En bref : Une exigence cybersécurité sous-traitant défense transférée par un donneur d’ordre n’est pas négociable au milieu de la chaîne : elle descend directement du contrat que ce donneur d’ordre a signé avec le ministère de la Défense nationale. Le niveau exigé dépend de l’information manipulée, pas de la taille de l’entreprise ni du rang de sous-traitance.
Le CPCSC (Canadian Program for Cyber Security Certification), ou PCCC en français (Programme canadien de certification en cybersécurité), est le programme que le gouvernement fédéral utilise pour exiger un niveau minimal de cybersécurité des fournisseurs du ministère de la Défense nationale (MDN), puis de toute la chaîne de sous-traitance derrière eux. Si vous lisez cet article, c’est probablement que ce sigle vient d’apparaître dans une clause contractuelle ou un courriel de votre client, sans grande explication.
Vous dirigez une PME en usinage, en électronique ou en composites, au deuxième ou au troisième rang de cette chaîne, et vous n’avez jamais signé quoi que ce soit directement avec le gouvernement. L’exigence vous semble tombée du ciel. Elle ne l’est pas : elle suit une mécanique précise, et cet article la décrit en langage clair.
Dans cet article
Exigence cybersécurité sous-traitant défense : mon donneur d’ordre me l’a transférée, ai-je le choix ?
Sur papier, vous avez toujours le choix. Vous pouvez refuser de signer l’avenant, ignorer le courriel, répondre que ce n’est pas votre problème. Dans les faits, ce choix en cache un autre, beaucoup moins confortable : celui de continuer ou non à travailler avec ce client.
L’exigence qui vient d’atterrir dans votre boîte de courriels n’est pas une lubie administrative. L’intégrateur qui vous l’a transférée s’est lui-même engagé, dans son propre contrat avec le MDN, à exiger la même conformité de ses fournisseurs. Il n’a pas le choix non plus. La clause descend, elle ne se négocie pas au milieu de la chaîne.
Ce que vous avez, c’est une marge de manœuvre sur le comment et sur le quand, pas sur le si. Un donneur d’ordre raisonnable préfère de loin un fournisseur qui répond avec un plan et un échéancier à un fournisseur qui se tait ou qui conteste le principe.
Je ne signe rien avec le MDN : pourquoi le flow-down CPCSC me vise quand même ?
Vous êtes visé parce que l’exigence descend en cascade d’un contrat à l’autre, jusqu’au vôtre. C’est la question qui revient le plus souvent, et elle est légitime. Vous fabriquez des pièces usinées, des composants électroniques ou des matériaux composites pour un client qui, lui, vend au MDN. Vous n’avez jamais vu un contrat fédéral, jamais signé quoi que ce soit avec le gouvernement.
Ce mécanisme de transmission contractuelle porte un nom dans le jargon du programme : le « flow-down ». C’est ainsi que naît, à votre niveau, une exigence cybersécurité sous-traitant défense. Il fonctionne en cascade, clause par clause :
- Le maître d’œuvre signe avec le MDN et accepte des obligations de cybersécurité.
- Une des conditions de ce contrat l’oblige à répercuter les mêmes exigences dans ses propres contrats d’approvisionnement, envers ses fournisseurs de premier rang.
- Ces fournisseurs de premier rang font ensuite la même chose envers leurs propres fournisseurs, au deuxième rang.
- Le deuxième rang répète l’exercice envers le troisième, et ainsi de suite.
À chaque maillon, l’exigence se transmet par une clause contractuelle, pas par une loi qui vous viserait directement, vous, en tant qu’entreprise.
Le libellé exact de la clause varie d’un contrat à l’autre et d’un intégrateur à l’autre. Les documents officiels du Programme canadien de certification en cybersécurité, publiés par le gouvernement fédéral, restent la référence si vous voulez lire la mécanique exacte plutôt qu’un résumé.
Notre propre analyse de 362 845 contrats du MDN montre l’ampleur réelle de cette chaîne. Le tissu manufacturier québécois, en usinage, en électronique et en composites, en est une cible directe, bien au-delà des entreprises qui pensent être trop petites ou trop loin du donneur d’ordre final pour être concernées.
Quel niveau me sera demandé, niveau 1 ou niveau 2 ?
