{"id":859,"date":"2026-08-20T07:00:00","date_gmt":"2026-08-20T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=859"},"modified":"2026-09-04T13:01:06","modified_gmt":"2026-09-04T18:01:06","slug":"cout-conformite-itsp-10-171-variables","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/cout-conformite-itsp-10-171-variables\/","title":{"rendered":"Combien co\u00fbte la conformit\u00e9 ITSP.10.171 pour une PME ?"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Co\u00fbt conformit\u00e9 ITSP.10.171 PME : la facture d\u00e9pend d&rsquo;abord de la dette technique de l&rsquo;entreprise, pas d&rsquo;un tarif fixe.<\/strong> Le seul rep\u00e8re public, un sondage de mai 2024, situe 46 % des sous-traitants sous les 50 000 $, une anticipation, pas une facture. La note varie selon le point de d\u00e9part, le p\u00e9rim\u00e8tre et le niveau vis\u00e9.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"co\u00fbt conformit\u00e9 ITSP.10.171 PME : les variables qui comptent\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#que-sait-on-des-couts-anticipes-de-la-conformite-itsp-10-171\">Que sait-on des co\u00fbts anticip\u00e9s de la conformit\u00e9 ITSP.10.171 ?<\/a><\/li><li class=\"\"><a href=\"#qu-est-ce-qui-est-gratuit\">Qu&rsquo;est-ce qui est gratuit ?<\/a><\/li><li class=\"\"><a href=\"#cout-conformite-itsp-10-171-pme-quelles-variables-font-la-facture\">Co\u00fbt conformit\u00e9 ITSP.10.171 PME : quelles variables font la facture ?<\/a><\/li><li class=\"\"><a href=\"#quel-est-le-cout-de-ne-pas-se-conformer-a-l-itsp-10-171\">Quel est le co\u00fbt de ne pas se conformer \u00e0 l&rsquo;ITSP.10.171 ?<\/a><\/li><li class=\"\"><a href=\"#comment-depenser-au-bon-endroit\">Comment d\u00e9penser au bon endroit ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"que-sait-on-des-couts-anticipes-de-la-conformite-itsp-10-171\" class=\"wp-block-heading\">Que sait-on des co\u00fbts anticip\u00e9s de la conformit\u00e9 ITSP.10.171 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">La question revient dans presque toutes les conversations avec des dirigeants de PME vis\u00e9es par un contrat de la D\u00e9fense nationale : combien \u00e7a va co\u00fbter ? La r\u00e9ponse honn\u00eate commence par admettre ce qu&rsquo;on sait et ce qu&rsquo;on ne sait pas.<\/p>\n\n<p class=\"wp-block-paragraph\">Le seul chiffre public disponible vient d&rsquo;un sondage men\u00e9 en mai 2024 aupr\u00e8s de sous-traitants canadiens : 46 % d&rsquo;entre eux pr\u00e9voyaient d\u00e9penser moins de 50 000 $ pour se conformer au r\u00e9gime de cybers\u00e9curit\u00e9 qui leur serait impos\u00e9. C&rsquo;est une anticipation, pas une facture. Aucune donn\u00e9e publique ne documente \u00e0 ce jour ce que les entreprises ont r\u00e9ellement d\u00e9pens\u00e9 une fois le travail termin\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce chiffre m\u00e9rite d&rsquo;\u00eatre lu pour ce qu&rsquo;il est : un signal que la majorit\u00e9 des sous-traitants sond\u00e9s ne s&rsquo;attendaient pas \u00e0 un chantier hors de port\u00e9e d&rsquo;une PME. Il ne dit rien de votre situation particuli\u00e8re. Quiconque vous le cite comme s&rsquo;il s&rsquo;agissait d&rsquo;un forfait applicable \u00e0 votre entreprise simplifie plus qu&rsquo;il n&rsquo;informe.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est aussi pourquoi un forfait \u00e0 prix fixe, vendu avant m\u00eame d&rsquo;avoir vu votre parc informatique, m\u00e9rite un sourcil lev\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Co\u00fbt conformit\u00e9 ITSP.10.171 PME : la variable qui compte, c&rsquo;est ce que l&rsquo;entreprise a d\u00e9j\u00e0 en place, pas une grille tarifaire universelle.