En bref : Exigences CPCSC mythes et réalités : six affirmations qui circulent sur le Programme canadien de certification en cybersécurité (CPCSC) ne résistent pas à la lecture des documents officiels. Ni délai fixe de signalement d’incident, ni chiffrement FIPS obligatoire, ni exigence de résidence des données au Canada : la norme ITSP.10.171 dit autre chose que ce qu’on répète le plus souvent.
Une entreprise québécoise sous-traitante du gouvernement fédéral entend parler du CPCSC pour la première fois dans un appel d’offres, puis se met à chercher des réponses. Elle en trouve, beaucoup, de sources inégales : forums, présentations, résumés de tiers. Certaines réponses sont fausses. D’autres sont vraies, mais mal datées ou mal situées dans le bon niveau. Cet article reprend six affirmations qui reviennent souvent, sans nommer personne, et les vérifie une à une contre les documents officiels.
Pour la vue d’ensemble du programme, ses deux niveaux et son calendrier, notre guide complet CPCSC / PCCC reste la référence. Cet article se concentre sur ce qui crée le plus de confusion : la norme ITSP.10.171 elle-même, que nous expliquons en détail ailleurs, sert de socle technique au CPCSC et aux exigences de protection de l’information désignée.
Dans cet article
Le mythe du signalement d’incident CPCSC en 24 à 72 heures est-il vrai ?
Non. Aucun document officiel du Centre canadien pour la cybersécurité n’impose de délai fixe de signalement d’incident dans le cadre du CPCSC. Le chiffre de 24 à 72 heures circule beaucoup, mais rien dans la norme ITSP.10.171 ne le prescrit.
Ce qui existe, c’est une obligation de signaler les incidents, sans délai numérique associé dans la norme elle-même. Si votre contrat avec l’agence fédérale ou votre entente avec un maître d’œuvre impose un délai précis, c’est ce contrat qui le fixe, pas le CPCSC. Vérifiez vos clauses contractuelles avant d’inscrire un chiffre dans votre plan de réponse aux incidents.
La réponse aux incidents fait-elle partie du niveau 1 ?
Non. Le PCCC niveau 1 repose sur 13 contrôles d’auto-évaluation. La gestion des incidents n’en fait pas partie. Elle apparaît avec la norme complète, à un niveau supérieur, où le nombre de contrôles à démontrer grimpe considérablement.
Confondre les deux niveaux coûte cher. Une entreprise qui bâtit un plan de réponse aux incidents détaillé pour répondre à une exigence de niveau 1 travaille sur un contrôle qui ne lui sera pas demandé à cette étape. Notre article sur les 13 contrôles du niveau 1 détaille ce qui est réellement exigé, et notre analyse du niveau 2 et de sa certification aux trois ans situe où la réponse aux incidents entre en jeu.
Le CPCSC rend-il le chiffrement FIPS obligatoire ?
Non, pas systématiquement. Le contrôle 03.13.11 de la norme mentionne le chiffrement validé FIPS (Federal Information Processing Standards, la norme fédérale américaine de validation des modules cryptographiques), mais comme paramètre organisationnel. C’est votre organisation, avec le donneur d’ordre, qui définit le niveau exigé selon le contrat, pas la norme qui l’impose uniformément à tout le monde.
Beaucoup d’entreprises achètent du matériel certifié FIPS par précaution, avant même de savoir si leur contrat l’exige. Ce n’est pas nécessairement une mauvaise décision, mais ce n’est pas une exigence automatique du CPCSC. Vérifiez d’abord ce que votre paramètre organisationnel spécifie réellement, et confirmez-le avec votre client fédéral, pas avec un fournisseur de matériel qui a intérêt à vous vendre le niveau le plus élevé.
Le CPCSC exige-t-il la résidence des données au Canada ?
Non. Le CPCSC n’impose aucune exigence de résidence des données sur le territoire canadien. C’est probablement le mythe le plus répandu, et celui qui pousse le plus d’entreprises à envisager un changement d’hébergeur sans nécessité démontrée.
Ce qui compte, c’est votre contrat avec votre fournisseur infonuagique : où les données sont hébergées, qui peut y accéder, sous quelle juridiction. Les clauses à examiner portent généralement sur trois éléments :
- l’emplacement des centres de données ;
- les conditions d’accès à distance par le personnel du fournisseur ;
- la loi applicable en cas de litige.
