{"id":829,"date":"2026-06-16T07:00:00","date_gmt":"2026-06-16T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=829"},"modified":"2026-09-04T13:01:24","modified_gmt":"2026-09-04T18:01:24","slug":"faq-pccc-cpcsc-questions-reponses","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/faq-pccc-cpcsc-questions-reponses\/","title":{"rendered":"FAQ PCCC (CPCSC) : 12 questions sur la certification en cybers\u00e9curit\u00e9"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Cette FAQ PCCC certification cybers\u00e9curit\u00e9 r\u00e9pond aux questions que posent les fournisseurs de la D\u00e9fense nationale au Canada.<\/strong> Le PCCC (Programme canadien de certification en cybers\u00e9curit\u00e9), ou CPCSC en anglais, encadre la posture de cybers\u00e9curit\u00e9 exig\u00e9e de ces fournisseurs et de leurs sous-traitants, en trois niveaux, de l&rsquo;auto-\u00e9valuation la plus simple \u00e0 l&rsquo;\u00e9valuation la plus exigeante.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"FAQ PCCC certification cybers\u00e9curit\u00e9 : r\u00e9ponses sourc\u00e9es aux fournisseurs\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Notre <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">guide complet du PCCC<\/a> explique le programme dans son ensemble : les trois niveaux, qui est vis\u00e9, le calendrier de d\u00e9ploiement. Cette page r\u00e9pond plut\u00f4t aux questions pr\u00e9cises que les fournisseurs nous posent une fois qu&rsquo;ils connaissent d\u00e9j\u00e0 l&rsquo;existence du programme et cherchent une r\u00e9ponse rapide, sourc\u00e9e, sans d\u00e9tour. Douze questions, douze r\u00e9ponses courtes.<\/p>\n\n<p class=\"wp-block-paragraph\">Le programme est r\u00e9cent, il change encore, et plusieurs textes qui circulent \u00e0 son sujet m\u00e9langent des chiffres exacts avec des approximations reprises sans v\u00e9rification. Trois types de d\u00e9tails se corrompent particuli\u00e8rement vite d&rsquo;un article \u00e0 l&rsquo;autre :<\/p>\n\n<ul class=\"wp-block-list\"><li>Le d\u00e9lai de signalement d&rsquo;un incident de cybers\u00e9curit\u00e9.<\/li><li>Le d\u00e9compte des familles d&rsquo;exigences de l&rsquo;ITSP.10.171.<\/li><li>La fr\u00e9quence des \u00e9valuations de niveau 2.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Chaque r\u00e9ponse ci-dessous cite sa source, et quand une affirmation courante n&rsquo;a pas de source officielle, nous le disons plut\u00f4t que de la r\u00e9p\u00e9ter.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#faq-pccc-certification-cybersecurite-les-trois-niveaux-en-un-coup-d-il\">FAQ PCCC certification cybers\u00e9curit\u00e9 : les trois niveaux en un coup d&rsquo;\u0153il<\/a><\/li><li class=\"\"><a href=\"#dois-je-avoir-complete-l-auto-evaluation-pour-soumissionner-a-un-contrat-de-defense\">Dois-je avoir compl\u00e9t\u00e9 l&rsquo;auto-\u00e9valuation pour soumissionner \u00e0 un contrat de d\u00e9fense ?<\/a><\/li><li class=\"\"><a href=\"#un-sous-traitant-de-sous-traitant-est-il-vise-par-le-pccc\">Un sous-traitant de sous-traitant est-il vis\u00e9 par le PCCC ?<\/a><\/li><li class=\"\"><a href=\"#combien-de-temps-l-auto-evaluation-pccc-de-niveau-1-est-elle-valide\">Combien de temps l&rsquo;auto-\u00e9valuation PCCC de niveau 1 est-elle valide ?<\/a><\/li><li class=\"\"><a href=\"#triennial-veut-il-dire-trois-fois-par-annee\">\u00ab Triennial \u00bb veut-il dire trois fois par ann\u00e9e ?