{"id":858,"date":"2026-08-19T07:00:00","date_gmt":"2026-08-19T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=858"},"modified":"2026-09-04T13:16:49","modified_gmt":"2026-09-04T18:16:49","slug":"bsi-c5-vs-tgv","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/bsi-c5-vs-tgv\/","title":{"rendered":"BSI C5 vs TGV : 113 correspondances pour l&rsquo;\u00e9diteur qui vise le Qu\u00e9bec"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>BSI C5 vs TGV : le catalogue allemand de crit\u00e8res de conformit\u00e9 infonuagique obtient 113 correspondances avec la grille qu\u00e9b\u00e9coise, devant le RGPD (110) et HITRUST (101).<\/strong> Mais correspondance n&rsquo;\u00e9gale pas \u00e9quivalence : sur l&rsquo;ensemble des correspondances recens\u00e9es entre la TGV et 13 r\u00e9f\u00e9rentiels internationaux, une minorit\u00e9 seulement sont des \u00e9quivalences strictes, utilisables telles quelles.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/tgv.png\" alt=\"BSI C5 vs TGV : 113 correspondances pour l'\u00e9diteur europ\u00e9en\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Vous dirigez une entreprise infonuagique europ\u00e9enne, votre produit d\u00e9tient une attestation BSI C5, et un appel d&rsquo;offres du r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois vient de vous mettre la TGV sous les yeux pour la premi\u00e8re fois. Ce comparatif BSI C5 vs TGV est \u00e9crit pour vous situer, pas pour vous vendre un raccourci qui n&rsquo;existe pas.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#qu-est-ce-que-l-attestation-bsi-c5\">Qu&rsquo;est-ce que l&rsquo;attestation BSI C5 ?<\/a><\/li><li class=\"\"><a href=\"#c5-attestation-quebec-pourquoi-regarder-la-tgv\">C5 attestation Qu\u00e9bec : pourquoi regarder la TGV ?<\/a><\/li><li class=\"\"><a href=\"#bsi-c5-vs-tgv-combien-de-correspondances-existe-t-il\">BSI C5 vs TGV : combien de correspondances existe-t-il ?<\/a><\/li><li class=\"\"><a href=\"#une-correspondance-est-ce-une-equivalence\">Une correspondance, est-ce une \u00e9quivalence ?<\/a><\/li><li class=\"\"><a href=\"#quelles-familles-de-la-grille-tgv-le-c5-ne-couvre-t-il-pas\">Quelles familles de la grille TGV le C5 ne couvre-t-il pas ?<\/a><\/li><li class=\"\"><a href=\"#qu-est-ce-qui-change-pour-un-editeur-cloud-europeen-visant-la-sante-numerique-du-quebec\">Qu&rsquo;est-ce qui change pour un \u00e9diteur cloud europ\u00e9en visant la sant\u00e9 num\u00e9rique du Qu\u00e9bec ?<\/a><\/li><li class=\"\"><a href=\"#par-ou-commencer-votre-demarche\">Par o\u00f9 commencer votre d\u00e9marche ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"qu-est-ce-que-l-attestation-bsi-c5\" class=\"wp-block-heading\">Qu&rsquo;est-ce que l&rsquo;attestation BSI C5 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">C5 (Cloud Computing Compliance Criteria Catalogue) est le r\u00e9f\u00e9rentiel de s\u00e9curit\u00e9 infonuagique publi\u00e9 par le <a href=\"https:\/\/www.bsi.bund.de\/\" target=\"_blank\" rel=\"noopener nofollow\">Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/a>, l&rsquo;agence f\u00e9d\u00e9rale allemande de s\u00e9curit\u00e9 de l&rsquo;information. Une entreprise qui h\u00e9berge ses services dans l&rsquo;Union europ\u00e9enne, ou qui vend \u00e0 une client\u00e8le europ\u00e9enne exigeante, croise g\u00e9n\u00e9ralement C5 t\u00f4t dans son parcours de conformit\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Le r\u00e9f\u00e9rentiel \u00e9value l&rsquo;infrastructure et l&rsquo;exploitation