{"id":849,"date":"2026-08-06T07:00:00","date_gmt":"2026-08-06T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=849"},"modified":"2026-09-04T13:00:41","modified_gmt":"2026-09-04T18:00:41","slug":"analyse-contrats-mdn-marchandises-controlees-cpcsc","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/analyse-contrats-mdn-marchandises-controlees-cpcsc\/","title":{"rendered":"362 845 contrats du MDN analys\u00e9s : qui est vis\u00e9 par le CPCSC ?"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Qui est vis\u00e9 par le CPCSC ? Quiconque manipule des marchandises contr\u00f4l\u00e9es ou de l&rsquo;information d\u00e9sign\u00e9e dans le cadre de contrats avec le minist\u00e8re de la D\u00e9fense nationale, un p\u00e9rim\u00e8tre qu&rsquo;une analyse Factero permet maintenant de chiffrer.<\/strong> Sur 362 845 contrats du MDN et 65 442 fournisseurs recens\u00e9s en divulgation proactive, 3 478 entreprises sont inscrites au Programme des marchandises contr\u00f4l\u00e9es, le meilleur indicateur public disponible.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"qui est vis\u00e9 par le CPCSC : chiffres MDN et marchandises contr\u00f4l\u00e9es\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Si votre entreprise vend \u00e0 la D\u00e9fense nationale, sous-traite pour un fournisseur qui le fait, ou s&rsquo;interroge simplement sur sa place dans cette cha\u00eene, la question du Programme canadien de certification en cybers\u00e9curit\u00e9, g\u00e9n\u00e9ralement d\u00e9sign\u00e9 par son sigle anglais CPCSC (on le voit aussi sous PCCC en fran\u00e7ais), est probablement d\u00e9j\u00e0 sur votre table sans r\u00e9ponse claire. Personne n&rsquo;avait encore chiffr\u00e9 publiquement l&rsquo;ampleur de ce qui s&rsquo;en vient. Nous l&rsquo;avons fait.<\/p>\n\n<p class=\"wp-block-paragraph\">Le CPCSC s&rsquo;ajoute \u00e0 deux r\u00e9gimes f\u00e9d\u00e9raux d\u00e9j\u00e0 en place. Le Programme de s\u00e9curit\u00e9 des contrats encadre les habilitations de s\u00e9curit\u00e9 du personnel et des installations. Le Programme des marchandises contr\u00f4l\u00e9es (PMC) encadre la manipulation physique de biens et de technologies de d\u00e9fense contr\u00f4l\u00e9s. Le CPCSC vise autre chose : la cybers\u00e9curit\u00e9 des syst\u00e8mes qui traitent l&rsquo;information d\u00e9sign\u00e9e, telle que d\u00e9finie par le Centre canadien pour la cybers\u00e9curit\u00e9 dans sa publication ITSP.10.171.<\/p>\n\n<p class=\"wp-block-paragraph\">Le mod\u00e8le s&rsquo;inspire directement du <a href=\"https:\/\/dodcio.defense.gov\/cmmc\/\" target=\"_blank\" rel=\"noopener nofollow\">Cybersecurity Maturity Model Certification (CMMC)<\/a> du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis, qui impose \u00e0 ses fournisseurs le respect de la norme NIST SP 800-171 pour prot\u00e9ger l&rsquo;information non classifi\u00e9e contr\u00f4l\u00e9e. Au Canada, le programme est port\u00e9 par Services publics et Approvisionnement Canada, et c&rsquo;est le <a href=\"https:\/\/ccn-scc.ca\/scheme-daccreditation\/inspection-bodies\/programme-de-certification-en-cybersecurite-du-canada\" target=\"_blank\" rel=\"noopener nofollow\">Conseil canadien des normes<\/a> qui accr\u00e9dite les organismes autoris\u00e9s \u00e0 r\u00e9aliser les v\u00e9rifications de niveau 2.<\/p>\n\n<p class=\"wp-block-paragraph\">Le contexte qui pousse ce dossier : la d\u00e9pense de d\u00e9fense du Canada tourne autour de 2 % du produit int\u00e9rieur brut, avec un engagement \u00e0 atteindre 5 % d&rsquo;ici 2035. Cet argent descend dans une cha\u00eene d&rsquo;approvisionnement dont, jusqu&rsquo;ici, personne n&rsquo;avait publi\u00e9 l&rsquo;ampleur.