<\/a><\/li><li class=\"\"><a href=\"#y-a-t-il-un-delai-fixe-pour-signaler-un-incident-de-cybersecurite\">Y a-t-il un d\u00e9lai fixe pour signaler un incident de cybers\u00e9curit\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#faut-il-heberger-ses-donnees-au-canada-pour-etre-conforme-au-pccc\">Faut-il h\u00e9berger ses donn\u00e9es au Canada pour \u00eatre conforme au PCCC ?<\/a><\/li><li class=\"\"><a href=\"#une-certification-cmmc-americaine-compte-t-elle-pour-le-pccc\">Une certification CMMC am\u00e9ricaine compte-t-elle pour le PCCC ?<\/a><\/li><li class=\"\"><a href=\"#le-pccc-remplace-t-il-le-programme-de-securite-des-contrats-ou-le-programme-des-marchandises-controlees\">Le PCCC remplace-t-il le Programme de s\u00e9curit\u00e9 des contrats ou le Programme des marchandises contr\u00f4l\u00e9es ?<\/a><\/li><li class=\"\"><a href=\"#combien-de-familles-d-exigences-compte-l-itsp-10-171\">Combien de familles d&rsquo;exigences compte l&rsquo;ITSP.10.171 ?<\/a><\/li><li class=\"\"><a href=\"#quand-le-niveau-2-du-pccc-entre-t-il-en-vigueur\">Quand le niveau 2 du PCCC entre-t-il en vigueur ?<\/a><\/li><li class=\"\"><a href=\"#l-outil-d-auto-evaluation-de-niveau-1-est-il-payant\">L&rsquo;outil d&rsquo;auto-\u00e9valuation de niveau 1 est-il payant ?<\/a><\/li><li class=\"\"><a href=\"#qui-peut-me-certifier-au-pccc-aujourd-hui\">Qui peut me certifier au PCCC aujourd&rsquo;hui ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement PCCC de niveau 1 ou 2<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"faq-pccc-certification-cybersecurite-les-trois-niveaux-en-un-coup-d-il\" class=\"wp-block-heading\">FAQ PCCC certification cybers\u00e9curit\u00e9 : les trois niveaux en un coup d&rsquo;\u0153il<\/h2>\n\n<p class=\"wp-block-paragraph\">Pour situer les niveaux avant d&rsquo;entrer dans le d\u00e9tail de chaque question :<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Niveau<\/th><th>Contr\u00f4les<\/th><th>Exigences<\/th><th>Qui \u00e9value<\/th><th>\u00c9ch\u00e9ance<\/th><\/tr><\/thead><tbody><tr><td>Niveau 1<\/td><td>13<\/td><td>37<\/td><td>Auto-\u00e9valuation (outil gouvernemental gratuit)<\/td><td>En vigueur depuis le 1er avril 2026<\/td><\/tr><tr><td>Niveau 2<\/td><td>98<\/td><td>226<\/td><td>\u00c9valuateur tiers accr\u00e9dit\u00e9 par le Conseil canadien des normes<\/td><td>Attendu au printemps 2027<\/td><\/tr><tr><td>Niveau 3<\/td><td>200 contr\u00f4les \u00e9valu\u00e9s<\/td><td>D\u00e9tail non publi\u00e9<\/td><td>Minist\u00e8re de la D\u00e9fense nationale<\/td><td>Calendrier non annonc\u00e9<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<h2 id=\"dois-je-avoir-complete-l-auto-evaluation-pour-soumissionner-a-un-contrat-de-defense\" class=\"wp-block-heading\">Dois-je avoir compl\u00e9t\u00e9 l&rsquo;auto-\u00e9valuation pour soumissionner \u00e0 un contrat de d\u00e9fense ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Non, l&rsquo;auto-\u00e9valuation de niveau 1 est exig\u00e9e \u00e0 l&rsquo;attribution du contrat, pas au d\u00e9p\u00f4t de la soumission.<\/strong> Vous pouvez donc soumissionner sans l&rsquo;avoir compl\u00e9t\u00e9e, mais si vous remportez le contrat, elle devra \u00eatre faite avant la signature.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;outil gouvernemental gratuit est ouvert depuis le 1er avril 2026 : mieux vaut la compl\u00e9ter t\u00f4t que de la d\u00e9couvrir dans l&rsquo;urgence entre l&rsquo;annonce du gagnant et la signature du contrat. L&rsquo;ordre des \u00e9tapes reste le m\u00eame d&rsquo;un appel d&rsquo;offres \u00e0 l&rsquo;autre :<\/p>\n\n<ol class=\"wp-block-list\"><li>D\u00e9p\u00f4t de la soumission, sans auto-\u00e9valuation requise \u00e0 cette \u00e9tape.