{"id":891,"date":"2026-10-06T07:00:00","date_gmt":"2026-10-06T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=891"},"modified":"2026-09-04T13:01:27","modified_gmt":"2026-09-04T18:01:27","slug":"flow-down-cpcsc-sous-traitant-defense","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/flow-down-cpcsc-sous-traitant-defense\/","title":{"rendered":"CPCSC en sous-traitance : l&rsquo;exigence de cybers\u00e9curit\u00e9 transf\u00e9r\u00e9e"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Une exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense transf\u00e9r\u00e9e par un donneur d&rsquo;ordre n&rsquo;est pas n\u00e9gociable au milieu de la cha\u00eene : elle descend directement du contrat que ce donneur d&rsquo;ordre a sign\u00e9 avec le minist\u00e8re de la D\u00e9fense nationale.<\/strong> Le niveau exig\u00e9 d\u00e9pend de l&rsquo;information manipul\u00e9e, pas de la taille de l&rsquo;entreprise ni du rang de sous-traitance.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense : la clause transf\u00e9r\u00e9e par le client\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Le CPCSC (Canadian Program for Cyber Security Certification), ou PCCC en fran\u00e7ais (Programme canadien de certification en cybers\u00e9curit\u00e9), est le programme que le gouvernement f\u00e9d\u00e9ral utilise pour exiger un niveau minimal de cybers\u00e9curit\u00e9 des fournisseurs du minist\u00e8re de la D\u00e9fense nationale (MDN), puis de toute la cha\u00eene de sous-traitance derri\u00e8re eux. Si vous lisez cet article, c&rsquo;est probablement que ce sigle vient d&rsquo;appara\u00eetre dans une clause contractuelle ou un courriel de votre client, sans grande explication.<\/p>\n\n<p class=\"wp-block-paragraph\">Vous dirigez une PME en usinage, en \u00e9lectronique ou en composites, au deuxi\u00e8me ou au troisi\u00e8me rang de cette cha\u00eene, et vous n&rsquo;avez jamais sign\u00e9 quoi que ce soit directement avec le gouvernement. L&rsquo;exigence vous semble tomb\u00e9e du ciel. Elle ne l&rsquo;est pas : elle suit une m\u00e9canique pr\u00e9cise, et cet article la d\u00e9crit en langage clair.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#exigence-cybersecurite-sous-traitant-defense-mon-donneur-d-ordre-me-l-a-transferee-ai-je-le-choix\">Exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense : mon donneur d&rsquo;ordre me l&rsquo;a transf\u00e9r\u00e9e, ai-je le choix ?<\/a><\/li><li class=\"\"><a href=\"#je-ne-signe-rien-avec-le-mdn-pourquoi-le-flow-down-cpcsc-me-vise-quand-meme\">Je ne signe rien avec le MDN : pourquoi le flow-down CPCSC me vise quand m\u00eame ?<\/a><\/li><li class=\"\"><a href=\"#quel-niveau-me-sera-demande-niveau-1-ou-niveau-2\">Quel niveau me sera demand\u00e9, niveau 1 ou niveau 2 ?<\/a><\/li><li class=\"\"><a href=\"#quels-delais-reels-pour-un-sous-traitant-de-la-defense-qui-doit-se-conformer-sans-perdre-le-contrat\">Quels d\u00e9lais r\u00e9els pour un sous-traitant de la d\u00e9fense qui doit se conformer sans perdre le contrat ?<\/a><\/li><li class=\"\"><a href=\"#mon-client-exige-une-certification-cybersecurite-que-repondre-en-attendant-d-etre-pret\">Mon client exige une certification cybers\u00e9curit\u00e9 : que r\u00e9pondre en attendant d&rsquo;\u00eatre pr\u00eat ?