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#d-ou-viennent-ces-donnees-et-comment-les-avons-nous-traitees\">D&rsquo;o\u00f9 viennent ces donn\u00e9es et comment les avons-nous trait\u00e9es ?<\/a><\/li><li class=\"\"><a href=\"#combien-de-fournisseurs-la-vague-cpcsc-touche-t-elle\">Combien de fournisseurs la vague CPCSC touche-t-elle ?<\/a><\/li><li class=\"\"><a href=\"#pourquoi-l-inscription-aux-marchandises-controlees-est-elle-le-meilleur-signal-de-qui-est-vise-par-le-cpcsc\">Pourquoi l&rsquo;inscription aux marchandises contr\u00f4l\u00e9es est-elle le meilleur signal de qui est vis\u00e9 par le CPCSC ?<\/a><\/li><li class=\"\"><a href=\"#que-faut-il-garder-en-tete-en-lisant-ces-chiffres\">Que faut-il garder en t\u00eate en lisant ces chiffres ?<\/a><\/li><li class=\"\"><a href=\"#que-faire-si-votre-entreprise-apparait-dans-ces-chiffres\">Que faire si votre entreprise appara\u00eet dans ces chiffres ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"d-ou-viennent-ces-donnees-et-comment-les-avons-nous-traitees\" class=\"wp-block-heading\">D&rsquo;o\u00f9 viennent ces donn\u00e9es et comment les avons-nous trait\u00e9es ?<\/h2>\n\n<p class=\"wp-block-paragraph\">La divulgation proactive est l&rsquo;obligation, pour les minist\u00e8res f\u00e9d\u00e9raux, de publier p\u00e9riodiquement le d\u00e9tail des contrats qu&rsquo;ils attribuent : fournisseur, valeur, p\u00e9riode, description sommaire. C&rsquo;est une source publique, gratuite, mise \u00e0 jour par le gouvernement lui-m\u00eame, pas une fuite ni une extrapolation. C&rsquo;est sur cette base que repose l&rsquo;essentiel de cette analyse.<\/p>\n\n<p class=\"wp-block-paragraph\">Deux sources publiques et officielles, aucune donn\u00e9e propri\u00e9taire.<\/p>\n\n<p class=\"wp-block-paragraph\">La premi\u00e8re est le jeu de donn\u00e9es des contrats du gouvernement f\u00e9d\u00e9ral, publi\u00e9 en vertu des obligations de divulgation proactive sur ouvert.canada.ca. Nous en avons extrait 362 845 lignes rattach\u00e9es au minist\u00e8re de la D\u00e9fense nationale. La seconde est le registre public du Programme des marchandises contr\u00f4l\u00e9es, qui compte 3 478 entreprises inscrites.<\/p>\n\n<p class=\"wp-block-paragraph\">Le traitement s&rsquo;est fait en trois \u00e9tapes.<\/p>\n\n<ol class=\"wp-block-list\"><li>Extraction compl\u00e8te des contrats du MDN dans le jeu de donn\u00e9es f\u00e9d\u00e9ral, sans filtrage arbitraire sur la taille ou la nature du contrat.<\/li><li>Normalisation des noms de fournisseurs. Aucun des deux registres ne partage d&rsquo;identifiant commun, pas de num\u00e9ro d&rsquo;entreprise unique entre les deux jeux de donn\u00e9es : le rapprochement s&rsquo;est fait par comparaison de noms normalis\u00e9s, avec les impr\u00e9cisions que cette m\u00e9thode comporte forc\u00e9ment.<\/li><li>Croisement des deux jeux de donn\u00e9es et validation des totaux par un second calcul ind\u00e9pendant, pour d\u00e9tecter les erreurs d&rsquo;agr\u00e9gation avant publication.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">La m\u00e9thode est reproductible. Les deux registres sont publics, notre script d&rsquo;extraction ne fait rien qu&rsquo;un tiers ne pourrait refaire, et nous publions les chiffres qui en r\u00e9sultent sans les arrondir dans un sens qui nous avantage. Une analyse de donn\u00e9es qui ne peut pas se refaire n&rsquo;est pas une analyse, c&rsquo;est une affirmation.