<\/li><li>Attribution du contrat au fournisseur retenu.<\/li><li>Auto-\u00e9valuation de niveau 1 compl\u00e9t\u00e9e avant la signature du contrat.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Un fournisseur qui attend l&rsquo;annonce du r\u00e9sultat pour commencer risque de retarder sa propre signature, pas celle du minist\u00e8re : le calendrier ne s&rsquo;ajuste pas pour vous. Le mode d&#8217;emploi complet, \u00e9tape par \u00e9tape, est dans <a href=\"https:\/\/factero.ca\/blog\/auto-evaluation-pccc-niveau-1-mode-emploi\/\">Auto-\u00e9valuation PCCC niveau 1 : le mode d&#8217;emploi pas \u00e0 pas<\/a>.<\/p>\n\n<h2 id=\"un-sous-traitant-de-sous-traitant-est-il-vise-par-le-pccc\" class=\"wp-block-heading\">Un sous-traitant de sous-traitant est-il vis\u00e9 par le PCCC ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Oui. Le programme vise l&rsquo;ensemble de la cha\u00eene d&rsquo;approvisionnement de la d\u00e9fense, pas seulement les fournisseurs qui signent directement avec le minist\u00e8re de la D\u00e9fense nationale.<\/p>\n\n<p class=\"wp-block-paragraph\">Si vous fournissez un service ou un produit \u00e0 un sous-traitant qui lui-m\u00eame travaille pour un ma\u00eetre d&rsquo;\u0153uvre de la d\u00e9fense, la question se pose pour vous aussi, et elle se pose t\u00f4t : d\u00e9couvrir l&rsquo;exigence apr\u00e8s avoir sign\u00e9 un sous-contrat co\u00fbte plus cher que de la v\u00e9rifier avant. Les crit\u00e8res pr\u00e9cis d&rsquo;application sont d\u00e9taill\u00e9s dans <a href=\"https:\/\/factero.ca\/blog\/qui-est-vise-cpcsc\/\">Qui est vis\u00e9 par le CPCSC ?<\/a><\/p>\n\n<h2 id=\"combien-de-temps-l-auto-evaluation-pccc-de-niveau-1-est-elle-valide\" class=\"wp-block-heading\">Combien de temps l&rsquo;auto-\u00e9valuation PCCC de niveau 1 est-elle valide ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>L&rsquo;auto-\u00e9valuation de niveau 1 est valide un an : elle se refait chaque ann\u00e9e pour rester \u00e0 jour.<\/strong><\/p>\n\n<p class=\"wp-block-paragraph\">Un fournisseur qui l&rsquo;a compl\u00e9t\u00e9e en 2026 devra la refaire en 2027, et ainsi de suite tant qu&rsquo;il fait affaire avec la D\u00e9fense nationale. C&rsquo;est une charge r\u00e9currente l\u00e9g\u00e8re, mais une charge quand m\u00eame, \u00e0 int\u00e9grer dans votre calendrier annuel plut\u00f4t qu&rsquo;\u00e0 red\u00e9couvrir chaque printemps.<\/p>\n\n<p class=\"wp-block-paragraph\">Le renouvellement n&rsquo;est pas qu&rsquo;une formalit\u00e9 administrative. Si votre environnement technologique a chang\u00e9, nouveau fournisseur infonuagique, nouvel outil de gestion des acc\u00e8s, l&rsquo;auto-\u00e9valuation renouvel\u00e9e doit refl\u00e9ter la r\u00e9alit\u00e9 actuelle, pas celle de l&rsquo;an dernier.<\/p>\n\n<h2 id=\"triennial-veut-il-dire-trois-fois-par-annee\" class=\"wp-block-heading\">\u00ab Triennial \u00bb veut-il dire trois fois par ann\u00e9e ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Non, c&rsquo;est l&rsquo;inverse. Pour le niveau 2, \u00ab triennial \u00bb signifie une fois aux trois ans, avec une confirmation annuelle entre les \u00e9valuations compl\u00e8tes.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est un terme qui pr\u00eate \u00e0 confusion en fran\u00e7ais, o\u00f9 le pr\u00e9fixe \u00e9voque parfois une fr\u00e9quence plut\u00f4t qu&rsquo;un intervalle. Le niveau 2 est attendu au printemps 2027 : 98 contr\u00f4les, 226 exigences, \u00e9valu\u00e9s par un tiers accr\u00e9dit\u00e9. Les d\u00e9tails complets sont dans <a href=\"https:\/\/factero.ca\/blog\/pccc-niveau-2-certification\/\">PCCC niveau 2 : 98 contr\u00f4les, certification aux trois ans<\/a>.