{"id":894,"date":"2026-10-09T07:00:00","date_gmt":"2026-10-09T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=894"},"modified":"2026-09-04T13:01:44","modified_gmt":"2026-09-04T18:01:44","slug":"pccc-pme-sans-ti-interne","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/pccc-pme-sans-ti-interne\/","title":{"rendered":"PCCC PME qu\u00e9b\u00e9coise : l&rsquo;effort r\u00e9aliste sans \u00e9quipe TI interne"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>PCCC PME qu\u00e9b\u00e9coise : le niveau 1, une auto-\u00e9valuation de 13 contr\u00f4les en vigueur depuis avril 2026, est atteignable pour une entreprise de 10 \u00e0 100 employ\u00e9s sans d\u00e9partement TI.<\/strong> La majorit\u00e9 des exigences rel\u00e8vent de la cyberhygi\u00e8ne de base, pas de technologie de pointe. L&rsquo;effort se compte en heures, pas en mois, si le portrait est honn\u00eate d\u00e8s le d\u00e9part.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"PCCC PME qu\u00e9b\u00e9coise : l'effort r\u00e9aliste sans TI interne\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Vous dirigez une PME de 10 \u00e0 100 employ\u00e9s. Un appel d&rsquo;offres ou un donneur d&rsquo;ordre vient de mentionner le PCCC, le Programme canadien de certification en cybers\u00e9curit\u00e9, aussi d\u00e9sign\u00e9 CPCSC en anglais. Personne chez vous ne porte le titre de responsable TI : tout passe par un fournisseur externe. Cet article r\u00e9pond \u00e0 une seule question, honn\u00eatement : est-ce r\u00e9aliste pour une entreprise de votre taille, ou vaut-il mieux laisser tomber la d\u00e9fense ?<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#pccc-pme-quebecoise-un-objectif-realiste-avec-10-a-100-employes\">PCCC PME qu\u00e9b\u00e9coise : un objectif r\u00e9aliste avec 10 \u00e0 100 employ\u00e9s ?<\/a><\/li><li class=\"\"><a href=\"#pccc-sans-departement-ti-qui-fait-le-travail-votre-fournisseur-vous-ou-un-tiers\">PCCC sans d\u00e9partement TI : qui fait le travail, votre fournisseur, vous, ou un tiers ?<\/a><\/li><li class=\"\"><a href=\"#pccc-petite-entreprise-que-couvrent-concretement-les-13-controles-du-niveau-1\">PCCC petite entreprise : que couvrent concr\u00e8tement les 13 contr\u00f4les du niveau 1 ?<\/a><\/li><li class=\"\"><a href=\"#combien-d-heures-de-votre-temps-de-dirigeant-le-pccc-prendra-t-il\">Combien d&rsquo;heures de votre temps de dirigeant le PCCC prendra-t-il ?<\/a><\/li><li class=\"\"><a href=\"#quelles-sont-les-bonnes-raisons-de-laisser-tomber-et-les-mauvaises\">Quelles sont les bonnes raisons de laisser tomber, et les mauvaises ?<\/a><\/li><li class=\"\"><a href=\"#quel-est-le-calendrier-minimal-si-vous-decidez-d-y-aller\">Quel est le calendrier minimal si vous d\u00e9cidez d&rsquo;y aller ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"pccc-pme-quebecoise-un-objectif-realiste-avec-10-a-100-employes\" class=\"wp-block-heading\">PCCC PME qu\u00e9b\u00e9coise : un objectif r\u00e9aliste avec 10 \u00e0 100 employ\u00e9s ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Oui, pour le niveau 1. C&rsquo;est le niveau qui concerne la grande majorit\u00e9 des PME de la cha\u00eene d&rsquo;approvisionnement de la D\u00e9fense, et il faut le dire clairement plut\u00f4t que de laisser planer le doute. Le <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">PCCC compte trois niveaux<\/a>, de complexit\u00e9 croissante. Le niveau 1 repose sur une auto-\u00e9valuation de 13 contr\u00f4les, sans \u00e9valuateur externe obligatoire. Le niveau 2 exige une v\u00e9rification par un organisme tiers accr\u00e9dit\u00e9, une d\u00e9marche plus lourde qui ne touche pas la majorit\u00e9 des PME. Si un contrat ou un appel d&rsquo;offres ne mentionne que le niveau 1, la question de votre taille d&rsquo;\u00e9quipe n&rsquo;est pas l&rsquo;obstacle qu&rsquo;elle semble \u00eatre.