<\/a><\/li><li class=\"\"><a href=\"#refuser-une-exigence-cybersecurite-sous-traitant-defense-que-perd-on-vraiment\">Refuser une exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense : que perd-on vraiment ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"exigence-cybersecurite-sous-traitant-defense-mon-donneur-d-ordre-me-l-a-transferee-ai-je-le-choix\" class=\"wp-block-heading\">Exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense : mon donneur d&rsquo;ordre me l&rsquo;a transf\u00e9r\u00e9e, ai-je le choix ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Sur papier, vous avez toujours le choix. Vous pouvez refuser de signer l&rsquo;avenant, ignorer le courriel, r\u00e9pondre que ce n&rsquo;est pas votre probl\u00e8me. Dans les faits, ce choix en cache un autre, beaucoup moins confortable : celui de continuer ou non \u00e0 travailler avec ce client.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;exigence qui vient d&rsquo;atterrir dans votre bo\u00eete de courriels n&rsquo;est pas une lubie administrative. L&rsquo;int\u00e9grateur qui vous l&rsquo;a transf\u00e9r\u00e9e s&rsquo;est lui-m\u00eame engag\u00e9, dans son propre contrat avec le MDN, \u00e0 exiger la m\u00eame conformit\u00e9 de ses fournisseurs. Il n&rsquo;a pas le choix non plus. La clause descend, elle ne se n\u00e9gocie pas au milieu de la cha\u00eene.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce que vous avez, c&rsquo;est une marge de man\u0153uvre sur le comment et sur le quand, pas sur le si. Un donneur d&rsquo;ordre raisonnable pr\u00e9f\u00e8re de loin un fournisseur qui r\u00e9pond avec un plan et un \u00e9ch\u00e9ancier \u00e0 un fournisseur qui se tait ou qui conteste le principe.<\/p>\n\n<h2 id=\"je-ne-signe-rien-avec-le-mdn-pourquoi-le-flow-down-cpcsc-me-vise-quand-meme\" class=\"wp-block-heading\">Je ne signe rien avec le MDN : pourquoi le flow-down CPCSC me vise quand m\u00eame ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Vous \u00eates vis\u00e9 parce que l&rsquo;exigence descend en cascade d&rsquo;un contrat \u00e0 l&rsquo;autre, jusqu&rsquo;au v\u00f4tre. C&rsquo;est la question qui revient le plus souvent, et elle est l\u00e9gitime. Vous fabriquez des pi\u00e8ces usin\u00e9es, des composants \u00e9lectroniques ou des mat\u00e9riaux composites pour un client qui, lui, vend au MDN. Vous n&rsquo;avez jamais vu un contrat f\u00e9d\u00e9ral, jamais sign\u00e9 quoi que ce soit avec le gouvernement.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce m\u00e9canisme de transmission contractuelle porte un nom dans le jargon du programme : le \u00ab flow-down \u00bb. C&rsquo;est ainsi que na\u00eet, \u00e0 votre niveau, une exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense. Il fonctionne en cascade, clause par clause :<\/p>\n\n<ol class=\"wp-block-list\"><li>Le ma\u00eetre d&rsquo;\u0153uvre signe avec le MDN et accepte des obligations de cybers\u00e9curit\u00e9.<\/li><li>Une des conditions de ce contrat l&rsquo;oblige \u00e0 r\u00e9percuter les m\u00eames exigences dans ses propres contrats d&rsquo;approvisionnement, envers ses fournisseurs de premier rang.<\/li><li>Ces fournisseurs de premier rang font ensuite la m\u00eame chose envers leurs propres fournisseurs, au deuxi\u00e8me rang.<\/li><li>Le deuxi\u00e8me rang r\u00e9p\u00e8te l&rsquo;exercice envers le troisi\u00e8me, et ainsi de suite.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">\u00c0 chaque maillon, l&rsquo;exigence se transmet par une clause contractuelle, pas par une loi qui vous viserait directement, vous, en tant qu&rsquo;entreprise.