{"id":770,"date":"2026-02-03T07:00:00","date_gmt":"2026-02-03T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=770"},"modified":"2026-09-04T13:01:48","modified_gmt":"2026-09-04T18:01:48","slug":"qui-est-vise-cpcsc","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/qui-est-vise-cpcsc\/","title":{"rendered":"Qui doit se conformer au PCCC ? PME, sous-traitants et d\u00e9fense"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Qui doit se conformer au PCCC (CPCSC), le Programme canadien de certification en cybers\u00e9curit\u00e9 ? Tous les fournisseurs de la D\u00e9fense nationale canadienne et leurs sous-traitants : ateliers d&rsquo;usinage, transporteurs, fabricants de composantes.<\/strong> Si votre entreprise touche, de pr\u00e8s ou de loin, \u00e0 un contrat militaire canadien, la conformit\u00e9 vous concerne probablement d\u00e9j\u00e0, m\u00eame si personne ne vous l&rsquo;a dit.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"qui doit se conformer au PCCC : PME, sous-traitants, cha\u00eene de d\u00e9fense\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Le guide complet, <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">CPCSC \/ PCCC : guide complet de la certification cyberd\u00e9fense<\/a>, couvre l&rsquo;ensemble du r\u00e9gime : ses niveaux, son calendrier, ses exigences techniques. Ici, on r\u00e9pond \u00e0 une seule question, celle que la plupart des dirigeants se posent trop tard : est-ce que \u00e7a me touche, moi ?<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#je-ne-vends-pas-directement-a-la-defense-dois-je-me-conformer-au-pccc-quand-meme\">Je ne vends pas directement \u00e0 la D\u00e9fense, dois-je me conformer au PCCC quand m\u00eame ?<\/a><\/li><li class=\"\"><a href=\"#qui-doit-se-conformer-au-pccc-concretement\">Qui doit se conformer au PCCC, concr\u00e8tement ?<\/a><\/li><li class=\"\"><a href=\"#qu-est-ce-que-le-cpcsc-protege-au-juste\">Qu&rsquo;est-ce que le CPCSC prot\u00e8ge au juste ?<\/a><\/li><li class=\"\"><a href=\"#le-pccc-cpcsc-le-programme-de-securite-des-contrats-et-le-programme-des-marchandises-controlees-est-ce-la-meme-chose\">Le PCCC (CPCSC), le Programme de s\u00e9curit\u00e9 des contrats et le Programme des marchandises contr\u00f4l\u00e9es, est-ce la m\u00eame chose ?<\/a><\/li><li class=\"\"><a href=\"#etre-inscrit-aux-marchandises-controlees-est-ce-un-indice-que-je-suis-vise\">\u00catre inscrit aux marchandises contr\u00f4l\u00e9es, est-ce un indice que je suis vis\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#pourquoi-cette-exigence-arrive-t-elle-maintenant\">Pourquoi cette exigence arrive-t-elle maintenant ?<\/a><\/li><li class=\"\"><a href=\"#comment-savoir-si-vous-etes-vise-concretement\">Comment savoir si vous \u00eates vis\u00e9, concr\u00e8tement ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"je-ne-vends-pas-directement-a-la-defense-dois-je-me-conformer-au-pccc-quand-meme\" class=\"wp-block-heading\">Je ne vends pas directement \u00e0 la D\u00e9fense, dois-je me conformer au PCCC quand m\u00eame ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Oui, dans la majorit\u00e9 des cas. Le minist\u00e8re de la D\u00e9fense nationale (MDN) n&rsquo;ach\u00e8te pas seul les pi\u00e8ces, les composantes ou les services qui entrent dans un contrat militaire. Il ach\u00e8te aupr\u00e8s d&rsquo;un fournisseur principal, qui sous-traite lui-m\u00eame une partie du travail \u00e0 d&rsquo;autres entreprises, qui sous-traitent parfois \u00e0 leur tour.