En bref : Le programme canadien de certification en cybersécurité (PCCC), ou CPCSC en anglais, est le programme fédéral qui vérifie la cybersécurité des fournisseurs ayant accès à de l’information gouvernementale sensible non classifiée. Administré par Services publics et Approvisionnement Canada, il compte trois niveaux, du plus simple au plus exigeant, calqués sur la norme ITSP.10.171.
Dans cet article
Pourquoi le programme canadien de certification en cybersécurité (PCCC) existe-t-il ?
Un ministère fédéral protège l’information qu’il détient dans ses propres systèmes. Mais une bonne partie de cette information transite aussi chez ses fournisseurs : plans, devis, données techniques, correspondance contractuelle. Un sous-traitant mal protégé devient la porte d’entrée la plus simple vers une information que le gouvernement, lui, protège bien.
C’est le problème que le CPCSC, ou PCCC en français, cherche à régler. Le budget fédéral de 2023 a prévu 25 millions de dollars sur trois ans pour mettre le programme sur pied. L’objectif n’est pas de protéger de l’information secrète ou très secrète, un régime distinct s’en charge déjà, mais de l’information non classifiée qualifiée de « sensible » : celle qui n’exige pas d’habilitation de sécurité mais qui, mal gérée, cause quand même un dommage réel.
Le contexte budgétaire n’est pas accessoire. Le Canada consacre aujourd’hui environ 2 % de son produit intérieur brut à la défense, avec un engagement vers 5 % d’ici 2035. Cet argent descend dans une chaîne d’approvisionnement longue : grands intégrateurs, puis sous-traitants de premier rang, puis fournisseurs de pièces, de services et de main-d’œuvre spécialisée. Le CPCSC est le mécanisme qui étend l’exigence de cybersécurité tout au long de cette chaîne, pas seulement à son sommet.
Quels sont les trois niveaux du programme canadien de certification en cybersécurité ?
Le programme canadien de certification en cybersécurité (PCCC) distingue trois niveaux, du plus simple au plus exigeant. Chacun repose sur la même norme de référence, l’ITSP.10.171, mais l’ampleur de la preuve demandée change radicalement d’un niveau à l’autre.
| Niveau | Contrôles | Exigences | Mode d’évaluation |
|---|---|---|---|
| Niveau 1 | 13 | 37 | Auto-évaluation annuelle |
| Niveau 2 | 98 | 226 | Certification par un organisme accrédité, aux trois ans, avec confirmation annuelle |
| Niveau 3 | 200 | à préciser | Évaluation menée directement par le ministère de la Défense nationale (MDN) |
Le niveau 1 est un prérequis du niveau 2, qui est lui-même un prérequis du niveau 3. C’est une échelle qu’on monte, pas trois options parmi lesquelles choisir librement : le niveau que vous visez dépend du type d’information que vos contrats vous confient, pas d’une préférence. Nous détaillons les 13 contrôles du premier palier dans PCCC niveau 1 : comprendre les 13 contrôles avant d’attester, et les 98 du second dans PCCC niveau 2 : 98 contrôles, certification aux trois ans.
Le niveau 3 reste, à l’heure où nous écrivons ces lignes, à la table à dessin. Le MDN doit encore préciser comment il évaluera lui-même les fournisseurs visés, ceux qui ont accès à l’information la plus sensible du programme. Les niveaux 1 et 2 sont ceux qui concernent la vaste majorité des PME de la chaîne d’approvisionnement.
Quel est le calendrier de déploiement du PCCC ?
Le calendrier annoncé à ce jour tient en quatre repères.
Un outil gouvernemental gratuit doit permettre l’auto-évaluation de niveau 1 directement en ligne, par l’intermédiaire de Services publics et Approvisionnement Canada. Sa mise en service est prévue à compter du 1er avril 2026. Certains contrats fédéraux devraient commencer à exiger le niveau 1 dès l’été 2026 : l’exigence entre dans les appels d’offres avant même que le programme soit pleinement déployé, ce qui est le scénario le plus probable pour planifier votre propre démarche. Le niveau 2, qui exige un organisme de certification accrédité, est attendu au printemps 2027. Le niveau 3 n’a pas de date annoncée.
Ces échéances peuvent glisser. Un programme fédéral de cette ampleur avance rarement exactement selon le calendrier initial. Ce qui ne glissera pas, c’est la direction : l’exigence descend déjà dans les appels d’offres, et elle va continuer à descendre dans la chaîne d’approvisionnement.
Qui est visé par le programme canadien de certification en cybersécurité ?
