En bref : PCCC vs CMMC : le régime canadien reprend la même structure à trois niveaux et des normes techniques presque identiques à celles du régime américain. Mais ce sont deux certifications distinctes : détenir l’une ne vous donne pas automatiquement l’autre, et l’interopérabilité entre les deux programmes n’est pas encore définie à la date de publication.
Si un donneur d’ordre américain vous a déjà écrit le sigle NIST 800-171 dans un courriel, ou si votre entreprise soumissionne des contrats du département de la Défense des États-Unis, vous connaissez probablement le CMMC. Et si vous fabriquez ou sous-traitez au Canada, on vous a peut-être parlé de son équivalent, le CPCSC. Les deux sigles se ressemblent, les deux programmes se ressemblent encore plus, et PCCC vs CMMC résume bien la question qui revient le plus souvent dans nos échanges avec des dirigeants : si j’ai l’un, est-ce que j’ai l’autre ?
Ce guide répond à cette question pour vous, dirigeant d’un fabricant, d’un intégrateur ou d’un sous-traitant de la chaîne d’approvisionnement de la défense. Pas pour votre équipe technique. Pour vous.
Si les bases du CPCSC ne vous sont pas encore familières, notre guide complet de la certification cyberdéfense CPCSC / PCCC les couvre en détail avant d’aborder la comparaison qui suit.
La confusion est compréhensible. Les deux sigles décrivent la même famille de problème : comment un gouvernement s’assure que les entreprises qui manipulent de l’information sensible liée à la défense la protègent correctement, sans imposer à chaque acheteur de la vérifier lui-même à chaque contrat. Le CMMC répond à cette question pour le marché américain. Le CPCSC y répond pour le marché canadien. Mais « répondre à la même question » ne veut pas dire « donner la même réponse à tout le monde en même temps », et c’est exactement là que les dirigeants se font surprendre.
Dans cet article
Le PCCC (CPCSC) est-il « le CMMC canadien » ?
Dans l’esprit, oui. Le CPCSC (Canadian Program for Cyber Security Certification), ou Programme canadien de certification en cybersécurité (PCCC) en français, est le régime que le Canada a bâti pour aligner son industrie de défense sur les exigences américaines.
Le CMMC, ou Cybersecurity Maturity Model Certification, est le programme du département de la Défense des États-Unis. Il impose aux fournisseurs et sous-traitants qui manipulent de l’information contrôlée non classifiée une certification à trois niveaux, vérifiée selon la sensibilité des données qu’ils traitent.
Ottawa n’a pas inventé un régime parallèle avec son propre vocabulaire et ses propres seuils. Le gouvernement canadien a repris la structure du CMMC presque telle quelle : trois niveaux, une logique de vérification croissante d’un niveau à l’autre, des normes techniques bâties sur le même corpus. Le schéma d’accréditation du CPCSC, administré par le Conseil canadien des normes, décrit un régime pensé pour que l’industrie canadienne continue de vendre des deux côtés de la frontière sans reconstruire sa conformité deux fois.
Le résultat concret : une seule démarche de mise en conformité technique peut couvrir environ 95 % des exigences des deux référentiels, tant le recoupement entre les deux normes sous-jacentes est élevé. C’est l’argument principal en faveur d’une approche coordonnée si vous visez les deux marchés, plutôt que deux chantiers menés en parallèle qui ne se parlent jamais.
PCCC vs CMMC : une certification vaut-elle l’autre ?
Non : le CPCSC et le CMMC sont deux certifications distinctes, délivrées sous deux régimes contractuels distincts, par deux autorités distinctes. Réussir l’un ne vous délivre pas automatiquement l’autre, et c’est le malentendu le plus coûteux qu’on rencontre.
À la date de publication de cet article, l’interopérabilité entre les deux programmes, soit la reconnaissance formelle par un régime des évaluations menées sous l’autre, n’est pas définie. Si un donneur d’ordre canadien exige une preuve CPCSC et que vous détenez un CMMC valide, ce qui sera accepté se confirme au cas par cas avec le donneur d’ordre ou l’autorité contractante concernée. Ne présumez rien avant de l’avoir obtenu par écrit.
C’est vrai dans les deux sens. Une certification CPCSC ne vous ouvre pas automatiquement les portes des contrats américains soumis au CMMC. Chaque programme demeure souverain sur sa propre reconnaissance, et personne ne peut vous promettre le contraire aujourd’hui. Si un consultant vous affirme que les deux certifications s’équivalent purement et simplement, c’est un signal à prendre au sérieux, pas une bonne nouvelle.