d&rsquo;un service infonuagique :<\/p>\n\n<ul class=\"wp-block-list\"><li>Gestion des acc\u00e8s<\/li><li>Chiffrement<\/li><li>Continuit\u00e9 des op\u00e9rations<\/li><li>Gestion des incidents<\/li><li>S\u00e9curit\u00e9 physique des centres de donn\u00e9es<\/li><li>Encadrement des sous-traitants<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Une attestation C5, produite par un auditeur ind\u00e9pendant selon la norme ISAE 3000, d\u00e9montre \u00e0 un client europ\u00e9en que ces contr\u00f4les sont en place et v\u00e9rifi\u00e9s.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est une preuve s\u00e9rieuse. Ce n&rsquo;est pas une preuve qu\u00e9b\u00e9coise.<\/p>\n\n<h2 id=\"c5-attestation-quebec-pourquoi-regarder-la-tgv\" class=\"wp-block-heading\">C5 attestation Qu\u00e9bec : pourquoi regarder la TGV ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Parce que C5 ne remplace rien au Qu\u00e9bec. La Trousse globale de v\u00e9rification (TGV) est le processus de certification propre \u00e0 Sant\u00e9 Qu\u00e9bec : tout produit ou service technologique destin\u00e9 \u00e0 un \u00e9tablissement du r\u00e9seau de la sant\u00e9 et des services sociaux du Qu\u00e9bec doit d\u00e9montrer sa conformit\u00e9 \u00e0 la grille TGV, peu importe les certifications d\u00e9j\u00e0 d\u00e9tenues ailleurs. Notre <a href=\"https:\/\/factero.ca\/blog\/tgv-13-referentiels-1302-correspondances\/\">guide sur la TGV face \u00e0 13 r\u00e9f\u00e9rentiels<\/a> explique pourquoi une certification \u00e9trang\u00e8re ne se traduit jamais automatiquement en certification qu\u00e9b\u00e9coise.<\/p>\n\n<p class=\"wp-block-paragraph\">Deux pr\u00e9cisions structurelles qui surprennent souvent les \u00e9diteurs europ\u00e9ens habitu\u00e9s aux audits d&rsquo;entreprise. La TGV certifie un produit, dans une version donn\u00e9e, pas une organisation : votre attestation C5 couvre peut-\u00eatre plusieurs lignes de produits, mais chaque produit destin\u00e9 au r\u00e9seau qu\u00e9b\u00e9cois suit sa propre d\u00e9marche TGV. Et la v\u00e9rification externe TGV comprend des tests d&rsquo;intrusion obligatoires, r\u00e9alis\u00e9s par une firme sp\u00e9cialis\u00e9e dans ce processus pr\u00e9cis. Un test de p\u00e9n\u00e9tration europ\u00e9en d\u00e9j\u00e0 en main renforce votre dossier de s\u00e9curit\u00e9, il ne remplace pas cette \u00e9tape.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous avons cartographi\u00e9 les correspondances entre la grille TGV (382 crit\u00e8res, r\u00e9partis en 7 familles) et 13 r\u00e9f\u00e9rentiels de s\u00e9curit\u00e9 et de protection des renseignements personnels reconnus \u00e0 l&rsquo;international. Cette matrice a \u00e9t\u00e9 remise \u00e0 Sant\u00e9 Qu\u00e9bec le 28 juillet 2026. BSI C5 en fait partie, au m\u00eame titre que le RGPD, <a href=\"https:\/\/factero.ca\/blog\/hitrust-vs-tgv\/\">HITRUST<\/a>, SOC 2 et ISO 27001. Elle sera publi\u00e9e en donn\u00e9es ouvertes dans les semaines suivantes ; les chiffres cit\u00e9s ici en proviennent d\u00e9j\u00e0.<\/p>\n\n<h2 id=\"bsi-c5-vs-tgv-combien-de-correspondances-existe-t-il\" class=\"wp-block-heading\">BSI C5 vs TGV : combien de correspondances existe-t-il ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>113. C&rsquo;est le nombre de crit\u00e8res de la grille TGV pour lesquels un crit\u00e8re C5 apporte une preuve pertinente, en tout ou en partie.