Si un déménagement de vos données s’impose un jour, c’est ce contrat qui le dira, pas une clause de la norme ITSP.10.171. Lisez-le avant de conclure quoi que ce soit avec votre hébergeur actuel.
Faut-il bâtir une enclave séparée pour être conforme ?
Non, pas au sens où on l’entend souvent. La norme ITSP.10.171, à son paragraphe 1.1, permet explicitement un périmètre restreint : une séparation logique de votre environnement, pas nécessairement une infrastructure physique distincte.
Le mot « enclave » ne vient pas de la norme elle-même. Il apparaît dans un guide publié par Services publics et Approvisionnement Canada, pas dans le texte du Centre canadien pour la cybersécurité. La confusion entre les deux documents pousse certaines entreprises à bâtir une infrastructure coûteuse et cloisonnée, alors qu’une séparation logique bien documentée suffit souvent à couvrir le même périmètre restreint. Un périmètre bien délimité, avec des contrôles d’accès et une segmentation documentée, répond au même objectif de protection qu’une infrastructure physiquement séparée.
Est-ce un mythe de dire que le CCN n’a rien publié sur le CPCSC ?
Faux, et c’est le mythe le plus facile à corriger avec une seule date. Le Conseil canadien des normes a publié son schéma d’accréditation du CPCSC le 27 janvier 2026, fondé sur la norme ISO/IEC 17020 et identifié IBAP dans sa documentation.
Ce qui manque encore, ce ne sont pas des règles, ce sont des organismes accrédités pour les appliquer. À la date de publication de cet article, aucun organisme n’a été accrédité par le Conseil canadien des normes pour effectuer une certification CPCSC de niveau 2. Le schéma existe, l’infrastructure pour l’appliquer se déploie encore.
Exigences CPCSC mythes et réalités : le tableau récapitulatif
Le tableau suivant reprend les six mythes examinés plus haut, avec le verdict et ce que la norme prévoit réellement.
| Affirmation qui circule | Vrai ou faux | Ce que dit vraiment la norme |
|---|---|---|
| Signaler un incident en 24 à 72 heures | Faux | Aucun délai fixe dans la norme ; vérifiez votre contrat |
| La réponse aux incidents est exigée au niveau 1 | Faux | Absente des 13 contrôles du niveau 1 ; elle arrive avec la norme complète |
| Le chiffrement FIPS est obligatoire | Faux | Recommandé, paramètre organisationnel (contrôle 03.13.11) |
| Les données doivent rester au Canada | Faux | Aucune exigence de résidence ; la question relève de votre contrat fournisseur |
| Une enclave séparée est requise | Faux | Le périmètre restreint (séparation logique) est explicitement permis, §1.1 |
| Le Conseil canadien des normes n’a rien publié | Faux | Schéma d’accréditation publié le 27 janvier 2026 (IBAP, ISO/IEC 17020) |
D’où viennent ces mythes ?
Une partie de la confusion vient du CMMC (Cybersecurity Maturity Model Certification), le régime américain équivalent, imposé par le département de la Défense des États-Unis à ses fournisseurs. Le CMMC et le CPCSC partagent une parenté directe : le second s’appuie sur la norme ITSP.10.171, elle-même dérivée du NIST SP 800-171 américain, le même socle que le CMMC. Les deux régimes se ressemblent, mais ne sont pas identiques, et une exigence propre au régime américain ne se transpose pas automatiquement au régime canadien.
Une autre partie de la confusion vient simplement de la jeunesse du programme. Le CPCSC est récent, la documentation officielle continue de se préciser, et les zones d’ombre se remplissent plus vite de suppositions que de lecture attentive des textes.
Un consultant ou un employé qui a travaillé du côté américain apporte parfois ce vocabulaire sans distinguer les deux régimes. Ce n’est pas de la mauvaise foi, c’est un réflexe professionnel qui mérite d’être vérifié avant d’être appliqué à votre dossier canadien.
Quelles erreurs coûtent le plus cher dans une démarche PCCC ?
Derrière les exigences CPCSC mythes et réalités, trois erreurs reviennent le plus souvent chez les entreprises que nous rencontrons.
- Bâtir une infrastructure d’enclave complète avant de vérifier si une séparation logique, moins coûteuse, suffit pour votre périmètre restreint.