<\/strong> Une entreprise qui g\u00e8re d\u00e9j\u00e0 ses acc\u00e8s avec rigueur et teste ses sauvegardes paie beaucoup moins que celle qui d\u00e9couvre ces angles morts en cours de route.<\/p>\n\n<h2 id=\"qu-est-ce-qui-est-gratuit\" class=\"wp-block-heading\">Qu&rsquo;est-ce qui est gratuit ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Avant de parler de ce qui co\u00fbte, il faut \u00eatre clair sur ce qui ne co\u00fbte rien.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;outil d&rsquo;<a href=\"https:\/\/cyberpostureassessments.ops.cyber.gc.ca\/cpcsc-pccc\/\" target=\"_blank\" rel=\"noopener nofollow\">auto-\u00e9valuation de niveau 1<\/a>, mis en ligne par Services publics et Approvisionnement Canada (SPAC), est gratuit. Il permet \u00e0 une entreprise de mesurer elle-m\u00eame sa conformit\u00e9 aux exigences du niveau 1 du CPCSC (le Programme canadien de certification en cybers\u00e9curit\u00e9, aussi d\u00e9sign\u00e9 PCCC), sans frais et sans interm\u00e9diaire obligatoire. La norme elle-m\u00eame, ITSP.10.171 (Protection de l&rsquo;information d\u00e9sign\u00e9e), est publi\u00e9e par le Centre canadien pour la cybers\u00e9curit\u00e9, en fran\u00e7ais, et accessible \u00e0 quiconque veut la lire.<\/p>\n\n<p class=\"wp-block-paragraph\">Si un fournisseur vous vend un logiciel ou une plateforme \u00ab sp\u00e9cialement con\u00e7ue pour le niveau 1 \u00bb, posez une question simple : qu&rsquo;est-ce que cet outil fait de plus que celui du gouvernement, gratuit ? Bien souvent, la r\u00e9ponse est une interface plus jolie autour du m\u00eame questionnaire.<\/p>\n\n<p class=\"wp-block-paragraph\">Factero a fait cet exercice pour son propre compte. Notre cabinet d\u00e9tient une auto-attestation de niveau 1 du CPCSC, obtenue avec l&rsquo;outil du gouvernement, sans payer personne pour la remplir. Ce n&rsquo;est pas un exploit, c&rsquo;est ce que l&rsquo;outil est con\u00e7u pour permettre.<\/p>\n\n<h2 id=\"cout-conformite-itsp-10-171-pme-quelles-variables-font-la-facture\" class=\"wp-block-heading\">Co\u00fbt conformit\u00e9 ITSP.10.171 PME : quelles variables font la facture ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le niveau 1 n&rsquo;a rien de technique au sens o\u00f9 un dirigeant l&rsquo;imagine parfois. C&rsquo;est de l&rsquo;hygi\u00e8ne informatique de base :<\/p>\n\n<ul class=\"wp-block-list\"><li>Inventaire des appareils et des comptes actifs.<\/li><li>Un compte par personne, jamais de compte partag\u00e9.<\/li><li>V\u00e9rification d&rsquo;identit\u00e9 par un second moyen, comme un texto.<\/li><li>Suppression des comptes le jour du d\u00e9part d&rsquo;un employ\u00e9.<\/li><li>Mises \u00e0 jour appliqu\u00e9es sur les postes et les serveurs.<\/li><li>Sauvegardes qui fonctionnent vraiment, une fois test\u00e9es.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Une sauvegarde qu&rsquo;on n&rsquo;a jamais test\u00e9e, ce n&rsquo;est pas une sauvegarde. C&rsquo;est de l&rsquo;espoir.<\/p>\n\n<p class=\"wp-block-paragraph\">Quatre variables d\u00e9terminent o\u00f9 vous vous situez sur l&rsquo;\u00e9chelle des co\u00fbts.<\/p>\n\n<ol class=\"wp-block-list\"><li>La dette technique de d\u00e9part : le vieux poste sous un syst\u00e8me d&rsquo;exploitation qui n&rsquo;est plus support\u00e9, branch\u00e9 sur la machine de production, les mots de passe coll\u00e9s sur l&rsquo;\u00e9cran, les comptes d&#8217;employ\u00e9s partis depuis longtemps encore actifs, les cl\u00e9s USB qui circulent librement, les sauvegardes qu&rsquo;on suppose fonctionnelles sans jamais les avoir restaur\u00e9es. Chacun de ces \u00e9l\u00e9ments ajoute du temps de correction avant m\u00eame de parler d&rsquo;auto-\u00e9valuation.