<\/strong> Ce chiffre place C5 devant plusieurs r\u00e9f\u00e9rentiels analys\u00e9s dans la m\u00eame s\u00e9rie de comparaisons, mais loin derri\u00e8re d&rsquo;autres :<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>R\u00e9f\u00e9rentiel<\/th><th>Correspondances avec la TGV<\/th><\/tr><\/thead><tbody><tr><td>SOC 2<\/td><td>220<\/td><\/tr><tr><td>ISO 27001<\/td><td>135 (dont 36 \u00e9quivalences strictes)<\/td><\/tr><tr><td>BSI C5<\/td><td>113<\/td><\/tr><tr><td>RGPD<\/td><td>110<\/td><\/tr><tr><td>HITRUST CSF<\/td><td>101<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">113 correspondances sur 382 crit\u00e8res, c&rsquo;est un peu moins de trois crit\u00e8res sur dix. Le reste, l&rsquo;\u00e9diteur doit le d\u00e9montrer par d&rsquo;autres moyens : documentation propre \u00e0 la TGV, preuves construites sp\u00e9cifiquement pour le Qu\u00e9bec, ou pi\u00e8ces qui n&rsquo;existent tout simplement pas encore dans son dossier de conformit\u00e9 europ\u00e9en.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;\u00e9cart avec SOC 2 (220) et ISO 27001 (135) n&rsquo;est pas une faiblesse de C5. C&rsquo;est un rappel que la couverture d&rsquo;un r\u00e9f\u00e9rentiel d\u00e9pend de son objet. C5 a \u00e9t\u00e9 con\u00e7u pour \u00e9valuer un fournisseur infonuagique, pas pour couvrir la vie priv\u00e9e, la gouvernance de l&rsquo;intelligence artificielle ou l&rsquo;interop\u00e9rabilit\u00e9 clinique que la TGV exige aussi.<\/p>\n\n<h2 id=\"une-correspondance-est-ce-une-equivalence\" class=\"wp-block-heading\">Une correspondance, est-ce une \u00e9quivalence ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Non, et c&rsquo;est la distinction qui co\u00fbte le plus cher aux \u00e9diteurs press\u00e9s.<\/strong> Une correspondance signale qu&rsquo;un crit\u00e8re C5 touche au m\u00eame sujet qu&rsquo;un crit\u00e8re TGV : le chiffrement au repos, par exemple, appara\u00eet des deux c\u00f4t\u00e9s. Une \u00e9quivalence stricte va plus loin : elle signifie que la preuve C5, telle quelle, satisfait le crit\u00e8re TGV sans adaptation.<\/p>\n\n<p class=\"wp-block-paragraph\">Sur l&rsquo;ensemble des correspondances recens\u00e9es entre la TGV et les 13 r\u00e9f\u00e9rentiels de notre matrice, seules 72 correspondances sur 1302 sont des \u00e9quivalences strictes. Autrement dit, une correspondance sur dix-huit, toutes provenances confondues, se d\u00e9pose sans retouche. Toutes les autres exigent un travail d&rsquo;adaptation : reformuler une politique, ajouter une preuve, documenter un \u00e9cart, ou parfois reconna\u00eetre qu&rsquo;il n&rsquo;y a rien \u00e0 r\u00e9cup\u00e9rer.<\/p>\n\n<p class=\"wp-block-paragraph\">Pour un \u00e9diteur attest\u00e9 C5, l&rsquo;implication pratique est simple. Ne pr\u00e9sumez d&rsquo;aucune de vos 113 correspondances qu&rsquo;elle est pr\u00eate \u00e0 d\u00e9poser. Chacune doit \u00eatre v\u00e9rifi\u00e9e individuellement avant d&rsquo;entrer dans votre dossier TGV.<\/p>\n\n<h2 id=\"quelles-familles-de-la-grille-tgv-le-c5-ne-couvre-t-il-pas\" class=\"wp-block-heading\">Quelles familles de la grille TGV le C5 ne couvre-t-il pas ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Aucun des 13 r\u00e9f\u00e9rentiels de notre matrice, C5 y compris, ne couvre les 7 familles de la grille TGV. La grille se r\u00e9partit ainsi : s\u00e9curit\u00e9 (112 crit\u00e8res), protection des renseignements personnels (108), intelligence artificielle (69), interop\u00e9rabilit\u00e9 (58), technique (26), performance (7) et gouvernance (2).