<\/p>\n\n<h2 id=\"combien-de-fournisseurs-la-vague-cpcsc-touche-t-elle\" class=\"wp-block-heading\">Combien de fournisseurs la vague CPCSC touche-t-elle ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>65 442 fournisseurs ont sign\u00e9 au moins un contrat avec le minist\u00e8re de la D\u00e9fense nationale depuis 2008, pour une valeur cumul\u00e9e de 471,4 milliards de dollars.<\/strong> L&rsquo;ampleur surprend, m\u00eame pour qui suit le dossier de pr\u00e8s. Le tableau qui suit r\u00e9sume les six indicateurs de cette analyse.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Indicateur<\/th><th>Valeur<\/th><\/tr><\/thead><tbody><tr><td>Contrats du MDN analys\u00e9s<\/td><td>362 845<\/td><\/tr><tr><td>Fournisseurs uniques identifi\u00e9s<\/td><td>65 442<\/td><\/tr><tr><td>Valeur cumul\u00e9e des contrats<\/td><td>471,4 G$<\/td><\/tr><tr><td>Fournisseurs qu\u00e9b\u00e9cois identifi\u00e9s<\/td><td>3 144<\/td><\/tr><tr><td>Valeur cumul\u00e9e, fournisseurs qu\u00e9b\u00e9cois<\/td><td>8,81 G$<\/td><\/tr><tr><td>Entreprises inscrites au Programme des marchandises contr\u00f4l\u00e9es<\/td><td>3 478<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Ce ne sont pas des fournisseurs actifs aujourd&rsquo;hui : c&rsquo;est un historique de dix-huit ans, une \u00e9chelle bien plus large que le portrait d&rsquo;une seule ann\u00e9e.<\/p>\n\n<p class=\"wp-block-paragraph\">Le Qu\u00e9bec compte 3 144 fournisseurs identifi\u00e9s dans cet ensemble, soit un peu moins de 5 % du total, pour 8,81 milliards de dollars, un peu moins de 2 % de la valeur cumul\u00e9e. Ce chiffre est probablement sous-estim\u00e9, pour une raison m\u00e9thodologique que nous d\u00e9taillons plus bas.<\/p>\n\n<p class=\"wp-block-paragraph\">65 442 entreprises ne devront pas toutes se certifier CPCSC. Un contrat au MDN ne suffit pas, \u00e0 lui seul, \u00e0 \u00e9tablir l&rsquo;obligation. C&rsquo;est l\u00e0 que le second registre devient utile.<\/p>\n\n<h2 id=\"pourquoi-l-inscription-aux-marchandises-controlees-est-elle-le-meilleur-signal-de-qui-est-vise-par-le-cpcsc\" class=\"wp-block-heading\">Pourquoi l&rsquo;inscription aux marchandises contr\u00f4l\u00e9es est-elle le meilleur signal de qui est vis\u00e9 par le CPCSC ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>L&rsquo;inscription au Programme des marchandises contr\u00f4l\u00e9es est le meilleur indicateur public disponible d&rsquo;un assujettissement probable au CPCSC, parce qu&rsquo;elle prouve la manipulation de marchandises contr\u00f4l\u00e9es l\u00e0 o\u00f9 un contrat du MDN ne prouve qu&rsquo;une relation commerciale.<\/strong><\/p>\n\n<p class=\"wp-block-paragraph\">Un contrat du MDN prouve une relation commerciale. Il ne prouve pas que le fournisseur manipule de l&rsquo;information d\u00e9sign\u00e9e ou des marchandises contr\u00f4l\u00e9es. Une entreprise peut tr\u00e8s bien vendre du mobilier de bureau ou des services de traiteur \u00e0 une base militaire sans jamais toucher \u00e0 une donn\u00e9e sensible.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;inscription au PMC prouve autre chose. Elle est obligatoire pour toute entreprise qui examine, poss\u00e8de ou transf\u00e8re des marchandises ou des technologies de d\u00e9fense contr\u00f4l\u00e9es, qu&rsquo;il s&rsquo;agisse d&rsquo;\u00e9quipement militaire ou de technologies \u00e0 double usage. Une entreprise inscrite a d\u00e9j\u00e0 d\u00e9montr\u00e9, devant le gouvernement, qu&rsquo;elle manipule ce type de mat\u00e9riel.