{"id":765,"date":"2026-01-16T07:00:00","date_gmt":"2026-01-16T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=765"},"modified":"2026-09-04T13:01:09","modified_gmt":"2026-09-04T18:01:09","slug":"cpcsc-vs-cmmc","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/cpcsc-vs-cmmc\/","title":{"rendered":"PCCC vs CMMC : comprendre les deux programmes de cybers\u00e9curit\u00e9"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>PCCC vs CMMC : le r\u00e9gime canadien reprend la m\u00eame structure \u00e0 trois niveaux et des normes techniques presque identiques \u00e0 celles du r\u00e9gime am\u00e9ricain.<\/strong> Mais ce sont deux certifications distinctes : d\u00e9tenir l&rsquo;une ne vous donne pas automatiquement l&rsquo;autre, et l&rsquo;interop\u00e9rabilit\u00e9 entre les deux programmes n&rsquo;est pas encore d\u00e9finie \u00e0 la date de publication.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"PCCC vs CMMC : trois niveaux, deux certifications distinctes\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Si un donneur d&rsquo;ordre am\u00e9ricain vous a d\u00e9j\u00e0 \u00e9crit le sigle NIST 800-171 dans un courriel, ou si votre entreprise soumissionne des contrats du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis, vous connaissez probablement le CMMC. Et si vous fabriquez ou sous-traitez au Canada, on vous a peut-\u00eatre parl\u00e9 de son \u00e9quivalent, le CPCSC. Les deux sigles se ressemblent, les deux programmes se ressemblent encore plus, et PCCC vs CMMC r\u00e9sume bien la question qui revient le plus souvent dans nos \u00e9changes avec des dirigeants : si j&rsquo;ai l&rsquo;un, est-ce que j&rsquo;ai l&rsquo;autre ?<\/p>\n\n<p class=\"wp-block-paragraph\">Ce guide r\u00e9pond \u00e0 cette question pour vous, dirigeant d&rsquo;un fabricant, d&rsquo;un int\u00e9grateur ou d&rsquo;un sous-traitant de la cha\u00eene d&rsquo;approvisionnement de la d\u00e9fense. Pas pour votre \u00e9quipe technique. Pour vous.<\/p>\n\n<p class=\"wp-block-paragraph\">Si les bases du CPCSC ne vous sont pas encore famili\u00e8res, notre <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">guide complet de la certification cyberd\u00e9fense CPCSC \/ PCCC<\/a> les couvre en d\u00e9tail avant d&rsquo;aborder la comparaison qui suit.<\/p>\n\n<p class=\"wp-block-paragraph\">La confusion est compr\u00e9hensible. Les deux sigles d\u00e9crivent la m\u00eame famille de probl\u00e8me : comment un gouvernement s&rsquo;assure que les entreprises qui manipulent de l&rsquo;information sensible li\u00e9e \u00e0 la d\u00e9fense la prot\u00e8gent correctement, sans imposer \u00e0 chaque acheteur de la v\u00e9rifier lui-m\u00eame \u00e0 chaque contrat. Le CMMC r\u00e9pond \u00e0 cette question pour le march\u00e9 am\u00e9ricain. Le CPCSC y r\u00e9pond pour le march\u00e9 canadien. Mais \u00ab r\u00e9pondre \u00e0 la m\u00eame question \u00bb ne veut pas dire \u00ab donner la m\u00eame r\u00e9ponse \u00e0 tout le monde en m\u00eame temps \u00bb, et c&rsquo;est exactement l\u00e0 que les dirigeants se font surprendre.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#le-pccc-cpcsc-est-il-le-cmmc-canadien\">Le PCCC (CPCSC) est-il \u00ab le CMMC canadien \u00bb ?<\/a><\/li><li class=\"\"><a href=\"#pccc-vs-cmmc-une-certification-vaut-elle-l-autre\">PCCC vs CMMC : une certification vaut-elle l&rsquo;autre ?<\/a><\/li><li class=\"\"><a href=\"#quelles-sont-les-nuances-canadiennes-de-l-itsp-10-171\">Quelles sont les nuances canadiennes de l&rsquo;ITSP.10.171 ?<\/a><\/li><li class=\"\"><a href=\"#pccc-ou-cmmc-quelle-strategie-selon-mon-profil\">PCCC ou CMMC : quelle strat\u00e9gie selon mon profil ?