<\/p>\n\n<p class=\"wp-block-paragraph\">Les exigences de cybers\u00e9curit\u00e9 descendent cette cha\u00eene par contrat. Si vous usinez une pi\u00e8ce pour un fabricant qui, lui, vend au MDN, l&rsquo;obligation contractuelle qui p\u00e8se sur ce fabricant se r\u00e9percute sur vous, g\u00e9n\u00e9ralement sous forme d&rsquo;une clause dans votre propre contrat ou votre propre bon de commande. Vous n&rsquo;avez jamais parl\u00e9 \u00e0 personne au minist\u00e8re, et pourtant vous \u00eates dans la cha\u00eene.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est le m\u00eame principe que le programme am\u00e9ricain \u00e9quivalent, le <a href=\"https:\/\/dodcio.defense.gov\/cmmc\/\" target=\"_blank\" rel=\"noopener nofollow\">CMMC<\/a> (Cybersecurity Maturity Model Certification) : le d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis l&rsquo;impose progressivement \u00e0 sa base industrielle, et les exigences ne s&rsquo;arr\u00eatent pas au premier fournisseur, elles voyagent avec le contrat, jusqu&rsquo;au dernier sous-traitant.<\/p>\n\n<h2 id=\"qui-doit-se-conformer-au-pccc-concretement\" class=\"wp-block-heading\">Qui doit se conformer au PCCC, concr\u00e8tement ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Pas seulement les grands int\u00e9grateurs de syst\u00e8mes d&rsquo;armes. Le profil le plus courant ressemble \u00e0 ceci.<\/p>\n\n<p class=\"wp-block-paragraph\">Une entreprise de 15, 20, 50 ou 100 employ\u00e9s. Aucun d\u00e9partement informatique. Un fournisseur TI externe qui passe de temps en temps r\u00e9gler un probl\u00e8me, ou un employ\u00e9 qui \u00ab conna\u00eet \u00e7a un peu \u00bb et qui h\u00e9rite du dossier par d\u00e9faut. Une feuille de route de croissance qui ne pr\u00e9voyait pas, il y a deux ans, de devoir d\u00e9montrer une posture de cybers\u00e9curit\u00e9 \u00e0 qui que ce soit.<\/p>\n\n<p class=\"wp-block-paragraph\">Deux exemples reviennent souvent.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;atelier d&rsquo;usinage familial qui fabrique une pi\u00e8ce pr\u00e9cise, \u00e0 des tol\u00e9rances serr\u00e9es, pour un fabricant qui l&rsquo;int\u00e8gre ensuite dans un \u00e9quipement vendu \u00e0 la D\u00e9fense. Le plan technique de cette pi\u00e8ce, ses sp\u00e9cifications, ses tol\u00e9rances : voil\u00e0 exactement le genre d&rsquo;information que le r\u00e9gime cherche \u00e0 prot\u00e9ger.<\/p>\n\n<p class=\"wp-block-paragraph\">Le transporteur dont le camion roule vers une base militaire. Ce qu&rsquo;il d\u00e9tient n&rsquo;a rien de secret au sens o\u00f9 on l&rsquo;entend au cin\u00e9ma, mais c&rsquo;est sensible quand m\u00eame : quand \u00e7a part, vers o\u00f9, vers quelle base, qu&rsquo;est-ce qu&rsquo;il y a dans la bo\u00eete. Ces informations logistiques, mises ensemble, dessinent un portrait qu&rsquo;on ne veut pas voir circuler librement. Ce sont, en un sens, les cl\u00e9s du coffre au tr\u00e9sor : chacune isol\u00e9e semble anodine, r\u00e9unies elles ne le sont plus.<\/p>\n\n<p class=\"wp-block-paragraph\">Ni l&rsquo;un ni l&rsquo;autre ne se consid\u00e8re comme une entreprise technologique. C&rsquo;est pr\u00e9cis\u00e9ment pour cette raison que le r\u00e9gime existe : usiner une pi\u00e8ce, transporter une caisse ou fabriquer une composante n&rsquo;a jamais \u00e9t\u00e9 un m\u00e9tier informatique, et personne dans ces entreprises n&rsquo;a \u00e9t\u00e9 n\u00e9gligent en ne b\u00e2tissant pas un service TI. Le r\u00e9gime vise \u00e0 ramener une hygi\u00e8ne minimale partout o\u00f9 circule cette information, pas \u00e0 sanctionner un manque de vigilance qui n&rsquo;existait pas comme obligation avant.