<\/p>\n\n<h2 id=\"y-a-t-il-un-delai-fixe-pour-signaler-un-incident-de-cybersecurite\" class=\"wp-block-heading\">Y a-t-il un d\u00e9lai fixe pour signaler un incident de cybers\u00e9curit\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Aucun d\u00e9lai pr\u00e9cis n&rsquo;est fix\u00e9 dans la norme elle-m\u00eame. Le chiffre de 24 \u00e0 72 heures qui circule dans certains textes n&rsquo;a pas de source officielle identifiable \u00e0 ce jour, et cette FAQ PCCC certification cybers\u00e9curit\u00e9 ne le reprend pas tant qu&rsquo;une source ne l&rsquo;appuie pas.<\/p>\n\n<p class=\"wp-block-paragraph\">M\u00eame le chiffrement FIPS n&rsquo;est que \u00ab recommand\u00e9 \u00bb dans l&rsquo;exigence correspondante, 03.13.11, un param\u00e8tre que chaque organisation d\u00e9finit elle-m\u00eame. Avant de vous fier \u00e0 un d\u00e9lai pr\u00e9cis trouv\u00e9 dans un article ou un gabarit de politique, v\u00e9rifiez ce que dit votre contrat, pas ce qui circule en ligne.<\/p>\n\n<h2 id=\"faut-il-heberger-ses-donnees-au-canada-pour-etre-conforme-au-pccc\" class=\"wp-block-heading\">Faut-il h\u00e9berger ses donn\u00e9es au Canada pour \u00eatre conforme au PCCC ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Non, il n&rsquo;y a pas d&rsquo;exigence de r\u00e9sidence des donn\u00e9es dans le programme. C&rsquo;est une confusion fr\u00e9quente avec d&rsquo;autres r\u00e9gimes qui, eux, l&rsquo;imposent explicitement.<\/p>\n\n<p class=\"wp-block-paragraph\">Cela dit, votre contrat avec le ma\u00eetre d&rsquo;\u0153uvre de la d\u00e9fense ou votre fournisseur infonuagique peut contenir sa propre clause de r\u00e9sidence, ind\u00e9pendante du PCCC. V\u00e9rifiez votre contrat, ne pr\u00e9sumez pas de la r\u00e9ponse \u00e0 partir du programme seul. Nous revenons sur cette confusion et sur d&rsquo;autres dans <a href=\"https:\/\/factero.ca\/blog\/mythes-cpcsc\/\">Mythes du CPCSC : ce que la norme exige vraiment (et pas)<\/a>.<\/p>\n\n<h2 id=\"une-certification-cmmc-americaine-compte-t-elle-pour-le-pccc\" class=\"wp-block-heading\">Une certification CMMC am\u00e9ricaine compte-t-elle pour le PCCC ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Non, ce sont deux programmes distincts, chacun administr\u00e9 par son propre gouvernement. Le <a href=\"https:\/\/dodcio.defense.gov\/cmmc\" target=\"_blank\" rel=\"noopener nofollow\">CMMC<\/a> am\u00e9ricain et le PCCC canadien s&rsquo;appuient tous deux sur une base issue de <a href=\"https:\/\/csrc.nist.gov\" target=\"_blank\" rel=\"noopener nofollow\">NIST SP 800-171<\/a>, mais leurs niveaux, leurs d\u00e9lais et leurs organismes d&rsquo;\u00e9valuation ne sont pas interchangeables.<\/p>\n\n<p class=\"wp-block-paragraph\">Une certification CMMC ne dispense pas d&rsquo;un dossier PCCC, et l&rsquo;inverse est vrai aussi. Un fournisseur qui vend \u00e0 la fois au gouvernement canadien et \u00e0 des ma\u00eetres d&rsquo;\u0153uvre am\u00e9ricains peut se retrouver \u00e0 pr\u00e9parer deux dossiers en parall\u00e8le, avec des preuves qui se recoupent en partie sans \u00eatre identiques. Le comparatif complet des deux programmes, contr\u00f4le par contr\u00f4le, est dans <a href=\"https:\/\/factero.ca\/blog\/cpcsc-vs-cmmc\/\">CPCSC vs CMMC : comprendre les deux programmes de cybers\u00e9curit\u00e9<\/a>.