{"id":896,"date":"2026-10-14T07:00:00","date_gmt":"2026-10-14T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=896"},"modified":"2026-09-04T13:01:17","modified_gmt":"2026-09-04T18:01:17","slug":"exigence-cybersecurite-contrat-federal","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/exigence-cybersecurite-contrat-federal\/","title":{"rendered":"Une exigence de cybers\u00e9curit\u00e9 dans votre contrat f\u00e9d\u00e9ral ?"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral : la clause renvoie presque toujours \u00e0 l&rsquo;un de deux programmes, le PCCC (Programme canadien de certification en cybers\u00e9curit\u00e9), qui s&rsquo;applique aux contrats du minist\u00e8re de la D\u00e9fense nationale, ou CyberS\u00e9curitaire Canada (CAN\/DGSI 104), une certification volontaire pancanadienne pour PME.<\/strong> Identifier le bon programme est la premi\u00e8re \u00e9tape, pas la derni\u00e8re.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral : identifier le bon programme d'abord\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Vous avez ouvert un appel d&rsquo;offres f\u00e9d\u00e9ral, ou relu un contrat d\u00e9j\u00e0 sign\u00e9, et une phrase vous a arr\u00eat\u00e9 : une certification de cybers\u00e9curit\u00e9 est exig\u00e9e. Vous ne savez pas laquelle, vous n&rsquo;avez jamais entendu ces acronymes, et l&rsquo;\u00e9ch\u00e9ance de soumission approche. Ce guide part de l\u00e0 o\u00f9 vous \u00eates, pas d&rsquo;un sigle que vous ne connaissez pas encore.<\/p>\n\n<p class=\"wp-block-paragraph\">Personne ne tape \u00ab PCCC \u00bb la premi\u00e8re fois qu&rsquo;il cherche. On tape \u00ab certification cybers\u00e9curit\u00e9 contrat gouvernement \u00bb, ou \u00ab on me demande une certification cybers\u00e9curit\u00e9, c&rsquo;est quoi \u00bb. C&rsquo;est le bon r\u00e9flexe : commencez par l&rsquo;exigence telle qu&rsquo;elle est \u00e9crite, le programme suivra.<\/p>\n\n<p class=\"wp-block-paragraph\">Vous n&rsquo;avez pas besoin de comprendre la cybers\u00e9curit\u00e9 pour comprendre cette clause. Vous avez besoin de savoir quel programme s&rsquo;applique \u00e0 votre contrat, ce qu&rsquo;il exige concr\u00e8tement, et combien de temps la d\u00e9marche prend avant l&rsquo;\u00e9ch\u00e9ance de votre soumission. C&rsquo;est ce que couvre ce guide, sans d\u00e9tour par le jargon technique.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#exigence-de-cybersecurite-contrat-federal-quelle-clause-avez-vous-recue-exactement\">Exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral : quelle clause avez-vous re\u00e7ue, exactement ?<\/a><\/li><li class=\"\"><a href=\"#c-est-un-contrat-federal-de-defense-quoi-faire-avec-le-pccc\">C&rsquo;est un contrat f\u00e9d\u00e9ral de d\u00e9fense : quoi faire avec le PCCC ?<\/a><\/li><li class=\"\"><a href=\"#c-est-un-contrat-civil-ou-une-demande-generale-on-me-demande-une-certification-cybersecurite-que-faire\">C&rsquo;est un contrat civil ou une demande g\u00e9n\u00e9rale : on me demande une certification cybers\u00e9curit\u00e9, que faire ?<\/a><\/li><li class=\"\"><a href=\"#les-deux-se-ressemblent-lequel-me-concerne-ou-les-deux\">Les deux se ressemblent : lequel me concerne, ou les deux ?<\/a><\/li><li class=\"\"><a href=\"#combien-de-temps-avant-l-echeance-de-ma-soumission\">Combien de temps avant l&rsquo;\u00e9ch\u00e9ance de ma soumission ?<\/a><\/li><li class=\"\"><a href=\"#pourquoi-la-case-cochee-trop-vite-est-elle-risquee\">Pourquoi la case coch\u00e9e trop vite est-elle risqu\u00e9e ?<\/a><\/li><li class=\"\"><a href=\"#par-ou-commencer\">Par o\u00f9 commencer ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"exigence-de-cybersecurite-contrat-federal-quelle-clause-avez-vous-recue-exactement\" class=\"wp-block-heading\">Exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral : quelle clause avez-vous re\u00e7ue, exactement ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le libell\u00e9 exact de la clause d\u00e9termine presque tout. Retrouvez-le dans votre contrat ou votre appel d&rsquo;offres et comparez-le au tableau suivant.