En bref : La certification CyberSecure Canada (norme CAN/DGSI 104:2021, révision 1:2024) est le certificat national que Factero détient depuis aujourd’hui, le 19 avril 2026, au niveau 1, valide jusqu’au 19 avril 2027 et vérifiable dans IAF CertSearch. Notre cabinet vient de vivre, comme audité plutôt que comme accompagnateur, le parcours de certification qu’il propose habituellement à ses clients.
Ce billet est court, volontairement. Il annonce un fait, pas une victoire à célébrer pendant des paragraphes.
Dans cet article
Qu’est-ce que la certification CyberSecure Canada (CAN/DGSI 104) ?
CyberSecure Canada, ou CyberSécuritaire Canada selon la langue utilisée, est un programme national de certification en cybersécurité pour petites et moyennes entreprises, dont le Conseil canadien des normes est l’autorité de gestion depuis 2023. Il permet à une organisation de démontrer qu’elle applique un ensemble de contrôles de cybersécurité de base, définis dans la norme CAN/DGSI 104, publiée par le Digital Governance Standards Institute.
Le nom officiel du programme change selon la langue du document : CyberSecure Canada en anglais, CyberSécuritaire Canada en français. Les deux désignent le même certificat. Nous utilisons les deux formes dans nos articles, selon le contexte, et cette page en particulier reprend la forme anglaise parce que c’est celle qui figure sur notre certificat.
Le niveau 1 est le palier de référence du programme pour les petites et moyennes entreprises. Il ne s’adresse pas qu’aux fournisseurs de technologie : n’importe quelle organisation qui traite des données, des siennes ou de celles de ses clients, peut s’y présenter.
Pourquoi avoir cherché cette certification pour Factero lui-même ?
Le cordonnier est parfois le plus mal chaussé. Nous voulions vérifier que ce n’était pas notre cas.
Factero accompagne des entreprises technologiques dans des démarches de certification, notamment la certification TGV pour le réseau de la santé du Québec, un processus que nous décrivons en détail dans Certification TGV : les 5 étapes, du dépôt à la décision. Nous expliquons à nos clients ce qu’un audit externe exige : des preuves, pas des intentions. Il devenait difficile de continuer à le dire sans l’avoir vécu du côté audité, pas seulement du côté accompagnateur.
Notre démarche a commencé le 7 avril 2026, décrite dans notre billet sur le lancement de la démarche de certification CyberSecure Canada. Douze jours plus tard, le 19 avril, le certificat est délivré. Ce délai dit quelque chose d’important : quand la documentation et les pratiques existent déjà, la démonstration de conformité va vite. Quand elles n’existent pas, le même exercice s’étire sur des mois. La différence ne tient pas à la volonté, elle tient à ce qui est déjà en place le jour où l’on commence.
Il y avait aussi une raison plus directe. Une bonne partie de nos mandats consiste à examiner la posture de sécurité d’une autre organisation, parfois avec accès à sa documentation interne, à ses systèmes ou à ses renseignements les plus sensibles. Ça place un cabinet comme le nôtre dans une position particulière : nous demandons à d’autres une transparence que nous devrions être capables d’offrir en retour.
Que couvre le niveau 1 de la norme CAN/DGSI 104 ?
Le niveau 1 vérifie un ensemble de pratiques de cybersécurité considérées comme la base minimale pour une organisation, peu importe sa taille :
- Protection contre les logiciels malveillants
- Gestion des mises à jour et des correctifs
- Contrôle des accès et authentification des utilisateurs
- Sécurisation du périmètre réseau
- Sauvegarde des données
- Sensibilisation du personnel
- Capacité à réagir à un incident
Rien de spectaculaire dans cette liste. C’est précisément le point. Le niveau 1 ne récompense pas l’exotisme technique, il vérifie que les bases sont couvertes et documentées, pas seulement pratiquées de mémoire. Une organisation qui applique ces mesures sans jamais les avoir écrites noir sur blanc découvre souvent, au moment de préparer un dossier de certification, qu’elle a plus de travail de documentation que de travail technique devant elle.
