Qui doit se conformer au PCCC ? Le test en 5 questions

En bref : Qui doit se conformer au PCCC (CPCSC), le Programme canadien de certification en cybersécurité ? Tous les fournisseurs de la Défense nationale canadienne et leurs sous-traitants : ateliers d’usinage, transporteurs, fabricants de composantes. Si votre entreprise touche, de près ou de loin, à un contrat militaire canadien, la conformité vous concerne probablement déjà, même si personne ne vous l’a dit.

Le guide complet, CPCSC / PCCC : guide complet de la certification cyberdéfense, couvre l’ensemble du régime : ses niveaux, son calendrier, ses exigences techniques. Ici, on répond à une seule question, celle que la plupart des dirigeants se posent trop tard : est-ce que ça me touche, moi ?

Dans cet article

Je ne vends pas directement à la Défense, dois-je me conformer au PCCC quand même ?

Oui, dans la majorité des cas. Le ministère de la Défense nationale (MDN) n’achète pas seul les pièces, les composantes ou les services qui entrent dans un contrat militaire. Il achète auprès d’un fournisseur principal, qui sous-traite lui-même une partie du travail à d’autres entreprises, qui sous-traitent parfois à leur tour.

Les exigences de cybersécurité descendent cette chaîne par contrat. Si vous usinez une pièce pour un fabricant qui, lui, vend au MDN, l’obligation contractuelle qui pèse sur ce fabricant se répercute sur vous, généralement sous forme d’une clause dans votre propre contrat ou votre propre bon de commande. Vous n’avez jamais parlé à personne au ministère, et pourtant vous êtes dans la chaîne.

C’est le même principe que le programme américain équivalent, le CMMC (Cybersecurity Maturity Model Certification) : le département de la Défense des États-Unis l’impose progressivement à sa base industrielle, et les exigences ne s’arrêtent pas au premier fournisseur, elles voyagent avec le contrat, jusqu’au dernier sous-traitant.

Qui doit se conformer au PCCC, concrètement ?

Pas seulement les grands intégrateurs de systèmes d’armes. Le profil le plus courant ressemble à ceci.

Une entreprise de 15, 20, 50 ou 100 employés. Aucun département informatique. Un fournisseur TI externe qui passe de temps en temps régler un problème, ou un employé qui « connaît ça un peu » et qui hérite du dossier par défaut. Une feuille de route de croissance qui ne prévoyait pas, il y a deux ans, de devoir démontrer une posture de cybersécurité à qui que ce soit.

Deux exemples reviennent souvent.

L’atelier d’usinage familial qui fabrique une pièce précise, à des tolérances serrées, pour un fabricant qui l’intègre ensuite dans un équipement vendu à la Défense. Le plan technique de cette pièce, ses spécifications, ses tolérances : voilà exactement le genre d’information que le régime cherche à protéger.

Le transporteur dont le camion roule vers une base militaire. Ce qu’il détient n’a rien de secret au sens où on l’entend au cinéma, mais c’est sensible quand même : quand ça part, vers où, vers quelle base, qu’est-ce qu’il y a dans la boîte. Ces informations logistiques, mises ensemble, dessinent un portrait qu’on ne veut pas voir circuler librement. Ce sont, en un sens, les clés du coffre au trésor : chacune isolée semble anodine, réunies elles ne le sont plus.

Ni l’un ni l’autre ne se considère comme une entreprise technologique. C’est précisément pour cette raison que le régime existe : usiner une pièce, transporter une caisse ou fabriquer une composante n’a jamais été un métier informatique, et personne dans ces entreprises n’a été négligent en ne bâtissant pas un service TI. Le régime vise à ramener une hygiène minimale partout où circule cette information, pas à sanctionner un manque de vigilance qui n’existait pas comme obligation avant.

Qu’est-ce que le CPCSC protège au juste ?

Pas le secret ni le très secret, contrairement à ce que le mot « défense » évoque spontanément. Ce que le régime encadre, ce sont les renseignements non classifiés de nature délicate : de l’information qui n’est pas classifiée au sens militaire strict, mais dont la divulgation ou la perte poserait un problème réel, opérationnel ou de sécurité.

Quelques exemples concrets :

le plan d’une pièce mécanique ;
le connaissement d’un transporteur ;
un devis technique détaillé ;
une liste de composantes.