<\/a><\/li><li class=\"\"><a href=\"#par-ou-commencer\">Par o\u00f9 commencer ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"le-pccc-cpcsc-est-il-le-cmmc-canadien\" class=\"wp-block-heading\">Le PCCC (CPCSC) est-il \u00ab le CMMC canadien \u00bb ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Dans l&rsquo;esprit, oui. Le CPCSC (Canadian Program for Cyber Security Certification), ou Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC) en fran\u00e7ais, est le r\u00e9gime que le Canada a b\u00e2ti pour aligner son industrie de d\u00e9fense sur les exigences am\u00e9ricaines.<\/p>\n\n<p class=\"wp-block-paragraph\">Le <a href=\"https:\/\/dodcio.defense.gov\/cmmc\" target=\"_blank\" rel=\"noopener nofollow\">CMMC<\/a>, ou Cybersecurity Maturity Model Certification, est le programme du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis. Il impose aux fournisseurs et sous-traitants qui manipulent de l&rsquo;information contr\u00f4l\u00e9e non classifi\u00e9e une certification \u00e0 trois niveaux, v\u00e9rifi\u00e9e selon la sensibilit\u00e9 des donn\u00e9es qu&rsquo;ils traitent.<\/p>\n\n<p class=\"wp-block-paragraph\">Ottawa n&rsquo;a pas invent\u00e9 un r\u00e9gime parall\u00e8le avec son propre vocabulaire et ses propres seuils. Le gouvernement canadien a repris la structure du CMMC presque telle quelle : trois niveaux, une logique de v\u00e9rification croissante d&rsquo;un niveau \u00e0 l&rsquo;autre, des normes techniques b\u00e2ties sur le m\u00eame corpus. Le <a href=\"https:\/\/ccn-scc.ca\/scheme-daccreditation\/inspection-bodies\/programme-de-certification-en-cybersecurite-du-canada\" target=\"_blank\" rel=\"noopener nofollow\">sch\u00e9ma d&rsquo;accr\u00e9ditation du CPCSC<\/a>, administr\u00e9 par le Conseil canadien des normes, d\u00e9crit un r\u00e9gime pens\u00e9 pour que l&rsquo;industrie canadienne continue de vendre des deux c\u00f4t\u00e9s de la fronti\u00e8re sans reconstruire sa conformit\u00e9 deux fois.<\/p>\n\n<p class=\"wp-block-paragraph\">Le r\u00e9sultat concret : une seule d\u00e9marche de mise en conformit\u00e9 technique peut couvrir environ 95 % des exigences des deux r\u00e9f\u00e9rentiels, tant le recoupement entre les deux normes sous-jacentes est \u00e9lev\u00e9. C&rsquo;est l&rsquo;argument principal en faveur d&rsquo;une approche coordonn\u00e9e si vous visez les deux march\u00e9s, plut\u00f4t que deux chantiers men\u00e9s en parall\u00e8le qui ne se parlent jamais.<\/p>\n\n<h2 id=\"pccc-vs-cmmc-une-certification-vaut-elle-l-autre\" class=\"wp-block-heading\">PCCC vs CMMC : une certification vaut-elle l&rsquo;autre ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Non : le CPCSC et le CMMC sont deux certifications distinctes, d\u00e9livr\u00e9es sous deux r\u00e9gimes contractuels distincts, par deux autorit\u00e9s distinctes.<\/strong> R\u00e9ussir l&rsquo;un ne vous d\u00e9livre pas automatiquement l&rsquo;autre, et c&rsquo;est le malentendu le plus co\u00fbteux qu&rsquo;on rencontre.<\/p>\n\n<p class=\"wp-block-paragraph\">\u00c0 la date de publication de cet article, l&rsquo;interop\u00e9rabilit\u00e9 entre les deux programmes, soit la reconnaissance formelle par un r\u00e9gime des \u00e9valuations men\u00e9es sous l&rsquo;autre, n&rsquo;est pas d\u00e9finie. Si un donneur d&rsquo;ordre canadien exige une preuve CPCSC et que vous d\u00e9tenez un CMMC valide, ce qui sera accept\u00e9 se confirme au cas par cas avec le donneur d&rsquo;ordre ou l&rsquo;autorit\u00e9 contractante concern\u00e9e. Ne pr\u00e9sumez rien avant de l&rsquo;avoir obtenu par \u00e9crit.