<\/li><li>Le p\u00e9rim\u00e8tre vis\u00e9 : l&rsquo;article 1.1 de la norme ITSP.10.171 permet une s\u00e9paration logique du r\u00e9seau qui traite l&rsquo;information d\u00e9sign\u00e9e, plut\u00f4t que d&rsquo;exiger la conformit\u00e9 de l&rsquo;ensemble du parc informatique de l&rsquo;entreprise. Bien fait, ce d\u00e9coupage r\u00e9duit fortement l&rsquo;effort. Nous d\u00e9taillons cette m\u00e9canique dans <a href=\"https:\/\/factero.ca\/blog\/perimetre-restreint-itsp-10-171-separation-logique\/\">P\u00e9rim\u00e8tre restreint ITSP.10.171 : r\u00e9duire l&rsquo;effort sans tricher<\/a>.<\/li><li>Le niveau vis\u00e9 : le niveau 1 s&rsquo;auto-\u00e9value avec l&rsquo;outil gratuit du gouvernement. Le niveau 2 exige une certification par un organisme accr\u00e9dit\u00e9, renouvel\u00e9e aux trois ans avec une confirmation annuelle entre les deux, et compte 98 contr\u00f4les. Les tarifs de ces organismes ne sont pas encore publi\u00e9s : le Centre canadien pour la cybers\u00e9curit\u00e9 les annonce pour l&rsquo;\u00e9t\u00e9, une information confirm\u00e9e par \u00e9crit en juillet 2026. Un rapport d&rsquo;\u00e9valuation de SPAC dat\u00e9 du 5 janvier 2026 notait que 19 % des livrables du programme respectaient leur \u00e9ch\u00e9ance. Ce n&rsquo;est pas une raison d&rsquo;attendre, c&rsquo;est un rappel que les dates publiques bougent et qu&rsquo;il vaut mieux avancer sur ce qui est d\u00e9j\u00e0 connu.<\/li><li>Le temps : le d\u00e9lai pour se mettre \u00e0 niveau va de quelques jours \u00e0 quelques semaines, parfois quelques mois, selon la maturit\u00e9 de d\u00e9part de l&rsquo;organisation. Une entreprise qui g\u00e8re d\u00e9j\u00e0 ses acc\u00e8s et ses sauvegardes correctement traverse le niveau 1 vite. Une entreprise qui d\u00e9couvre ses angles morts en m\u00eame temps que la grille prend plus de temps, pas parce que la norme est s\u00e9v\u00e8re, mais parce que le travail de rattrapage existait d\u00e9j\u00e0, non fait.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">&lt;table&gt; &lt;tr&gt;&lt;th&gt;&lt;\/th&gt;&lt;th&gt;Niveau 1 (N1)&lt;\/th&gt;&lt;th&gt;Niveau 2 (N2)&lt;\/th&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;M\u00e9canisme&lt;\/td&gt;&lt;td&gt;Auto-\u00e9valuation par l&rsquo;entreprise&lt;\/td&gt;&lt;td&gt;Certification par un organisme accr\u00e9dit\u00e9&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;Fr\u00e9quence&lt;\/td&gt;&lt;td&gt;Annuelle&lt;\/td&gt;&lt;td&gt;Aux trois ans, confirmation annuelle&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;Outil d&rsquo;\u00e9valuation&lt;\/td&gt;&lt;td&gt;Gratuit (SPAC)&lt;\/td&gt;&lt;td&gt;Organisme externe payant&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;Nombre de contr\u00f4les&lt;\/td&gt;&lt;td&gt;Hygi\u00e8ne de base, non chiffr\u00e9 publiquement&lt;\/td&gt;&lt;td&gt;98 contr\u00f4les&lt;\/td&gt;&lt;\/tr&gt; &lt;tr&gt;&lt;td&gt;Tarifs de certification&lt;\/td&gt;&lt;td&gt;Aucuns frais d&rsquo;organisme&lt;\/td&gt;&lt;td&gt;Non publi\u00e9s \u00e0 ce jour&lt;\/td&gt;&lt;\/tr&gt; &lt;\/table&gt;<\/p>\n\n<p class=\"wp-block-paragraph\">Le niveau 2 ajoute une dimension que le niveau 1 effleure \u00e0 peine : des politiques \u00e9crites, un registre des incidents, une preuve document\u00e9e que les contr\u00f4les techniques sont appliqu\u00e9s dans la dur\u00e9e, pas seulement le jour de l&rsquo;\u00e9valuation. Ce travail de documentation prend du temps, mais il ne demande pas d&rsquo;expertise rare. Une entreprise qui a d\u00e9j\u00e0 des proc\u00e9dures internes claires en a fait une bonne partie sans le savoir.