<\/p>\n\n<p class=\"wp-block-paragraph\">C5 est fort sur la famille s\u00e9curit\u00e9, son objet premier. Il touche une partie de la famille technique, notamment tout ce qui concerne l&rsquo;exploitation infonuagique. Il est structurellement plus faible sur trois familles :<\/p>\n\n<ol class=\"wp-block-list\"><li>Protection des renseignements personnels : C5 aborde la s\u00e9curit\u00e9 des donn\u00e9es, pas les droits des personnes concern\u00e9es, les finalit\u00e9s de traitement ou les m\u00e9canismes de consentement propres au droit qu\u00e9b\u00e9cois. Notre comparatif <a href=\"https:\/\/factero.ca\/blog\/rgpd-iso-27701-vs-tgv\/\">RGPD, ISO 27701 et TGV<\/a> couvre ce terrain avec un r\u00e9f\u00e9rentiel mieux positionn\u00e9 pour \u00e7a.<\/li><li>Intelligence artificielle : la famille IA, avec ses 69 crit\u00e8res, est apparue dans la grille TGV en avril 2026. Aucun r\u00e9f\u00e9rentiel de s\u00e9curit\u00e9 infonuagique publi\u00e9 avant cette date, C5 inclus, n&rsquo;a \u00e9t\u00e9 construit pour y r\u00e9pondre.<\/li><li>Gouvernance : deux crit\u00e8res seulement, une interface utilisateur en fran\u00e7ais et l&rsquo;absence de publicit\u00e9 dans le produit. Ce sont des exigences r\u00e9glementaires propres au Qu\u00e9bec. Aucun catalogue de s\u00e9curit\u00e9 \u00e9tranger, quelle que soit sa rigueur, ne les couvre par accident.<\/li><\/ol>\n\n<h2 id=\"qu-est-ce-qui-change-pour-un-editeur-cloud-europeen-visant-la-sante-numerique-du-quebec\" class=\"wp-block-heading\">Qu&rsquo;est-ce qui change pour un \u00e9diteur cloud europ\u00e9en visant la sant\u00e9 num\u00e9rique du Qu\u00e9bec ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Trois choses changent, au-del\u00e0 des correspondances techniques :<\/p>\n\n<ul class=\"wp-block-list\"><li>La localisation des donn\u00e9es devient une question distincte de la s\u00e9curit\u00e9. Un centre de donn\u00e9es attest\u00e9 C5 en Allemagne ou en France est s\u00e9curitaire au sens de C5. La question TGV n&rsquo;est pas seulement o\u00f9 vos serveurs se trouvent, mais comment votre traitement de renseignements personnels s&rsquo;aligne sur la <a href=\"https:\/\/www.legisquebec.gouv.qc.ca\/fr\/document\/lc\/P-39.1\" target=\"_blank\" rel=\"noopener nofollow\">Loi sur la protection des renseignements personnels dans le secteur priv\u00e9<\/a> (Loi 25) et sur les exigences propres au r\u00e9seau de la sant\u00e9 qu\u00e9b\u00e9cois. C&rsquo;est un exercice distinct de votre conformit\u00e9 RGPD, m\u00eame si les deux se recoupent par endroits.<\/li><li>La langue cesse d&rsquo;\u00eatre un d\u00e9tail d&rsquo;interface. L&rsquo;exigence de fran\u00e7ais n&rsquo;est pas une case de localisation \u00e0 cocher en fin de projet : c&rsquo;est un crit\u00e8re de gouvernance de la grille TGV, v\u00e9rifi\u00e9 comme les autres.<\/li><li>Le contexte r\u00e9glementaire n&rsquo;a pas d&rsquo;\u00e9quivalent europ\u00e9en tout fait. Une entreprise habitu\u00e9e aux audits RGPD ou aux v\u00e9rifications C5 arrive au Qu\u00e9bec avec de bons r\u00e9flexes de conformit\u00e9, mais avec un r\u00e9f\u00e9rentiel qu&rsquo;elle doit apprendre : la TGV a son propre processus, son propre Bureau de certification, et personne, ni nous ni qui que ce soit d&rsquo;autre, ne peut vous garantir une d\u00e9cision favorable. C&rsquo;est une obligation de moyens.<\/li><\/ul>\n\n<h2 id=\"par-ou-commencer-votre-demarche\" class=\"wp-block-heading\">Par o\u00f9 commencer votre d\u00e9marche ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Trois gestes concrets pour passer du comparatif BSI C5 vs TGV \u00e0 un plan d&rsquo;action, si votre point de d\u00e9part est une attestation C5.