approvisionnement réglementée fait partie des déclencheurs qui forcent une révision de votre posture TI. Le CPCSC en est un exemple direct, au même titre qu’un changement d’assureur ou une acquisition.
Que retenir de l’expérience américaine comparable, le CMMC ?
Les États-Unis ont un programme équivalent, plus ancien : le CMMC (Cybersecurity Maturity Model Certification), bâti sur le même NIST SP 800-171 dont s’inspire l’ITSP.10.171. La règle finale du département de la Défense américain est entrée en vigueur en novembre 2025, après plusieurs années d’ajustements, pour intégrer le CMMC aux contrats fédéraux sur une période de transition de 3 ans, par phases.
Ce qu’il faut en retenir n’est pas un pronostic sur le rythme exact que suivra le CPCSC. C’est un précédent : un programme de certification de cybersécurité pour la chaîne d’approvisionnement de la défense prend des années à se déployer pleinement, et il évolue en cours de route. Les entreprises qui ont commencé tôt ont eu le temps d’ajuster leur démarche sans pression de dernière minute. Celles qui ont attendu la clause contractuelle l’ont découverte sous pression, avec un échéancier fixé par quelqu’un d’autre.
Pourquoi confier votre préparation pour vendre à la défense à un auditeur qui l’a faite lui-même ?
Vendre à la défense Canada PME n’a rien de simple, et nous n’allons pas vous dire que la certification est garantie. Personne ne peut vous la garantir. C’est une obligation de moyens, pas de résultat, pour vous comme pour n’importe quel accompagnateur qui prétendrait le contraire.
Ce que nous pouvons vous dire, c’est que nous avons fait l’exercice avant de vous le proposer. Factero a complété sa propre autoévaluation de niveau 1 du PCCC et détient la certification CyberSécuritaire Canada niveau 1. Nous ne vous demandons pas de traverser un processus que nous n’avons pas traversé nous-mêmes.
Notre méthode d’audit, appliquée qu’il s’agisse du CPCSC ou d’un autre cadre sectoriel, est décrite dans L’audit informatique : le guide complet du dirigeant québécois. Elle repose sur le même principe partout : cartographier l’écart réel, pas vendre une certitude.
Si votre entreprise touche, même indirectement, à la chaîne d’approvisionnement de la défense, un premier diagnostic n’exige pas d’attendre une clause contractuelle. Vous pouvez planifier un accompagnement CPCSC dès maintenant, ou clarifier d’abord votre position avec nos audits TI indépendants si vous ne savez pas encore si le programme vous concerne. L’état réel de votre écart, tel qu’il est, puis votre décision de dirigeant.
Pour aller plus loin avec Factero :
Foire aux questions
Mes sous-traitants sont-ils aussi visés par le CPCSC ?
Oui, si le contrat qui vous engage envers votre donneur d’ordre exige le CPCSC, l’obligation peut descendre jusqu’à vous même sans lien direct avec la Défense nationale : le programme vise toute la chaîne d’approvisionnement, pas seulement les contractants principaux. Confirmez la portée exacte directement avec votre donneur d’ordre, l’obligation se transmet par le contrat, jamais par une annonce générale que vous auriez pu manquer.
Le CPCSC est-il obligatoire pour mon entreprise dès maintenant ?
Pas nécessairement aujourd’hui. Le niveau 1 est accessible depuis avril 2026 par autoévaluation, et il devient une condition contractuelle seulement dans certains appels d’offres de la Défense nationale à partir de l’été 2026 : tous les contrats ne l’exigent pas encore. L’obligation s’active contrat par contrat, quand un donneur d’ordre l’inscrit dans l’appel d’offres auquel vous répondez, directement ou en sous-traitance.
Le CPCSC est-il l’équivalent canadien du CMMC américain ?
Oui, dans l’esprit : les deux programmes s’appuient sur la même norme de départ, le NIST SP 800-171 américain, adapté au Canada sous le nom d’ITSP.10.171. Le CPCSC reste un programme distinct, piloté par Services publics et Approvisionnement Canada, avec son propre calendrier et ses propres exigences. Ne présumez pas qu’une certification CMMC obtenue aux États-Unis vaut automatiquement pour un contrat fédéral canadien.
Une certification ISO 27001 suffit-elle pour répondre au CPCSC ?
Non, mais elle aide. Aucune certification existante, ISO 27001 comprise, ne remplace l’autoévaluation ou l’audit exigé par le CPCSC. Elle peut cependant servir de preuve pour une partie des 17 familles d’exigences de l’ITSP.10.171, ce qui réduit le travail de mise à niveau plutôt que de l’éliminer. Le reste s’établit famille par famille, en comparant vos preuves existantes à la grille.
Sources citées
- Certification des fournisseurs du secteur de la défense au Canada concernant la cybersécurité (Services publics et Approvisionnement Canada)
- Protection de l’information désignée dans les organisations et les systèmes ne relevant pas du gouvernement du Canada (ITSP.10.171), Centre canadien pour la cybersécurité
- Information pour les petites et moyennes entreprises, Centre canadien pour la cybersécurité