La réponse tient en une phrase : ça dépend de ce que vous manipulez, pas de qui vous êtes.
Le niveau exigé se détermine par la nature de l’information que votre entreprise reçoit, traite ou stocke dans le cadre du contrat, ce que le programme appelle l’information spécifiée. Une PME de dix employés qui manipule de l’information sensible peut se voir exiger un niveau plus élevé qu’une entreprise de cent employés qui ne touche qu’à des données génériques. La taille de l’entreprise et le rang dans la chaîne n’entrent pas dans le calcul, même s’ils influencent souvent, dans les faits, le type d’information qui vous est confié.
Nous détaillons les critères précis dans Qui est visé par le CPCSC ? PME, sous-traitants et défense. Voici, en résumé, ce qui distingue les deux niveaux actuellement définis par le programme.
| Aspect | Niveau 1 | Niveau 2 |
|---|---|---|
| Méthode de vérification | Auto-évaluation par l’entreprise, avec attestation de conformité | Vérification par un évaluateur tiers accrédité |
| Étendue des contrôles | 13 contrôles | Ensemble plus large, aligné sur le document technique ITSP.10.171 du Centre canadien pour la cybersécurité |
| En vigueur depuis | Avril 2026 | Intégration graduelle aux contrats prévue à partir du printemps 2027 |
| Ce que ça change pour vous | Vous pouvez démarrer et compléter la démarche à l’interne | Le bassin d’évaluateurs accrédités au Canada est encore restreint ; personne, à ce jour, ne peut vous garantir un audit de niveau 2 dans un délai serré |
Si votre client vous parle de niveau 2 pour un contrat qui ferme dans les prochaines semaines, posez la question directement : qui, au Canada, est actuellement en mesure de réaliser cette vérification ? La réponse, à ce jour, n’est pas simple, et c’est un problème qui touche autant votre client que vous.
Quels délais réels pour un sous-traitant de la défense qui doit se conformer sans perdre le contrat ?
Cette exigence cybersécurité sous-traitant défense suit un calendrier différent selon le niveau visé : pour le niveau 1, les délais restent raisonnables si vous vous y mettez tôt. L’auto-évaluation porte sur 13 contrôles, en vigueur depuis l’annonce de Services publics et Approvisionnement Canada (SPAC) en avril 2026. Ce n’est pas un audit de plusieurs mois : c’est un exercice de quelques semaines pour une entreprise qui a déjà une hygiène de base (comptes utilisateurs gérés, correctifs appliqués, sauvegardes testées) et qui accepte de documenter ce qu’elle fait déjà. Nous détaillons la démarche pas à pas dans Auto-évaluation PCCC niveau 1 : le mode d’emploi pas à pas.
Le vrai risque de délai vient d’un autre endroit : l’entreprise qui reçoit la clause et qui la laisse dormir. Un dossier commencé la semaine de l’échéance ressemble rarement à un dossier commencé trois mois plus tôt.
Pour le niveau 2, la pression est différente. Le programme prévoit une intégration graduelle aux contrats à partir du printemps 2027, et certains grands intégrateurs qui anticipent cette échéance ont déjà entamé un cycle de préparation de 12 à 18 mois. Si votre client vous parle aujourd’hui de niveau 2, ce n’est pas de la précipitation de sa part : c’est un donneur d’ordre qui suit une échéance qu’il connaît mieux que vous.
Mon client exige une certification cybersécurité : que répondre en attendant d’être prêt ?
Cinq gestes concrets, dans l’ordre.
- Accusez réception par écrit, tout de suite. Un dirigeant qui répond rapidement, avec un accusé de réception clair, envoie un signal complètement différent de celui qui laisse le courriel sans réponse pendant plusieurs semaines.
- Confirmez le niveau exact demandé et le type d’information visée. Ne devinez pas : demandez à votre client de préciser, par écrit, ce qui justifie le niveau qu’il exige.
- Faites un état des lieux honnête de vos 13 contrôles, si le niveau 1 est visé, ou de votre posture générale, si le niveau 2 est évoqué. Couvert, partiellement couvert, écart. Pas de zone grise.
- Proposez un échéancier daté, même provisoire, plutôt qu’une promesse vague. « Nous visons telle date » vaut mieux que « nous travaillons là-dessus ».