<\/p>\n\n<h2 id=\"le-pccc-remplace-t-il-le-programme-de-securite-des-contrats-ou-le-programme-des-marchandises-controlees\" class=\"wp-block-heading\">Le PCCC remplace-t-il le Programme de s\u00e9curit\u00e9 des contrats ou le Programme des marchandises contr\u00f4l\u00e9es ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Non, il s&rsquo;ajoute \u00e0 ces deux programmes existants, il ne les remplace pas. Un fournisseur peut donc se retrouver vis\u00e9 simultan\u00e9ment par le Programme de s\u00e9curit\u00e9 des contrats, le Programme des marchandises contr\u00f4l\u00e9es et le PCCC, chacun avec ses propres exigences et ses propres \u00e9ch\u00e9ances.<\/p>\n\n<p class=\"wp-block-paragraph\">V\u00e9rifier lequel de ces programmes s&rsquo;applique \u00e0 votre contrat, et lesquels se cumulent, fait partie du travail \u00e0 faire avant de soumissionner, pas apr\u00e8s avoir sign\u00e9. Trois r\u00e9gimes qui se chevauchent partiellement, ce n&rsquo;est pas trois fois le m\u00eame travail, mais ce n&rsquo;est pas rien non plus : chacun a son propre processus, son propre organisme et ses propres d\u00e9lais.<\/p>\n\n<h2 id=\"combien-de-familles-d-exigences-compte-l-itsp-10-171\" class=\"wp-block-heading\">Combien de familles d&rsquo;exigences compte l&rsquo;ITSP.10.171 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Dix-sept. L&rsquo;<a href=\"https:\/\/cyber.gc.ca\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171<\/a> est la version canadienne de NIST SP 800-171 r\u00e9vision 3, publi\u00e9e en fran\u00e7ais par le Centre canadien pour la cybers\u00e9curit\u00e9 depuis le 2 avril 2025.<\/p>\n\n<p class=\"wp-block-paragraph\">Des d\u00e9comptes diff\u00e9rents circulent parfois dans des textes non officiels sur le sujet, une confusion que cette FAQ PCCC certification cybers\u00e9curit\u00e9 corrige avec la source exacte. En cas de doute, la r\u00e9f\u00e9rence reste le document publi\u00e9 par le Centre canadien pour la cybers\u00e9curit\u00e9, pas un r\u00e9sum\u00e9 trouv\u00e9 ailleurs, m\u00eame bien intentionn\u00e9.<\/p>\n\n<h2 id=\"quand-le-niveau-2-du-pccc-entre-t-il-en-vigueur\" class=\"wp-block-heading\">Quand le niveau 2 du PCCC entre-t-il en vigueur ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Il est attendu au printemps 2027. Le niveau 2 exige 98 contr\u00f4les et 226 exigences, \u00e9valu\u00e9s par un tiers accr\u00e9dit\u00e9, contre une simple auto-\u00e9valuation pour le niveau 1.<\/p>\n\n<p class=\"wp-block-paragraph\">Si votre contrat actuel ou \u00e0 venir touche de l&rsquo;information plus sensible, commencer \u00e0 vous pr\u00e9parer avant l&rsquo;entr\u00e9e en vigueur officielle vous \u00e9vite de tout faire dans l&rsquo;urgence une fois le calendrier confirm\u00e9. L&rsquo;\u00e9cart entre votre posture actuelle et 226 exigences ne se comble pas en quelques semaines.<\/p>\n\n<h2 id=\"l-outil-d-auto-evaluation-de-niveau-1-est-il-payant\" class=\"wp-block-heading\">L&rsquo;outil d&rsquo;auto-\u00e9valuation de niveau 1 est-il payant ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Non, il est gratuit. Le gouvernement du Canada met \u00e0 disposition un <a href=\"https:\/\/cyberpostureassessments.ops.cyber.gc.ca\/cpcsc-pccc\/\" target=\"_blank\" rel=\"noopener nofollow\">outil d&rsquo;auto-\u00e9valuation niveau 1 du PCCC<\/a> sans frais.