{"id":888,"date":"2026-10-01T07:00:00","date_gmt":"2026-10-01T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=888"},"modified":"2026-09-04T13:01:35","modified_gmt":"2026-09-04T18:01:35","slug":"marchandises-controlees-cybersecurite","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/marchandises-controlees-cybersecurite\/","title":{"rendered":"Marchandises contr\u00f4l\u00e9es : vos obligations de cybers\u00e9curit\u00e9"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : le Programme des marchandises contr\u00f4l\u00e9es (PMC) exige un plan de s\u00e9curit\u00e9 et un responsable d\u00e9sign\u00e9 pour prot\u00e9ger l&rsquo;acc\u00e8s physique et documentaire aux marchandises contr\u00f4l\u00e9es, mais il ne fixe aucune exigence technique de cybers\u00e9curit\u00e9.<\/strong> Si un contrat de d\u00e9fense ajoute une exigence PCCC, vos dessins techniques num\u00e9ris\u00e9s rel\u00e8vent d&rsquo;un second p\u00e9rim\u00e8tre, distinct, \u00e0 \u00e9valuer s\u00e9par\u00e9ment.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : PMC et PCCC, deux p\u00e9rim\u00e8tres distincts\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Vous dirigez une PME manufacturi\u00e8re inscrite au Programme des marchandises contr\u00f4l\u00e9es depuis des ann\u00e9es. Le plan de s\u00e9curit\u00e9 est d\u00e9pos\u00e9, le responsable d\u00e9sign\u00e9 est nomm\u00e9, les classeurs sont verrouill\u00e9s \u00e0 cl\u00e9. Puis un client de la d\u00e9fense ajoute une clause de cybers\u00e9curit\u00e9 \u00e0 son appel d&rsquo;offres, ou pire, une exigence PCCC directement dans le contrat. La question surgit alors, l\u00e9gitime : est-ce que tout \u00e7a n&rsquo;\u00e9tait pas d\u00e9j\u00e0 couvert ?<\/p>\n\n<p class=\"wp-block-paragraph\">La r\u00e9ponse courte est non. Le Programme des marchandises contr\u00f4l\u00e9es (PMC) et le Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC, aussi d\u00e9sign\u00e9 CPCSC en anglais) prot\u00e8gent deux choses diff\u00e9rentes, avec deux logiques diff\u00e9rentes. Ce dossier trace la fronti\u00e8re entre les deux, pour une entreprise qui g\u00e8re d\u00e9j\u00e0 la paperasse du premier et qui d\u00e9couvre le second.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#qu-est-ce-que-le-programme-des-marchandises-controlees-protege-au-juste\">Qu&rsquo;est-ce que le Programme des marchandises contr\u00f4l\u00e9es prot\u00e8ge, au juste ?<\/a><\/li><li class=\"\"><a href=\"#marchandises-controlees-cybersecurite-le-pmc-m-oblige-t-il-deja-a-des-mesures-techniques\">Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : le PMC m&rsquo;oblige-t-il d\u00e9j\u00e0 \u00e0 des mesures techniques ?<\/a><\/li><li class=\"\"><a href=\"#mes-plans-et-donnees-techniques-sont-ils-de-l-information-designee-au-sens-du-pccc\">Mes plans et donn\u00e9es techniques sont-ils de l&rsquo;information d\u00e9sign\u00e9e au sens du PCCC ?<\/a><\/li><li class=\"\"><a href=\"#marchandises-controlees-et-pccc-deux-inscriptions-deux-inspections-deux-plans\">Marchandises contr\u00f4l\u00e9es et PCCC : deux inscriptions, deux inspections, deux plans ?<\/a><\/li><li class=\"\"><a href=\"#par-ou-commencer-quand-on-gere-deja-la-paperasse-du-pmc\">Par o\u00f9 commencer quand on g\u00e8re d\u00e9j\u00e0 la paperasse du PMC ?