<\/p>\n\n<p class=\"wp-block-paragraph\">Le <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">guide complet CPCSC \/ PCCC<\/a> situe ces deux niveaux dans l&rsquo;ensemble du programme, avec les paliers qui viendront apr\u00e8s.<\/p>\n\n<h2 id=\"quel-est-le-cout-de-ne-pas-se-conformer-a-l-itsp-10-171\" class=\"wp-block-heading\">Quel est le co\u00fbt de ne pas se conformer \u00e0 l&rsquo;ITSP.10.171 ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Le vrai risque n&rsquo;est pas la facture de la conformit\u00e9, c&rsquo;est le contrat.<\/strong><\/p>\n\n<p class=\"wp-block-paragraph\">Un client de la D\u00e9fense nationale qui exige le CPCSC dans son appel d&rsquo;offres ne n\u00e9gocie pas de d\u00e9lai de gr\u00e2ce le jour o\u00f9 il d\u00e9couvre qu&rsquo;un fournisseur n&rsquo;est pas pr\u00eat. L&rsquo;entreprise perd le contrat, ou ne le d\u00e9croche jamais. Co\u00fbt conformit\u00e9 ITSP.10.171 PME : une facture se compare, un contrat perdu ne se rattrape pas.<\/p>\n\n<p class=\"wp-block-paragraph\">Pour une PME qui vit de contrats gouvernementaux, l&rsquo;absence de certification ne co\u00fbte pas qu&rsquo;un contrat. Elle ferme la porte aux appels d&rsquo;offres suivants, ceux qui exigent la certification d\u00e8s le d\u00e9p\u00f4t de la soumission, pas apr\u00e8s l&rsquo;attribution.<\/p>\n\n<p class=\"wp-block-paragraph\">Il y a pire que ne pas \u00eatre pr\u00eat : r\u00e9pondre \u00ab oui \u00bb \u00e0 un contr\u00f4le qu&rsquo;on ne respecte pas vraiment. L&rsquo;auto-\u00e9valuation de niveau 1 repose sur la bonne foi de l&rsquo;entreprise qui la remplit, et notre <a href=\"https:\/\/factero.ca\/blog\/auto-evaluation-pccc-niveau-1-mode-emploi\/\">mode d&#8217;emploi de l&rsquo;auto-\u00e9valuation PCCC niveau 1<\/a> insiste sur ce point : cocher oui pour aller plus vite co\u00fbte, \u00e0 terme, infiniment plus cher que de cocher non et de corriger l&rsquo;\u00e9cart.<\/p>\n\n<p class=\"wp-block-paragraph\">Aux \u00c9tats-Unis, o\u00f9 le r\u00e9gime \u00e9quivalent s&rsquo;appelle le CMMC (Cybersecurity Maturity Model Certification, le programme du d\u00e9partement de la D\u00e9fense), des entreprises ont fait face \u00e0 des poursuites pour avoir mal repr\u00e9sent\u00e9 leur conformit\u00e9 cybers\u00e9curit\u00e9 dans des contrats f\u00e9d\u00e9raux. Le r\u00e9gime canadien ITSP.10.171 s&rsquo;inspire directement de la norme am\u00e9ricaine NIST SP 800-171 (National Institute of Standards and Technology), sur laquelle repose aussi le CMMC. La logique est la m\u00eame des deux c\u00f4t\u00e9s de la fronti\u00e8re : une fausse d\u00e9claration de conformit\u00e9 n&rsquo;est pas un raccourci, c&rsquo;est un risque contractuel et l\u00e9gal que la facture d&rsquo;une auto-\u00e9valuation honn\u00eate ne permet m\u00eame pas de comparer.<\/p>\n\n<h2 id=\"comment-depenser-au-bon-endroit\" class=\"wp-block-heading\">Comment d\u00e9penser au bon endroit ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Avant de signer quoi que ce soit avec qui que ce soit, quatre gestes, dans l&rsquo;ordre.<\/p>\n\n<ol class=\"wp-block-list\"><li>Confirmez que votre entreprise est r\u00e9ellement vis\u00e9e. Notre analyse des <a href=\"https:\/\/factero.ca\/blog\/analyse-contrats-mdn-marchandises-controlees-cpcsc\/\">contrats du minist\u00e8re de la D\u00e9fense nationale<\/a> donne un premier rep\u00e8re pour situer qui devra se certifier.