- Investir dans du matériel certifié FIPS avant de confirmer le paramètre organisationnel réellement exigé par votre contrat.
- Retarder un dépôt d’appel d’offres en pensant la certification obligatoire dès la soumission, alors que l’auto-évaluation ne devient obligatoire qu’à l’attribution du contrat.
Chacune de ces erreurs part d’une bonne intention et d’une mauvaise date ou d’un mauvais niveau. Le coût ne vient pas de la norme elle-même, il vient de l’écart entre ce qu’elle exige réellement et ce qu’on croit qu’elle exige. Le gouvernement fédéral offre un outil gratuit d’auto-évaluation de niveau 1 : commencer par cet outil, avant d’investir dans une refonte d’infrastructure, évite plusieurs de ces erreurs.
Trier exigences CPCSC mythes et réalités ne dispense de rien : ni de lire le contrat, ni de consulter au bon moment. Rien de ce qui précède ne remplace un avis juridique ou contractuel. Chaque contrat fédéral a ses propres clauses, et c’est le contrat, pas cet article, qui a le dernier mot sur vos obligations précises. Si une affirmation sur le CPCSC ou le PCCC vous a été présentée comme un fait et que vous voulez la vérifier avant d’investir temps et budget, un accompagnement CPCSC commence justement par cette vérification : quels contrôles s’appliquent à votre niveau, quel est votre écart réel, avant toute recommandation. Notre vision, vos décisions.
Pour aller plus loin avec Factero :
Foire aux questions
Cinq questions reviennent souvent une fois les exigences CPCSC mythes et réalités remises à leur place.
Le CPCSC est-il obligatoire pour soumissionner à un appel d’offres fédéral ?
Non, pas au moment de soumissionner. L’auto-évaluation devient obligatoire à l’attribution du contrat, pas avant le dépôt de votre offre. Le programme est piloté par Services publics et Approvisionnement Canada, qui précise l’exigence exacte dans chaque appel d’offres visé : elle varie d’un contrat à l’autre, vérifiez donc le vôtre avant de conclure quoi que ce soit.
Le CPCSC et le PCCC désignent-ils la même chose ?
Oui. Le PCCC (Programme canadien de certification en cybersécurité) est le nom officiel en français du programme, piloté par Services publics et Approvisionnement Canada. CPCSC est le sigle qui circule pour désigner le même programme, souvent dans des documents ou discussions en anglais. Les deux renvoient à une seule et même certification, sans différence de fond entre eux.
Quelle est la différence entre le CPCSC et le CMMC américain ?
Le CPCSC est piloté par le gouvernement du Canada, le CMMC par le département de la Défense des États-Unis : deux régimes distincts, chacun propre à son pays. Ils partagent une parenté technique, le CPCSC s’appuyant sur l’ITSP.10.171, elle-même dérivée du NIST SP 800-171 qui alimente aussi le CMMC. Un fournisseur qui vend aux deux marchés doit répondre aux deux séparément.
Peut-on se faire certifier CPCSC niveau 2 dès maintenant ?
Pas encore. Le schéma d’accréditation du Conseil canadien des normes existe depuis le 27 janvier 2026, mais aucun organisme n’était accrédité pour réaliser cette certification à la date de publication de cet article. Sans organisme accrédité, aucune certification de niveau 2 n’est possible : la disponibilité du niveau 2 dépend entièrement de cette accréditation à venir.
Combien coûte une certification CPCSC ?
Cet article ne fixe aucun montant, la réponse dépend du niveau visé. Le niveau 1 repose sur une auto-évaluation interne : le coût principal est le temps de votre équipe, pas des honoraires externes. Le niveau 2 exige une certification par un organisme accrédité par le Conseil canadien des normes, avec des frais à négocier directement avec cet organisme une fois qu’il existera.
Sources citées
- Schéma d’accréditation CPCSC — Conseil canadien des normes
- NIST SP 800-171 révision 3
- Outil gouvernemental gratuit d’auto-évaluation niveau 1 (CPCSC/PCCC)
- Programme CMMC (Cybersecurity Maturity Model Certification), département de la Défense des États-Unis
- Programme canadien de certification en cybersécurité (PCCC) — Services publics et Approvisionnement Canada
- ITSP.10.171 — Protection de l’information désignée (Centre canadien pour la cybersécurité)