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce qui rend le niveau 1 atteignable pour une petite entreprise, ce n&rsquo;est pas l&rsquo;absence d&rsquo;exigences. C&rsquo;est leur nature. Les <a href=\"https:\/\/factero.ca\/blog\/pccc-niveau-1-auto-evaluation\/\">13 contr\u00f4les<\/a> portent sur la cyberhygi\u00e8ne de base : qui a acc\u00e8s \u00e0 quoi, des mots de passe qui prot\u00e8gent r\u00e9ellement, des comptes ferm\u00e9s \u00e0 temps, des sauvegardes test\u00e9es. Rien de tout cela n&rsquo;exige un ing\u00e9nieur en s\u00e9curit\u00e9 \u00e0 temps plein. Beaucoup d&rsquo;entreprises couvrent d\u00e9j\u00e0 une bonne partie de ces exigences sans le savoir, simplement parce qu&rsquo;un fournisseur TI s\u00e9rieux applique ces pratiques par d\u00e9faut.<\/p>\n\n<p class=\"wp-block-paragraph\">L&rsquo;auto-\u00e9valuation n&rsquo;exige pas d&rsquo;\u00e9valuateur externe. C&rsquo;est vrai, et c&rsquo;est important. Mais l&rsquo;attestation ne co\u00fbte rien tant qu&rsquo;elle reste exacte : une d\u00e9claration fausse engage votre entreprise, pas votre fournisseur TI, un point sur lequel on revient plus loin. Chez Factero, notre propre auto-attestation PCCC niveau 1 est d\u00e9pos\u00e9e, pas hypoth\u00e9tique.<\/p>\n\n<h2 id=\"pccc-sans-departement-ti-qui-fait-le-travail-votre-fournisseur-vous-ou-un-tiers\" class=\"wp-block-heading\">PCCC sans d\u00e9partement TI : qui fait le travail, votre fournisseur, vous, ou un tiers ?<\/h2>\n\n<p class=\"wp-block-paragraph\">La r\u00e9alit\u00e9 de la plupart des PME de 10 \u00e0 100 employ\u00e9s : tout l&rsquo;informatique passe par un fournisseur de services infog\u00e9r\u00e9s externe, un MSP (managed service provider, en anglais). Pas de responsable TI \u00e0 l&rsquo;interne, pas de comit\u00e9 de s\u00e9curit\u00e9, un contrat de service et un num\u00e9ro \u00e0 appeler quand \u00e7a bloque. Ce n&rsquo;est pas un probl\u00e8me en soi. C&rsquo;est le point de d\u00e9part le plus courant, et le PCCC niveau 1 a \u00e9t\u00e9 pens\u00e9 pour des entreprises dans cette situation.<\/p>\n\n<p class=\"wp-block-paragraph\">Trois r\u00f4les distincts entrent en jeu, et les confondre est l&rsquo;erreur la plus fr\u00e9quente.<\/p>\n\n<ul class=\"wp-block-list\"><li>Votre fournisseur TI ex\u00e9cute. Il configure la v\u00e9rification en deux \u00e9tapes, ferme les comptes, teste les sauvegardes. C&rsquo;est le travail technique, et c&rsquo;est le sien.<\/li><li>Vous, dirigeant, attestez. L&rsquo;auto-\u00e9valuation se d\u00e9pose au nom de votre entreprise, pas au nom de votre fournisseur TI. Signer une attestation que vous n&rsquo;avez jamais lue vous-m\u00eame, en vous fiant enti\u00e8rement \u00e0 ce que votre fournisseur vous dit \u00eatre vrai, revient \u00e0 signer un contrat sans le lire.