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Ce que dit la clause ou le contrat<\/th><th>Le programme vis\u00e9<\/th><th>Pour aller plus loin<\/th><\/tr><\/thead><tbody><tr><td>Contrat ou sous-contrat avec le minist\u00e8re de la D\u00e9fense nationale (MDN), ou clause qui nomme le PCCC<\/td><td><a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">PCCC, Programme canadien de certification en cybers\u00e9curit\u00e9<\/a><\/td><td>Guide complet CPCSC \/ PCCC<\/td><\/tr><tr><td>La clause cite l&rsquo;ITSP.10.171 ou la norme am\u00e9ricaine NIST 800-171<\/td><td><a href=\"https:\/\/factero.ca\/blog\/appel-offres-drones-itsp-10-171-signal\/\">La norme ITSP.10.171 qui sert de base au PCCC<\/a><\/td><td>Article d\u00e9di\u00e9 \u00e0 l&rsquo;ITSP.10.171<\/td><\/tr><tr><td>Contrat f\u00e9d\u00e9ral civil, hors d\u00e9fense, ou exigence formul\u00e9e comme un avantage dans une soumission g\u00e9n\u00e9rale<\/td><td><a href=\"https:\/\/factero.ca\/blog\/can-dgsi-104-guide-complet\/\">CyberS\u00e9curitaire Canada (CAN\/DGSI 104)<\/a><\/td><td>Guide complet CyberS\u00e9curitaire Canada<\/td><\/tr><tr><td>La clause ne pr\u00e9cise rien, elle demande seulement \u00ab une certification reconnue en cybers\u00e9curit\u00e9 \u00bb<\/td><td>Les deux programmes sont plausibles<\/td><td>Voir la section suivante<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Dans le doute, une question directe \u00e0 l&rsquo;acheteur ou au responsable de l&rsquo;appel d&rsquo;offres r\u00e8gle le d\u00e9bat en un courriel. C&rsquo;est plus rapide que de deviner, et \u00e7a \u00e9vite de pr\u00e9parer le mauvais dossier.<\/p>\n\n<h2 id=\"c-est-un-contrat-federal-de-defense-quoi-faire-avec-le-pccc\" class=\"wp-block-heading\">C&rsquo;est un contrat f\u00e9d\u00e9ral de d\u00e9fense : quoi faire avec le PCCC ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le Programme canadien de certification en cybers\u00e9curit\u00e9, ou PCCC (CPCSC en anglais), s&rsquo;adresse aux entreprises qui font affaire, directement ou en sous-traitance, avec le minist\u00e8re de la D\u00e9fense nationale. Son niveau 1, en vigueur depuis avril 2026, repose sur une auto-attestation de conformit\u00e9 \u00e0 la norme ITSP.10.171, elle-m\u00eame d\u00e9riv\u00e9e de la norme am\u00e9ricaine NIST 800-171.<\/p>\n\n<p class=\"wp-block-paragraph\">Pour une PME qui d\u00e9couvre l&rsquo;exigence dans un contrat existant ou un appel d&rsquo;offres, l&rsquo;auto-attestation de niveau 1 consiste \u00e0 d\u00e9montrer, contr\u00f4le par contr\u00f4le, votre conformit\u00e9 \u00e0 l&rsquo;ITSP.10.171. En pratique, \u00e7a veut dire inventorier vos syst\u00e8mes, documenter vos politiques de s\u00e9curit\u00e9 et rassembler les preuves qu&rsquo;un acheteur pourrait vous demander de produire. Le travail est autant documentaire que technique. Le guide complet CPCSC \/ PCCC d\u00e9taille la norme, les niveaux et la d\u00e9marche.<\/p>\n\n<h2 id=\"c-est-un-contrat-civil-ou-une-demande-generale-on-me-demande-une-certification-cybersecurite-que-faire\" class=\"wp-block-heading\">C&rsquo;est un contrat civil ou une demande g\u00e9n\u00e9rale : on me demande une certification cybers\u00e9curit\u00e9, que faire ?<\/h2>\n\n<p class=\"wp-block-paragraph\">CyberS\u00e9curitaire Canada est un programme f\u00e9d\u00e9ral volontaire, administr\u00e9 par Innovation, Sciences et D\u00e9veloppement \u00e9conomique Canada, fond\u00e9 sur la norme CAN\/DGSI 104. Contrairement au PCCC, il ne vise pas sp\u00e9cifiquement les contrats de d\u00e9fense : c&rsquo;est la certification qu&rsquo;une PME obtient pour d\u00e9montrer un niveau de base en cybers\u00e9curit\u00e9, que ce soit en r\u00e9ponse \u00e0 une clause contractuelle, \u00e0 une demande d&rsquo;un partenaire d&rsquo;affaires, ou comme argument dans une soumission.