<\/p>\n\n<p class=\"wp-block-paragraph\">Les deux r\u00e9gimes ne se recoupent pas parfaitement : le CPCSC vise la protection de l&rsquo;information num\u00e9rique d\u00e9sign\u00e9e, le PMC vise la manipulation physique de marchandises contr\u00f4l\u00e9es. Mais le profil d&rsquo;entreprise qui justifie l&rsquo;un est, la plupart du temps, celui qui justifie l&rsquo;autre. Une entreprise d\u00e9j\u00e0 inscrite au PMC est, selon nos donn\u00e9es, une candidate fortement probable \u00e0 un assujettissement CPCSC.<\/p>\n\n<p class=\"wp-block-paragraph\">Fortement probable n&rsquo;est pas certain. Le p\u00e9rim\u00e8tre exact du niveau 2 n&rsquo;est pas encore arr\u00eat\u00e9, et l&rsquo;inscription au PMC ne d\u00e9clenche aucune obligation CPCSC automatique. Nous pr\u00e9sentons ce signal pour ce qu&rsquo;il est : le meilleur proxy public que nous avons trouv\u00e9, pas une liste de certitudes.<\/p>\n\n<p class=\"wp-block-paragraph\">Aucune analyse publique \u00e9quivalente ne semblait exister avant celle-ci, ni en fran\u00e7ais ni en anglais. C&rsquo;est en partie pour cette raison que nous la publions avec sa m\u00e9thode compl\u00e8te : d&rsquo;autres pourront la v\u00e9rifier, la critiquer ou l&rsquo;am\u00e9liorer.<\/p>\n\n<h2 id=\"que-faut-il-garder-en-tete-en-lisant-ces-chiffres\" class=\"wp-block-heading\">Que faut-il garder en t\u00eate en lisant ces chiffres ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Trois limites m\u00e9ritent d&rsquo;\u00eatre dites sans d\u00e9tour, parce qu&rsquo;elles changent la lecture des chiffres.<\/p>\n\n<ul class=\"wp-block-list\"><li>Le rapprochement entre les deux registres se fait par noms d&rsquo;entreprises normalis\u00e9s, pas par identifiant unique. Une entreprise inscrite sous une raison sociale l\u00e9g\u00e8rement diff\u00e9rente dans les deux registres peut \u00e9chapper au rapprochement, ou y appara\u00eetre en double.<\/li><li>Les codes postaux, n\u00e9cessaires pour identifier un fournisseur comme qu\u00e9b\u00e9cois, ne sont renseign\u00e9s que pour 15 497 des 65 442 fournisseurs, un peu moins du quart. Le chiffre de 3 144 fournisseurs qu\u00e9b\u00e9cois est donc un plancher, pas un plafond : le nombre r\u00e9el est vraisemblablement plus \u00e9lev\u00e9.<\/li><li>Les valeurs de contrats sont cumul\u00e9es sur la p\u00e9riode 2008-2026, dix-huit ans d&rsquo;historique. Un fournisseur qui appara\u00eet pour plusieurs millions de dollars de contrats cumul\u00e9s n&rsquo;a pas n\u00e9cessairement ce chiffre en revenus annuels avec le MDN aujourd&rsquo;hui. Lire ces chiffres comme un portrait annuel serait une erreur.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Une derni\u00e8re limite touche le CPCSC lui-m\u00eame, pas notre m\u00e9thode. Le niveau 1, une auto-attestation, est accessible d\u00e8s maintenant. Le niveau 2, qui exige une v\u00e9rification par un organisme tiers accr\u00e9dit\u00e9, ne l&rsquo;est pas : le <a href=\"https:\/\/factero.ca\/blog\/aucun-evaluateur-accredite-pccc-ccn-juillet-2026\/\">Conseil canadien des normes confirmait en juillet 2026 qu&rsquo;aucun organisme n&rsquo;\u00e9tait encore accr\u00e9dit\u00e9<\/a> pour r\u00e9aliser ces v\u00e9rifications. Une entreprise peut donc \u00eatre une candidate fortement probable au niveau 2 sans qu&rsquo;il existe, \u00e0 ce jour, de chemin pour l&rsquo;obtenir.