<\/a><\/li><li class=\"\"><a href=\"#le-coffre-fort-suffit-il-quand-les-plans-sont-sur-le-serveur\">Le coffre-fort suffit-il quand les plans sont sur le serveur ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"qu-est-ce-que-le-programme-des-marchandises-controlees-protege-au-juste\" class=\"wp-block-heading\">Qu&rsquo;est-ce que le Programme des marchandises contr\u00f4l\u00e9es prot\u00e8ge, au juste ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le Programme des marchandises contr\u00f4l\u00e9es prot\u00e8ge l&rsquo;acc\u00e8s physique et documentaire aux marchandises contr\u00f4l\u00e9es, pas l&rsquo;environnement informatique qui les entoure. Il est administr\u00e9 par Services publics et Approvisionnement Canada (SPAC), par l&rsquo;entremise de sa Direction de la s\u00e9curit\u00e9 des marchandises contr\u00f4l\u00e9es. L&rsquo;inscription est obligatoire pour toute entreprise qui examine, poss\u00e8de ou transf\u00e8re des marchandises contr\u00f4l\u00e9es au Canada, qu&rsquo;il s&rsquo;agisse de pi\u00e8ces, d&rsquo;\u00e9quipements ou de donn\u00e9es techniques li\u00e9es \u00e0 des produits de d\u00e9fense.<\/p>\n\n<p class=\"wp-block-paragraph\">Le mot cl\u00e9 est \u00ab marchandises \u00bb. Le programme est n\u00e9 pour encadrer l&rsquo;acc\u00e8s physique \u00e0 des objets et \u00e0 des documents sensibles : qui entre dans l&rsquo;atelier, qui consulte le plan d&rsquo;un composant, qui re\u00e7oit une pi\u00e8ce par la poste. C&rsquo;est un programme de s\u00e9curit\u00e9 industrielle, pas un programme de s\u00e9curit\u00e9 informatique. Cette distinction para\u00eet technique, elle ne l&rsquo;est pas : elle d\u00e9termine tout ce qui suit dans ce dossier.<\/p>\n\n<p class=\"wp-block-paragraph\">Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : les deux mots ne se recoupent pas ici, le programme n&rsquo;y touche pas.<\/p>\n\n<h2 id=\"marchandises-controlees-cybersecurite-le-pmc-m-oblige-t-il-deja-a-des-mesures-techniques\" class=\"wp-block-heading\">Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : le PMC m&rsquo;oblige-t-il d\u00e9j\u00e0 \u00e0 des mesures techniques ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>L&rsquo;inscription au PMC exige un plan de s\u00e9curit\u00e9 et la nomination d&rsquo;un responsable d\u00e9sign\u00e9, voil\u00e0 ce que le programme demande noir sur blanc.<\/strong> Ce plan couvre trois volets :<\/p>\n\n<ul class=\"wp-block-list\"><li>La s\u00e9curit\u00e9 du personnel : qui a acc\u00e8s et comment on le v\u00e9rifie.<\/li><li>La s\u00e9curit\u00e9 physique des lieux : portes, classeurs et registre des visiteurs.<\/li><li>Le contr\u00f4le des documents contenant des marchandises contr\u00f4l\u00e9es.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Ce que le plan de s\u00e9curit\u00e9 du PMC ne dicte pas, c&rsquo;est une architecture de cybers\u00e9curit\u00e9. Aucune exigence de chiffrement n&rsquo;y est pr\u00e9cis\u00e9e, aucune norme de segmentation r\u00e9seau, aucune liste de contr\u00f4les techniques \u00e0 cocher pour vos syst\u00e8mes informatiques. Le programme a \u00e9t\u00e9 con\u00e7u \u00e0 une \u00e9poque o\u00f9 \u00ab marchandise contr\u00f4l\u00e9e \u00bb \u00e9voquait d&rsquo;abord une pi\u00e8ce sur une tablette, pas un fichier de conception sur un serveur.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est exactement l\u00e0 que le b\u00e2t blesse pour une PME manufacturi\u00e8re d&rsquo;aujourd&rsquo;hui. Vos dessins techniques ne dorment plus dans un classeur sous cl\u00e9, ils vivent dans un logiciel de conception assist\u00e9e par ordinateur, sur un partage r\u00e9seau, parfois synchronis\u00e9s vers un service infonuagique que personne n&rsquo;a vraiment audit\u00e9. Le plan de s\u00e9curit\u00e9 du PMC, respect\u00e9 \u00e0 la lettre, peut tr\u00e8s bien ne rien dire de cette r\u00e9alit\u00e9 num\u00e9rique. Ce n&rsquo;est pas une faille du programme : ce n&rsquo;est simplement pas son mandat.