<\/p>\n\n<p class=\"wp-block-paragraph\">Elle repose sur un ensemble de contr\u00f4les de base, v\u00e9rifi\u00e9s par un tiers et renouvel\u00e9s p\u00e9riodiquement :<\/p>\n\n<ul class=\"wp-block-list\"><li>Mots de passe<\/li><li>Pare-feu<\/li><li>Sauvegardes<\/li><li>Gestion des acc\u00e8s<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Contrairement au PCCC, elle ne suppose pas que votre entreprise ait d\u00e9j\u00e0 un fournisseur en TI d\u00e9di\u00e9 \u00e0 la s\u00e9curit\u00e9 : elle a \u00e9t\u00e9 con\u00e7ue pour des PME dont les ressources internes sont limit\u00e9es. Le guide complet CyberS\u00e9curitaire Canada (CAN\/DGSI 104) couvre le programme du d\u00e9but \u00e0 la fin.<\/p>\n\n<h2 id=\"les-deux-se-ressemblent-lequel-me-concerne-ou-les-deux\" class=\"wp-block-heading\">Les deux se ressemblent : lequel me concerne, ou les deux ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Rien n&#8217;emp\u00eache une entreprise d&rsquo;avoir besoin des deux. Une PME qui vend \u00e0 la fois au MDN et \u00e0 des clients f\u00e9d\u00e9raux civils peut se retrouver avec un contrat qui exige le PCCC et un autre qui valorise CyberS\u00e9curitaire Canada comme avantage concurrentiel.<\/p>\n\n<p class=\"wp-block-paragraph\">Les deux programmes ne se remplacent pas l&rsquo;un l&rsquo;autre. Le PCCC est sp\u00e9cifique aux contrats de d\u00e9fense et devient, pour certains contrats, une condition d&rsquo;admissibilit\u00e9 \u00e0 la soumission. CyberS\u00e9curitaire Canada reste volontaire, mais un nombre croissant d&rsquo;acheteurs, publics et priv\u00e9s, la citent comme crit\u00e8re de s\u00e9lection.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce n&rsquo;est pas non plus la m\u00eame chose que votre obligation l\u00e9gale sous la Loi 25. La Loi 25 est une loi qu\u00e9b\u00e9coise sur la protection des renseignements personnels : elle s&rsquo;applique \u00e0 toute organisation qui fait affaire au Qu\u00e9bec, qu&rsquo;elle ait ou non un contrat f\u00e9d\u00e9ral. L&rsquo;exigence de votre contrat, elle, est contractuelle : elle ne s&rsquo;applique que parce que vous voulez ce contrat pr\u00e9cis, et elle dispara\u00eet si vous n&rsquo;y r\u00e9pondez pas, en m\u00eame temps que le contrat lui-m\u00eame. Les deux obligations peuvent se chevaucher dans les faits, les deux programmes f\u00e9d\u00e9raux touchent notamment la protection des donn\u00e9es, mais elles n&rsquo;ont ni la m\u00eame source ni les m\u00eames cons\u00e9quences si vous les ignorez.<\/p>\n\n<h2 id=\"combien-de-temps-avant-l-echeance-de-ma-soumission\" class=\"wp-block-heading\">Combien de temps avant l&rsquo;\u00e9ch\u00e9ance de ma soumission ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral : la r\u00e9ponse honn\u00eate est que \u00e7a d\u00e9pend de votre point de d\u00e9part, mais ni l&rsquo;un ni l&rsquo;autre programme ne se r\u00e8gle en une semaine.<\/strong> Une auto-attestation PCCC de niveau 1 exige de documenter votre conformit\u00e9 \u00e0 l&rsquo;ITSP.10.171 contr\u00f4le par contr\u00f4le. CyberS\u00e9curitaire Canada exige une v\u00e9rification externe de vos contr\u00f4les de base. Dans les deux cas, le d\u00e9lai d\u00e9pend de l&rsquo;\u00e9cart entre votre posture actuelle et la grille applicable, pas d&rsquo;un chiffre universel valable pour toutes les entreprises.<\/p>\n\n<p class=\"wp-block-paragraph\">Si l&rsquo;\u00e9ch\u00e9ance de votre soumission est d\u00e9j\u00e0 connue, comptez \u00e0 rebours \u00e0 partir de cette date plut\u00f4t que d&rsquo;esp\u00e9rer boucler la d\u00e9marche \u00e0 la derni\u00e8re minute. Un premier passage honn\u00eate de la grille, avec vos \u00e9quipes, situe l&rsquo;\u00e9cart en quelques heures et vous dit si vous avez le temps de r\u00e9pondre \u00e0 temps, en acc\u00e9l\u00e9r\u00e9, ou pas du tout pour cette soumission-ci.