<\/p>\n\n<p class=\"wp-block-paragraph\">Le libell\u00e9 exact de la clause varie d&rsquo;un contrat \u00e0 l&rsquo;autre et d&rsquo;un int\u00e9grateur \u00e0 l&rsquo;autre. Les documents officiels du Programme canadien de certification en cybers\u00e9curit\u00e9, publi\u00e9s par le gouvernement f\u00e9d\u00e9ral, restent la r\u00e9f\u00e9rence si vous voulez lire la m\u00e9canique exacte plut\u00f4t qu&rsquo;un r\u00e9sum\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Notre propre analyse de <a href=\"https:\/\/factero.ca\/blog\/analyse-contrats-mdn-marchandises-controlees-cpcsc\/\">362 845 contrats du MDN<\/a> montre l&rsquo;ampleur r\u00e9elle de cette cha\u00eene. Le tissu manufacturier qu\u00e9b\u00e9cois, en usinage, en \u00e9lectronique et en composites, en est une cible directe, bien au-del\u00e0 des entreprises qui pensent \u00eatre trop petites ou trop loin du donneur d&rsquo;ordre final pour \u00eatre concern\u00e9es.<\/p>\n\n<h2 id=\"quel-niveau-me-sera-demande-niveau-1-ou-niveau-2\" class=\"wp-block-heading\">Quel niveau me sera demand\u00e9, niveau 1 ou niveau 2 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">La r\u00e9ponse tient en une phrase : \u00e7a d\u00e9pend de ce que vous manipulez, pas de qui vous \u00eates.<\/p>\n\n<p class=\"wp-block-paragraph\">Le niveau exig\u00e9 se d\u00e9termine par la nature de l&rsquo;information que votre entreprise re\u00e7oit, traite ou stocke dans le cadre du contrat, ce que le programme appelle l&rsquo;information sp\u00e9cifi\u00e9e. Une PME de dix employ\u00e9s qui manipule de l&rsquo;information sensible peut se voir exiger un niveau plus \u00e9lev\u00e9 qu&rsquo;une entreprise de cent employ\u00e9s qui ne touche qu&rsquo;\u00e0 des donn\u00e9es g\u00e9n\u00e9riques. La taille de l&rsquo;entreprise et le rang dans la cha\u00eene n&rsquo;entrent pas dans le calcul, m\u00eame s&rsquo;ils influencent souvent, dans les faits, le type d&rsquo;information qui vous est confi\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous d\u00e9taillons les crit\u00e8res pr\u00e9cis dans <a href=\"https:\/\/factero.ca\/blog\/qui-est-vise-cpcsc\/\">Qui est vis\u00e9 par le CPCSC ? PME, sous-traitants et d\u00e9fense<\/a>. Voici, en r\u00e9sum\u00e9, ce qui distingue les deux niveaux actuellement d\u00e9finis par le programme.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Aspect<\/th><th>Niveau 1<\/th><th>Niveau 2<\/th><\/tr><\/thead><tbody><tr><td>M\u00e9thode de v\u00e9rification<\/td><td>Auto-\u00e9valuation par l&rsquo;entreprise, avec attestation de conformit\u00e9<\/td><td>V\u00e9rification par un \u00e9valuateur tiers accr\u00e9dit\u00e9<\/td><\/tr><tr><td>\u00c9tendue des contr\u00f4les<\/td><td>13 contr\u00f4les<\/td><td>Ensemble plus large, align\u00e9 sur le document technique ITSP.10.171 du Centre canadien pour la cybers\u00e9curit\u00e9<\/td><\/tr><tr><td>En vigueur depuis<\/td><td>Avril 2026<\/td><td>Int\u00e9gration graduelle aux contrats pr\u00e9vue \u00e0 partir du printemps 2027<\/td><\/tr><tr><td>Ce que \u00e7a change pour vous<\/td><td>Vous pouvez d\u00e9marrer et compl\u00e9ter la d\u00e9marche \u00e0 l&rsquo;interne<\/td><td>Le bassin d&rsquo;\u00e9valuateurs accr\u00e9dit\u00e9s au Canada est encore restreint ; personne, \u00e0 ce jour, ne peut vous garantir un audit de niveau 2 dans un d\u00e9lai serr\u00e9<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Si votre client vous parle de niveau 2 pour un contrat qui ferme dans les prochaines semaines, posez la question directement : qui, au Canada, est actuellement en mesure de r\u00e9aliser cette v\u00e9rification ? La r\u00e9ponse, \u00e0 ce jour, n&rsquo;est pas simple, et c&rsquo;est un probl\u00e8me qui touche autant votre client que vous.