En bref : Se préparer à la certification CyberSécuritaire Canada consiste à documenter, avant l’audit, la conformité de votre PME aux six familles de contrôles de la norme CAN/DGSI 104 : formation, évaluation des risques, réponse aux incidents, configuration sécurisée, sauvegardes et infonuagique. La décision de certifier appartient ensuite à l’organisme de certification tiers, jamais à vous ni à votre accompagnateur.
Dans cet article
Quelles sont les étapes pour se préparer à la certification CyberSécuritaire Canada ?
Nous avons vécu cette démarche nous-mêmes, du premier geste jusqu’à la décision. Notre démarche a débuté le 7 avril 2026, et la certification niveau 1 est arrivée douze jours plus tard, le 19 avril. Ce délai court n’est pas la norme pour tout le monde. Il dépend entièrement de l’écart de départ entre ce que vous faites déjà et ce que la norme exige.
Le premier geste n’est pas de contacter un organisme de certification. C’est de lire la norme elle-même, CAN/DGSI 104, publiée par le Digital Governance Standards Institute, et de situer votre entreprise face au programme fédéral CyberSécuritaire Canada qui l’encadre. Le programme, aussi connu sous son nom anglais CyberSecure Canada, existe précisément pour donner aux petites et moyennes entreprises (PME) canadiennes un référentiel de base accessible, plus léger qu’une norme internationale complète.
Le deuxième geste est de nommer un responsable unique du dossier. Pas un comité, une personne. Dans une PME, ce rôle revient souvent à la direction ou à l’exploitation, pas à la seule équipe TI : une bonne partie des preuves à monter touche des politiques et des processus, pas seulement de la configuration technique.
Notre guide complet sur la certification CyberSécuritaire Canada présente le cadre général de la norme. Ce texte-ci va plus loin : il décrit le chemin concret, celui qu’on parcourt une fois qu’on a décidé d’y aller.
Comment faire l’état des lieux face aux six familles de contrôles ?
La révision Rev 1:2024 de la norme regroupe ses exigences en six familles claires. Les connaître par leur nom aide déjà à répartir le travail entre les bonnes personnes, avant même d’ouvrir un seul document.
| Famille de contrôles | Ce qu’elle couvre concrètement |
|---|---|
| Formation | La sensibilisation du personnel aux risques courants : hameçonnage, mots de passe, manipulation de données sensibles |
| Évaluation des risques | L’inventaire des actifs informationnels et l’identification de ce qui pourrait mal tourner, avant que ça arrive |
| Réponse aux incidents | Un plan écrit, pas seulement un réflexe : qui fait quoi si un système tombe ou si des données fuient |
| Configuration sécurisée | Les paramètres de base des postes, serveurs et réseaux : mises à jour, pare-feu, accès par défaut fermés |
| Sauvegardes | La capacité réelle, testée, de restaurer les données après un incident, pas seulement la copie qui existe quelque part |
| Infonuagique et TI externalisée | Ce que les fournisseurs infonuagiques et les sous-traitants font des données de l’entreprise, et ce qu’on peut en démontrer |
Pour chaque famille, faites un premier passage honnête : couvert, partiellement couvert, ou écart. Ne visez pas la perfection à cette étape, visez le portrait réel.
Un écart trouvé pendant la préparation coûte une conversation. Le même écart trouvé pendant l’audit coûte un délai, parfois une décision reportée.
Une partie de ces preuves n’est pas à créer de toutes pièces. Une PME québécoise qui respecte déjà ses obligations sous la Loi 25 sur la protection des renseignements personnels a probablement une bonne partie de l’inventaire des données et des mesures de sécurité que la famille évaluation des risques demande. Le travail devient alors de la mise en forme, pas de la construction.
Deux de nos textes vont plus loin sur ce terrain. Les contrôles de base CAN/DGSI 104 expliqués aux dirigeants détaille chaque famille sans jargon technique. Notre certification CAN/DGSI 104, racontée de l’intérieur montre à quoi ce premier passage a ressemblé chez nous, écart par écart.
Comment bâtir la checklist CAN/DGSI 104 sans s’épuiser ?
Le montage des preuves est l’étape qui use le plus de PME. Pas parce qu’elle est compliquée, mais parce qu’elle est dispersée entre des personnes, des fournisseurs et des dossiers qui ne se parlent pas. Cinq réflexes limitent l’épuisement.
- Inventoriez d’abord ce qui existe déjà. La plupart des PME ont plus de preuves qu’elles ne le pensent : une police de sauvegarde chez leur fournisseur infonuagique, une clause de sécurité déjà présente dans un contrat, une pratique de mots de passe jamais formalisée mais réellement appliquée. Rassembler avant de produire.
- Comblez les écarts les plus structurants en premier. Une politique de réponse aux incidents absente bloque plus de choses en aval qu’un détail de configuration isolé. Priorisez ce qui conditionne le reste du dossier.
- Documentez au fur et à mesure, pas à la toute fin. Un écart comblé sans trace écrite reste, aux yeux d’un audit, un écart non démontré.
- Attribuez chaque preuve à une personne responsable de la tenir à jour, pas seulement de l’avoir produite une fois. Une preuve périmée pèse presque aussi lourd qu’une preuve absente.
- Faites relire le dossier complet par un regard externe avant le dépôt. Ce qui semble évident à l’interne ne l’est pas toujours pour un tiers qui découvre l’entreprise pour la première fois.
Quand un outil de gouvernance aide-t-il à préparer sa certification ?