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce qui acc\u00e9l\u00e8re ou ralentit la d\u00e9marche n&rsquo;est presque jamais la taille de l&rsquo;entreprise, c&rsquo;est l&rsquo;\u00e9tat de sa documentation. Une PME qui a d\u00e9j\u00e0 des politiques de s\u00e9curit\u00e9 \u00e9crites, un inventaire de ses syst\u00e8mes et un fournisseur infonuagique s\u00e9rieux couvre souvent une partie des contr\u00f4les sans effort suppl\u00e9mentaire. Une entreprise qui g\u00e8re tout de fa\u00e7on informelle repart de plus loin, peu importe sa taille.<\/p>\n\n<h2 id=\"pourquoi-la-case-cochee-trop-vite-est-elle-risquee\" class=\"wp-block-heading\">Pourquoi la case coch\u00e9e trop vite est-elle risqu\u00e9e ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Une clause de cybers\u00e9curit\u00e9 dans un appel d&rsquo;offres ressemble souvent \u00e0 une case parmi d&rsquo;autres : \u00ab L&rsquo;entreprise d\u00e9tient-elle une certification reconnue en cybers\u00e9curit\u00e9 ? Oui \/ Non. \u00bb Cocher \u00ab oui \u00bb sans d\u00e9tenir la certification exacte demand\u00e9e, ou sans pouvoir la d\u00e9montrer si l&rsquo;acheteur pose la question, expose l&rsquo;entreprise davantage qu&rsquo;une case honn\u00eatement coch\u00e9e \u00ab non, en d\u00e9marche \u00bb.<\/p>\n\n<p class=\"wp-block-paragraph\">Aucun programme ne se garantit \u00e0 l&rsquo;avance. Un consultant peut pr\u00e9parer votre dossier, structurer vos preuves, acc\u00e9l\u00e9rer votre d\u00e9marche. Aucun ne peut vous promettre l&rsquo;obtention d&rsquo;une certification avant que le v\u00e9rificateur externe ou l&rsquo;organisme responsable n&rsquo;ait tranch\u00e9. C&rsquo;est une obligation de moyens, pas une obligation de r\u00e9sultat, et quiconque vous garantit le contraire avant m\u00eame d&rsquo;avoir vu votre dossier vous dit quelque chose sur sa rigueur.<\/p>\n\n<h2 id=\"par-ou-commencer\" class=\"wp-block-heading\">Par o\u00f9 commencer ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral : trois gestes concrets suffisent pour avancer, dans l&rsquo;ordre.<\/p>\n\n<ol class=\"wp-block-list\"><li>Relisez la clause exacte de votre contrat ou appel d&rsquo;offres et comparez-la au tableau plus haut. Si elle reste ambigu\u00eb, une question directe \u00e0 l&rsquo;acheteur r\u00e8gle le doute plus vite qu&rsquo;une recherche en ligne.<\/li><li>Une fois le programme identifi\u00e9, ouvrez le guide complet correspondant : celui du CPCSC \/ PCCC pour un contrat de d\u00e9fense, celui de CyberS\u00e9curitaire Canada pour un contrat civil ou une demande g\u00e9n\u00e9rale.<\/li><li>Faites un premier passage honn\u00eate de la grille de contr\u00f4les applicable. L&rsquo;\u00e9cart r\u00e9el entre votre posture actuelle et l&rsquo;exigence d\u00e9termine l&rsquo;essentiel du d\u00e9lai et de l&rsquo;effort, bien avant toute question de co\u00fbt.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Factero accompagne des entreprises des deux c\u00f4t\u00e9s de cette distinction : le cabinet d\u00e9tient la certification CyberS\u00e9curitaire Canada de niveau 1, obtenue le 19 avril 2026 et v\u00e9rifiable dans le registre public des organismes certifi\u00e9s, et a compl\u00e9t\u00e9 l&rsquo;auto-attestation PCCC de niveau 1, conforme \u00e0 l&rsquo;ITSP.10.171. Si vous avez la clause sous les yeux et que l&rsquo;\u00e9ch\u00e9ance approche, <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">planifiez un appel exploratoire avec Factero<\/a> : en un appel, on identifie le programme vis\u00e9 et le chemin r\u00e9aliste.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement \u00e0 la certification PCCC<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-can-dgsi-104\/\">certification CAN\/DGSI 104 CyberS\u00e9curitaire Canada<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le PCCC est-il la m\u00eame chose que le CMMC am\u00e9ricain ?