<\/p>\n\n<h2 id=\"quels-delais-reels-pour-un-sous-traitant-de-la-defense-qui-doit-se-conformer-sans-perdre-le-contrat\" class=\"wp-block-heading\">Quels d\u00e9lais r\u00e9els pour un sous-traitant de la d\u00e9fense qui doit se conformer sans perdre le contrat ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Cette exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense suit un calendrier diff\u00e9rent selon le niveau vis\u00e9 : pour le niveau 1, les d\u00e9lais restent raisonnables si vous vous y mettez t\u00f4t.<\/strong> L&rsquo;auto-\u00e9valuation porte sur 13 contr\u00f4les, en vigueur depuis l&rsquo;annonce de Services publics et Approvisionnement Canada (SPAC) en avril 2026. Ce n&rsquo;est pas un audit de plusieurs mois : c&rsquo;est un exercice de quelques semaines pour une entreprise qui a d\u00e9j\u00e0 une hygi\u00e8ne de base (comptes utilisateurs g\u00e9r\u00e9s, correctifs appliqu\u00e9s, sauvegardes test\u00e9es) et qui accepte de documenter ce qu&rsquo;elle fait d\u00e9j\u00e0. Nous d\u00e9taillons la d\u00e9marche pas \u00e0 pas dans <a href=\"https:\/\/factero.ca\/blog\/auto-evaluation-pccc-niveau-1-mode-emploi\/\">Auto-\u00e9valuation PCCC niveau 1 : le mode d&#8217;emploi pas \u00e0 pas<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">Le vrai risque de d\u00e9lai vient d&rsquo;un autre endroit : l&rsquo;entreprise qui re\u00e7oit la clause et qui la laisse dormir. Un dossier commenc\u00e9 la semaine de l&rsquo;\u00e9ch\u00e9ance ressemble rarement \u00e0 un dossier commenc\u00e9 trois mois plus t\u00f4t.<\/p>\n\n<p class=\"wp-block-paragraph\">Pour le niveau 2, la pression est diff\u00e9rente. Le programme pr\u00e9voit une int\u00e9gration graduelle aux contrats \u00e0 partir du printemps 2027, et certains grands int\u00e9grateurs qui anticipent cette \u00e9ch\u00e9ance ont d\u00e9j\u00e0 entam\u00e9 un cycle de pr\u00e9paration de 12 \u00e0 18 mois. Si votre client vous parle aujourd&rsquo;hui de niveau 2, ce n&rsquo;est pas de la pr\u00e9cipitation de sa part : c&rsquo;est un donneur d&rsquo;ordre qui suit une \u00e9ch\u00e9ance qu&rsquo;il conna\u00eet mieux que vous.<\/p>\n\n<h2 id=\"mon-client-exige-une-certification-cybersecurite-que-repondre-en-attendant-d-etre-pret\" class=\"wp-block-heading\">Mon client exige une certification cybers\u00e9curit\u00e9 : que r\u00e9pondre en attendant d&rsquo;\u00eatre pr\u00eat ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Cinq gestes concrets, dans l&rsquo;ordre.<\/p>\n\n<ol class=\"wp-block-list\"><li>Accusez r\u00e9ception par \u00e9crit, tout de suite. Un dirigeant qui r\u00e9pond rapidement, avec un accus\u00e9 de r\u00e9ception clair, envoie un signal compl\u00e8tement diff\u00e9rent de celui qui laisse le courriel sans r\u00e9ponse pendant plusieurs semaines.<\/li><li>Confirmez le niveau exact demand\u00e9 et le type d&rsquo;information vis\u00e9e. Ne devinez pas : demandez \u00e0 votre client de pr\u00e9ciser, par \u00e9crit, ce qui justifie le niveau qu&rsquo;il exige.<\/li><li>Faites un \u00e9tat des lieux honn\u00eate de vos 13 contr\u00f4les, si le niveau 1 est vis\u00e9, ou de votre posture g\u00e9n\u00e9rale, si le niveau 2 est \u00e9voqu\u00e9. Couvert, partiellement couvert, \u00e9cart. Pas de zone grise.<\/li><li>Proposez un \u00e9ch\u00e9ancier dat\u00e9, m\u00eame provisoire, plut\u00f4t qu&rsquo;une promesse vague. \u00ab Nous visons telle date \u00bb vaut mieux que \u00ab nous travaillons l\u00e0-dessus \u00bb.<\/li><li>Documentez chaque geste au fur et \u00e0 mesure. Le jour o\u00f9 votre client demandera des preuves, vous voulez les avoir sous la main, pas les reconstruire de m\u00e9moire.