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce qui co\u00fbte du temps, et parfois de l&rsquo;accompagnement, ce n&rsquo;est pas l&rsquo;outil : c&rsquo;est la pr\u00e9paration en amont. Documenter vos contr\u00f4les, corriger vos \u00e9carts, rassembler vos preuves avant de r\u00e9pondre au questionnaire, voil\u00e0 o\u00f9 se joue la vraie charge de travail.<\/p>\n\n<h2 id=\"qui-peut-me-certifier-au-pccc-aujourd-hui\" class=\"wp-block-heading\">Qui peut me certifier au PCCC aujourd&rsquo;hui ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Pour le niveau 1, personne ne vous \u00ab certifie \u00bb au sens strict : vous vous auto-\u00e9valuez avec l&rsquo;outil gouvernemental, sans intervenant externe.<\/p>\n\n<p class=\"wp-block-paragraph\">Pour le niveau 2, seul un organisme accr\u00e9dit\u00e9 selon le <a href=\"https:\/\/ccn-scc.ca\/scheme-daccreditation\/inspection-bodies\/programme-de-certification-en-cybersecurite-du-canada\" target=\"_blank\" rel=\"noopener nofollow\">sch\u00e9ma d&rsquo;accr\u00e9ditation du CPCSC du Conseil canadien des normes<\/a> pourra proc\u00e9der \u00e0 l&rsquo;\u00e9valuation, une fois ce niveau en vigueur. Les d\u00e9tails que nous avons \u00e0 ce jour sur le processus sont r\u00e9unis dans <a href=\"https:\/\/factero.ca\/blog\/pccc-niveau-2-certification\/\">PCCC niveau 2 : 98 contr\u00f4les, certification aux trois ans<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Cette FAQ PCCC certification cybers\u00e9curit\u00e9 s&rsquo;allonge avec chaque nouvelle question qui nous arrive. Une question qui ne figure pas dans cette liste ? \u00c9crivez-nous : cette page est mise \u00e0 jour au fil du programme, \u00e0 mesure que le niveau 2 se pr\u00e9cise et que de nouvelles questions reviennent. Si la r\u00e9ponse \u00e0 l&rsquo;une de ces douze questions engage un contrat que vous \u00eates en train de pr\u00e9parer, notre <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement CPCSC<\/a> sert exactement \u00e0 \u00e7a : cartographier votre \u00e9cart avant que le calendrier de l&rsquo;appel d&rsquo;offres ne d\u00e9cide pour vous.<\/p>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le PCCC s&rsquo;applique-t-il aux contrats provinciaux, ou seulement aux contrats f\u00e9d\u00e9raux ?<\/summary><p class=\"wp-block-paragraph\">Seulement aux contrats f\u00e9d\u00e9raux. Le programme vise les fournisseurs qui soumissionnent ou ex\u00e9cutent des contrats de la D\u00e9fense nationale du gouvernement du Canada, pas les march\u00e9s publics provinciaux ou municipaux. Un fournisseur qu\u00e9b\u00e9cois actif \u00e0 la fois au f\u00e9d\u00e9ral et au provincial n&rsquo;a d&rsquo;obligation PCCC que pour son volet f\u00e9d\u00e9ral en d\u00e9fense. Les crit\u00e8res pr\u00e9cis de qui est vis\u00e9 dans cette cha\u00eene sont d\u00e9taill\u00e9s dans <a href=\"https:\/\/factero.ca\/blog\/qui-est-vise-cpcsc\/\">Qui est vis\u00e9 par le CPCSC ?<\/a><\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>PCCC et CPCSC d\u00e9signent-ils le m\u00eame programme ?<\/summary><p class=\"wp-block-paragraph\">Oui, ce sont deux noms pour un seul programme. PCCC (Programme canadien de certification en cybers\u00e9curit\u00e9) est la d\u00e9signation fran\u00e7aise, CPCSC (Canadian Program for Cyber Security Certification) son \u00e9quivalent anglais officiel : m\u00eames trois niveaux, m\u00eame exigence, m\u00eames \u00e9ch\u00e9ances. Vous croiserez les deux sigles selon la source consult\u00e9e, gouvernementale ou industrielle. Cette FAQ PCCC certification cybers\u00e9curit\u00e9 utilise les deux tout au long du texte, comme notre <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">guide complet du PCCC<\/a>, pour \u00e9viter la confusion.