<\/summary><p class=\"wp-block-paragraph\">Non, ce sont deux programmes distincts, un par pays : le PCCC vise les fournisseurs du minist\u00e8re de la D\u00e9fense nationale canadien, le CMMC vise ceux du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis. Leurs bases techniques se ressemblent : le PCCC s&rsquo;appuie sur l&rsquo;<a href=\"https:\/\/factero.ca\/blog\/appel-offres-drones-itsp-10-171-signal\/\">ITSP.10.171<\/a>, publi\u00e9e par le Centre canadien pour la cybers\u00e9curit\u00e9, qui est la version canadienne de la norme am\u00e9ricaine NIST SP 800-171, sans changement technique important. Une certification obtenue dans un pays ne vaut pas automatiquement dans l&rsquo;autre.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral : est-elle obligatoire pour tous les contrats f\u00e9d\u00e9raux ?<\/summary><p class=\"wp-block-paragraph\">Non. Le PCCC devient une condition d&rsquo;admissibilit\u00e9 seulement pour les fournisseurs qui soumissionnent ou travaillent sur des contrats du minist\u00e8re de la D\u00e9fense nationale, selon la page officielle de Services publics et Approvisionnement Canada. CyberS\u00e9curitaire Canada reste une d\u00e9marche volontaire, m\u00eame si un nombre croissant d&rsquo;acheteurs f\u00e9d\u00e9raux et priv\u00e9s la citent comme crit\u00e8re de s\u00e9lection. Le seul moyen de savoir si vous \u00eates concern\u00e9 reste de relire la clause exacte de votre contrat.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le PCCC comptera-t-il d&rsquo;autres niveaux que le niveau 1 ?<\/summary><p class=\"wp-block-paragraph\">Oui. Services publics et Approvisionnement Canada pr\u00e9voit deux niveaux additionnels, 2 et 3, d\u00e9crits comme des jalons de mise en \u0153uvre futurs sur la page officielle du programme. Seul le niveau 1, en vigueur depuis avril 2026 et fond\u00e9 sur une auto-attestation, s&rsquo;applique actuellement aux contrats du minist\u00e8re de la D\u00e9fense nationale. Aucune date de mise en vigueur des niveaux 2 et 3 n&rsquo;est publi\u00e9e \u00e0 ce jour.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Ma certification ISO 27001 ou mon rapport SOC 2 suffit-il pour r\u00e9pondre \u00e0 l&rsquo;exigence ?<\/summary><p class=\"wp-block-paragraph\">Pas automatiquement. Le PCCC repose sur une auto-attestation de conformit\u00e9 \u00e0 l&rsquo;ITSP.10.171, et CyberS\u00e9curitaire Canada sur une v\u00e9rification des contr\u00f4les d\u00e9finis par la norme CAN\/DGSI 104 : aucun des deux programmes ne mentionne ISO 27001 ou SOC 2 comme \u00e9quivalence reconnue dans sa documentation publique. Ces certifications peuvent appuyer certaines preuves demand\u00e9es, mais ne remplacent pas la d\u00e9marche propre \u00e0 chaque programme. V\u00e9rifiez la clause exacte de votre contrat : c&rsquo;est elle qui d\u00e9termine ce qui est r\u00e9ellement exig\u00e9.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/ised-isde.canada.ca\/site\/cybersecuritaire-canada\/fr\" target=\"_blank\" rel=\"noopener nofollow\">CyberS\u00e9curitaire Canada \u2014 Innovation, Sciences et D\u00e9veloppement \u00e9conomique Canada (ISDE)<\/a><\/li><li><a href=\"https:\/\/www.canada.ca\/fr\/services-publics-approvisionnement\/services\/securite-industrielle\/exigences-securite-contrats\/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite.html\" target=\"_blank\" rel=\"noopener nofollow\">Programme canadien de certification en cybers\u00e9curit\u00e9 (PCCC) \u2014 Services publics et Approvisionnement Canada (SPAC)<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 \u2014 Centre canadien pour la cybers\u00e9curit\u00e9<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Le PCCC est-il la m\u00eame chose que le CMMC am\u00e9ricain ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, ce sont deux programmes distincts, un par pays : le PCCC vise les fournisseurs du minist\u00e8re de la D\u00e9fense nationale canadien, le CMMC vise ceux du d\u00e9partement de la D\u00e9fense des \u00c9tats-Unis. Leurs bases techniques se ressemblent : le PCCC s\\u0027appuie sur l\\u0027ITSP.10.171, publi\u00e9e par le Centre canadien pour la cybers\u00e9curit\u00e9, qui est la version canadienne de la norme am\u00e9ricaine NIST SP 800-171, sans changement technique important. Une certification obtenue dans un pays ne vaut pas automatiquement dans l\\u0027autre.