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est vrai dans les deux sens. Une certification CPCSC ne vous ouvre pas automatiquement les portes des contrats am\u00e9ricains soumis au CMMC. Chaque programme demeure souverain sur sa propre reconnaissance, et personne ne peut vous promettre le contraire aujourd&rsquo;hui. Si un consultant vous affirme que les deux certifications s&rsquo;\u00e9quivalent purement et simplement, c&rsquo;est un signal \u00e0 prendre au s\u00e9rieux, pas une bonne nouvelle.<\/p>\n\n<p class=\"wp-block-paragraph\">Concr\u00e8tement, gardez une trace \u00e9crite de toute r\u00e9ponse obtenue d&rsquo;un donneur d&rsquo;ordre ou d&rsquo;une autorit\u00e9 contractante sur la reconnaissance d&rsquo;une certification par l&rsquo;autre r\u00e9gime. Un \u00e9change verbal, une supposition de votre \u00e9quipe des ventes, ou une clause de contrat mal interpr\u00e9t\u00e9e ne remplacent pas une confirmation document\u00e9e. Si votre dossier de certification doit un jour \u00eatre d\u00e9fendu, c&rsquo;est cette trace qui compte, pas ce que vous croyiez avoir compris.<\/p>\n\n<h2 id=\"quelles-sont-les-nuances-canadiennes-de-l-itsp-10-171\" class=\"wp-block-heading\">Quelles sont les nuances canadiennes de l&rsquo;ITSP.10.171 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">PCCC vs CMMC : la ressemblance de structure ne veut pas dire copie conforme. Le CPCSC a ses propres seuils et sa propre logique d&rsquo;\u00e9valuation, r\u00e9partis sur trois niveaux.<\/p>\n\n<p class=\"wp-block-paragraph\">Niveau 1 : un sous-ensemble de 13 contr\u00f4les, v\u00e9rifi\u00e9s en auto-\u00e9valuation. C&rsquo;est le niveau d&rsquo;entr\u00e9e, pour les fournisseurs expos\u00e9s \u00e0 un risque plus limit\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Niveau 2 : une \u00e9valuation compl\u00e8te contre la norme technique canadienne, 98 contr\u00f4les. C&rsquo;est le niveau qui correspond, en substance, au niveau interm\u00e9diaire du r\u00e9gime am\u00e9ricain. Nous d\u00e9taillons ce palier, ses d\u00e9lais et son cycle de renouvellement dans <a href=\"https:\/\/factero.ca\/blog\/pccc-niveau-2-certification\/\">PCCC niveau 2 : 98 contr\u00f4les, certification aux trois ans<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Niveau 3 : 200 contr\u00f4les, au-del\u00e0 de la norme de base, r\u00e9serv\u00e9 aux fournisseurs qui manipulent l&rsquo;information la plus sensible. Ce niveau est \u00e9valu\u00e9 directement par le minist\u00e8re de la D\u00e9fense nationale, pas par un organisme tiers accr\u00e9dit\u00e9 comme au niveau 2.<\/p>\n\n<p class=\"wp-block-paragraph\">La norme technique derri\u00e8re ces contr\u00f4les s&rsquo;appelle ITSP.10.171, publi\u00e9e par le Centre canadien pour la cybers\u00e9curit\u00e9 et b\u00e2tie sur le corpus NIST SP 800-171 r\u00e9vision 3. Nous l&rsquo;expliquons en d\u00e9tail dans <a href=\"https:\/\/factero.ca\/blog\/itsp-10-171-expliquee\/\">ITSP.10.171 expliqu\u00e9e : la norme canadienne n\u00e9e de NIST 800-171<\/a>. Retenez pour l&rsquo;instant qu&rsquo;elle joue, pour le CPCSC, le r\u00f4le que joue NIST 800-171 pour le CMMC : la base technique commune sur laquelle les deux r\u00e9gimes s&rsquo;appuient.