<\/p>\n\n<h2 id=\"que-faire-si-votre-entreprise-apparait-dans-ces-chiffres\" class=\"wp-block-heading\">Que faire si votre entreprise appara\u00eet dans ces chiffres ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Si votre entreprise d\u00e9tient un contrat du MDN, est inscrite au Programme des marchandises contr\u00f4l\u00e9es, ou les deux, la question n&rsquo;est plus de savoir si le CPCSC va vous concerner, mais quand et \u00e0 quel niveau. Nous d\u00e9taillons les crit\u00e8res d&rsquo;assujettissement, au-del\u00e0 du seul signal PMC, dans <a href=\"https:\/\/factero.ca\/blog\/qui-est-vise-cpcsc\/\">Qui est vis\u00e9 par le CPCSC ? PME, sous-traitants et d\u00e9fense<\/a>, et le portrait complet du programme, ses niveaux et ses obligations dans notre <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">guide CPCSC \/ PCCC<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Votre entreprise est inscrite aux marchandises contr\u00f4l\u00e9es ou d\u00e9tient des contrats du MDN ? Vous \u00eates probablement dans ces chiffres. V\u00e9rifions ensemble o\u00f9 vous vous situez : membre de CADSI et acteur de la communaut\u00e9 d\u00e9fense de Saint-Jean-sur-Richelieu, Factero conna\u00eet ce terrain. Nous appliquons d&rsquo;ailleurs la m\u00eame logique chez nous : notre propre auto-attestation PCCC niveau 1 est la preuve qu&rsquo;on ne demande \u00e0 personne un exercice qu&rsquo;on n&rsquo;a pas fait soi-m\u00eame. Vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">planifier un \u00e9change sur votre accompagnement CPCSC<\/a> pour y voir clair sur votre situation r\u00e9elle.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement \u00e0 la certification PCCC<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Qui doit se conformer au CPCSC ?<\/summary><p class=\"wp-block-paragraph\">Toute entreprise qui soumissionne ou travaille sur des contrats de d\u00e9fense canadiens impliquant de l&rsquo;information d\u00e9sign\u00e9e ou des marchandises contr\u00f4l\u00e9es est vis\u00e9e. Un contrat avec le minist\u00e8re de la D\u00e9fense nationale ne suffit pas \u00e0 lui seul : c&rsquo;est la nature de l&rsquo;information manipul\u00e9e qui d\u00e9termine l&rsquo;assujettissement. L&rsquo;inscription au Programme des marchandises contr\u00f4l\u00e9es reste le meilleur signal public pour \u00e9valuer cette probabilit\u00e9, sans \u00eatre une confirmation automatique.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le CPCSC est-il d\u00e9j\u00e0 obligatoire aujourd&rsquo;hui ?<\/summary><p class=\"wp-block-paragraph\">Le niveau 1, une auto-attestation que l&rsquo;entreprise remplit elle-m\u00eame, est accessible d\u00e8s maintenant. Le niveau 2, qui exige une v\u00e9rification par un organisme tiers accr\u00e9dit\u00e9, ne l&rsquo;est pas : le Conseil canadien des normes confirmait en juillet 2026 qu&rsquo;aucun organisme n&rsquo;\u00e9tait encore accr\u00e9dit\u00e9 pour r\u00e9aliser ces v\u00e9rifications au Canada. Une entreprise peut donc devoir s&rsquo;y conformer sans qu&rsquo;il existe, \u00e0 ce jour, de chemin pour le niveau 2.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le CPCSC entra\u00eene-t-il des frais pour les entreprises vis\u00e9es ?<\/summary><p class=\"wp-block-paragraph\">Aucun bar\u00e8me de frais officiel n&rsquo;est publi\u00e9 pour l&rsquo;instant sur les pages gouvernementales du programme. Le niveau 1 repose sur une auto-attestation, un exercice interne qui n&rsquo;exige pas de payer un tiers pour l&rsquo;obtenir. Le niveau 2 exigera une v\u00e9rification par un organisme accr\u00e9dit\u00e9, dont les tarifs ne sont pas encore connus puisqu&rsquo;aucun organisme n&rsquo;est accr\u00e9dit\u00e9 au Canada \u00e0 ce jour. Pr\u00e9voir un budget reste donc pr\u00e9matur\u00e9.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quel est l&rsquo;\u00e9quivalent canadien du CMMC am\u00e9ricain ?