Individuellement, chacun de ces documents peut sembler banal. C’est leur lien avec un contrat de défense qui les rend sensibles, et c’est cette catégorie précise que le Centre canadien pour la cybersécurité définit dans la norme technique ITSP.10.171, qui sert de base au régime. Nous détaillons cette norme, adaptée de la publication américaine NIST SP 800-171, dans ITSP.10.171 expliquée : la norme canadienne née de NIST 800-171.

Le PCCC (CPCSC), le Programme de sécurité des contrats et le Programme des marchandises contrôlées, est-ce la même chose ?

Non, ce sont trois régimes distincts, et une entreprise peut être visée par plus d’un à la fois.

Régime	Ce qu’il vérifie	Qui il touche généralement
Programme de sécurité des contrats (PSC)	L’habilitation sécuritaire des personnes et des organisations qui accèdent à de l’information ou des lieux protégés	Fournisseurs et employés qui manipulent de l’information classifiée ou protégée
Programme des marchandises contrôlées (PMC)	L’enregistrement des entreprises qui examinent, possèdent ou transfèrent des marchandises contrôlées, soit des technologies et données à usage militaire	Fabricants, ateliers d’usinage, distributeurs de composantes militaires ou à double usage
CPCSC (PCCC)	La posture de cybersécurité de l’entreprise elle-même : contrôles techniques, processus, protection de l’information non classifiée de nature délicate	Toute entreprise de la chaîne d’approvisionnement de la Défense, quel que soit son rang

Le CPCSC s’ajoute aux deux autres, il ne les remplace pas. Une entreprise déjà inscrite au PSC ou au PMC n’est pas automatiquement conforme au CPCSC : ce sont trois démonstrations distinctes, même si elles partagent une partie de la documentation et de la logique.

Être inscrit aux marchandises contrôlées, est-ce un indice que je suis visé ?

Oui, un indice fort. Si votre entreprise est déjà inscrite au Programme des marchandises contrôlées, c’est qu’elle manipule déjà, d’une façon reconnue par le gouvernement fédéral, des technologies ou des données à vocation militaire. La probabilité que le CPCSC s’applique aussi à vous, tôt ou tard, est élevée.

Ce n’est pas pour autant une confirmation automatique. L’assujettissement précis au CPCSC se confirme contrat par contrat, à mesure que l’exigence apparaît dans les documents d’appel d’offres et les clauses contractuelles. Une inscription au PMC est un signal à prendre au sérieux, pas une réponse définitive à elle seule.

Pourquoi cette exigence arrive-t-elle maintenant ?

Une question d’argent, en bonne partie. Le Canada consacre actuellement environ 2 % de son produit intérieur brut à la défense, avec un engagement à faire grimper cette proportion vers 5 % d’ici 2035. Cet argent supplémentaire ne reste pas dans un seul grand contrat : il descend dans la chaîne d’approvisionnement, vers des centaines de fournisseurs de tous les rangs. Les exigences de cybersécurité descendent avec lui.

Le niveau 1 du CPCSC commence déjà à apparaître dans certains appels d’offres dès l’été 2026. L’auto-évaluation qu’il exige devient obligatoire au moment de l’attribution du contrat, pas au moment du dépôt de la soumission : une entreprise peut soumissionner sans l’avoir complétée, mais elle ne peut pas signer le contrat sans elle. Ce n’est pas un détail administratif, c’est un point de blocage possible en toute fin de processus, au pire moment pour le découvrir.

Comment savoir si vous êtes visé, concrètement ?

Qui doit se conformer au PCCC, dans votre cas précis ? La meilleure façon de le savoir n’est pas de deviner. Un exercice honnête, avant même de parler certification, tient en quelques questions.

Un client, direct ou indirect, vend-il des produits ou des services au ministère de la Défense nationale ou à un autre organisme de défense, canadien ou allié ?
Un de vos contrats ou bons de commande contient-il une clause de sécurité, de confidentialité ou de protection de l’information que vous n’aviez jamais vue avant ?
Votre entreprise est-elle inscrite, ou a-t-elle déjà été approchée pour s’inscrire, au Programme des marchandises contrôlées ou au Programme de sécurité des contrats ?
Manipulez-vous des plans techniques, des spécifications ou des données logistiques liées à un équipement, une pièce ou un envoi destiné à un usage militaire ?
Un client vous a-t-il récemment posé des questions sur votre sécurité informatique qu’il ne posait pas avant ?