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Niveau<\/th><th>CPCSC (Canada)<\/th><th>CMMC (\u00c9tats-Unis)<\/th><th>Qui \u00e9value<\/th><\/tr><\/thead><tbody><tr><td>1<\/td><td>13 contr\u00f4les, auto-\u00e9valuation<\/td><td>Auto-\u00e9valuation annuelle<\/td><td>Le fournisseur lui-m\u00eame<\/td><\/tr><tr><td>2<\/td><td>98 contr\u00f4les, contre la norme ITSP.10.171<\/td><td>\u00c9valuation contre NIST SP 800-171<\/td><td>Organisme tiers accr\u00e9dit\u00e9<\/td><\/tr><tr><td>3<\/td><td>200 contr\u00f4les, au-del\u00e0 de la norme de base<\/td><td>Exigences renforc\u00e9es, information la plus sensible<\/td><td>Autorit\u00e9 gouvernementale (MDN au Canada, DoD aux \u00c9tats-Unis)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Un chiffre \u00e0 retenir en le lisant en dirigeant plut\u00f4t qu&rsquo;en auditeur : entre le niveau 1 et le niveau 2, l&rsquo;\u00e9cart n&rsquo;est pas de quelques contr\u00f4les suppl\u00e9mentaires, il est pr\u00e8s de huit fois plus \u00e9lev\u00e9. Confirmer le bon niveau avant de vous engager n&rsquo;est pas un d\u00e9tail administratif, c&rsquo;est ce qui d\u00e9termine si votre projet dure quelques semaines ou plusieurs mois.<\/p>\n\n<h2 id=\"pccc-ou-cmmc-quelle-strategie-selon-mon-profil\" class=\"wp-block-heading\">PCCC ou CMMC : quelle strat\u00e9gie selon mon profil ?<\/h2>\n\n<p class=\"wp-block-paragraph\">PCCC vs CMMC : la bonne strat\u00e9gie d\u00e9pend de qui vous vendez, pas de ce qui semble le plus prudent sur papier.<\/p>\n\n<p class=\"wp-block-paragraph\">Vous \u00eates un atelier d&rsquo;usinage familial, sous-traitant d&rsquo;un donneur d&rsquo;ordre canadien, sans contrat direct avec le d\u00e9partement de la D\u00e9fense am\u00e9ricain ? Concentrez-vous sur ITSP.10.171 et le parcours CPCSC. C&rsquo;est le r\u00e9gime qui s&rsquo;appliquera \u00e0 vos contrats. B\u00e2tir une conformit\u00e9 pens\u00e9e pour les deux programmes d\u00e8s le d\u00e9part ajoute du travail sans client actuel pour le justifier.<\/p>\n\n<p class=\"wp-block-paragraph\">Vous \u00eates un fabricant actif des deux c\u00f4t\u00e9s de la fronti\u00e8re, avec des contrats sous juridiction am\u00e9ricaine et canadienne ? Visez les deux certifications, mais dans une seule d\u00e9marche. Le recoupement technique \u00e9lev\u00e9 entre les deux r\u00e9f\u00e9rentiels signifie que votre \u00e9quipe de conformit\u00e9 peut b\u00e2tir une seule preuve documentaire, puis l&rsquo;adapter aux exigences particuli\u00e8res de chaque \u00e9valuateur, plut\u00f4t que mener deux chantiers ind\u00e9pendants qui d\u00e9doublent l&rsquo;effort et le budget.<\/p>\n\n<p class=\"wp-block-paragraph\">Dans les deux cas, la question \u00e0 poser en premier n&rsquo;est pas \u00ab quel niveau dois-je viser ? \u00bb mais \u00ab qu&rsquo;est-ce que mes contrats actuels et \u00e0 venir exigent r\u00e9ellement ? \u00bb. Le niveau de certification suit le type d&rsquo;information que vous manipulez, pas l&rsquo;inverse. Un dirigeant qui vise le niveau 3 par pr\u00e9caution, sans contrat qui l&rsquo;exige, d\u00e9pense pour un probl\u00e8me qu&rsquo;il n&rsquo;a pas encore.<\/p>\n\n<h2 id=\"par-ou-commencer\" class=\"wp-block-heading\">Par o\u00f9 commencer ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Trois gestes concrets, dans l&rsquo;ordre.<\/p>\n\n<ol class=\"wp-block-list\"><li>Identifiez le type d&rsquo;information contr\u00f4l\u00e9e que votre entreprise manipule d\u00e9j\u00e0, ou manipulera si le contrat vis\u00e9 se concr\u00e9tise. C&rsquo;est ce type d&rsquo;information, pas votre secteur d&rsquo;activit\u00e9, qui d\u00e9termine le niveau de certification exig\u00e9.<\/li><li>V\u00e9rifiez aupr\u00e8s de votre donneur d&rsquo;ordre, canadien ou am\u00e9ricain, ce que son contrat exige pr\u00e9cis\u00e9ment, et si une certification existante sera reconnue telle quelle ou devra \u00eatre compl\u00e9t\u00e9e. Posez la question par \u00e9crit, t\u00f4t, avant de b\u00e2tir un plan de match sur une hypoth\u00e8se.