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien co\u00fbte une \u00e9valuation externe de niveau 2 ou 3 du PCCC ?<\/summary><p class=\"wp-block-paragraph\">Aucun tarif national n&rsquo;est publi\u00e9. Le niveau 1 se fait sans frais avec l&rsquo;outil gouvernemental ; les niveaux 2 (98 contr\u00f4les) et 3 (200 contr\u00f4les) exigent un organisme tiers accr\u00e9dit\u00e9 selon le sch\u00e9ma d&rsquo;accr\u00e9ditation du Conseil canadien des normes, \u00e0 des honoraires qui varient selon la port\u00e9e du mandat. Le niveau 2 n&rsquo;\u00e9tant attendu qu&rsquo;au printemps 2027, aucun bar\u00e8me de march\u00e9 n&rsquo;est encore \u00e9tabli. D\u00e9tails connus \u00e0 ce jour dans <a href=\"https:\/\/factero.ca\/blog\/pccc-niveau-2-certification\/\">PCCC niveau 2 : 98 contr\u00f4les, certification aux trois ans<\/a>.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien de temps faut-il conserver les preuves de conformit\u00e9 de l&rsquo;auto-\u00e9valuation PCCC ?<\/summary><p class=\"wp-block-paragraph\">Au moins un an, soit la dur\u00e9e du cycle de certification. Le site du programme demande de conserver la liste des comptes utilisateurs, l&rsquo;inventaire des appareils, les notes d&rsquo;audit des acc\u00e8s et une copie des politiques de s\u00e9curit\u00e9 en vigueur au moment de l&rsquo;auto-\u00e9valuation. Ces preuves ne sont pas transmises d&rsquo;office, elles servent en cas de v\u00e9rification. Le d\u00e9tail de ce qu&rsquo;il faut rassembler est dans <a href=\"https:\/\/factero.ca\/blog\/auto-evaluation-pccc-niveau-1-mode-emploi\/\">Auto-\u00e9valuation PCCC niveau 1 : le mode d&#8217;emploi pas \u00e0 pas<\/a>.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/ccn-scc.ca\/scheme-daccreditation\/inspection-bodies\/programme-de-certification-en-cybersecurite-du-canada\" target=\"_blank\" rel=\"noopener nofollow\">Sch\u00e9ma d&rsquo;accr\u00e9ditation CPCSC, Conseil canadien des normes<\/a><\/li><li><a href=\"https:\/\/csrc.nist.gov\/\" target=\"_blank\" rel=\"noopener nofollow\">NIST SP 800-171 Rev. 3, NIST Computer Security Resource Center<\/a><\/li><li><a href=\"https:\/\/cyberpostureassessments.ops.cyber.gc.ca\/cpcsc-pccc\/\" target=\"_blank\" rel=\"noopener nofollow\">Outil d&rsquo;auto-\u00e9valuation niveau 1 du PCCC, gouvernement du Canada<\/a><\/li><li><a href=\"https:\/\/dodcio.defense.gov\/cmmc\" target=\"_blank\" rel=\"noopener nofollow\">Programme CMMC (Cybersecurity Maturity Model Certification), Department of Defense CIO<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC), Services publics et Approvisionnement Canada<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171, Protection de l&rsquo;information d\u00e9sign\u00e9e (Centre canadien pour la cybers\u00e9curit\u00e9)<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Le PCCC s\\u0027applique-t-il aux contrats provinciaux, ou seulement aux contrats f\u00e9d\u00e9raux ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Seulement aux contrats f\u00e9d\u00e9raux. Le programme vise les fournisseurs qui soumissionnent ou ex\u00e9cutent des contrats de la D\u00e9fense nationale du gouvernement du Canada, pas les march\u00e9s publics provinciaux ou municipaux. Un fournisseur qu\u00e9b\u00e9cois actif \u00e0 la fois au f\u00e9d\u00e9ral et au provincial n\\u0027a d\\u0027obligation PCCC que pour son volet f\u00e9d\u00e9ral en d\u00e9fense. Les crit\u00e8res pr\u00e9cis de qui est vis\u00e9 dans cette cha\u00eene sont d\u00e9taill\u00e9s dans Qui est vis\u00e9 par le CPCSC ?