<\/p>\n\n<ol class=\"wp-block-list\"><li>Faites l&rsquo;inventaire de vos 113 correspondances possibles et v\u00e9rifiez, crit\u00e8re par crit\u00e8re, lesquelles sont de vraies \u00e9quivalences strictes et lesquelles exigent un ajustement. Ne pr\u00e9sumez rien avant v\u00e9rification individuelle.<\/li><li>Identifiez les familles o\u00f9 C5 ne vous apporte rien : intelligence artificielle, gouvernance, et une bonne partie de la protection des renseignements personnels. C&rsquo;est l\u00e0 que votre effort de r\u00e9daction et de documentation ira, pas dans la s\u00e9curit\u00e9 que vous ma\u00eetrisez d\u00e9j\u00e0.<\/li><li>Situez votre \u00e9cart par rapport \u00e0 un calendrier r\u00e9el. Si un appel d&rsquo;offres est d\u00e9j\u00e0 sur la table, comptez \u00e0 rebours depuis sa date de cl\u00f4ture : le calendrier d\u00e9cidera de vos priorit\u00e9s mieux qu&rsquo;une liste de souhaits.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Si votre attestation C5 est d\u00e9j\u00e0 en main, <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">convertissez-la en plan TGV lors d&rsquo;un appel exploratoire<\/a> : l&rsquo;objectif est de voir lesquelles de vos preuves europ\u00e9ennes tiennent la route au Qu\u00e9bec, et lesquelles restent \u00e0 construire.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-certification-tgv\/\">plan de certification TGV apr\u00e8s l&rsquo;attestation C5<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Une attestation BSI C5 suffit-elle pour obtenir la certification TGV ?<\/summary><p class=\"wp-block-paragraph\">Non. Le comparatif BSI C5 vs TGV s&rsquo;arr\u00eate \u00e0 113 des 382 crit\u00e8res de la grille, et seules 72 des 1302 correspondances recens\u00e9es entre la TGV et les 13 r\u00e9f\u00e9rentiels analys\u00e9s sont des \u00e9quivalences strictes, utilisables sans adaptation. Le reste de vos 113 correspondances possibles doit \u00eatre v\u00e9rifi\u00e9 crit\u00e8re par crit\u00e8re, et les familles intelligence artificielle et gouvernance restent \u00e0 d\u00e9montrer par d&rsquo;autres moyens.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un test d&rsquo;intrusion r\u00e9alis\u00e9 en Europe compte-t-il pour le test d&rsquo;intrusion obligatoire de la TGV ?<\/summary><p class=\"wp-block-paragraph\">Non, il ne remplace pas l&rsquo;\u00e9tape. La v\u00e9rification externe TGV exige au moins un test d&rsquo;intrusion par ann\u00e9e, r\u00e9alis\u00e9 par un prestataire ind\u00e9pendant qui r\u00e9pond aux crit\u00e8res du Bureau de certification et d&rsquo;homologation : repr\u00e9sentants l\u00e9galement autoris\u00e9s au Canada, personnel certifi\u00e9, rapport remis en fran\u00e7ais. Un test d\u00e9j\u00e0 r\u00e9alis\u00e9 en Europe renforce votre dossier de s\u00e9curit\u00e9, il ne s&rsquo;y substitue pas.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quelle est la diff\u00e9rence entre une attestation C5 et une certification ISO 27001 ?<\/summary><p class=\"wp-block-paragraph\">Une attestation C5 r\u00e9sulte d&rsquo;un audit ind\u00e9pendant selon la norme ISAE 3000 et porte sur un service infonuagique pr\u00e9cis, pas sur une organisation enti\u00e8re. La certification ISO 27001 porte sur un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l&rsquo;information, d\u00e9livr\u00e9e par un organisme de certification tiers. Le catalogue C5 int\u00e8gre les exigences de base d&rsquo;ISO 27001, mais l&rsquo;un n&rsquo;entra\u00eene jamais automatiquement l&rsquo;autre.