<\/li><li>Cartographiez votre posture actuelle contre la norme technique applicable : ITSP.10.171 pour un parcours canadien, NIST SP 800-171 pour un parcours am\u00e9ricain. L&rsquo;\u00e9cart entre votre pratique r\u00e9elle et la norme d\u00e9termine l&rsquo;essentiel de l&rsquo;effort, du d\u00e9lai et du co\u00fbt.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Dans l&rsquo;arbitrage PCCC vs CMMC, un point m\u00e9rite d&rsquo;\u00eatre dit sans d\u00e9tour : nous le r\u00e9p\u00e9tons pour la plupart des certifications que nous accompagnons. Un consultant peut :<\/p>\n\n<ul class=\"wp-block-list\"><li>pr\u00e9parer votre dossier de certification<\/li><li>cartographier vos \u00e9carts contre la norme applicable<\/li><li>structurer vos preuves de conformit\u00e9<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Aucun ne peut vous garantir une certification de niveau 2 ou 3 : au Canada, seul un organisme accr\u00e9dit\u00e9 par le Conseil canadien des normes proc\u00e8de \u00e0 cette \u00e9valuation, et la d\u00e9cision lui appartient, pas \u00e0 un partenaire externe.<\/p>\n\n<p class=\"wp-block-paragraph\">Si votre entreprise est active des deux c\u00f4t\u00e9s de la fronti\u00e8re, ou si un premier contrat sous CPCSC ou CMMC vient d&rsquo;atterrir sur votre bureau, Factero accompagne les fournisseurs de la cha\u00eene d&rsquo;approvisionnement de la d\u00e9fense dans le choix de leur s\u00e9quence de certification et la pr\u00e9paration de leur dossier. Vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">planifier un appel avec notre \u00e9quipe<\/a> : notre r\u00f4le reste celui du guide, cartographier votre \u00e9cart r\u00e9el, structurer le dossier, vous laisser d\u00e9cider.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement \u00e0 la certification PCCC<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-can-dgsi-104\/\">accompagnement \u00e0 la certification CAN\/DGSI 104<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le CMMC est-il reconnu automatiquement par un donneur d&rsquo;ordre canadien ?<\/summary><p class=\"wp-block-paragraph\">Non. Un CMMC valide ne remplace pas automatiquement une certification CPCSC. \u00c0 la date de publication de cet article, l&rsquo;interop\u00e9rabilit\u00e9 entre les deux r\u00e9gimes n&rsquo;est pas d\u00e9finie formellement, et ce qu&rsquo;un donneur d&rsquo;ordre canadien accepte comme preuve d&rsquo;un CMMC se confirme au cas par cas, par \u00e9crit, avant de vous y fier.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Mon entreprise canadienne doit-elle obtenir une certification CMMC si je vends au d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis ?<\/summary><p class=\"wp-block-paragraph\">Oui, si votre contrat implique de l&rsquo;information contr\u00f4l\u00e9e non classifi\u00e9e dans la cha\u00eene d&rsquo;approvisionnement du d\u00e9partement de la D\u00e9fense am\u00e9ricain, peu importe que votre entreprise soit bas\u00e9e au Canada. Le CMMC s&rsquo;applique au fournisseur qui manipule cette information, pas seulement aux entreprises am\u00e9ricaines. Une certification CPCSC ne dispense pas de cette exigence : les deux r\u00e9gimes restent distincts, malgr\u00e9 leur recoupement technique \u00e9lev\u00e9.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien de temps une certification CPCSC est-elle valide ?