\"}},{\"@type\":\"Question\",\"name\":\"PCCC et CPCSC d\u00e9signent-ils le m\u00eame programme ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, ce sont deux noms pour un seul programme. PCCC (Programme canadien de certification en cybers\u00e9curit\u00e9) est la d\u00e9signation fran\u00e7aise, CPCSC (Canadian Program for Cyber Security Certification) son \u00e9quivalent anglais officiel : m\u00eames trois niveaux, m\u00eame exigence, m\u00eames \u00e9ch\u00e9ances. Vous croiserez les deux sigles selon la source consult\u00e9e, gouvernementale ou industrielle. Cette FAQ PCCC certification cybers\u00e9curit\u00e9 utilise les deux tout au long du texte, comme notre guide complet du PCCC, pour \u00e9viter la confusion.\"}},{\"@type\":\"Question\",\"name\":\"Combien co\u00fbte une \u00e9valuation externe de niveau 2 ou 3 du PCCC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Aucun tarif national n\\u0027est publi\u00e9. Le niveau 1 se fait sans frais avec l\\u0027outil gouvernemental ; les niveaux 2 (98 contr\u00f4les) et 3 (200 contr\u00f4les) exigent un organisme tiers accr\u00e9dit\u00e9 selon le sch\u00e9ma d\\u0027accr\u00e9ditation du Conseil canadien des normes, \u00e0 des honoraires qui varient selon la port\u00e9e du mandat. Le niveau 2 n\\u0027\u00e9tant attendu qu\\u0027au printemps 2027, aucun bar\u00e8me de march\u00e9 n\\u0027est encore \u00e9tabli. D\u00e9tails connus \u00e0 ce jour dans PCCC niveau 2 : 98 contr\u00f4les, certification aux trois ans.\"}},{\"@type\":\"Question\",\"name\":\"Combien de temps faut-il conserver les preuves de conformit\u00e9 de l\\u0027auto-\u00e9valuation PCCC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Au moins un an, soit la dur\u00e9e du cycle de certification. Le site du programme demande de conserver la liste des comptes utilisateurs, l\\u0027inventaire des appareils, les notes d\\u0027audit des acc\u00e8s et une copie des politiques de s\u00e9curit\u00e9 en vigueur au moment de l\\u0027auto-\u00e9valuation. Ces preuves ne sont pas transmises d\\u0027office, elles servent en cas de v\u00e9rification. Le d\u00e9tail de ce qu\\u0027il faut rassembler est dans Auto-\u00e9valuation PCCC niveau 1 : le mode d\\u0027emploi pas \u00e0 pas.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>FAQ PCCC certification cybers\u00e9curit\u00e9 : validit\u00e9 de l&rsquo;auto-\u00e9valuation, sous-traitants vis\u00e9s, d\u00e9lais de signalement, cumul des programmes. R\u00e9ponses sourc\u00e9es.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[84,82,750,742,86,746,748,744],"class_list":["post-829","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-cmmc","tag-cpcsc","tag-duree-validite-auto-evaluation-pccc","tag-faq-pccc-certification-cybersecurite","tag-itsp-10-171","tag-pccc-obligatoire-pour-soumissionner","tag-pccc-sous-traitant-de-sous-traitant","tag-questions-frequentes-pccc"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/829","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=829"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/829\/revisions"}],"predecessor-version":[{"id":1322,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/829\/revisions\/1322"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=829"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=829"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=829"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}