<\/li><li>Faites l&rsquo;auto-\u00e9valuation de niveau 1 vous-m\u00eame, avec l&rsquo;outil gratuit du gouvernement, avant de payer quiconque pour la faire \u00e0 votre place.<\/li><li>Rattrapez la dette technique dans l&rsquo;ordre o\u00f9 elle co\u00fbte le moins cher \u00e0 corriger : les comptes et les acc\u00e8s d&rsquo;abord, les sauvegardes ensuite, la documentation en dernier. Rien de tout cela n&rsquo;exige un budget de grande entreprise.<\/li><li>Si le p\u00e9rim\u00e8tre restreint s&rsquo;applique \u00e0 votre architecture, documentez-le avant de commencer le reste. C&rsquo;est le levier qui r\u00e9duit le plus l&rsquo;effort, pas celui qu&rsquo;on ajoute \u00e0 la fin.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Co\u00fbt conformit\u00e9 ITSP.10.171 PME : c&rsquo;est la somme de ces quatre gestes, jamais un forfait standard.<\/p>\n\n<p class=\"wp-block-paragraph\">Le seul devis honn\u00eate commence par mesurer vos \u00e9carts, pas par vendre un forfait. Factero \u00e9value votre point de d\u00e9part et votre p\u00e9rim\u00e8tre avant de parler d&rsquo;argent : les faits tels qu&rsquo;ils sont, vos d\u00e9cisions \u00e0 vous. Vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">demander une \u00e9valuation d&rsquo;\u00e9carts<\/a> pour situer votre budget r\u00e9el, pas un budget g\u00e9n\u00e9rique.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">\u00e9valuation d&rsquo;\u00e9carts pour la certification PCCC<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/contre-expertise\/\">second avis ind\u00e9pendant sur un devis de conformit\u00e9<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien co\u00fbte le niveau 1 du CPCSC pour une PME ?<\/summary><p class=\"wp-block-paragraph\">Il n&rsquo;existe aucun tarif fixe publi\u00e9. Le seul rep\u00e8re chiffr\u00e9 vient d&rsquo;un sondage de mai 2024 : 46 % des sous-traitants pr\u00e9voyaient d\u00e9penser moins de 50 000 $ pour l&rsquo;ensemble de la d\u00e9marche de conformit\u00e9, pas seulement pour le niveau 1. L&rsquo;auto-\u00e9valuation elle-m\u00eame, faite avec l&rsquo;outil gratuit du gouvernement, ne co\u00fbte rien : la facture vient du temps pass\u00e9 \u00e0 corriger les angles morts qu&rsquo;elle r\u00e9v\u00e8le.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Est-il r\u00e9aliste de viser moins de 50 000 $ pour l&rsquo;ensemble de la d\u00e9marche ?<\/summary><p class=\"wp-block-paragraph\">Pour une partie des sous-traitants, oui : au sondage de mai 2024, 46 % en pr\u00e9voyaient moins. Ce chiffre reste une anticipation avant travaux, pas une facture v\u00e9rifi\u00e9e apr\u00e8s coup, et il d\u00e9pend d&rsquo;abord de la dette technique de d\u00e9part. Une PME qui g\u00e8re d\u00e9j\u00e0 ses acc\u00e8s et teste ses sauvegardes s&rsquo;en approche facilement ; celle qui d\u00e9couvre ses angles morts en cours de route risque de le d\u00e9passer.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Faut-il payer un consultant pour faire l&rsquo;auto-\u00e9valuation de niveau 1 ?<\/summary><p class=\"wp-block-paragraph\">Non. L&rsquo;outil gratuit du gouvernement (SPAC) est con\u00e7u pour \u00eatre rempli par l&rsquo;entreprise elle-m\u00eame, sans interm\u00e9diaire obligatoire. Un accompagnement peut aider \u00e0 structurer la d\u00e9marche ou \u00e0 corriger des \u00e9carts complexes une fois l&rsquo;auto-\u00e9valuation faite, mais l&rsquo;outil de base ne s&rsquo;ach\u00e8te nulle part. Notre <a href=\"https:\/\/factero.ca\/blog\/auto-evaluation-pccc-niveau-1-mode-emploi\/\">mode d&#8217;emploi de l&rsquo;auto-\u00e9valuation PCCC niveau 1<\/a> d\u00e9taille la marche \u00e0 suivre \u00e9tape par \u00e9tape.