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Faut-il h\u00e9berger ses donn\u00e9es au Qu\u00e9bec pour \u00eatre certifi\u00e9 TGV ?<\/summary><p class=\"wp-block-paragraph\">La localisation et le traitement de vos donn\u00e9es font partie des points examin\u00e9s de pr\u00e8s, en lien avec la Loi 25 et les exigences propres au r\u00e9seau de la sant\u00e9. La r\u00e9ponse d\u00e9pend de votre architecture r\u00e9elle : un centre de donn\u00e9es situ\u00e9 hors Qu\u00e9bec n&rsquo;est pas disqualifiant en soi, mais l&rsquo;\u00e9cart doit \u00eatre identifi\u00e9 t\u00f4t, parce qu&rsquo;il peut \u00eatre structurel plut\u00f4t que documentaire.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Une attestation C5 doit-elle \u00eatre renouvel\u00e9e chaque ann\u00e9e, comme la certification TGV ?<\/summary><p class=\"wp-block-paragraph\">Dans la pratique, oui pour C5 : un rapport porte sur une p\u00e9riode pass\u00e9e et perd vite son utilit\u00e9, ce qui pousse la plupart des prestataires \u00e0 en produire un nouveau chaque ann\u00e9e. La TGV suit une autre logique : la certification est valide cinq ans avec reconduction tacite, mais elle exige tout de m\u00eame un test d&rsquo;intrusion annuel et une autod\u00e9claration transmise quinze jours avant la date d&rsquo;anniversaire.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/hitrustalliance.net\/\" target=\"_blank\" rel=\"noopener nofollow\">HITRUST CSF v11 (HITRUST Alliance)<\/a><\/li><li><a href=\"https:\/\/msss.gouv.qc.ca\/professionnels\/technologies-information\/certification-produits-et-services-technologiques\/\" target=\"_blank\" rel=\"noopener nofollow\">Page certification des solutions num\u00e9riques (Sant\u00e9 Qu\u00e9bec \/ MSSS)<\/a><\/li><li><a href=\"https:\/\/publications.msss.gouv.qc.ca\/msss\/document-003757\/\" target=\"_blank\" rel=\"noopener nofollow\">Orientation \u2014 Certification TGV (MSSS, publication 24-715-38W)<\/a><\/li><li><a href=\"https:\/\/www.bsi.bund.de\/\" target=\"_blank\" rel=\"noopener nofollow\">BSI C5:2020, catalogue de crit\u00e8res de conformit\u00e9 infonuagique (Bundesamt f\u00fcr Sicherheit in der Informationstechnik)<\/a><\/li><li><a href=\"https:\/\/www.legisquebec.gouv.qc.ca\/fr\/document\/lc\/P-39.1\" target=\"_blank\" rel=\"noopener nofollow\">Loi sur la protection des renseignements personnels dans le secteur priv\u00e9, RLRQ c. P-39.1<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Une attestation BSI C5 suffit-elle pour obtenir la certification TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Le comparatif BSI C5 vs TGV s\\u0027arr\u00eate \u00e0 113 des 382 crit\u00e8res de la grille, et seules 72 des 1302 correspondances recens\u00e9es entre la TGV et les 13 r\u00e9f\u00e9rentiels analys\u00e9s sont des \u00e9quivalences strictes, utilisables sans adaptation. Le reste de vos 113 correspondances possibles doit \u00eatre v\u00e9rifi\u00e9 crit\u00e8re par crit\u00e8re, et les familles intelligence artificielle et gouvernance restent \u00e0 d\u00e9montrer par d\\u0027autres moyens.