<\/li><\/ol>\n\n<h2 id=\"refuser-une-exigence-cybersecurite-sous-traitant-defense-que-perd-on-vraiment\" class=\"wp-block-heading\">Refuser une exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense : que perd-on vraiment ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Vous pouvez refuser.<\/strong> Personne ne peut vous y obliger l\u00e9galement au sens o\u00f9 une loi g\u00e9n\u00e9rale vous viserait directement, aujourd&rsquo;hui. Ce que vous perdez, c&rsquo;est plus concret qu&rsquo;une abstraction juridique.<\/p>\n\n<p class=\"wp-block-paragraph\">Le contrat en cours, d&rsquo;abord, si la clause y est rattach\u00e9e avec une \u00e9ch\u00e9ance. Ensuite, et c&rsquo;est souvent plus co\u00fbteux \u00e0 moyen terme, votre place dans la liste de fournisseurs qualifi\u00e9s pour les prochains appels d&rsquo;offres du m\u00eame donneur d&rsquo;ordre. Les grands int\u00e9grateurs de d\u00e9fense qualifient leurs fournisseurs une fois, puis ach\u00e8tent dans cette liste pendant des ann\u00e9es. En sortir co\u00fbte cher \u00e0 y revenir.<\/p>\n\n<p class=\"wp-block-paragraph\">Il y a aussi ce qu&rsquo;on entend rarement dire \u00e0 voix haute : un fournisseur qui refuse net devient, aux yeux de son client, un maillon faible dans la propre cha\u00eene de conformit\u00e9 de ce client envers le MDN. Ce n&rsquo;est pas une accusation, c&rsquo;est une m\u00e9canique. Le donneur d&rsquo;ordre a lui-m\u00eame des comptes \u00e0 rendre plus haut dans la cha\u00eene, et il choisira, \u00e0 terme, des fournisseurs qui ne le mettent pas en d\u00e9faut.<\/p>\n\n<p class=\"wp-block-paragraph\">Le guide complet du programme, <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">CPCSC \/ PCCC : guide complet de la certification cyberd\u00e9fense<\/a>, explique l&rsquo;ensemble de la d\u00e9marche si vous voulez la vue d&rsquo;ensemble avant de r\u00e9pondre \u00e0 votre client.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous avons nous-m\u00eames compl\u00e9t\u00e9 l&rsquo;auto-\u00e9valuation PCCC niveau 1 pour notre propre cabinet, question de ne pas \u00eatre le cordonnier mal chauss\u00e9 qui accompagne ce genre de d\u00e9marche sans l&rsquo;avoir v\u00e9cue. Vous avez re\u00e7u la clause et l&rsquo;\u00e9ch\u00e9ance ? <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">Un plan de conformit\u00e9 r\u00e9aliste<\/a> se construit en quelques semaines, par un cabinet ind\u00e9pendant membre de la CADSI (Association canadienne des industries de d\u00e9fense et de s\u00e9curit\u00e9), sans produit \u00e0 vendre. Notre r\u00f4le est de structurer votre dossier et votre calendrier pour r\u00e9pondre \u00e0 votre donneur d&rsquo;ordre avec un \u00e9ch\u00e9ancier cr\u00e9dible ; vous restez le seul \u00e0 d\u00e9cider et \u00e0 signer l&rsquo;attestation.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">plan de conformit\u00e9 PCCC pour sous-traitant<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit informatique ind\u00e9pendant de vos \u00e9carts<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quels contr\u00f4les concrets dois-je mettre en place pour le niveau 1 du PCCC ?<\/summary><p class=\"wp-block-paragraph\">Treize contr\u00f4les au total, centr\u00e9s sur l&rsquo;hygi\u00e8ne de base : gestion des comptes utilisateurs, application des correctifs, sauvegardes test\u00e9es, contr\u00f4le des acc\u00e8s. Rien d&rsquo;exotique pour une entreprise qui a d\u00e9j\u00e0 une discipline TI minimale. <a href=\"https:\/\/factero.ca\/blog\/auto-evaluation-pccc-niveau-1-mode-emploi\/\">Auto-\u00e9valuation PCCC niveau 1 : le mode d&#8217;emploi pas \u00e0 pas<\/a> d\u00e9taille chacun des treize, avec les preuves \u00e0 documenter.