<\/p>\n\n<h2 id=\"qu-est-ce-que-le-cpcsc-protege-au-juste\" class=\"wp-block-heading\">Qu&rsquo;est-ce que le CPCSC prot\u00e8ge au juste ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Pas le secret ni le tr\u00e8s secret, contrairement \u00e0 ce que le mot \u00ab d\u00e9fense \u00bb \u00e9voque spontan\u00e9ment. Ce que le r\u00e9gime encadre, ce sont les renseignements non classifi\u00e9s de nature d\u00e9licate : de l&rsquo;information qui n&rsquo;est pas classifi\u00e9e au sens militaire strict, mais dont la divulgation ou la perte poserait un probl\u00e8me r\u00e9el, op\u00e9rationnel ou de s\u00e9curit\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Quelques exemples concrets :<\/p>\n\n<ul class=\"wp-block-list\"><li>le plan d&rsquo;une pi\u00e8ce m\u00e9canique ;<\/li><li>le connaissement d&rsquo;un transporteur ;<\/li><li>un devis technique d\u00e9taill\u00e9 ;<\/li><li>une liste de composantes.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Individuellement, chacun de ces documents peut sembler banal. C&rsquo;est leur lien avec un contrat de d\u00e9fense qui les rend sensibles, et c&rsquo;est cette cat\u00e9gorie pr\u00e9cise que le Centre canadien pour la cybers\u00e9curit\u00e9 d\u00e9finit dans la norme technique ITSP.10.171, qui sert de base au r\u00e9gime. Nous d\u00e9taillons cette norme, adapt\u00e9e de la publication am\u00e9ricaine NIST SP 800-171, dans <a href=\"https:\/\/factero.ca\/blog\/itsp-10-171-expliquee\/\">ITSP.10.171 expliqu\u00e9e : la norme canadienne n\u00e9e de NIST 800-171<\/a>.<\/p>\n\n<h2 id=\"le-pccc-cpcsc-le-programme-de-securite-des-contrats-et-le-programme-des-marchandises-controlees-est-ce-la-meme-chose\" class=\"wp-block-heading\">Le PCCC (CPCSC), le Programme de s\u00e9curit\u00e9 des contrats et le Programme des marchandises contr\u00f4l\u00e9es, est-ce la m\u00eame chose ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Non, ce sont trois r\u00e9gimes distincts, et une entreprise peut \u00eatre vis\u00e9e par plus d&rsquo;un \u00e0 la fois.<\/strong><\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>R\u00e9gime<\/th><th>Ce qu&rsquo;il v\u00e9rifie<\/th><th>Qui il touche g\u00e9n\u00e9ralement<\/th><\/tr><\/thead><tbody><tr><td>Programme de s\u00e9curit\u00e9 des contrats (PSC)<\/td><td>L&rsquo;habilitation s\u00e9curitaire des personnes et des organisations qui acc\u00e8dent \u00e0 de l&rsquo;information ou des lieux prot\u00e9g\u00e9s<\/td><td>Fournisseurs et employ\u00e9s qui manipulent de l&rsquo;information classifi\u00e9e ou prot\u00e9g\u00e9e<\/td><\/tr><tr><td>Programme des marchandises contr\u00f4l\u00e9es (PMC)<\/td><td>L&rsquo;enregistrement des entreprises qui examinent, poss\u00e8dent ou transf\u00e8rent des marchandises contr\u00f4l\u00e9es, soit des technologies et donn\u00e9es \u00e0 usage militaire<\/td><td>Fabricants, ateliers d&rsquo;usinage, distributeurs de composantes militaires ou \u00e0 double usage<\/td><\/tr><tr><td>CPCSC (PCCC)<\/td><td>La posture de cybers\u00e9curit\u00e9 de l&rsquo;entreprise elle-m\u00eame : contr\u00f4les techniques, processus, protection de l&rsquo;information non classifi\u00e9e de nature d\u00e9licate<\/td><td>Toute entreprise de la cha\u00eene d&rsquo;approvisionnement de la D\u00e9fense, quel que soit son rang<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Le CPCSC s&rsquo;ajoute aux deux autres, il ne les remplace pas. Une entreprise d\u00e9j\u00e0 inscrite au PSC ou au PMC n&rsquo;est pas automatiquement conforme au CPCSC : ce sont trois d\u00e9monstrations distinctes, m\u00eame si elles partagent une partie de la documentation et de la logique.