<\/li><li>Un regard ext\u00e9rieur, m\u00eame informel, aide \u00e0 voir ce que votre fournisseur ne voit pas de lui-m\u00eame. <a href=\"https:\/\/factero.ca\/blog\/independance-audit-fournisseur-ti\/\">Un fournisseur TI qui g\u00e8re votre environnement au quotidien a un angle mort structurel pour juger son propre travail<\/a>, m\u00eame quand ce travail est excellent. Ce n&rsquo;est pas une question de confiance. Personne ne rep\u00e8re facilement ses propres angles morts. Pour le niveau 1, ce second regard n&rsquo;a pas besoin d&rsquo;\u00eatre un audit formel : une r\u00e9vision honn\u00eate, par vous ou par un tiers, avant de cocher \u00ab oui \u00bb aux 13 contr\u00f4les, suffit \u00e0 r\u00e9duire ce risque.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">PCCC PME qu\u00e9b\u00e9coise, r\u00e9sum\u00e9 en une ligne : le fournisseur ex\u00e9cute, le dirigeant atteste, un regard ext\u00e9rieur valide.<\/p>\n\n<h2 id=\"pccc-petite-entreprise-que-couvrent-concretement-les-13-controles-du-niveau-1\" class=\"wp-block-heading\">PCCC petite entreprise : que couvrent concr\u00e8tement les 13 contr\u00f4les du niveau 1 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Traduits en t\u00e2ches, sans jargon, voici ce que les 13 contr\u00f4les demandent r\u00e9ellement \u00e0 une PME sans TI interne, et qui s&rsquo;en charge d&rsquo;ordinaire.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Cat\u00e9gorie<\/th><th>T\u00e2che concr\u00e8te<\/th><th>Qui s&rsquo;en charge typiquement<\/th><\/tr><\/thead><tbody><tr><td>Comptes et acc\u00e8s<\/td><td>Dresser la liste de qui a acc\u00e8s \u00e0 quoi, \u00e9liminer les comptes partag\u00e9s entre employ\u00e9s<\/td><td>Le dirigeant confirme la liste, le fournisseur TI l&rsquo;ex\u00e9cute<\/td><\/tr><tr><td>Mots de passe et authentification<\/td><td>Activer une v\u00e9rification en deux \u00e9tapes sur les comptes critiques<\/td><td>Le fournisseur TI configure, le dirigeant impose la politique<\/td><\/tr><tr><td>D\u00e9parts d&#8217;employ\u00e9s<\/td><td>Fermer les acc\u00e8s le jour m\u00eame du d\u00e9part<\/td><td>Les ressources humaines avisent, le fournisseur TI ex\u00e9cute sans d\u00e9lai<\/td><\/tr><tr><td>Supports amovibles<\/td><td>R\u00e9pertorier ce qui circule sur des cl\u00e9s USB non chiffr\u00e9es<\/td><td>Le dirigeant ou un adjoint documente, le fournisseur TI chiffre ou retire l&rsquo;acc\u00e8s<\/td><\/tr><tr><td>Acc\u00e8s physique<\/td><td>Identifier qui peut s&rsquo;approcher des postes et machines reli\u00e9s au r\u00e9seau<\/td><td>Le dirigeant, souvent le seul \u00e0 conna\u00eetre l&rsquo;atelier ou le bureau au complet<\/td><\/tr><tr><td>Sauvegardes<\/td><td>Restaurer une sauvegarde pour v\u00e9rifier qu&rsquo;elle fonctionne vraiment<\/td><td>Le fournisseur TI ex\u00e9cute le test, le dirigeant exige la preuve \u00e9crite<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Aucune de ces t\u00e2ches n&rsquo;exige un budget \u00e9lev\u00e9. La plupart demandent une d\u00e9cision claire, pas un achat. Le dirigeant d\u00e9cide qui a le pouvoir de fermer un compte ou d&rsquo;approuver une politique. Le fournisseur TI ex\u00e9cute la technique. Quelqu&rsquo;un, souvent le dirigeant lui-m\u00eame dans une \u00e9quipe de cette taille, documente ce qui a \u00e9t\u00e9 fait pour que l&rsquo;attestation repose sur des faits v\u00e9rifi\u00e9s, pas sur une impression g\u00e9n\u00e9rale.<\/p>\n\n<h2 id=\"combien-d-heures-de-votre-temps-de-dirigeant-le-pccc-prendra-t-il\" class=\"wp-block-heading\">Combien d&rsquo;heures de votre temps de dirigeant le PCCC prendra-t-il ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Le premier passage honn\u00eate des 13 contr\u00f4les, avec les personnes qui g\u00e8rent r\u00e9ellement vos comptes et vos acc\u00e8s, prend typiquement une demi-journ\u00e9e \u00e0 une journ\u00e9e compl\u00e8te de votre temps, r\u00e9parti sur une ou deux rencontres avec votre fournisseur TI.