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le budget de la premi\u00e8re ann\u00e9e est-il le m\u00eame que celui des ann\u00e9es suivantes ?<\/summary><p class=\"wp-block-paragraph\">Non. La premi\u00e8re ann\u00e9e absorbe le rattrapage de la dette technique accumul\u00e9e : comptes \u00e0 fermer, acc\u00e8s \u00e0 revoir, sauvegardes \u00e0 tester. Une fois ces angles morts corrig\u00e9s, l&rsquo;entretien annuel co\u00fbte nettement moins, parce qu&rsquo;il s&rsquo;agit de maintenir des pratiques d\u00e9j\u00e0 en place plut\u00f4t que de les mettre en place pour la premi\u00e8re fois.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>ITSP.10.171 et NIST 800-171 co\u00fbtent-ils la m\u00eame chose \u00e0 respecter ?<\/summary><p class=\"wp-block-paragraph\">Non, ce sont deux r\u00e9gimes distincts, m\u00eame si le second inspire le premier. ITSP.10.171 encadre la protection de l&rsquo;information d\u00e9sign\u00e9e au Canada, avec son propre outil d&rsquo;auto-\u00e9valuation gratuit ; NIST SP 800-171 est la norme am\u00e9ricaine sur laquelle repose aussi le CMMC du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis. Comparer leurs prix n&rsquo;a pas de sens : c&rsquo;est le contrat qui vous vise, canadien ou am\u00e9ricain, qui d\u00e9termine lequel s&rsquo;applique, jamais les deux \u00e0 la fois pour un m\u00eame march\u00e9.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/171\/r3\/final\" target=\"_blank\" rel=\"noopener nofollow\">NIST SP 800-171 rev. 3 (National Institute of Standards and Technology)<\/a><\/li><li><a href=\"https:\/\/cyberpostureassessments.ops.cyber.gc.ca\/cpcsc-pccc\/\" target=\"_blank\" rel=\"noopener nofollow\">Outil d&rsquo;auto-\u00e9valuation niveau 1 du CPCSC (Services publics et Approvisionnement Canada)<\/a><\/li><li><a href=\"https:\/\/dodcio.defense.gov\/cmmc\/\" target=\"_blank\" rel=\"noopener nofollow\">Cybersecurity Maturity Model Certification (CMMC) \u2014 U.S. Department of Defense<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC) \u2014 Services publics et Approvisionnement Canada<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/evaluation-exigences-visant-securite-linformation-designee-itsp10171-01\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171-01 \u2014 document compagnon (Centre canadien pour la cybers\u00e9curit\u00e9)<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 \u2014 Protection de l&rsquo;information d\u00e9sign\u00e9e (Centre canadien pour la cybers\u00e9curit\u00e9)<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Combien co\u00fbte le niveau 1 du CPCSC pour une PME ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Il n\\u0027existe aucun tarif fixe publi\u00e9. Le seul rep\u00e8re chiffr\u00e9 vient d\\u0027un sondage de mai 2024 : 46 % des sous-traitants pr\u00e9voyaient d\u00e9penser moins de 50 000 $ pour l\\u0027ensemble de la d\u00e9marche de conformit\u00e9, pas seulement pour le niveau 1. L\\u0027auto-\u00e9valuation elle-m\u00eame, faite avec l\\u0027outil gratuit du gouvernement, ne co\u00fbte rien : la facture vient du temps pass\u00e9 \u00e0 corriger les angles morts qu\\u0027elle r\u00e9v\u00e8le.