Concrètement, gardez une trace écrite de toute réponse obtenue d’un donneur d’ordre ou d’une autorité contractante sur la reconnaissance d’une certification par l’autre régime. Un échange verbal, une supposition de votre équipe des ventes, ou une clause de contrat mal interprétée ne remplacent pas une confirmation documentée. Si votre dossier de certification doit un jour être défendu, c’est cette trace qui compte, pas ce que vous croyiez avoir compris.
Quelles sont les nuances canadiennes de l’ITSP.10.171 ?
PCCC vs CMMC : la ressemblance de structure ne veut pas dire copie conforme. Le CPCSC a ses propres seuils et sa propre logique d’évaluation, répartis sur trois niveaux.
Niveau 1 : un sous-ensemble de 13 contrôles, vérifiés en auto-évaluation. C’est le niveau d’entrée, pour les fournisseurs exposés à un risque plus limité.
Niveau 2 : une évaluation complète contre la norme technique canadienne, 98 contrôles. C’est le niveau qui correspond, en substance, au niveau intermédiaire du régime américain. Nous détaillons ce palier, ses délais et son cycle de renouvellement dans PCCC niveau 2 : 98 contrôles, certification aux trois ans.
Niveau 3 : 200 contrôles, au-delà de la norme de base, réservé aux fournisseurs qui manipulent l’information la plus sensible. Ce niveau est évalué directement par le ministère de la Défense nationale, pas par un organisme tiers accrédité comme au niveau 2.
La norme technique derrière ces contrôles s’appelle ITSP.10.171, publiée par le Centre canadien pour la cybersécurité et bâtie sur le corpus NIST SP 800-171 révision 3. Nous l’expliquons en détail dans ITSP.10.171 expliquée : la norme canadienne née de NIST 800-171. Retenez pour l’instant qu’elle joue, pour le CPCSC, le rôle que joue NIST 800-171 pour le CMMC : la base technique commune sur laquelle les deux régimes s’appuient.
| Niveau | CPCSC (Canada) | CMMC (États-Unis) | Qui évalue |
|---|---|---|---|
| 1 | 13 contrôles, auto-évaluation | Auto-évaluation annuelle | Le fournisseur lui-même |
| 2 | 98 contrôles, contre la norme ITSP.10.171 | Évaluation contre NIST SP 800-171 | Organisme tiers accrédité |
| 3 | 200 contrôles, au-delà de la norme de base | Exigences renforcées, information la plus sensible | Autorité gouvernementale (MDN au Canada, DoD aux États-Unis) |
Un chiffre à retenir en le lisant en dirigeant plutôt qu’en auditeur : entre le niveau 1 et le niveau 2, l’écart n’est pas de quelques contrôles supplémentaires, il est près de huit fois plus élevé. Confirmer le bon niveau avant de vous engager n’est pas un détail administratif, c’est ce qui détermine si votre projet dure quelques semaines ou plusieurs mois.
PCCC ou CMMC : quelle stratégie selon mon profil ?
PCCC vs CMMC : la bonne stratégie dépend de qui vous vendez, pas de ce qui semble le plus prudent sur papier.
Vous êtes un atelier d’usinage familial, sous-traitant d’un donneur d’ordre canadien, sans contrat direct avec le département de la Défense américain ? Concentrez-vous sur ITSP.10.171 et le parcours CPCSC. C’est le régime qui s’appliquera à vos contrats. Bâtir une conformité pensée pour les deux programmes dès le départ ajoute du travail sans client actuel pour le justifier.
Vous êtes un fabricant actif des deux côtés de la frontière, avec des contrats sous juridiction américaine et canadienne ? Visez les deux certifications, mais dans une seule démarche. Le recoupement technique élevé entre les deux référentiels signifie que votre équipe de conformité peut bâtir une seule preuve documentaire, puis l’adapter aux exigences particulières de chaque évaluateur, plutôt que mener deux chantiers indépendants qui dédoublent l’effort et le budget.
Dans les deux cas, la question à poser en premier n’est pas « quel niveau dois-je viser ? » mais « qu’est-ce que mes contrats actuels et à venir exigent réellement ? ». Le niveau de certification suit le type d’information que vous manipulez, pas l’inverse. Un dirigeant qui vise le niveau 3 par précaution, sans contrat qui l’exige, dépense pour un problème qu’il n’a pas encore.
Par où commencer ?
Trois gestes concrets, dans l’ordre.