<\/p>\n\n<h2 id=\"etre-inscrit-aux-marchandises-controlees-est-ce-un-indice-que-je-suis-vise\" class=\"wp-block-heading\">\u00catre inscrit aux marchandises contr\u00f4l\u00e9es, est-ce un indice que je suis vis\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Oui, un indice fort. Si votre entreprise est d\u00e9j\u00e0 inscrite au Programme des marchandises contr\u00f4l\u00e9es, c&rsquo;est qu&rsquo;elle manipule d\u00e9j\u00e0, d&rsquo;une fa\u00e7on reconnue par le gouvernement f\u00e9d\u00e9ral, des technologies ou des donn\u00e9es \u00e0 vocation militaire. La probabilit\u00e9 que le CPCSC s&rsquo;applique aussi \u00e0 vous, t\u00f4t ou tard, est \u00e9lev\u00e9e.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce n&rsquo;est pas pour autant une confirmation automatique. L&rsquo;assujettissement pr\u00e9cis au CPCSC se confirme contrat par contrat, \u00e0 mesure que l&rsquo;exigence appara\u00eet dans les documents d&rsquo;appel d&rsquo;offres et les clauses contractuelles. Une inscription au PMC est un signal \u00e0 prendre au s\u00e9rieux, pas une r\u00e9ponse d\u00e9finitive \u00e0 elle seule.<\/p>\n\n<h2 id=\"pourquoi-cette-exigence-arrive-t-elle-maintenant\" class=\"wp-block-heading\">Pourquoi cette exigence arrive-t-elle maintenant ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Une question d&rsquo;argent, en bonne partie. Le Canada consacre actuellement environ 2 % de son produit int\u00e9rieur brut \u00e0 la d\u00e9fense, avec un engagement \u00e0 faire grimper cette proportion vers 5 % d&rsquo;ici 2035. Cet argent suppl\u00e9mentaire ne reste pas dans un seul grand contrat : il descend dans la cha\u00eene d&rsquo;approvisionnement, vers des centaines de fournisseurs de tous les rangs. Les exigences de cybers\u00e9curit\u00e9 descendent avec lui.<\/p>\n\n<p class=\"wp-block-paragraph\">Le niveau 1 du CPCSC commence d\u00e9j\u00e0 \u00e0 appara\u00eetre dans certains appels d&rsquo;offres d\u00e8s l&rsquo;\u00e9t\u00e9 2026. L&rsquo;auto-\u00e9valuation qu&rsquo;il exige devient obligatoire au moment de l&rsquo;attribution du contrat, pas au moment du d\u00e9p\u00f4t de la soumission : une entreprise peut soumissionner sans l&rsquo;avoir compl\u00e9t\u00e9e, mais elle ne peut pas signer le contrat sans elle. Ce n&rsquo;est pas un d\u00e9tail administratif, c&rsquo;est un point de blocage possible en toute fin de processus, au pire moment pour le d\u00e9couvrir.<\/p>\n\n<h2 id=\"comment-savoir-si-vous-etes-vise-concretement\" class=\"wp-block-heading\">Comment savoir si vous \u00eates vis\u00e9, concr\u00e8tement ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Qui doit se conformer au PCCC, dans votre cas pr\u00e9cis ? La meilleure fa\u00e7on de le savoir n&rsquo;est pas de deviner. Un exercice honn\u00eate, avant m\u00eame de parler certification, tient en quelques questions.<\/p>\n\n<ol class=\"wp-block-list\"><li>Un client, direct ou indirect, vend-il des produits ou des services au minist\u00e8re de la D\u00e9fense nationale ou \u00e0 un autre organisme de d\u00e9fense, canadien ou alli\u00e9 ?<\/li><li>Un de vos contrats ou bons de commande contient-il une clause de s\u00e9curit\u00e9, de confidentialit\u00e9 ou de protection de l&rsquo;information que vous n&rsquo;aviez jamais vue avant ?<\/li><li>Votre entreprise est-elle inscrite, ou a-t-elle d\u00e9j\u00e0 \u00e9t\u00e9 approch\u00e9e pour s&rsquo;inscrire, au Programme des marchandises contr\u00f4l\u00e9es ou au Programme de s\u00e9curit\u00e9 des contrats ?<\/li><li>Manipulez-vous des plans techniques, des sp\u00e9cifications ou des donn\u00e9es logistiques li\u00e9es \u00e0 un \u00e9quipement, une pi\u00e8ce ou un envoi destin\u00e9 \u00e0 un usage militaire ?<\/li><li>Un client vous a-t-il r\u00e9cemment pos\u00e9 des questions sur votre s\u00e9curit\u00e9 informatique qu&rsquo;il ne posait pas avant ?