Pour une très petite organisation, un chiffrier suffit parfois à suivre l’état de chaque contrôle. Passé un certain volume de preuves à gérer et à renouveler dans le temps, un outil de gouvernance des risques et de la conformité (GRC) change la nature du travail : il centralise la liste des contrôles, relie chacun à sa preuve, et rappelle les échéances de renouvellement plutôt que de compter sur la mémoire de quelqu’un.
Nous administrons notre propre conformité avec un outil de GRC libre que nous opérons nous-mêmes. Ce n’est pas une recommandation de produit unique, c’est une illustration. Peu importe l’outil retenu, la question à se poser reste la même : dans six mois, qui verra qu’une preuve est périmée avant qu’un auditeur ne le voie le premier ?
Le signal à surveiller n’est pas le nombre d’employés, c’est le nombre de preuves qui ont une date de péremption : politiques à revoir annuellement, tests de sauvegarde à répéter, contrats de sous-traitance à renouveler. Passé une poignée de ces échéances suivies à la main, les oublis commencent.
À quoi ressemble le passage devant l’organisme de certification ?
Une fois le dossier monté, il est soumis à un organisme de certification accrédité, distinct de vous et de tout accompagnateur qui vous a aidé à vous préparer. L’organisme révise les preuves, pose des questions de suivi, puis rend sa décision.
Un point mérite d’être dit sans détour, parce qu’il revient dans presque chaque échange que nous avons avec des dirigeants. Personne, ni consultant ni accompagnateur, ne peut vous garantir la certification. C’est une obligation de moyens : bien préparer le dossier, anticiper les questions, réduire les écarts. La décision finale appartient exclusivement à l’organisme de certification. Quiconque vous promet un résultat vous dit surtout quelque chose sur sa rigueur, pas sur vos chances réelles.
Nous le savons pour l’avoir vécu du côté audité. Le cordonnier le mieux chaussé reste soumis au même examen que ses clients : notre dossier est passé par le même processus que celui que nous aidons aujourd’hui d’autres PME à préparer, sans traitement particulier.
Que vérifier une fois la certification obtenue ?
La certification CyberSécuritaire Canada niveau 1 n’est pas permanente. Chez nous, elle est valide jusqu’au 19 avril 2027, un an après son obtention. Le renouvellement se prépare, il ne se découvre pas la veille de l’échéance.
Une fois certifié, deux réflexes valent la peine. D’abord, vérifiez que la certification apparaît correctement sur IAF CertSearch, l’outil de vérification publique des certificats. C’est l’endroit où un client ou un donneur d’ordre peut confirmer, sans vous demander de document, qu’une certification est réelle et à jour. Ensuite, plusieurs entreprises certifiées choisissent d’afficher leur statut dans une page dédiée à leurs clients, une pratique qui gagne du terrain à mesure que les appels d’offres exigent des preuves plutôt que des affirmations.
Se préparer à la certification CyberSécuritaire Canada ne demande pas d’attendre une décision ferme pour commencer. Si votre PME évalue encore si elle doit se lancer, ou si le dossier est déjà ouvert mais que l’état des lieux tarde à démarrer, un audit pré-certification donne un portrait honnête de votre écart avant que l’échéance ne décide à votre place. Nous l’offrons parce que nous l’avons fait pour nous-mêmes avant de le faire pour d’autres : monter ses propres preuves apprend ce qu’un dossier solide doit contenir, mieux que n’importe quelle théorie.
Pour aller plus loin avec Factero :
- préparer votre certification CyberSécuritaire Canada avec Factero
- audit TI indépendant avant la certification
Foire aux questions
Combien de temps faut-il pour se préparer à la certification CyberSécuritaire Canada ?
Aucun délai fixe n’existe : tout dépend de l’écart entre vos pratiques actuelles et les six familles de contrôles de la norme. Notre propre démarche a pris douze jours, du 7 au 19 avril 2026, mais nous partions d’une base déjà structurée. Une PME qui découvre la norme en même temps qu’un appel d’offres qui l’exige doit prévoir plusieurs semaines, pas quelques jours.
Combien coûte la certification CyberSécuritaire Canada ?
Le coût n’est pas fixe : il combine les frais facturés par l’organisme de certification accrédité qui évalue le dossier et le temps investi, à l’interne ou en accompagnement, pour combler les écarts avant le dépôt. Aucun tarif national unique n’est publié ici tant qu’il n’a pas été confirmé : demandez un devis précis à l’organisme de certification retenu avant de budgéter la démarche.
Quels documents ou preuves faut-il réunir pour la certification CyberSécuritaire Canada (CAN/DGSI 104) ?
Le dossier combine des preuves déjà existantes et des preuves à documenter : une police de sauvegarde chez le fournisseur infonuagique, une clause de sécurité dans un contrat de sous-traitance, une politique de réponse aux incidents écrite, la configuration de base des postes et serveurs. Pour chacune des six familles de contrôles, une trace écrite doit démontrer la pratique en place, pas seulement l’affirmer.
Un consultant peut-il garantir la certification CyberSécuritaire Canada ?
Non. La décision finale appartient exclusivement à l’organisme de certification accrédité, jamais à l’entreprise ni à qui l’accompagne. Un accompagnement prépare le dossier, réduit les écarts et anticipe les questions de suivi, mais reste une obligation de moyens. Toute promesse de résultat signale surtout la rigueur douteuse de qui la fait, pas vos chances réelles.