Toute entreprise qui traite, transmet ou stocke de l’information désignée dans le cadre d’un contrat du ministère de la Défense nationale, directement ou comme sous-traitant. La liste est plus large qu’elle n’en a l’air, et nous détaillons les cas particuliers dans Qui est visé par le CPCSC ? PME, sous-traitants et défense.
Un fournisseur de premier rang qui a un contrat direct avec le MDN est visé, évidemment. Mais son propre sous-traitant en usinage, en transport, en fabrication ou en services technologiques peut l’être aussi, dès qu’il touche à cette même information. Le programme est conçu pour suivre l’information, pas seulement le nom inscrit sur le contrat principal.
Le programme canadien de certification en cybersécurité (PCCC) ne remplace pas les mécanismes existants, il s’ajoute à eux. Le Programme de sécurité des contrats et le Programme des marchandises contrôlées continuent de s’appliquer selon leurs propres critères. Une entreprise peut se retrouver visée par plus d’un de ces régimes à la fois, selon la nature de ses contrats.
Dans nos échanges, la question qui revient le plus souvent n’est pas « sommes-nous visés ? », c’est « à quel niveau ? ». La seule façon fiable d’y répondre est de regarder la nature exacte de l’information que vos contrats vous confient, pas la taille de votre entreprise.
La certification PCCC est-elle exigée pour soumissionner ?
Pas encore de façon universelle, et c’est justement ce qui rend la planification difficile : l’exigence arrive contrat par contrat, appel d’offres par appel d’offres, avant de devenir générale. Une entreprise peut soumissionner aujourd’hui sans certification et se voir demander une attestation de niveau 1 dans son prochain appel d’offres, sans long préavis.
Une chose mérite d’être dite sans détour, parce que peu de gens la disent. Personne ne garantit une certification, pas plus au niveau 1 qu’au niveau 2. Un consultant peut aider à structurer un dossier, à documenter des contrôles, à corriger des écarts. Aucun ne décide à la place du client et aucun ne peut promettre le résultat. C’est une obligation de moyens. Si quelqu’un promet une certification garantie, demandez-vous ce que cette promesse dit sur le reste de son travail. Plusieurs idées reçues circulent déjà sur ce que la norme exige vraiment : nous en corrigeons les plus fréquentes dans Mythes du CPCSC : ce que la norme exige vraiment (et pas).
Qu’est-ce que l’ITSP.10.171 ?
L’ITSP.10.171, intitulée protection de l’information désignée, est la norme technique sur laquelle repose tout le CPCSC. C’est la version canadienne, publiée en français par le Centre canadien pour la cybersécurité, d’une norme américaine bien connue dans le milieu de la défense : le NIST SP 800-171, dans sa révision 3.
Concrètement, l’ITSP.10.171 décrit les contrôles de sécurité attendus dans plusieurs domaines :
- Gestion des accès
- Protection des systèmes
- Journalisation
- Réponse aux incidents
- Formation du personnel
Les 13 contrôles du niveau 1 et les 98 du niveau 2 en sont des sous-ensembles. Lire cette norme au complet avant de se demander à quel niveau on est visé, c’est l’équivalent de lire un contrat avant de le signer : ça prend du temps, mais c’est le seul document qui compte vraiment. Nous en détaillons le contenu dans ITSP.10.171 expliquée : la norme canadienne née de NIST 800-171.
Le CPCSC et le CMMC américain, est-ce le même programme ?
Non, ce sont deux programmes distincts, chacun propre à son pays. Le CMMC (Cybersecurity Maturity Model Certification) est administré par le département de la Défense des États-Unis. Le CPCSC est administré par Services publics et Approvisionnement Canada, pour le compte du MDN canadien.
Les deux programmes partagent une racine commune, la même famille de normes NIST sur la protection de l’information non classifiée sensible. C’est ce qui explique leur ressemblance de structure : plusieurs niveaux, une preuve croissante d’un palier à l’autre. Mais ce sont deux régimes distincts, avec leurs propres exigences et leurs propres organismes de certification, et rien ne confirme à ce jour qu’une certification obtenue dans l’un soit reconnue automatiquement par l’autre. Une entreprise qui vend à la fois au gouvernement américain et au gouvernement canadien doit traiter les deux démarches séparément, jusqu’à preuve du contraire. Nous comparons les deux programmes point par point dans CPCSC vs CMMC : comprendre les deux programmes de cybersécurité.
Que veulent dire tous ces sigles ?