<\/summary><p class=\"wp-block-paragraph\">Au niveau 1, l&rsquo;auto-\u00e9valuation se refait chaque ann\u00e9e. Au niveau 2, la certification par un organisme accr\u00e9dit\u00e9 se renouvelle aux trois ans, avec une attestation annuelle entre deux \u00e9valuations. Le cycle complet, incluant les obligations entre deux renouvellements, est d\u00e9taill\u00e9 dans <a href=\"https:\/\/factero.ca\/blog\/pccc-niveau-2-certification\/\">PCCC niveau 2 : 98 contr\u00f4les, certification aux trois ans<\/a>.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Faut-il viser le niveau CPCSC 2 d\u00e8s le d\u00e9part, ou le niveau 1 suffit-il ?<\/summary><p class=\"wp-block-paragraph\">Pas n\u00e9cessairement le niveau 2. Le niveau exig\u00e9 d\u00e9pend du type d&rsquo;information que votre contrat vous confie, pas de votre secteur d&rsquo;activit\u00e9. Le niveau 1, 13 contr\u00f4les auto-\u00e9valu\u00e9s, suffit tant qu&rsquo;aucune information prot\u00e9g\u00e9e n&rsquo;est en jeu ; le niveau 2, 98 contr\u00f4les \u00e9valu\u00e9s par un tiers, s&rsquo;impose d\u00e8s qu&rsquo;elle l&rsquo;est. Viser le niveau 2 sans contrat qui l&rsquo;exige ajoute du co\u00fbt et du d\u00e9lai sans b\u00e9n\u00e9fice.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le CAN\/DGSI 104 (norme derri\u00e8re CyberS\u00e9curitaire Canada) est-il la m\u00eame chose que le CPCSC ou le CMMC ?<\/summary><p class=\"wp-block-paragraph\">Non, ce sont des d\u00e9marches distinctes. CAN\/DGSI 104 est la norme technique d&rsquo;un programme g\u00e9n\u00e9ral de cybers\u00e9curit\u00e9 destin\u00e9 aux PME canadiennes, sans lien formel publi\u00e9 avec la cha\u00eene d&rsquo;approvisionnement de la d\u00e9fense. Le CPCSC cible sp\u00e9cifiquement les fournisseurs et sous-traitants de la d\u00e9fense, avec sa propre structure en trois niveaux. D\u00e9tenir l&rsquo;un ne donne pas l&rsquo;autre.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/ccn-scc.ca\/scheme-daccreditation\/inspection-bodies\/programme-de-certification-en-cybersecurite-du-canada\" target=\"_blank\" rel=\"noopener nofollow\">Sch\u00e9ma d&rsquo;accr\u00e9ditation CPCSC \u2014 Conseil canadien des normes<\/a><\/li><li><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/171\/r3\/final\" target=\"_blank\" rel=\"noopener nofollow\">NIST SP 800-171 r\u00e9vision 3<\/a><\/li><li><a href=\"https:\/\/dodcio.defense.gov\/cmmc\" target=\"_blank\" rel=\"noopener nofollow\">Programme CMMC \u2014 Bureau du Chief Information Officer, d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis<\/a><\/li><li><a href=\"https:\/\/rechercher.ouvert.canada.ca\/contrats\/\" target=\"_blank\" rel=\"noopener nofollow\">Divulgation proactive des contrats f\u00e9d\u00e9raux (jeu de donn\u00e9es contracts.csv) \u2014 Gouvernement du Canada<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC) \u2014 Services publics et Approvisionnement Canada<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 \u2014 Protection de l&rsquo;information d\u00e9sign\u00e9e (Centre canadien pour la cybers\u00e9curit\u00e9)<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Le CMMC est-il reconnu automatiquement par un donneur d\\u0027ordre canadien ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Un CMMC valide ne remplace pas automatiquement une certification CPCSC. \u00c0 la date de publication de cet article, l\\u0027interop\u00e9rabilit\u00e9 entre les deux r\u00e9gimes n\\u0027est pas d\u00e9finie formellement, et ce qu\\u0027un donneur d\\u0027ordre canadien accepte comme preuve d\\u0027un CMMC se confirme au cas par cas, par \u00e9crit, avant de vous y fier.