<\/strong> C&rsquo;est le geste qui compte le plus : sans ce portrait honn\u00eate, tout le reste repose sur des suppositions.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est la question que peu de guides sur le PCCC PME qu\u00e9b\u00e9coise osent chiffrer. Ce qui suit vient de notre exp\u00e9rience d&rsquo;accompagnement, pas d&rsquo;une statistique nationale : les fourchettes varient selon votre point de d\u00e9part, pas selon la complexit\u00e9 du niveau 1 lui-m\u00eame.<\/p>\n\n<p class=\"wp-block-paragraph\">Si votre hygi\u00e8ne de base est d\u00e9j\u00e0 solide, la confirmation des correctifs restants et la lecture de l&rsquo;attestation avant de la d\u00e9poser se comptent en quelques heures \u00e9tal\u00e9es sur deux ou trois semaines. Si l&rsquo;exercice r\u00e9v\u00e8le des \u00e9carts s\u00e9rieux, un compte d&rsquo;ancien employ\u00e9 encore actif, des plans qui dorment sur une cl\u00e9 USB, une sauvegarde jamais restaur\u00e9e, votre temps de dirigeant reste limit\u00e9 : c&rsquo;est le temps de votre fournisseur TI pour corriger qui grandit, pas n\u00e9cessairement le v\u00f4tre. Ce temps-l\u00e0 se facture s\u00e9par\u00e9ment, selon l&rsquo;ampleur des \u00e9carts, et ne se devine pas \u00e0 l&rsquo;avance.<\/p>\n\n<h2 id=\"quelles-sont-les-bonnes-raisons-de-laisser-tomber-et-les-mauvaises\" class=\"wp-block-heading\">Quelles sont les bonnes raisons de laisser tomber, et les mauvaises ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Certains dirigeants concluent, apr\u00e8s r\u00e9flexion, que le PCCC PME qu\u00e9b\u00e9coise n&rsquo;est pas pour eux. C&rsquo;est une d\u00e9cision l\u00e9gitime.<\/p>\n\n<p class=\"wp-block-paragraph\">Trois raisons valables de laisser tomber la d\u00e9fense :<\/p>\n\n<ul class=\"wp-block-list\"><li>Vos revenus li\u00e9s \u00e0 la D\u00e9fense sont marginaux et rien n&rsquo;indique qu&rsquo;ils grandiront : l&rsquo;effort de gouvernance, m\u00eame modeste, ne se justifie pas pour une part accessoire de votre chiffre d&rsquo;affaires.<\/li><li>Votre parc technologique repose sur des \u00e9quipements qu&rsquo;aucune mise \u00e0 jour ne peut plus corriger, une vieille machine de production par exemple, et le remplacer co\u00fbterait plus cher que la valeur des contrats vis\u00e9s.<\/li><li>Votre entreprise se dirige d\u00e9lib\u00e9r\u00e9ment vers d&rsquo;autres march\u00e9s, et investir maintenant dans une conformit\u00e9 sp\u00e9cifique \u00e0 la D\u00e9fense n&rsquo;a pas de sens strat\u00e9gique pour les prochaines ann\u00e9es.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Trois mauvaises raisons de laisser tomber, qu&rsquo;on entend plus souvent :<\/p>\n\n<ul class=\"wp-block-list\"><li>\u00ab On n&rsquo;a pas de d\u00e9partement TI, \u00e7a doit \u00eatre trop compliqu\u00e9 pour nous. \u00bb Le niveau 1 a \u00e9t\u00e9 construit pour des entreprises exactement dans cette situation. La peur de l&rsquo;inconnu n&rsquo;est pas une preuve de complexit\u00e9 r\u00e9elle.<\/li><li>\u00ab Mon fournisseur TI va s&rsquo;en occuper, tout sera beau. \u00bb Confier l&rsquo;ex\u00e9cution technique \u00e0 votre fournisseur est correct. Pr\u00e9sumer que cela r\u00e8gle l&rsquo;attestation sans jamais la lire vous-m\u00eame ne l&rsquo;est pas : c&rsquo;est votre entreprise qui signe, pas la sienne.