Le CPCSC empile les sigles bilingues, une source fréquente de confusion. En voici le lexique.
- CPCSC (anglais) et PCCC (français) désignent le même programme : Canadian Program for Cyber Security Certification, Programme canadien de certification en cybersécurité.
- SPAC (Services publics et Approvisionnement Canada), aussi désigné PSPC en anglais, administre le programme.
- ITSP.10.171 est la norme de référence : protection de l’information désignée.
- CCN (Conseil canadien des normes), ou SCC en anglais, encadre le schéma d’accréditation des organismes appelés à certifier le niveau 2.
- MDN (ministère de la Défense nationale), ou DND en anglais, est le ministère au cœur des contrats visés.
Par où commencer avec le CPCSC ?
Se préparer au PCCC commence par trois gestes concrets, dans l’ordre.
- Identifiez le type d’information que vos contrats actuels ou visés vous confient, et déduisez-en le niveau du CPCSC qui vous concerne probablement. C’est l’ITSP.10.171, publiée par le Centre canadien pour la cybersécurité, qui sert de référence.
- Faites un premier passage honnête des contrôles du niveau visé avec vos équipes : en place, partiellement en place, absent. Ne cherchez pas la perfection à cette étape, cherchez un portrait exact.
- Décidez ensuite comment combler l’écart, à l’interne, accompagné, ou les deux, selon vos contrats et vos échéances.
Nous appliquons déjà, dans notre propre pratique, les contrôles de l’ITSP.10.171 que nous recommandons à nos clients. Un cabinet qui conseille sur la cybersécurité sans appliquer ses propres recommandations n’a pas grand-chose à dire sur le sujet.
Si votre entreprise fournit, ou pourrait fournir, un service ou un produit au ministère de la Défense nationale, vous pouvez évaluer votre situation avec un accompagnement CPCSC : trente minutes suffisent pour situer votre niveau probable et vos options.
Pour aller plus loin avec Factero :
Foire aux questions
Le CPCSC et le PCCC sont-ils deux programmes différents ?
Non. CPCSC est le sigle anglais, PCCC le sigle français : les deux désignent le même programme, géré par Services publics et Approvisionnement Canada. Ils apparaissent parfois dans le même document gouvernemental, sans distinction de sens, ce qui explique la confusion fréquente chez les fournisseurs qui découvrent le programme.
Une PME sans département informatique peut-elle viser le niveau 1 elle-même ?
Oui. Le niveau 1 compte 13 contrôles et se règle par auto-évaluation annuelle, sans organisme externe : c’est sa raison d’être. Une PME peut s’y attaquer seule, à condition de lire chaque contrôle au sens où l’exige l’ITSP.10.171, pas au sens intuitif. PCCC niveau 1 : comprendre les 13 contrôles avant d’attester détaille chacun d’eux.
Le niveau 2 remplace-t-il une certification ISO 27001 déjà en place ?
Non, ce sont deux démarches distinctes. Une certification existante peut fournir des preuves utiles pour une partie des 98 contrôles du niveau 2, mais elle ne dispense pas de la certification par un organisme accrédité au sens du CPCSC.
Un sous-traitant sans contrat direct avec le MDN doit-il quand même se conformer au CPCSC ?
Oui, si l’information désignée circule jusqu’à lui. Le programme suit l’information, pas seulement le nom inscrit sur le contrat principal : un sous-traitant de deuxième ou troisième rang peut être visé même sans lien contractuel direct avec le ministère. Qui est visé par le CPCSC ? PME, sous-traitants et défense détaille les cas de figure.
La certification de niveau 1 coûte-t-elle quelque chose ?
Le niveau 1 lui-même ne devrait rien coûter : Services publics et Approvisionnement Canada prévoit un outil gouvernemental gratuit d’auto-évaluation en ligne, sans organisme externe à payer, dès le 1er avril 2026. Ce qui a un coût, c’est le temps interne, ou l’accompagnement optionnel, pour combler les écarts avant de remplir le formulaire, un montant qui varie selon le point de départ de l’entreprise.
Sources citées
- Schéma d’accréditation du CPCSC, Conseil canadien des normes
- NIST SP 800-171 révision 3, National Institute of Standards and Technology
- Outil gouvernemental d’auto-évaluation niveau 1 du CPCSC
- Cybersecurity Maturity Model Certification (CMMC), Department of Defense (États-Unis)
- Programme canadien de certification en cybersécurité (PCCC), Services publics et Approvisionnement Canada
- ITSP.10.171, protection de l’information désignée (Centre canadien pour la cybersécurité)