\"}},{\"@type\":\"Question\",\"name\":\"Mon entreprise canadienne doit-elle obtenir une certification CMMC si je vends au d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, si votre contrat implique de l\\u0027information contr\u00f4l\u00e9e non classifi\u00e9e dans la cha\u00eene d\\u0027approvisionnement du d\u00e9partement de la D\u00e9fense am\u00e9ricain, peu importe que votre entreprise soit bas\u00e9e au Canada. Le CMMC s\\u0027applique au fournisseur qui manipule cette information, pas seulement aux entreprises am\u00e9ricaines. Une certification CPCSC ne dispense pas de cette exigence : les deux r\u00e9gimes restent distincts, malgr\u00e9 leur recoupement technique \u00e9lev\u00e9.\"}},{\"@type\":\"Question\",\"name\":\"Combien de temps une certification CPCSC est-elle valide ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Au niveau 1, l\\u0027auto-\u00e9valuation se refait chaque ann\u00e9e. Au niveau 2, la certification par un organisme accr\u00e9dit\u00e9 se renouvelle aux trois ans, avec une attestation annuelle entre deux \u00e9valuations. Le cycle complet, incluant les obligations entre deux renouvellements, est d\u00e9taill\u00e9 dans PCCC niveau 2 : 98 contr\u00f4les, certification aux trois ans.\"}},{\"@type\":\"Question\",\"name\":\"Faut-il viser le niveau CPCSC 2 d\u00e8s le d\u00e9part, ou le niveau 1 suffit-il ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pas n\u00e9cessairement le niveau 2. Le niveau exig\u00e9 d\u00e9pend du type d\\u0027information que votre contrat vous confie, pas de votre secteur d\\u0027activit\u00e9. Le niveau 1, 13 contr\u00f4les auto-\u00e9valu\u00e9s, suffit tant qu\\u0027aucune information prot\u00e9g\u00e9e n\\u0027est en jeu ; le niveau 2, 98 contr\u00f4les \u00e9valu\u00e9s par un tiers, s\\u0027impose d\u00e8s qu\\u0027elle l\\u0027est. Viser le niveau 2 sans contrat qui l\\u0027exige ajoute du co\u00fbt et du d\u00e9lai sans b\u00e9n\u00e9fice.\"}},{\"@type\":\"Question\",\"name\":\"Le CAN\/DGSI 104 (norme derri\u00e8re CyberS\u00e9curitaire Canada) est-il la m\u00eame chose que le CPCSC ou le CMMC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, ce sont des d\u00e9marches distinctes. CAN\/DGSI 104 est la norme technique d\\u0027un programme g\u00e9n\u00e9ral de cybers\u00e9curit\u00e9 destin\u00e9 aux PME canadiennes, sans lien formel publi\u00e9 avec la cha\u00eene d\\u0027approvisionnement de la d\u00e9fense. Le CPCSC cible sp\u00e9cifiquement les fournisseurs et sous-traitants de la d\u00e9fense, avec sa propre structure en trois niveaux. D\u00e9tenir l\\u0027un ne donne pas l\\u0027autre.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>PCCC vs CMMC : structure \u00e0 trois niveaux presque identique, mais deux certifications distinctes sans reconnaissance automatique entre elles.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[170,172,84,82,86,174,168,176],"class_list":["post-765","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-canadian-version-of-cmmc","tag-certification-defense-etats-unis-canada","tag-cmmc","tag-cpcsc","tag-itsp-10-171","tag-nist-sp-800-171","tag-pccc-vs-cmmc","tag-reconnaissance-cmmc-canada"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/765","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=765"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/765\/revisions"}],"predecessor-version":[{"id":1260,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/765\/revisions\/1260"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=765"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=765"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=765"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}