<\/li><li>\u00ab On verra plus tard, on n&rsquo;a pas de contrat en vue pour l&rsquo;instant. \u00bb L&rsquo;exigence PCCC peut appara\u00eetre dans un appel d&rsquo;offres avec un d\u00e9lai de r\u00e9ponse serr\u00e9. Le temps de pr\u00e9paration ne se compte pas \u00e0 partir du jour o\u00f9 elle appara\u00eet, mais \u00e0 rebours de la date de cl\u00f4ture de l&rsquo;appel d&rsquo;offres.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Notre propre analyse des <a href=\"https:\/\/factero.ca\/blog\/analyse-contrats-mdn-marchandises-controlees-cpcsc\/\">362 845 contrats publics du minist\u00e8re de la D\u00e9fense nationale<\/a> a recens\u00e9 65 442 fournisseurs uniques ayant obtenu au moins un contrat depuis 2008, dont 3 144 identifi\u00e9s au Qu\u00e9bec. Un fournisseur parmi 65 442, ce n&rsquo;est structurellement pas un club ferm\u00e9 de grands int\u00e9grateurs. Beaucoup de PME manufacturi\u00e8res et de sous-traitance qu\u00e9b\u00e9coises entrent d\u00e9j\u00e0 dans cette cha\u00eene sans jamais s&rsquo;\u00eatre compar\u00e9es \u00e0 un fournisseur de d\u00e9fense.<\/p>\n\n<h2 id=\"quel-est-le-calendrier-minimal-si-vous-decidez-d-y-aller\" class=\"wp-block-heading\">Quel est le calendrier minimal si vous d\u00e9cidez d&rsquo;y aller ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Si vous d\u00e9cidez d&rsquo;aller de l&rsquo;avant, un calendrier simple suffit pour une PME de cette taille.<\/p>\n\n<ol class=\"wp-block-list\"><li>Semaine 1 : passage complet des 13 contr\u00f4les avec la personne qui g\u00e8re vos acc\u00e8s, vos comptes et vos sauvegardes, g\u00e9n\u00e9ralement votre fournisseur TI, en pr\u00e9sence du dirigeant.<\/li><li>Semaines 2 \u00e0 4 : correction des \u00e9carts prioritaires identifi\u00e9s, comptes ferm\u00e9s, authentification en deux \u00e9tapes activ\u00e9e, premi\u00e8re restauration de sauvegarde test\u00e9e.<\/li><li>Avant le d\u00e9p\u00f4t de l&rsquo;attestation : lecture ligne par ligne des 13 contr\u00f4les par le dirigeant, pas seulement une confirmation verbale du fournisseur.<\/li><li>D\u00e9p\u00f4t de l&rsquo;auto-\u00e9valuation dans l&rsquo;outil gouvernemental, gratuit, avant l&rsquo;\u00e9ch\u00e9ance fix\u00e9e par le contrat ou l&rsquo;appel d&rsquo;offres qui l&rsquo;exige.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Rien dans ce calendrier n&rsquo;exige un consultant permanent ou un investissement \u00e9lev\u00e9. Ce qui aide, dans les entreprises que nous accompagnons, c&rsquo;est un regard ext\u00e9rieur ponctuel avant le d\u00e9p\u00f4t, pas apr\u00e8s un probl\u00e8me. Avant de d\u00e9cider d&rsquo;y aller ou de laisser tomber, une \u00e9valuation d&rsquo;\u00e9carts honn\u00eate vaut mieux qu&rsquo;une intuition. C&rsquo;est exactement ce que fait notre <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement CPCSC<\/a> : aucun service de rem\u00e9diation \u00e0 vous vendre derri\u00e8re le rapport. Le seul audit dont le r\u00e9sultat n&rsquo;est pas \u00e0 vendre.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement PCCC pour PME sans TI interne<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/gestion-relation-fournisseur\/\">gestion de la relation avec votre MSP<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/vcio\/\">vCIO, une direction TI \u00e0 temps partiel<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le PCCC est-il obligatoire pour ma PME ?