<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Deux r\u00e9ponses positives ou plus, et le doute suffit : la probabilit\u00e9 que le CPCSC s&rsquo;applique \u00e0 vous, directement ou par ricochet, d\u00e9passe largement le hasard. \u00c0 ce stade, la bonne r\u00e9action n&rsquo;est pas de deviner, c&rsquo;est de v\u00e9rifier, contrat par contrat, avec quelqu&rsquo;un qui conna\u00eet le r\u00e9gime. Pour les entreprises dont l&rsquo;auto-\u00e9valuation de niveau 1 approche, <a href=\"https:\/\/factero.ca\/blog\/pccc-niveau-1-auto-evaluation\/\">PCCC niveau 1 : comprendre les 13 contr\u00f4les avant d&rsquo;attester<\/a> d\u00e9taille ce qui vous attend concr\u00e8tement.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous suivons cette dynamique d&rsquo;assez pr\u00e8s pour la chiffrer : une <a href=\"https:\/\/factero.ca\/blog\/analyse-contrats-mdn-marchandises-controlees-cpcsc\/\">analyse d\u00e9taill\u00e9e des contrats du minist\u00e8re de la D\u00e9fense nationale<\/a>, publi\u00e9e depuis la r\u00e9daction de ce guide, mesure l&rsquo;ampleur r\u00e9elle du mouvement dans la cha\u00eene d&rsquo;approvisionnement canadienne.<\/p>\n\n<p class=\"wp-block-paragraph\">Saint-Jean-sur-Richelieu porte cette question autrement qu&rsquo;ailleurs. C&rsquo;est une ville de tradition militaire de longue date, voisine du Coll\u00e8ge militaire royal de Saint-Jean, o\u00f9 les ateliers, les transporteurs et les fournisseurs de la r\u00e9gion croisent la D\u00e9fense depuis des g\u00e9n\u00e9rations sans n\u00e9cessairement se penser comme des maillons d&rsquo;une cha\u00eene d&rsquo;approvisionnement strat\u00e9gique. Factero y est \u00e9tabli, membre de l&rsquo;association professionnelle CADSI (AICDS en fran\u00e7ais), et soutient Ino S\u00e9cure dans cette m\u00eame communaut\u00e9. Ce n&rsquo;est pas un dossier th\u00e9orique pour nous, ce sont nos voisins.<\/p>\n\n<p class=\"wp-block-paragraph\">Si le doute persiste apr\u00e8s cet exercice, c&rsquo;est g\u00e9n\u00e9ralement qu&rsquo;il est fond\u00e9. Un <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">appel exploratoire<\/a> avec Factero suffit \u00e0 situer votre exposition r\u00e9elle, \u00e0 partir de vos contrats et de votre cha\u00eene de clients, pas \u00e0 partir d&rsquo;hypoth\u00e8ses.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement PCCC pour fournisseurs de la D\u00e9fense<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/offre-pme\/\">diagnostic TI PME pour valider votre exposition<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le CPCSC vise-t-il aussi les fournisseurs informatiques, ou seulement les ateliers et les fabricants ?<\/summary><p class=\"wp-block-paragraph\">Oui, d\u00e8s que leurs syst\u00e8mes stockent, traitent ou transmettent l&rsquo;information vis\u00e9e. Un fournisseur de services TI qui h\u00e9berge ou g\u00e8re l&rsquo;infrastructure d&rsquo;un client de la cha\u00eene de d\u00e9fense h\u00e9rite de la m\u00eame obligation que ce client. Le type d&rsquo;activit\u00e9 n&rsquo;exempte personne : qui doit se conformer au PCCC d\u00e9pend de la nature de l&rsquo;information manipul\u00e9e, pas du secteur d&rsquo;affaires.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le CMMC am\u00e9ricain et le CPCSC canadien, est-ce la m\u00eame certification ?<\/summary><p class=\"wp-block-paragraph\">Non. Deux r\u00e9gimes distincts, chacun sous sa propre autorit\u00e9 : le CMMC d\u00e9pend du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis, le CPCSC de Services publics et Approvisionnement Canada. Le gouvernement canadien peut reconna\u00eetre le statut CMMC d&rsquo;une entreprise au cas par cas, mais aucune \u00e9quivalence automatique n&rsquo;existe. Une entreprise soumise aux deux march\u00e9s doit pr\u00e9voir deux d\u00e9marches s\u00e9par\u00e9es.