- Identifiez le type d’information contrôlée que votre entreprise manipule déjà, ou manipulera si le contrat visé se concrétise. C’est ce type d’information, pas votre secteur d’activité, qui détermine le niveau de certification exigé.
- Vérifiez auprès de votre donneur d’ordre, canadien ou américain, ce que son contrat exige précisément, et si une certification existante sera reconnue telle quelle ou devra être complétée. Posez la question par écrit, tôt, avant de bâtir un plan de match sur une hypothèse.
- Cartographiez votre posture actuelle contre la norme technique applicable : ITSP.10.171 pour un parcours canadien, NIST SP 800-171 pour un parcours américain. L’écart entre votre pratique réelle et la norme détermine l’essentiel de l’effort, du délai et du coût.
Dans l’arbitrage PCCC vs CMMC, un point mérite d’être dit sans détour : nous le répétons pour la plupart des certifications que nous accompagnons. Un consultant peut :
- préparer votre dossier de certification
- cartographier vos écarts contre la norme applicable
- structurer vos preuves de conformité
Aucun ne peut vous garantir une certification de niveau 2 ou 3 : au Canada, seul un organisme accrédité par le Conseil canadien des normes procède à cette évaluation, et la décision lui appartient, pas à un partenaire externe.
Si votre entreprise est active des deux côtés de la frontière, ou si un premier contrat sous CPCSC ou CMMC vient d’atterrir sur votre bureau, Factero accompagne les fournisseurs de la chaîne d’approvisionnement de la défense dans le choix de leur séquence de certification et la préparation de leur dossier. Vous pouvez planifier un appel avec notre équipe : notre rôle reste celui du guide, cartographier votre écart réel, structurer le dossier, vous laisser décider.
Pour aller plus loin avec Factero :
Foire aux questions
Le CMMC est-il reconnu automatiquement par un donneur d’ordre canadien ?
Non. Un CMMC valide ne remplace pas automatiquement une certification CPCSC. À la date de publication de cet article, l’interopérabilité entre les deux régimes n’est pas définie formellement, et ce qu’un donneur d’ordre canadien accepte comme preuve d’un CMMC se confirme au cas par cas, par écrit, avant de vous y fier.
Mon entreprise canadienne doit-elle obtenir une certification CMMC si je vends au département de la Défense des États-Unis ?
Oui, si votre contrat implique de l’information contrôlée non classifiée dans la chaîne d’approvisionnement du département de la Défense américain, peu importe que votre entreprise soit basée au Canada. Le CMMC s’applique au fournisseur qui manipule cette information, pas seulement aux entreprises américaines. Une certification CPCSC ne dispense pas de cette exigence : les deux régimes restent distincts, malgré leur recoupement technique élevé.
Combien de temps une certification CPCSC est-elle valide ?
Au niveau 1, l’auto-évaluation se refait chaque année. Au niveau 2, la certification par un organisme accrédité se renouvelle aux trois ans, avec une attestation annuelle entre deux évaluations. Le cycle complet, incluant les obligations entre deux renouvellements, est détaillé dans PCCC niveau 2 : 98 contrôles, certification aux trois ans.
Faut-il viser le niveau CPCSC 2 dès le départ, ou le niveau 1 suffit-il ?
Pas nécessairement le niveau 2. Le niveau exigé dépend du type d’information que votre contrat vous confie, pas de votre secteur d’activité. Le niveau 1, 13 contrôles auto-évalués, suffit tant qu’aucune information protégée n’est en jeu ; le niveau 2, 98 contrôles évalués par un tiers, s’impose dès qu’elle l’est. Viser le niveau 2 sans contrat qui l’exige ajoute du coût et du délai sans bénéfice.
Le CAN/DGSI 104 (norme derrière CyberSécuritaire Canada) est-il la même chose que le CPCSC ou le CMMC ?
Non, ce sont des démarches distinctes. CAN/DGSI 104 est la norme technique d’un programme général de cybersécurité destiné aux PME canadiennes, sans lien formel publié avec la chaîne d’approvisionnement de la défense. Le CPCSC cible spécifiquement les fournisseurs et sous-traitants de la défense, avec sa propre structure en trois niveaux. Détenir l’un ne donne pas l’autre.
Sources citées
- Schéma d’accréditation CPCSC — Conseil canadien des normes
- NIST SP 800-171 révision 3
- Programme CMMC — Bureau du Chief Information Officer, département de la Défense des États-Unis
- Divulgation proactive des contrats fédéraux (jeu de données contracts.csv) — Gouvernement du Canada
- Programme canadien de certification en cybersécurité (PCCC) — Services publics et Approvisionnement Canada
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