<\/summary><p class=\"wp-block-paragraph\">Non, pas automatiquement. Le PCCC devient une exigence quand un contrat ou un appel d&rsquo;offres de la D\u00e9fense l&rsquo;impose explicitement, pas parce que votre entreprise existe. Si aucun donneur d&rsquo;ordre ne l&rsquo;a encore mentionn\u00e9, rien ne vous oblige \u00e0 vous certifier aujourd&rsquo;hui. Mais la cha\u00eene d&rsquo;approvisionnement de la D\u00e9fense compte des dizaines de milliers de fournisseurs, et l&rsquo;exigence peut appara\u00eetre avec peu de pr\u00e9avis dans un appel d&rsquo;offres.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Mon fournisseur TI (MSP) peut-il r\u00e9aliser lui-m\u00eame mon auto-\u00e9valuation PCCC ?<\/summary><p class=\"wp-block-paragraph\">Il peut ex\u00e9cuter la partie technique, mais l&rsquo;attestation se d\u00e9pose au nom de votre entreprise, pas de la sienne. Le laisser remplir et d\u00e9poser l&rsquo;auto-\u00e9valuation sans que vous la lisiez vous-m\u00eame cr\u00e9e un angle mort : personne n&rsquo;\u00e9value son propre travail avec un regard neutre.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien co\u00fbte la certification PCCC niveau 1 pour une PME ?<\/summary><p class=\"wp-block-paragraph\">Le niveau 1 ne facture aucuns frais de certification externe : c&rsquo;est une auto-\u00e9valuation, sans \u00e9valuateur accr\u00e9dit\u00e9 obligatoire, d\u00e9pos\u00e9e gratuitement dans l&rsquo;outil gouvernemental. Le co\u00fbt r\u00e9el se mesure en temps, le v\u00f4tre et celui de votre fournisseur TI pour corriger les \u00e9carts trouv\u00e9s, pas en honoraires fixes. Le niveau 2, lui, exige un \u00e9valuateur tiers accr\u00e9dit\u00e9, une d\u00e9pense distincte que le niveau 1 n&rsquo;impose pas.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Que risque-t-on si l&rsquo;auto-\u00e9valuation contient une erreur ?<\/summary><p class=\"wp-block-paragraph\">Une d\u00e9claration inexacte engage votre entreprise, pas seulement votre fournisseur TI. Ce n&rsquo;est pas une case administrative anodine. Un \u00e9cart document\u00e9 honn\u00eatement, avec un plan pour le corriger, n&rsquo;a rien \u00e0 voir avec une attestation qui pr\u00e9tend qu&rsquo;un probl\u00e8me n&rsquo;existe pas.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le niveau 1 suffit-il pour tous les contrats de la D\u00e9fense ?<\/summary><p class=\"wp-block-paragraph\">Non. Le niveau 1 couvre la cyberhygi\u00e8ne de base et concerne la majorit\u00e9 des PME. Un contrat qui touche de l&rsquo;information plus sensible peut exiger le niveau 2, une v\u00e9rification par un organisme tiers accr\u00e9dit\u00e9, une d\u00e9marche distincte et plus lourde.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC) \u2014 Services publics et Approvisionnement Canada, canada.ca<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 \u2014 Protection de l&rsquo;information d\u00e9sign\u00e9e (Centre canadien pour la cybers\u00e9curit\u00e9)<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/petites-moyennes-entreprises\" target=\"_blank\" rel=\"noopener nofollow\">Ressources cybers\u00e9curit\u00e9 pour PME \u2014 Innovation, Sciences et D\u00e9veloppement \u00e9conomique Canada<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Le PCCC est-il obligatoire pour ma PME ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, pas automatiquement. Le PCCC devient une exigence quand un contrat ou un appel d\\u0027offres de la D\u00e9fense l\\u0027impose explicitement, pas parce que votre entreprise existe. Si aucun donneur d\\u0027ordre ne l\\u0027a encore mentionn\u00e9, rien ne vous oblige \u00e0 vous certifier aujourd\\u0027hui. Mais la cha\u00eene d\\u0027approvisionnement de la D\u00e9fense compte des dizaines de milliers de fournisseurs, et l\\u0027exigence peut appara\u00eetre avec peu de pr\u00e9avis dans un appel d\\u0027offres.