« Documenté » ne veut pas dire un cahier de politiques que personne ne relit. Ça veut dire : qui a accès à quoi, qui approuve un changement, où sont les copies de sauvegarde, qui répond en premier si un poste est compromis, et comment on le prouve à quelqu’un d’externe qui pose la question. C’est ce dernier point, la preuve montrable à un tiers, qui distingue une pratique de sécurité d’une pratique certifiable.
Comment s’est déroulé le processus, du côté audité ?
À grands traits : une autoévaluation par rapport aux contrôles de la norme, un dossier de preuves à l’appui, une soumission au programme, puis une décision. Chaque étape a exigé qu’on documente ce qu’on fait déjà, plutôt qu’on décrive ce qu’on prévoit faire un jour.
Trois constats à retenir de cette expérience, du côté de l’audité :
- Un certificat se prépare avec des preuves, pas avec des intentions. Nous avons dû démontrer nos pratiques, pas les promettre.
- Personne ne garantit le résultat d’avance, pas même un cabinet qui accompagne d’autres organisations dans leur propre démarche. La décision appartient à l’organisme responsable du programme, à personne d’autre.
- Le niveau 1 est atteignable pour une PME sans équipe TI dédiée. C’est le signal le plus utile que nous pouvons transmettre à nos clients qui se demandent si l’exercice est à leur portée.
Qu’est-ce que ce certificat ne dit pas ?
Deux précisions utiles pour ne pas lui faire dire plus qu’il ne dit.
Ce n’est pas un audit de vos systèmes à vous. Le certificat de Factero porte sur les pratiques internes de Factero : nos postes de travail, nos accès, nos sauvegardes, notre gestion des incidents. Il ne dit rien sur la sécurité d’un produit ou d’un environnement que nous auditons chez un client. Les deux exercices restent indépendants l’un de l’autre, et l’un ne se substitue jamais à l’autre.
Ce n’est pas non plus une équivalence avec la certification TGV ou avec un niveau supérieur du PCCC. Ces référentiels n’évaluent pas la même chose : une organisation ici, un produit technologique ou une chaîne d’approvisionnement ailleurs, selon des grilles de critères distinctes. Des recoupements existent entre certains contrôles, mais ils se démontrent dossier par dossier, ils ne se présument jamais d’un certificat à l’autre.
Qu’est-ce que ça change pour nos clients ?
Concrètement, peu de choses dans le travail que nous livrons. Ce certificat ne remplace pas une évaluation de vos systèmes, il documente les nôtres.
Ce qu’il change, c’est la vérifiabilité. Un dirigeant ou un responsable de la conformité qui envisage de retenir Factero peut désormais confirmer, par un tiers indépendant, que notre cabinet applique lui-même les pratiques de base qu’il évalue chez ses clients. Le certificat est consultable dans IAF CertSearch, le registre international de vérification des certifications. C’est un fait vérifiable, pas une affirmation sur notre propre site.
Une partie de nos mandats touche à des renseignements personnels au sens de la Loi 25. Un client québécois qui nous donne accès à ses systèmes ou à sa documentation interne a le droit de demander comment ce qu’il nous confie est protégé de notre côté. Ce certificat répond à une partie de cette question avec une preuve vérifiable, plutôt qu’avec une politique interne que personne d’externe ne voit jamais.
Sur la même fenêtre de validité, Factero détient aussi une attestation de niveau 1 du Programme canadien de certification en cybersécurité (PCCC), fondé sur la norme ITSP.10.171 du Centre canadien pour la cybersécurité. Contrairement à CyberSecure Canada, ce niveau 1 du PCCC s’obtient par autoattestation : l’organisation déclare elle-même sa conformité, sans vérification externe à ce palier.
La distinction mérite d’être dite clairement, parce qu’elle ne saute pas aux yeux d’un dirigeant qui découvre ces sigles pour la première fois : un certificat vérifié par un tiers et une autoattestation ne portent pas le même poids, même si les deux servent à démontrer une posture de sécurité de base. Le tableau suivant résume les deux attestations et leur mode de vérification :
| Certification | Norme | Niveau | Validité | Vérification |
|---|---|---|---|---|
| CyberSecure Canada | CAN/DGSI 104:2021 (Rév. 1:2024) | 1 | 19 avril 2026 – 19 avril 2027 | Tierce partie, IAF CertSearch |
| PCCC | ITSP.10.171 | 1 | Même fenêtre de validité | Autoattestation |
Le détail de nos deux attestations, dates et portée comprises, est publié sur notre Trust Center.