<\/p>\n\n<h2 id=\"mes-plans-et-donnees-techniques-sont-ils-de-l-information-designee-au-sens-du-pccc\" class=\"wp-block-heading\">Mes plans et donn\u00e9es techniques sont-ils de l&rsquo;information d\u00e9sign\u00e9e au sens du PCCC ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Vos dessins techniques et vos donn\u00e9es de fabrication peuvent \u00eatre de l&rsquo;information d\u00e9sign\u00e9e au sens du PCCC, ind\u00e9pendamment du fait que la pi\u00e8ce elle-m\u00eame soit une marchandise contr\u00f4l\u00e9e au sens du PMC. Pour une vue d&rsquo;ensemble compl\u00e8te du programme et de ses deux niveaux, notre guide <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">CPCSC \/ PCCC : guide complet de la certification cyberd\u00e9fense<\/a> reste la r\u00e9f\u00e9rence. Ici, l&rsquo;angle est plus pr\u00e9cis : ce que ce programme vise concr\u00e8tement chez une entreprise d\u00e9j\u00e0 inscrite au PMC.<\/p>\n\n<p class=\"wp-block-paragraph\">Le Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC) vise un autre p\u00e9rim\u00e8tre : l&rsquo;information non classifi\u00e9e mais sensible qui circule dans les contrats de d\u00e9fense, ce que le gouvernement f\u00e9d\u00e9ral appelle de l&rsquo;information d\u00e9sign\u00e9e. Un dessin technique, une sp\u00e9cification de fabrication ou une donn\u00e9e de performance d&rsquo;un composant militaire peuvent entrer dans cette cat\u00e9gorie.<\/p>\n\n<p class=\"wp-block-paragraph\">Le niveau 1 du PCCC est en vigueur depuis avril 2026 et repose sur une autod\u00e9claration : l&rsquo;entreprise atteste elle-m\u00eame sa conformit\u00e9 \u00e0 un ensemble de contr\u00f4les techniques. Le niveau 2, avec v\u00e9rification par un tiers, est pr\u00e9vu pour le printemps 2027. Les deux niveaux s&rsquo;appuient sur ITSP.10.171, la norme technique du Centre canadien pour la cybers\u00e9curit\u00e9 qui encadre la protection de l&rsquo;information d\u00e9sign\u00e9e dans un environnement informatique.<\/p>\n\n<p class=\"wp-block-paragraph\">La nuance \u00e0 retenir : \u00eatre inscrit au PMC ne dit rien de votre obligation PCCC, et l&rsquo;inverse est vrai aussi. Ce sont deux inscriptions distinctes, d\u00e9clench\u00e9es par deux logiques distinctes. Le PMC se d\u00e9clenche par la nature de la marchandise. Le PCCC se d\u00e9clenche par une clause contractuelle, ins\u00e9r\u00e9e par le minist\u00e8re de la D\u00e9fense nationale ou par un ma\u00eetre d&rsquo;\u0153uvre pour un contrat donn\u00e9. Nous d\u00e9taillons qui est concr\u00e8tement vis\u00e9 par cette obligation contractuelle dans <a href=\"https:\/\/factero.ca\/blog\/qui-est-vise-cpcsc\/\">Qui est vis\u00e9 par le CPCSC ? PME, sous-traitants et d\u00e9fense<\/a>.<\/p>\n\n<h2 id=\"marchandises-controlees-et-pccc-deux-inscriptions-deux-inspections-deux-plans\" class=\"wp-block-heading\">Marchandises contr\u00f4l\u00e9es et PCCC : deux inscriptions, deux inspections, deux plans ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : le tableau suivant aligne les deux r\u00e9gimes point par point.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Aspect<\/th><th>Programme des marchandises contr\u00f4l\u00e9es (PMC)<\/th><th>PCCC (niveaux 1 et 2)<\/th><\/tr><\/thead><tbody><tr><td>Administr\u00e9 par<\/td><td>SPAC, Direction de la s\u00e9curit\u00e9 des marchandises contr\u00f4l\u00e9es<\/td><td>SPAC, obligation d\u00e9clench\u00e9e par une clause dans un contrat de d\u00e9fense<\/td><\/tr><tr><td>Ce qui est prot\u00e9g\u00e9<\/td><td>L&rsquo;acc\u00e8s physique et documentaire \u00e0 une marchandise contr\u00f4l\u00e9e<\/td><td>L&rsquo;information non classifi\u00e9e mais sensible, dite information d\u00e9sign\u00e9e, dans l&rsquo;environnement num\u00e9rique<\/td><\/tr><tr><td>D\u00e9clencheur<\/td><td>La