\"}},{\"@type\":\"Question\",\"name\":\"Mon fournisseur TI (MSP) peut-il r\u00e9aliser lui-m\u00eame mon auto-\u00e9valuation PCCC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Il peut ex\u00e9cuter la partie technique, mais l\\u0027attestation se d\u00e9pose au nom de votre entreprise, pas de la sienne. Le laisser remplir et d\u00e9poser l\\u0027auto-\u00e9valuation sans que vous la lisiez vous-m\u00eame cr\u00e9e un angle mort : personne n\\u0027\u00e9value son propre travail avec un regard neutre.\"}},{\"@type\":\"Question\",\"name\":\"Combien co\u00fbte la certification PCCC niveau 1 pour une PME ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Le niveau 1 ne facture aucuns frais de certification externe : c\\u0027est une auto-\u00e9valuation, sans \u00e9valuateur accr\u00e9dit\u00e9 obligatoire, d\u00e9pos\u00e9e gratuitement dans l\\u0027outil gouvernemental. Le co\u00fbt r\u00e9el se mesure en temps, le v\u00f4tre et celui de votre fournisseur TI pour corriger les \u00e9carts trouv\u00e9s, pas en honoraires fixes. Le niveau 2, lui, exige un \u00e9valuateur tiers accr\u00e9dit\u00e9, une d\u00e9pense distincte que le niveau 1 n\\u0027impose pas.\"}},{\"@type\":\"Question\",\"name\":\"Que risque-t-on si l\\u0027auto-\u00e9valuation contient une erreur ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Une d\u00e9claration inexacte engage votre entreprise, pas seulement votre fournisseur TI. Ce n\\u0027est pas une case administrative anodine. Un \u00e9cart document\u00e9 honn\u00eatement, avec un plan pour le corriger, n\\u0027a rien \u00e0 voir avec une attestation qui pr\u00e9tend qu\\u0027un probl\u00e8me n\\u0027existe pas.\"}},{\"@type\":\"Question\",\"name\":\"Le niveau 1 suffit-il pour tous les contrats de la D\u00e9fense ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Le niveau 1 couvre la cyberhygi\u00e8ne de base et concerne la majorit\u00e9 des PME. Un contrat qui touche de l\\u0027information plus sensible peut exiger le niveau 2, une v\u00e9rification par un organisme tiers accr\u00e9dit\u00e9, une d\u00e9marche distincte et plus lourde.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>PCCC PME qu\u00e9b\u00e9coise sans TI interne : effort r\u00e9aliste en heures, r\u00f4les clairs, et quand renoncer aux contrats de d\u00e9fense a du sens.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[1288,82,1292,1296,1286,1284,1294,1290],"class_list":["post-894","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-certification-cybersecurite-pme-defense","tag-cpcsc","tag-cpcsc-for-smbs","tag-mon-msp-peut-il-faire-le-pccc","tag-pccc-petite-entreprise","tag-pccc-pme-quebecoise","tag-pccc-realiste-pme-50-employes","tag-pccc-sans-departement-ti"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/894","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=894"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/894\/revisions"}],"predecessor-version":[{"id":1387,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/894\/revisions\/1387"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=894"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=894"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=894"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}