La norme CAN/DGSI 104 elle-même n’est pas figée dans le temps. Nous suivrons la prochaine révision de la norme CAN/DGSI 104 à mesure qu’elle avance, et nous mettrons cette page à jour si elle change quoi que ce soit à notre propre certificat.
Pour les fournisseurs technologiques qui nous lisent en vue d’une certification TGV, la lecture à retenir est différente mais liée : notre cabinet vient de traverser un audit de cybersécurité de bout en bout, avec les mêmes contraintes de preuves et de délais que celles que nous vous aidons à gérer. Notre accompagnement à la certification TGV s’appuie sur cette même discipline : cartographier l’écart réel, pas l’écart imaginé.
Comment vérifier notre certificat vous-même ?
IAF CertSearch est un registre public : le certificat CyberSecure Canada de Factero, niveau 1, valide du 19 avril 2026 au 19 avril 2027, y est consultable directement, comme celui de n’importe quelle organisation certifiée dans le monde. Ne nous croyez pas sur parole, vérifiez vous-même.
Si vous évaluez Factero pour un mandat, cette vérification prend deux minutes et ne dépend d’aucune déclaration de notre part. Une fois le certificat confirmé, si votre organisation fait face à une démarche de certification, que ce soit CyberSécuritaire Canada, le PCCC ou la TGV, vous pouvez planifier un appel exploratoire avec nous. Trente minutes suffisent pour situer où vous en êtes et ce que l’exercice exigerait de vous.
Pour aller plus loin avec Factero :
Foire aux questions
CyberSecure Canada et CyberSécuritaire Canada, est-ce la même certification ?
Oui. Ce sont les noms anglais et français du même programme fédéral, fondé sur la même norme, CAN/DGSI 104. Le certificat de Factero porte la désignation anglaise, mais les deux appellations désignent une seule et même chose.
Combien coûte la certification CyberSecure Canada ?
Le programme ne publie pas de tarif fixe. Le coût est établi par l’organisme de certification accrédité que vous choisissez, pas par le programme lui-même, et il dépend de l’ampleur de vos systèmes et de vos pratiques déjà documentées. Attendez-vous à une soumission personnalisée après une première évaluation, pas à un prix catalogue.
Combien de temps faut-il pour obtenir la certification CyberSecure Canada ?
Ça dépend entièrement de ce qui existe déjà chez vous. Factero est passé de la demande à l’obtention du certificat en douze jours, du 7 au 19 avril 2026, parce que la documentation et les pratiques étaient déjà en place. Une organisation qui part de zéro compte plutôt en mois, le temps de documenter ce qu’elle applique déjà ou de combler ses lacunes.
Combien de temps la certification CyberSecure Canada est-elle valide ?
Un an. Le certificat de Factero couvre la période du 19 avril 2026 au 19 avril 2027. Comme la plupart des certifications de ce type, elle n’est pas permanente : elle s’entretient et se renouvelle à l’échéance, ce qui suppose de redémontrer sa conformité, pas seulement de payer à nouveau.
Quelle est la différence entre CyberSecure Canada et le PCCC (ITSP.10.171) ?
CyberSecure Canada est vérifié par un organisme de certification externe, accrédité par le Conseil canadien des normes. Le niveau 1 du PCCC, fondé sur la norme ITSP.10.171, s’obtient par autoattestation : l’organisation déclare elle-même sa conformité, sans vérification externe à ce palier. Factero détient les deux, sur la même fenêtre de validité, mais les deux ne pèsent pas le même poids.
Sources citées
- Norme CAN/DGSI 104 (Digital Governance Standards Institute)
- Programme CyberSecure Canada / CyberSécuritaire Canada (Innovation, Sciences et Développement économique Canada)
- Programme canadien de certification en cybersécurité (PCCC), Services publics et Approvisionnement Canada
- ITSP.10.171, Protection de l’information désignée (Centre canadien pour la cybersécurité)
- Guides pour PME du Centre canadien pour la cybersécurité
- IAF CertSearch (vérification publique des certificats)