nature du bien ou de la technologie vis\u00e9e<\/td><td>Une clause du contrat ou de l&rsquo;appel d&rsquo;offres de d\u00e9fense<\/td><\/tr><tr><td>Exigence centrale<\/td><td>Plan de s\u00e9curit\u00e9 et responsable d\u00e9sign\u00e9<\/td><td>Conformit\u00e9 aux contr\u00f4les ITSP.10.171, autod\u00e9clar\u00e9e au niveau 1 ou v\u00e9rifi\u00e9e par un tiers au niveau 2<\/td><\/tr><tr><td>Port\u00e9e num\u00e9rique<\/td><td>Non sp\u00e9cifi\u00e9e dans le plan de s\u00e9curit\u00e9<\/td><td>Explicite : r\u00e9seaux, postes de travail, gestion des acc\u00e8s, journalisation<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Une entreprise inscrite au PMC pour ses pi\u00e8ces peut tr\u00e8s bien signer, la m\u00eame ann\u00e9e, un contrat qui exige en plus le PCCC pour ses syst\u00e8mes num\u00e9riques. Les deux dossiers ne se substituent pas l&rsquo;un \u00e0 l&rsquo;autre. Un auditeur qui v\u00e9rifie votre plan de s\u00e9curit\u00e9 PMC ne validera pas vos contr\u00f4les ITSP.10.171, et l&rsquo;inverse est vrai aussi. Deux inscriptions, potentiellement deux inspections, et deux jeux de preuves \u00e0 conserver s\u00e9par\u00e9ment.<\/p>\n\n<p class=\"wp-block-paragraph\">Une entreprise qui craint de devoir mettre tout son r\u00e9seau \u00e0 niveau pour satisfaire le PCCC peut r\u00e9duire cet effort en isolant les syst\u00e8mes r\u00e9ellement vis\u00e9s par l&rsquo;information d\u00e9sign\u00e9e, plut\u00f4t que de traiter l&rsquo;ensemble de son parc informatique comme s&rsquo;il l&rsquo;\u00e9tait. Cette logique de p\u00e9rim\u00e8tre restreint est expliqu\u00e9e dans <a href=\"https:\/\/factero.ca\/blog\/perimetre-restreint-itsp-10-171-separation-logique\/\">P\u00e9rim\u00e8tre restreint ITSP.10.171 : r\u00e9duire l&rsquo;effort sans tricher<\/a>.<\/p>\n\n<h2 id=\"par-ou-commencer-quand-on-gere-deja-la-paperasse-du-pmc\" class=\"wp-block-heading\">Par o\u00f9 commencer quand on g\u00e8re d\u00e9j\u00e0 la paperasse du PMC ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Quatre gestes, dans l&rsquo;ordre, pour une entreprise qui d\u00e9couvre le PCCC alors qu&rsquo;elle conna\u00eet d\u00e9j\u00e0 le PMC par c\u0153ur.<\/p>\n\n<ol class=\"wp-block-list\"><li>Relisez votre contrat, pas votre inscription PMC. La clause PCCC, si elle existe, se trouve dans le contrat ou l&rsquo;appel d&rsquo;offres, jamais dans votre dossier PMC. Cherchez les mentions de PCCC, CPCSC, ITSP.10.171 ou d&rsquo;information d\u00e9sign\u00e9e.<\/li><li>Cartographiez o\u00f9 vivent vos donn\u00e9es techniques num\u00e9riques : postes de conception, serveur de fichiers, service infonuagique, bo\u00eetes courriel. Le plan de s\u00e9curit\u00e9 du PMC parle de vos classeurs, pas de vos r\u00e9pertoires r\u00e9seau. Cette cartographie-l\u00e0 reste enti\u00e8rement \u00e0 faire.<\/li><li>V\u00e9rifiez le niveau exig\u00e9 par le contrat. Une autod\u00e9claration de niveau 1 et une v\u00e9rification de niveau 2 par un tiers ne demandent ni le m\u00eame effort, ni le m\u00eame \u00e9ch\u00e9ancier.<\/li><li>Ne fusionnez pas les deux dossiers par r\u00e9flexe administratif. Le responsable d\u00e9sign\u00e9 du PMC et le responsable de vos contr\u00f4les ITSP.10.171 peuvent \u00eatre la m\u00eame personne dans une petite entreprise, mais les preuves \u00e0 produire pour chaque programme ne sont pas interchangeables.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Combien d&rsquo;entreprises canadiennes composent aujourd&rsquo;hui avec ce chevauchement entre PMC et PCCC est une question sans chiffre officiel fiable \u00e0 citer ici. Ce qui est certain, c&rsquo;est que le bassin d&rsquo;entreprises manufacturi\u00e8res inscrites au PMC, en a\u00e9rospatiale comme en d\u00e9fense terrestre, recoupe largement celui des sous-traitants susceptibles de voir une clause PCCC appara\u00eetre dans leurs contrats \u00e0 mesure que le programme se d\u00e9ploie.