- Documentez chaque geste au fur et à mesure. Le jour où votre client demandera des preuves, vous voulez les avoir sous la main, pas les reconstruire de mémoire.
Refuser une exigence cybersécurité sous-traitant défense : que perd-on vraiment ?
Vous pouvez refuser. Personne ne peut vous y obliger légalement au sens où une loi générale vous viserait directement, aujourd’hui. Ce que vous perdez, c’est plus concret qu’une abstraction juridique.
Le contrat en cours, d’abord, si la clause y est rattachée avec une échéance. Ensuite, et c’est souvent plus coûteux à moyen terme, votre place dans la liste de fournisseurs qualifiés pour les prochains appels d’offres du même donneur d’ordre. Les grands intégrateurs de défense qualifient leurs fournisseurs une fois, puis achètent dans cette liste pendant des années. En sortir coûte cher à y revenir.
Il y a aussi ce qu’on entend rarement dire à voix haute : un fournisseur qui refuse net devient, aux yeux de son client, un maillon faible dans la propre chaîne de conformité de ce client envers le MDN. Ce n’est pas une accusation, c’est une mécanique. Le donneur d’ordre a lui-même des comptes à rendre plus haut dans la chaîne, et il choisira, à terme, des fournisseurs qui ne le mettent pas en défaut.
Le guide complet du programme, CPCSC / PCCC : guide complet de la certification cyberdéfense, explique l’ensemble de la démarche si vous voulez la vue d’ensemble avant de répondre à votre client.
Nous avons nous-mêmes complété l’auto-évaluation PCCC niveau 1 pour notre propre cabinet, question de ne pas être le cordonnier mal chaussé qui accompagne ce genre de démarche sans l’avoir vécue. Vous avez reçu la clause et l’échéance ? Un plan de conformité réaliste se construit en quelques semaines, par un cabinet indépendant membre de la CADSI (Association canadienne des industries de défense et de sécurité), sans produit à vendre. Notre rôle est de structurer votre dossier et votre calendrier pour répondre à votre donneur d’ordre avec un échéancier crédible ; vous restez le seul à décider et à signer l’attestation.
Pour aller plus loin avec Factero :
Foire aux questions
Quels contrôles concrets dois-je mettre en place pour le niveau 1 du PCCC ?
Treize contrôles au total, centrés sur l’hygiène de base : gestion des comptes utilisateurs, application des correctifs, sauvegardes testées, contrôle des accès. Rien d’exotique pour une entreprise qui a déjà une discipline TI minimale. Auto-évaluation PCCC niveau 1 : le mode d’emploi pas à pas détaille chacun des treize, avec les preuves à documenter.
Que se passe-t-il si mon entreprise ne peut pas se conformer avant l’échéance ?
Ça dépend de la marge de manœuvre de votre client. Certains acceptent un échéancier de rattrapage documenté, d’autres non. La pire réponse est le silence : un dossier en retard accompagné d’un plan concret vaut mieux qu’une absence de réponse.
Dois-je moi-même transférer cette exigence à mes propres sous-traitants ?
Oui, si un de vos propres sous-traitants traite, stocke ou transmet l’information visée par votre contrat. C’est la même mécanique en cascade qui vous a visé, un rang plus bas : le flow-down ne s’arrête pas à vous, il continue tant qu’il y a un fournisseur suivant dans la chaîne qui touche à cette information. Vérifiez vos propres ententes de sous-traitance avant de signer l’engagement envers votre client.
Qui paie les coûts de la mise en conformité, mon entreprise ou mon donneur d’ordre ?
En général, vous. La mise en conformité reste à la charge de l’entreprise qui doit se certifier, comme pour la plupart des exigences contractuelles transférées à un fournisseur. Rien n’empêche de négocier un accompagnement avec votre client, surtout si votre contrat compte pour lui, mais ce n’est pas un droit acquis. Posez la question directement plutôt que de présumer une réponse.
Une certification ISO ou un rapport de sécurité existant peut-il remplacer le PCCC ?
Pas directement. Le PCCC est un programme fédéral canadien propre à la chaîne d’approvisionnement de défense, distinct des certifications privées comme ISO 27001. Une certification existante peut appuyer certaines preuves de votre dossier, mais elle ne se substitue pas à l’auto-évaluation ou à la vérification exigées par le programme.