\"}},{\"@type\":\"Question\",\"name\":\"Exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral : est-elle obligatoire pour tous les contrats f\u00e9d\u00e9raux ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Le PCCC devient une condition d\\u0027admissibilit\u00e9 seulement pour les fournisseurs qui soumissionnent ou travaillent sur des contrats du minist\u00e8re de la D\u00e9fense nationale, selon la page officielle de Services publics et Approvisionnement Canada. CyberS\u00e9curitaire Canada reste une d\u00e9marche volontaire, m\u00eame si un nombre croissant d\\u0027acheteurs f\u00e9d\u00e9raux et priv\u00e9s la citent comme crit\u00e8re de s\u00e9lection. Le seul moyen de savoir si vous \u00eates concern\u00e9 reste de relire la clause exacte de votre contrat.\"}},{\"@type\":\"Question\",\"name\":\"Le PCCC comptera-t-il d\\u0027autres niveaux que le niveau 1 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui. Services publics et Approvisionnement Canada pr\u00e9voit deux niveaux additionnels, 2 et 3, d\u00e9crits comme des jalons de mise en \u0153uvre futurs sur la page officielle du programme. Seul le niveau 1, en vigueur depuis avril 2026 et fond\u00e9 sur une auto-attestation, s\\u0027applique actuellement aux contrats du minist\u00e8re de la D\u00e9fense nationale. Aucune date de mise en vigueur des niveaux 2 et 3 n\\u0027est publi\u00e9e \u00e0 ce jour.\"}},{\"@type\":\"Question\",\"name\":\"Ma certification ISO 27001 ou mon rapport SOC 2 suffit-il pour r\u00e9pondre \u00e0 l\\u0027exigence ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pas automatiquement. Le PCCC repose sur une auto-attestation de conformit\u00e9 \u00e0 l\\u0027ITSP.10.171, et CyberS\u00e9curitaire Canada sur une v\u00e9rification des contr\u00f4les d\u00e9finis par la norme CAN\/DGSI 104 : aucun des deux programmes ne mentionne ISO 27001 ou SOC 2 comme \u00e9quivalence reconnue dans sa documentation publique. Ces certifications peuvent appuyer certaines preuves demand\u00e9es, mais ne remplacent pas la d\u00e9marche propre \u00e0 chaque programme. V\u00e9rifiez la clause exacte de votre contrat : c\\u0027est elle qui d\u00e9termine ce qui est r\u00e9ellement exig\u00e9.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Une exigence de cybers\u00e9curit\u00e9 contrat f\u00e9d\u00e9ral dans votre appel d&rsquo;offres ? Voici comment reconna\u00eetre le bon programme et par o\u00f9 commencer.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[1320,1314,1318,82,1322,1312,1316,740],"class_list":["post-896","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-certification-cybersecurite-appel-doffres-federal","tag-certification-cybersecurite-obligatoire-contrat-gouvernement","tag-contrat-defense-exigence-cybersecurite-quoi-faire","tag-cpcsc","tag-cyber-security-certification-required-for-government-contract","tag-exigence-de-cybersecurite-contrat-federal","tag-on-me-demande-une-certification-cybersecurite","tag-pccc"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/896","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=896"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/896\/revisions"}],"predecessor-version":[{"id":1389,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/896\/revisions\/1389"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=896"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=896"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=896"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}