<\/p>\n\n<h2 id=\"le-coffre-fort-suffit-il-quand-les-plans-sont-sur-le-serveur\" class=\"wp-block-heading\">Le coffre-fort suffit-il quand les plans sont sur le serveur ?<\/h2>\n\n<p class=\"wp-block-paragraph\">L&rsquo;image qui revient le plus souvent dans nos \u00e9changes avec des dirigeants de PME manufacturi\u00e8res inscrites au PMC, c&rsquo;est celle du coffre-fort. L&rsquo;entreprise a un coffre-fort solide pour ses documents papier les plus sensibles, une porte \u00e0 code pour l&rsquo;atelier, un registre des visiteurs tenu \u00e0 jour. Tout \u00e7a est r\u00e9el, tout \u00e7a compte pour le PMC.<\/p>\n\n<p class=\"wp-block-paragraph\">Mais le dessin technique qui justifiait ce coffre-fort existe aussi en fichier num\u00e9rique, g\u00e9n\u00e9r\u00e9 par le m\u00eame logiciel de conception que tous les autres postes de l&rsquo;entreprise utilisent, sauvegard\u00e9 sur un serveur que personne n&rsquo;a jamais fait auditer. Le coffre-fort prot\u00e8ge une copie imprim\u00e9e. Le fichier source, lui, circule ailleurs, sans le m\u00eame niveau d&rsquo;attention, parfois envoy\u00e9 par courriel \u00e0 un fournisseur sans qu&rsquo;on y pense deux fois.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est l&rsquo;\u00e9cart exact que le PCCC vient combler pour les entreprises vis\u00e9es par une clause contractuelle : la protection ne s&rsquo;arr\u00eate pas \u00e0 la porte de l&rsquo;atelier, elle continue jusqu&rsquo;au r\u00e9seau, jusqu&rsquo;au poste de travail, jusqu&rsquo;\u00e0 la bo\u00eete courriel.<\/p>\n\n<p class=\"wp-block-paragraph\">Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : la vraie ligne de partage n&rsquo;est pas entre deux programmes, elle est entre le papier verrouill\u00e9 et le fichier qui circule.<\/p>\n\n<p class=\"wp-block-paragraph\">Une entreprise inscrite au PMC qui voit appara\u00eetre une exigence PCCC dans un contrat n&rsquo;a pas \u00e0 reconstruire sa s\u00e9curit\u00e9 en double, ni \u00e0 traiter les deux dossiers comme deux projets \u00e9tanches men\u00e9s par deux \u00e9quipes qui ne se parlent pas. Un audit ind\u00e9pendant qui recoupe les deux p\u00e9rim\u00e8tres, la s\u00e9curit\u00e9 physique et documentaire d&rsquo;un c\u00f4t\u00e9, les contr\u00f4les ITSP.10.171 de l&rsquo;autre, identifie ce qui est d\u00e9j\u00e0 couvert par votre plan PMC et ce qui reste r\u00e9ellement \u00e0 d\u00e9montrer pour le PCCC. C&rsquo;est le r\u00f4le de notre <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement CPCSC<\/a> : structurer le dossier et cartographier l&rsquo;\u00e9cart, pas d\u00e9cider \u00e0 votre place ni garantir un r\u00e9sultat que personne ne peut garantir.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement \u00e0 la certification PCCC<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit TI ind\u00e9pendant de vos deux p\u00e9rim\u00e8tres<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Toutes les entreprises inscrites au PMC doivent-elles obtenir le PCCC ?<\/summary><p class=\"wp-block-paragraph\">Non. L&rsquo;obligation PCCC d\u00e9pend du contrat qui la mentionne, pas de l&rsquo;inscription au PMC. Une entreprise inscrite au PMC pour ses pi\u00e8ces peut n&rsquo;avoir aucune clause PCCC dans ses contrats. \u00c0 l&rsquo;inverse, une entreprise sans marchandise contr\u00f4l\u00e9e peut \u00eatre vis\u00e9e par le PCCC si elle traite de l&rsquo;information d\u00e9sign\u00e9e pour un autre motif. Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : deux inscriptions distinctes, jamais automatiques l&rsquo;une par rapport \u00e0 l&rsquo;autre.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Si je suis d\u00e9j\u00e0 inscrit au PMC, mon dossier PCCC sera-t-il plus rapide \u00e0 pr\u00e9parer ?<\/summary><p class=\"wp-block-paragraph\">Votre discipline documentaire aide, mais les preuves ne se recyclent pas d&rsquo;un programme \u00e0 l&rsquo;autre. Le PCCC v\u00e9rifie des contr\u00f4les techniques pr\u00e9cis sur vos syst\u00e8mes num\u00e9riques, r\u00e9seaux, postes de travail, gestion des acc\u00e8s, que votre plan de s\u00e9curit\u00e9 PMC n&rsquo;a jamais eu \u00e0 d\u00e9montrer. Pr\u00e9voyez un exercice distinct, pas un simple ajout \u00e0 votre dossier existant.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le niveau 1 du PCCC suffit-il si je ne fais que de la sous-traitance mineure ?<\/summary><p class=\"wp-block-paragraph\">Le niveau exig\u00e9 d\u00e9pend de la clause du contrat, pas de la taille de votre r\u00f4le dans la cha\u00eene d&rsquo;approvisionnement. Un sous-traitant qui manipule de l&rsquo;information d\u00e9sign\u00e9e peut se voir demander le m\u00eame niveau qu&rsquo;un ma\u00eetre d&rsquo;\u0153uvre. V\u00e9rifiez la clause exacte plut\u00f4t que de pr\u00e9sumer : un r\u00f4le mineur ne r\u00e9duit pas automatiquement le niveau exig\u00e9.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le responsable d\u00e9sign\u00e9 du PMC peut-il aussi \u00eatre responsable du PCCC ?<\/summary><p class=\"wp-block-paragraph\">Oui, rien n&#8217;emp\u00eache la m\u00eame personne d&rsquo;occuper les deux r\u00f4les dans une petite entreprise. Les preuves \u00e0 produire, elles, ne sont pas interchangeables : le registre de s\u00e9curit\u00e9 du PMC ne vaut pas comme preuve de conformit\u00e9 ITSP.10.171. Traitez les deux mandats s\u00e9par\u00e9ment m\u00eame s&rsquo;ils reposent sur une seule personne.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un fichier num\u00e9rique peut-il \u00eatre une marchandise contr\u00f4l\u00e9e au sens du PMC ?<\/summary><p class=\"wp-block-paragraph\">Oui. La d\u00e9finition officielle du programme inclut les biens tangibles, les documents imprim\u00e9s et les donn\u00e9es \u00e9lectroniques. Un dessin technique enregistr\u00e9 sur un serveur ou envoy\u00e9 par courriel reste une marchandise contr\u00f4l\u00e9e au m\u00eame titre que la pi\u00e8ce physique qu&rsquo;il d\u00e9crit, ce que plusieurs entreprises inscrites au PMC ignorent.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Page officielle du Programme canadien de certification en cybers\u00e9curit\u00e9 (canada.ca)<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/marchandises-controlees.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme des marchandises contr\u00f4l\u00e9es (TPSGC\/SPAC, page officielle)<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 \u2014 Centre canadien pour la cybers\u00e9curit\u00e9<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Toutes les entreprises inscrites au PMC doivent-elles obtenir le PCCC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. L\\u0027obligation PCCC d\u00e9pend du contrat qui la mentionne, pas de l\\u0027inscription au PMC. Une entreprise inscrite au PMC pour ses pi\u00e8ces peut n\\u0027avoir aucune clause PCCC dans ses contrats. \u00c0 l\\u0027inverse, une entreprise sans marchandise contr\u00f4l\u00e9e peut \u00eatre vis\u00e9e par le PCCC si elle traite de l\\u0027information d\u00e9sign\u00e9e pour un autre motif. Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : deux inscriptions distinctes, jamais automatiques l\\u0027une par rapport \u00e0 l\\u0027autre.