\"}},{\"@type\":\"Question\",\"name\":\"Un test d\\u0027intrusion r\u00e9alis\u00e9 en Europe compte-t-il pour le test d\\u0027intrusion obligatoire de la TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, il ne remplace pas l\\u0027\u00e9tape. La v\u00e9rification externe TGV exige au moins un test d\\u0027intrusion par ann\u00e9e, r\u00e9alis\u00e9 par un prestataire ind\u00e9pendant qui r\u00e9pond aux crit\u00e8res du Bureau de certification et d\\u0027homologation : repr\u00e9sentants l\u00e9galement autoris\u00e9s au Canada, personnel certifi\u00e9, rapport remis en fran\u00e7ais. Un test d\u00e9j\u00e0 r\u00e9alis\u00e9 en Europe renforce votre dossier de s\u00e9curit\u00e9, il ne s\\u0027y substitue pas.\"}},{\"@type\":\"Question\",\"name\":\"Quelle est la diff\u00e9rence entre une attestation C5 et une certification ISO 27001 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Une attestation C5 r\u00e9sulte d\\u0027un audit ind\u00e9pendant selon la norme ISAE 3000 et porte sur un service infonuagique pr\u00e9cis, pas sur une organisation enti\u00e8re. La certification ISO 27001 porte sur un syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l\\u0027information, d\u00e9livr\u00e9e par un organisme de certification tiers. Le catalogue C5 int\u00e8gre les exigences de base d\\u0027ISO 27001, mais l\\u0027un n\\u0027entra\u00eene jamais automatiquement l\\u0027autre.\"}},{\"@type\":\"Question\",\"name\":\"Faut-il h\u00e9berger ses donn\u00e9es au Qu\u00e9bec pour \u00eatre certifi\u00e9 TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La localisation et le traitement de vos donn\u00e9es font partie des points examin\u00e9s de pr\u00e8s, en lien avec la Loi 25 et les exigences propres au r\u00e9seau de la sant\u00e9. La r\u00e9ponse d\u00e9pend de votre architecture r\u00e9elle : un centre de donn\u00e9es situ\u00e9 hors Qu\u00e9bec n\\u0027est pas disqualifiant en soi, mais l\\u0027\u00e9cart doit \u00eatre identifi\u00e9 t\u00f4t, parce qu\\u0027il peut \u00eatre structurel plut\u00f4t que documentaire.\"}},{\"@type\":\"Question\",\"name\":\"Une attestation C5 doit-elle \u00eatre renouvel\u00e9e chaque ann\u00e9e, comme la certification TGV ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Dans la pratique, oui pour C5 : un rapport porte sur une p\u00e9riode pass\u00e9e et perd vite son utilit\u00e9, ce qui pousse la plupart des prestataires \u00e0 en produire un nouveau chaque ann\u00e9e. La TGV suit une autre logique : la certification est valide cinq ans avec reconduction tacite, mais elle exige tout de m\u00eame un test d\\u0027intrusion annuel et une autod\u00e9claration transmise quinze jours avant la date d\\u0027anniversaire.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>BSI C5 vs TGV : 113 correspondances sur 382 crit\u00e8res, devant RGPD et HITRUST. Ce qui compte pour l&rsquo;\u00e9diteur cloud europ\u00e9en qui vise le Qu\u00e9bec.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"single-tgv","format":"standard","meta":{"footnotes":""},"categories":[15],"tags":[958,960,40,962,50,48],"class_list":["post-858","post","type-post","status-publish","format-standard","hentry","category-tgv","tag-bsi-c5-vs-tgv","tag-c5-attestation-quebec","tag-certification-tgv","tag-editeur-cloud-europeen-sante-quebec","tag-sante-quebec","tag-tgv"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/858","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=858"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/858\/revisions"}],"predecessor-version":[{"id":1351,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/858\/revisions\/1351"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=858"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=858"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=858"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}