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Que se passe-t-il si mon entreprise ne peut pas se conformer avant l&rsquo;\u00e9ch\u00e9ance ?<\/summary><p class=\"wp-block-paragraph\">\u00c7a d\u00e9pend de la marge de man\u0153uvre de votre client. Certains acceptent un \u00e9ch\u00e9ancier de rattrapage document\u00e9, d&rsquo;autres non. La pire r\u00e9ponse est le silence : un dossier en retard accompagn\u00e9 d&rsquo;un plan concret vaut mieux qu&rsquo;une absence de r\u00e9ponse.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Dois-je moi-m\u00eame transf\u00e9rer cette exigence \u00e0 mes propres sous-traitants ?<\/summary><p class=\"wp-block-paragraph\">Oui, si un de vos propres sous-traitants traite, stocke ou transmet l&rsquo;information vis\u00e9e par votre contrat. C&rsquo;est la m\u00eame m\u00e9canique en cascade qui vous a vis\u00e9, un rang plus bas : le flow-down ne s&rsquo;arr\u00eate pas \u00e0 vous, il continue tant qu&rsquo;il y a un fournisseur suivant dans la cha\u00eene qui touche \u00e0 cette information. V\u00e9rifiez vos propres ententes de sous-traitance avant de signer l&rsquo;engagement envers votre client.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Qui paie les co\u00fbts de la mise en conformit\u00e9, mon entreprise ou mon donneur d&rsquo;ordre ?<\/summary><p class=\"wp-block-paragraph\">En g\u00e9n\u00e9ral, vous. La mise en conformit\u00e9 reste \u00e0 la charge de l&rsquo;entreprise qui doit se certifier, comme pour la plupart des exigences contractuelles transf\u00e9r\u00e9es \u00e0 un fournisseur. Rien n&#8217;emp\u00eache de n\u00e9gocier un accompagnement avec votre client, surtout si votre contrat compte pour lui, mais ce n&rsquo;est pas un droit acquis. Posez la question directement plut\u00f4t que de pr\u00e9sumer une r\u00e9ponse.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Une certification ISO ou un rapport de s\u00e9curit\u00e9 existant peut-il remplacer le PCCC ?<\/summary><p class=\"wp-block-paragraph\">Pas directement. Le PCCC est un programme f\u00e9d\u00e9ral canadien propre \u00e0 la cha\u00eene d&rsquo;approvisionnement de d\u00e9fense, distinct des certifications priv\u00e9es comme ISO 27001. Une certification existante peut appuyer certaines preuves de votre dossier, mais elle ne se substitue pas \u00e0 l&rsquo;auto-\u00e9valuation ou \u00e0 la v\u00e9rification exig\u00e9es par le programme.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/nouvelles\/2026\/04\/le-gouvernement-du-canada-lance-le-niveau-1-du-programme-canadien-de-certification-en-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Annonce du niveau 1 du PCCC par Services publics et Approvisionnement Canada (SPAC), avril 2026<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme canadien de certification en cybers\u00e9curit\u00e9 (page officielle du gouvernement du Canada)<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 : Centre canadien pour la cybers\u00e9curit\u00e9<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Quels contr\u00f4les concrets dois-je mettre en place pour le niveau 1 du PCCC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Treize contr\u00f4les au total, centr\u00e9s sur l\\u0027hygi\u00e8ne de base : gestion des comptes utilisateurs, application des correctifs, sauvegardes test\u00e9es, contr\u00f4le des acc\u00e8s. Rien d\\u0027exotique pour une entreprise qui a d\u00e9j\u00e0 une discipline TI minimale. Auto-\u00e9valuation PCCC niveau 1 : le mode d\\u0027emploi pas \u00e0 pas d\u00e9taille chacun des treize, avec les preuves \u00e0 documenter.