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le niveau 1 du CPCSC co\u00fbte-t-il cher \u00e0 obtenir ?<\/summary><p class=\"wp-block-paragraph\">Pas n\u00e9cessairement. Le niveau 1 est une auto-\u00e9valuation que l&rsquo;entreprise compl\u00e8te elle-m\u00eame, avec un outil fourni par le gouvernement du Canada : aucun \u00e9valuateur externe n&rsquo;intervient \u00e0 ce palier. Le co\u00fbt r\u00e9el se mesure en temps interne pour documenter les <a href=\"https:\/\/factero.ca\/blog\/pccc-niveau-1-auto-evaluation\/\">13 contr\u00f4les<\/a>, pas en honoraires d&rsquo;audit. Le niveau 2, lui, exige une \u00e9valuation par un tiers accr\u00e9dit\u00e9, ce qui implique des frais externes.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le CPCSC est-il d\u00e9j\u00e0 obligatoire pour tous les sous-traitants ?<\/summary><p class=\"wp-block-paragraph\">Pas encore pour tous les sous-traitants, non. Le niveau 1 est introduit graduellement dans des contrats de d\u00e9fense s\u00e9lectionn\u00e9s \u00e0 partir de l&rsquo;\u00e9t\u00e9 2026, pas dans l&rsquo;ensemble du portefeuille du MDN d&rsquo;un coup. Le calendrier pr\u00e9cis d\u00e9pend du contrat et du rang du fournisseur dans la cha\u00eene d&rsquo;approvisionnement.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Que se passe-t-il si mon entreprise n&rsquo;est pas conforme au moment requis ?<\/summary><p class=\"wp-block-paragraph\">L&rsquo;entreprise risque de ne pas pouvoir signer le contrat vis\u00e9, puisque l&rsquo;auto-\u00e9valuation devient une condition \u00e0 son attribution, pas seulement \u00e0 la soumission. Une entreprise d\u00e9j\u00e0 sous contrat qui perd sa conformit\u00e9 s&rsquo;expose \u00e0 devenir inadmissible \u00e0 ce contrat et aux appels d&rsquo;offres suivants. Les cons\u00e9quences pr\u00e9cises varient selon les clauses de chaque contrat et son \u00e9ch\u00e9ancier.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/171\/r3\/final\" target=\"_blank\" rel=\"noopener nofollow\">NIST SP 800-171 rev. 3<\/a><\/li><li><a href=\"https:\/\/dodcio.defense.gov\/cmmc\/\" target=\"_blank\" rel=\"noopener nofollow\">Programme CMMC du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis<\/a><\/li><li><a href=\"https:\/\/rechercher.ouvert.canada.ca\/contrats\/\" target=\"_blank\" rel=\"noopener nofollow\">Divulgation proactive des contrats f\u00e9d\u00e9raux (ouvert.canada.ca)<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC) \u2014 SPAC\/TPSGC<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/evaluation-exigences-visant-securite-linformation-designee-itsp10171-01\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171-01 (document compagnon)<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 \u2014 Protection de l&rsquo;information d\u00e9sign\u00e9e (Centre canadien pour la cybers\u00e9curit\u00e9)<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Le CPCSC vise-t-il aussi les fournisseurs informatiques, ou seulement les ateliers et les fabricants ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, d\u00e8s que leurs syst\u00e8mes stockent, traitent ou transmettent l\\u0027information vis\u00e9e. Un fournisseur de services TI qui h\u00e9berge ou g\u00e8re l\\u0027infrastructure d\\u0027un client de la cha\u00eene de d\u00e9fense h\u00e9rite de la m\u00eame obligation que ce client. Le type d\\u0027activit\u00e9 n\\u0027exempte personne : qui doit se conformer au PCCC d\u00e9pend de la nature de l\\u0027information manipul\u00e9e, pas du secteur d\\u0027affaires.