\"}},{\"@type\":\"Question\",\"name\":\"Est-il r\u00e9aliste de viser moins de 50 000 $ pour l\\u0027ensemble de la d\u00e9marche ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pour une partie des sous-traitants, oui : au sondage de mai 2024, 46 % en pr\u00e9voyaient moins. Ce chiffre reste une anticipation avant travaux, pas une facture v\u00e9rifi\u00e9e apr\u00e8s coup, et il d\u00e9pend d\\u0027abord de la dette technique de d\u00e9part. Une PME qui g\u00e8re d\u00e9j\u00e0 ses acc\u00e8s et teste ses sauvegardes s\\u0027en approche facilement ; celle qui d\u00e9couvre ses angles morts en cours de route risque de le d\u00e9passer.\"}},{\"@type\":\"Question\",\"name\":\"Faut-il payer un consultant pour faire l\\u0027auto-\u00e9valuation de niveau 1 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. L\\u0027outil gratuit du gouvernement (SPAC) est con\u00e7u pour \u00eatre rempli par l\\u0027entreprise elle-m\u00eame, sans interm\u00e9diaire obligatoire. Un accompagnement peut aider \u00e0 structurer la d\u00e9marche ou \u00e0 corriger des \u00e9carts complexes une fois l\\u0027auto-\u00e9valuation faite, mais l\\u0027outil de base ne s\\u0027ach\u00e8te nulle part. Notre mode d\\u0027emploi de l\\u0027auto-\u00e9valuation PCCC niveau 1 d\u00e9taille la marche \u00e0 suivre \u00e9tape par \u00e9tape.\"}},{\"@type\":\"Question\",\"name\":\"Le budget de la premi\u00e8re ann\u00e9e est-il le m\u00eame que celui des ann\u00e9es suivantes ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. La premi\u00e8re ann\u00e9e absorbe le rattrapage de la dette technique accumul\u00e9e : comptes \u00e0 fermer, acc\u00e8s \u00e0 revoir, sauvegardes \u00e0 tester. Une fois ces angles morts corrig\u00e9s, l\\u0027entretien annuel co\u00fbte nettement moins, parce qu\\u0027il s\\u0027agit de maintenir des pratiques d\u00e9j\u00e0 en place plut\u00f4t que de les mettre en place pour la premi\u00e8re fois.\"}},{\"@type\":\"Question\",\"name\":\"ITSP.10.171 et NIST 800-171 co\u00fbtent-ils la m\u00eame chose \u00e0 respecter ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, ce sont deux r\u00e9gimes distincts, m\u00eame si le second inspire le premier. ITSP.10.171 encadre la protection de l\\u0027information d\u00e9sign\u00e9e au Canada, avec son propre outil d\\u0027auto-\u00e9valuation gratuit ; NIST SP 800-171 est la norme am\u00e9ricaine sur laquelle repose aussi le CMMC du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis. Comparer leurs prix n\\u0027a pas de sens : c\\u0027est le contrat qui vous vise, canadien ou am\u00e9ricain, qui d\u00e9termine lequel s\\u0027applique, jamais les deux \u00e0 la fois pour un m\u00eame march\u00e9.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Co\u00fbt conformit\u00e9 ITSP.10.171 PME : dette technique, p\u00e9rim\u00e8tre et niveau vis\u00e9, les 4 variables qui font varier la facture, sans chiffre invent\u00e9.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[968,84,970,966,964,82,86,972],"class_list":["post-859","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-budget-conformite-cybersecurite-defense","tag-cmmc","tag-combien-coute-le-niveau-1","tag-cout-certification-pccc-pme","tag-cout-conformite-itsp-10-171-pme","tag-cpcsc","tag-itsp-10-171","tag-sous-traitant-defense-moins-de-50-000"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/859","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=859"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/859\/revisions"}],"predecessor-version":[{"id":1352,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/859\/revisions\/1352"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=859"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=859"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=859"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}