Deux réponses positives ou plus, et le doute suffit : la probabilité que le CPCSC s’applique à vous, directement ou par ricochet, dépasse largement le hasard. À ce stade, la bonne réaction n’est pas de deviner, c’est de vérifier, contrat par contrat, avec quelqu’un qui connaît le régime. Pour les entreprises dont l’auto-évaluation de niveau 1 approche, PCCC niveau 1 : comprendre les 13 contrôles avant d’attester détaille ce qui vous attend concrètement.

Nous suivons cette dynamique d’assez près pour la chiffrer : une analyse détaillée des contrats du ministère de la Défense nationale, publiée depuis la rédaction de ce guide, mesure l’ampleur réelle du mouvement dans la chaîne d’approvisionnement canadienne.

Saint-Jean-sur-Richelieu porte cette question autrement qu’ailleurs. C’est une ville de tradition militaire de longue date, voisine du Collège militaire royal de Saint-Jean, où les ateliers, les transporteurs et les fournisseurs de la région croisent la Défense depuis des générations sans nécessairement se penser comme des maillons d’une chaîne d’approvisionnement stratégique. Factero y est établi, membre de l’association professionnelle CADSI (AICDS en français), et soutient Ino Sécure dans cette même communauté. Ce n’est pas un dossier théorique pour nous, ce sont nos voisins.

Si le doute persiste après cet exercice, c’est généralement qu’il est fondé. Un appel exploratoire avec Factero suffit à situer votre exposition réelle, à partir de vos contrats et de votre chaîne de clients, pas à partir d’hypothèses.

Planifier un appel exploratoire

Pour aller plus loin avec Factero :

Foire aux questions

Le CPCSC vise-t-il aussi les fournisseurs informatiques, ou seulement les ateliers et les fabricants ?

Oui, dès que leurs systèmes stockent, traitent ou transmettent l’information visée. Un fournisseur de services TI qui héberge ou gère l’infrastructure d’un client de la chaîne de défense hérite de la même obligation que ce client. Le type d’activité n’exempte personne : qui doit se conformer au PCCC dépend de la nature de l’information manipulée, pas du secteur d’affaires.

Le CMMC américain et le CPCSC canadien, est-ce la même certification ?

Non. Deux régimes distincts, chacun sous sa propre autorité : le CMMC dépend du département de la Défense des États-Unis, le CPCSC de Services publics et Approvisionnement Canada. Le gouvernement canadien peut reconnaître le statut CMMC d’une entreprise au cas par cas, mais aucune équivalence automatique n’existe. Une entreprise soumise aux deux marchés doit prévoir deux démarches séparées.

Le niveau 1 du CPCSC coûte-t-il cher à obtenir ?

Pas nécessairement. Le niveau 1 est une auto-évaluation que l’entreprise complète elle-même, avec un outil fourni par le gouvernement du Canada : aucun évaluateur externe n’intervient à ce palier. Le coût réel se mesure en temps interne pour documenter les 13 contrôles, pas en honoraires d’audit. Le niveau 2, lui, exige une évaluation par un tiers accrédité, ce qui implique des frais externes.

Le CPCSC est-il déjà obligatoire pour tous les sous-traitants ?

Pas encore pour tous les sous-traitants, non. Le niveau 1 est introduit graduellement dans des contrats de défense sélectionnés à partir de l’été 2026, pas dans l’ensemble du portefeuille du MDN d’un coup. Le calendrier précis dépend du contrat et du rang du fournisseur dans la chaîne d’approvisionnement.

Que se passe-t-il si mon entreprise n’est pas conforme au moment requis ?

L’entreprise risque de ne pas pouvoir signer le contrat visé, puisque l’auto-évaluation devient une condition à son attribution, pas seulement à la soumission. Une entreprise déjà sous contrat qui perd sa conformité s’expose à devenir inadmissible à ce contrat et aux appels d’offres suivants. Les conséquences précises varient selon les clauses de chaque contrat et son échéancier.

Qui doit se conformer au PCCC ? PME, sous-traitants et défense

Besoin d’aide sur ce sujet ?