\"}},{\"@type\":\"Question\",\"name\":\"Le CMMC am\u00e9ricain et le CPCSC canadien, est-ce la m\u00eame certification ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Deux r\u00e9gimes distincts, chacun sous sa propre autorit\u00e9 : le CMMC d\u00e9pend du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis, le CPCSC de Services publics et Approvisionnement Canada. Le gouvernement canadien peut reconna\u00eetre le statut CMMC d\\u0027une entreprise au cas par cas, mais aucune \u00e9quivalence automatique n\\u0027existe. Une entreprise soumise aux deux march\u00e9s doit pr\u00e9voir deux d\u00e9marches s\u00e9par\u00e9es.\"}},{\"@type\":\"Question\",\"name\":\"Le niveau 1 du CPCSC co\u00fbte-t-il cher \u00e0 obtenir ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pas n\u00e9cessairement. Le niveau 1 est une auto-\u00e9valuation que l\\u0027entreprise compl\u00e8te elle-m\u00eame, avec un outil fourni par le gouvernement du Canada : aucun \u00e9valuateur externe n\\u0027intervient \u00e0 ce palier. Le co\u00fbt r\u00e9el se mesure en temps interne pour documenter les 13 contr\u00f4les, pas en honoraires d\\u0027audit. Le niveau 2, lui, exige une \u00e9valuation par un tiers accr\u00e9dit\u00e9, ce qui implique des frais externes.\"}},{\"@type\":\"Question\",\"name\":\"Le CPCSC est-il d\u00e9j\u00e0 obligatoire pour tous les sous-traitants ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pas encore pour tous les sous-traitants, non. Le niveau 1 est introduit graduellement dans des contrats de d\u00e9fense s\u00e9lectionn\u00e9s \u00e0 partir de l\\u0027\u00e9t\u00e9 2026, pas dans l\\u0027ensemble du portefeuille du MDN d\\u0027un coup. Le calendrier pr\u00e9cis d\u00e9pend du contrat et du rang du fournisseur dans la cha\u00eene d\\u0027approvisionnement.\"}},{\"@type\":\"Question\",\"name\":\"Que se passe-t-il si mon entreprise n\\u0027est pas conforme au moment requis ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"L\\u0027entreprise risque de ne pas pouvoir signer le contrat vis\u00e9, puisque l\\u0027auto-\u00e9valuation devient une condition \u00e0 son attribution, pas seulement \u00e0 la soumission. Une entreprise d\u00e9j\u00e0 sous contrat qui perd sa conformit\u00e9 s\\u0027expose \u00e0 devenir inadmissible \u00e0 ce contrat et aux appels d\\u0027offres suivants. Les cons\u00e9quences pr\u00e9cises varient selon les clauses de chaque contrat et son \u00e9ch\u00e9ancier.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Qui doit se conformer au PCCC ? Ateliers d&rsquo;usinage, transporteurs, fabricants : la cha\u00eene de sous-traitance de la D\u00e9fense est aussi vis\u00e9e.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[230,84,82,86,232,234,226,228],"class_list":["post-770","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-chaine-dapprovisionnement-defense","tag-cmmc","tag-cpcsc","tag-itsp-10-171","tag-marchandises-controlees-cybersecurite","tag-programme-de-securite-des-contrats","tag-qui-doit-se-conformer-au-pccc","tag-sous-traitant-defense-quebec"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/770","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=770"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/770\/revisions"}],"predecessor-version":[{"id":1265,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/770\/revisions\/1265"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=770"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=770"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=770"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}