\"}},{\"@type\":\"Question\",\"name\":\"Que se passe-t-il si mon entreprise ne peut pas se conformer avant l\\u0027\u00e9ch\u00e9ance ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"\u00c7a d\u00e9pend de la marge de man\u0153uvre de votre client. Certains acceptent un \u00e9ch\u00e9ancier de rattrapage document\u00e9, d\\u0027autres non. La pire r\u00e9ponse est le silence : un dossier en retard accompagn\u00e9 d\\u0027un plan concret vaut mieux qu\\u0027une absence de r\u00e9ponse.\"}},{\"@type\":\"Question\",\"name\":\"Dois-je moi-m\u00eame transf\u00e9rer cette exigence \u00e0 mes propres sous-traitants ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, si un de vos propres sous-traitants traite, stocke ou transmet l\\u0027information vis\u00e9e par votre contrat. C\\u0027est la m\u00eame m\u00e9canique en cascade qui vous a vis\u00e9, un rang plus bas : le flow-down ne s\\u0027arr\u00eate pas \u00e0 vous, il continue tant qu\\u0027il y a un fournisseur suivant dans la cha\u00eene qui touche \u00e0 cette information. V\u00e9rifiez vos propres ententes de sous-traitance avant de signer l\\u0027engagement envers votre client.\"}},{\"@type\":\"Question\",\"name\":\"Qui paie les co\u00fbts de la mise en conformit\u00e9, mon entreprise ou mon donneur d\\u0027ordre ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"En g\u00e9n\u00e9ral, vous. La mise en conformit\u00e9 reste \u00e0 la charge de l\\u0027entreprise qui doit se certifier, comme pour la plupart des exigences contractuelles transf\u00e9r\u00e9es \u00e0 un fournisseur. Rien n\\u0027emp\u00eache de n\u00e9gocier un accompagnement avec votre client, surtout si votre contrat compte pour lui, mais ce n\\u0027est pas un droit acquis. Posez la question directement plut\u00f4t que de pr\u00e9sumer une r\u00e9ponse.\"}},{\"@type\":\"Question\",\"name\":\"Une certification ISO ou un rapport de s\u00e9curit\u00e9 existant peut-il remplacer le PCCC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pas directement. Le PCCC est un programme f\u00e9d\u00e9ral canadien propre \u00e0 la cha\u00eene d\\u0027approvisionnement de d\u00e9fense, distinct des certifications priv\u00e9es comme ISO 27001. Une certification existante peut appuyer certaines preuves de votre dossier, mais elle ne se substitue pas \u00e0 l\\u0027auto-\u00e9valuation ou \u00e0 la v\u00e9rification exig\u00e9es par le programme.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Exigence cybers\u00e9curit\u00e9 sous-traitant d\u00e9fense : ce que le flow-down CPCSC signifie, les d\u00e9lais r\u00e9els et 5 gestes pour r\u00e9pondre sans perdre le contrat.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[1248,82,1254,1244,1246,1256,1252,1250],"class_list":["post-891","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-clause-cybersecurite-donneur-dordre","tag-cpcsc","tag-defence-subcontractor-cybersecurity-canada","tag-exigence-cybersecurite-sous-traitant-defense","tag-flow-down-cpcsc","tag-mon-client-exige-une-certification-cybersecurite","tag-pccc-sous-traitants","tag-sous-traitant-defense-certification-obligatoire"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/891","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=891"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/891\/revisions"}],"predecessor-version":[{"id":1384,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/891\/revisions\/1384"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=891"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=891"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=891"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}