<\/summary><p class=\"wp-block-paragraph\">Le CPCSC. Le programme canadien s&rsquo;inspire directement du Cybersecurity Maturity Model Certification (CMMC) du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis, qui impose \u00e0 ses fournisseurs le respect de la norme NIST SP 800-171. Au Canada, l&rsquo;\u00e9quivalent fonctionnel de cette norme est l&rsquo;ITSP.10.171 du Centre canadien pour la cybers\u00e9curit\u00e9, et c&rsquo;est le Conseil canadien des normes qui accr\u00e9dite les organismes de v\u00e9rification de niveau 2.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Les sous-traitants d&rsquo;un contrat de d\u00e9fense doivent-ils s&rsquo;inscrire au Programme des marchandises contr\u00f4l\u00e9es ?<\/summary><p class=\"wp-block-paragraph\">\u00c7a d\u00e9pend uniquement de la nature du travail, pas du rang dans la cha\u00eene contractuelle. Un sous-traitant qui examine, poss\u00e8de ou transf\u00e8re des marchandises ou technologies de d\u00e9fense contr\u00f4l\u00e9es doit s&rsquo;inscrire au m\u00eame titre qu&rsquo;un fournisseur direct. Ne pas \u00eatre partie prenante du contrat principal avec le minist\u00e8re de la D\u00e9fense nationale ne dispense de rien si l&rsquo;entreprise manipule ce type de mat\u00e9riel.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/ccn-scc.ca\/scheme-daccreditation\/inspection-bodies\/programme-de-certification-en-cybersecurite-du-canada\" target=\"_blank\" rel=\"noopener nofollow\">Sch\u00e9ma d&rsquo;accr\u00e9ditation CPCSC \u2014 Conseil canadien des normes<\/a><\/li><li><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/171\/r3\/final\" target=\"_blank\" rel=\"noopener nofollow\">NIST SP 800-171 rev. 3 \u2014 National Institute of Standards and Technology<\/a><\/li><li><a href=\"https:\/\/dodcio.defense.gov\/cmmc\/\" target=\"_blank\" rel=\"noopener nofollow\">Cybersecurity Maturity Model Certification (CMMC) \u2014 d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis<\/a><\/li><li><a href=\"https:\/\/rechercher.ouvert.canada.ca\/contrats\/\" target=\"_blank\" rel=\"noopener nofollow\">Jeu de donn\u00e9es des contrats du gouvernement f\u00e9d\u00e9ral (divulgation proactive) \u2014 ouvert.canada.ca<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC) \u2014 Services publics et Approvisionnement Canada<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/marchandises-controlees.html\" target=\"_blank\" rel=\"noopener nofollow\">Registre public du Programme des marchandises contr\u00f4l\u00e9es \u2014 gouvernement du Canada<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 \u2014 Protection de l&rsquo;information d\u00e9sign\u00e9e \u2014 Centre canadien pour la cybers\u00e9curit\u00e9<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Qui doit se conformer au CPCSC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Toute entreprise qui soumissionne ou travaille sur des contrats de d\u00e9fense canadiens impliquant de l\\u0027information d\u00e9sign\u00e9e ou des marchandises contr\u00f4l\u00e9es est vis\u00e9e. Un contrat avec le minist\u00e8re de la D\u00e9fense nationale ne suffit pas \u00e0 lui seul : c\\u0027est la nature de l\\u0027information manipul\u00e9e qui d\u00e9termine l\\u0027assujettissement. L\\u0027inscription au Programme des marchandises contr\u00f4l\u00e9es reste le meilleur signal public pour \u00e9valuer cette probabilit\u00e9, sans \u00eatre une confirmation automatique.