\"}},{\"@type\":\"Question\",\"name\":\"Si je suis d\u00e9j\u00e0 inscrit au PMC, mon dossier PCCC sera-t-il plus rapide \u00e0 pr\u00e9parer ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Votre discipline documentaire aide, mais les preuves ne se recyclent pas d\\u0027un programme \u00e0 l\\u0027autre. Le PCCC v\u00e9rifie des contr\u00f4les techniques pr\u00e9cis sur vos syst\u00e8mes num\u00e9riques, r\u00e9seaux, postes de travail, gestion des acc\u00e8s, que votre plan de s\u00e9curit\u00e9 PMC n\\u0027a jamais eu \u00e0 d\u00e9montrer. Pr\u00e9voyez un exercice distinct, pas un simple ajout \u00e0 votre dossier existant.\"}},{\"@type\":\"Question\",\"name\":\"Le niveau 1 du PCCC suffit-il si je ne fais que de la sous-traitance mineure ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Le niveau exig\u00e9 d\u00e9pend de la clause du contrat, pas de la taille de votre r\u00f4le dans la cha\u00eene d\\u0027approvisionnement. Un sous-traitant qui manipule de l\\u0027information d\u00e9sign\u00e9e peut se voir demander le m\u00eame niveau qu\\u0027un ma\u00eetre d\\u0027\u0153uvre. V\u00e9rifiez la clause exacte plut\u00f4t que de pr\u00e9sumer : un r\u00f4le mineur ne r\u00e9duit pas automatiquement le niveau exig\u00e9.\"}},{\"@type\":\"Question\",\"name\":\"Le responsable d\u00e9sign\u00e9 du PMC peut-il aussi \u00eatre responsable du PCCC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, rien n\\u0027emp\u00eache la m\u00eame personne d\\u0027occuper les deux r\u00f4les dans une petite entreprise. Les preuves \u00e0 produire, elles, ne sont pas interchangeables : le registre de s\u00e9curit\u00e9 du PMC ne vaut pas comme preuve de conformit\u00e9 ITSP.10.171. Traitez les deux mandats s\u00e9par\u00e9ment m\u00eame s\\u0027ils reposent sur une seule personne.\"}},{\"@type\":\"Question\",\"name\":\"Un fichier num\u00e9rique peut-il \u00eatre une marchandise contr\u00f4l\u00e9e au sens du PMC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui. La d\u00e9finition officielle du programme inclut les biens tangibles, les documents imprim\u00e9s et les donn\u00e9es \u00e9lectroniques. Un dessin technique enregistr\u00e9 sur un serveur ou envoy\u00e9 par courriel reste une marchandise contr\u00f4l\u00e9e au m\u00eame titre que la pi\u00e8ce physique qu\\u0027il d\u00e9crit, ce que plusieurs entreprises inscrites au PMC ignorent.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Marchandises contr\u00f4l\u00e9es cybers\u00e9curit\u00e9 : le PMC prot\u00e8ge l&rsquo;acc\u00e8s physique, pas vos syst\u00e8mes num\u00e9riques. Ce que le PCCC ajoute, sans jargon technique.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[1214,82,1212,232,1216,740,1210,1208],"class_list":["post-888","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-controlled-goods-program-security-plan","tag-cpcsc","tag-inscription-marchandises-controlees-exigences","tag-marchandises-controlees-cybersecurite","tag-marchandises-controlees-et-pccc","tag-pccc","tag-pmc-cybersecurite","tag-programme-des-marchandises-controlees-obligations"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/888","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=888"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/888\/revisions"}],"predecessor-version":[{"id":1381,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/888\/revisions\/1381"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=888"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=888"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=888"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}