\"}},{\"@type\":\"Question\",\"name\":\"Le CPCSC est-il d\u00e9j\u00e0 obligatoire aujourd\\u0027hui ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Le niveau 1, une auto-attestation que l\\u0027entreprise remplit elle-m\u00eame, est accessible d\u00e8s maintenant. Le niveau 2, qui exige une v\u00e9rification par un organisme tiers accr\u00e9dit\u00e9, ne l\\u0027est pas : le Conseil canadien des normes confirmait en juillet 2026 qu\\u0027aucun organisme n\\u0027\u00e9tait encore accr\u00e9dit\u00e9 pour r\u00e9aliser ces v\u00e9rifications au Canada. Une entreprise peut donc devoir s\\u0027y conformer sans qu\\u0027il existe, \u00e0 ce jour, de chemin pour le niveau 2.\"}},{\"@type\":\"Question\",\"name\":\"Le CPCSC entra\u00eene-t-il des frais pour les entreprises vis\u00e9es ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Aucun bar\u00e8me de frais officiel n\\u0027est publi\u00e9 pour l\\u0027instant sur les pages gouvernementales du programme. Le niveau 1 repose sur une auto-attestation, un exercice interne qui n\\u0027exige pas de payer un tiers pour l\\u0027obtenir. Le niveau 2 exigera une v\u00e9rification par un organisme accr\u00e9dit\u00e9, dont les tarifs ne sont pas encore connus puisqu\\u0027aucun organisme n\\u0027est accr\u00e9dit\u00e9 au Canada \u00e0 ce jour. Pr\u00e9voir un budget reste donc pr\u00e9matur\u00e9.\"}},{\"@type\":\"Question\",\"name\":\"Quel est l\\u0027\u00e9quivalent canadien du CMMC am\u00e9ricain ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Le CPCSC. Le programme canadien s\\u0027inspire directement du Cybersecurity Maturity Model Certification (CMMC) du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis, qui impose \u00e0 ses fournisseurs le respect de la norme NIST SP 800-171. Au Canada, l\\u0027\u00e9quivalent fonctionnel de cette norme est l\\u0027ITSP.10.171 du Centre canadien pour la cybers\u00e9curit\u00e9, et c\\u0027est le Conseil canadien des normes qui accr\u00e9dite les organismes de v\u00e9rification de niveau 2.\"}},{\"@type\":\"Question\",\"name\":\"Les sous-traitants d\\u0027un contrat de d\u00e9fense doivent-ils s\\u0027inscrire au Programme des marchandises contr\u00f4l\u00e9es ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"\u00c7a d\u00e9pend uniquement de la nature du travail, pas du rang dans la cha\u00eene contractuelle. Un sous-traitant qui examine, poss\u00e8de ou transf\u00e8re des marchandises ou technologies de d\u00e9fense contr\u00f4l\u00e9es doit s\\u0027inscrire au m\u00eame titre qu\\u0027un fournisseur direct. Ne pas \u00eatre partie prenante du contrat principal avec le minist\u00e8re de la D\u00e9fense nationale ne dispense de rien si l\\u0027entreprise manipule ce type de mat\u00e9riel.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Qui est vis\u00e9 par le CPCSC ? Analyse de 362 845 contrats du MDN et du registre des marchandises contr\u00f4l\u00e9es : le meilleur signal public.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[84,902,82,906,904,86,232,900],"class_list":["post-849","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-cmmc","tag-contrats-ministere-de-la-defense-nationale","tag-cpcsc","tag-divulgation-proactive-ouvert-canada-ca","tag-fournisseurs-defense-quebec","tag-itsp-10-171","tag-marchandises-controlees-cybersecurite","tag-qui-est-vise-par-le-cpcsc"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/849","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=849"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/849\/revisions"}],"predecessor-version":[{"id":1342,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/849\/revisions\/1342"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=849"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=849"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=849"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}