{"id":902,"date":"2026-10-22T07:00:00","date_gmt":"2026-10-22T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=902"},"modified":"2026-09-04T13:00:59","modified_gmt":"2026-09-04T18:00:59","slug":"cmmc-canada-entreprise-canadienne","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/cmmc-canada-entreprise-canadienne\/","title":{"rendered":"CMMC au Canada : votre client am\u00e9ricain l&rsquo;exige, on fait quoi ?"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>CMMC Canada : une entreprise d&rsquo;ici doit s&rsquo;y conformer d\u00e8s qu&rsquo;un client am\u00e9ricain l&rsquo;exige par contrat, m\u00eame sans lien direct avec les \u00c9tats-Unis.<\/strong> Le CMMC, ou Cybersecurity Maturity Model Certification, est le programme que le d\u00e9partement de la D\u00e9fense am\u00e9ricain impose \u00e0 sa cha\u00eene d&rsquo;approvisionnement, jusqu&rsquo;au dernier sous-traitant.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/pccc.png\" alt=\"CMMC Canada : ce que votre client am\u00e9ricain exige\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Si un client am\u00e9ricain vient de vous envoyer un courriel avec les mots \u00ab CMMC \u00bb et \u00ab obligatoire \u00bb dans la m\u00eame phrase, ce guide est pour vous. Pas pour votre \u00e9quipe technique, pour vous : le dirigeant qui doit d\u00e9cider quoi faire, dans quel ordre, et avec qui.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#cmmc-canada-est-ce-que-ca-s-applique-a-une-entreprise-d-ici\">CMMC Canada : est-ce que \u00e7a s&rsquo;applique \u00e0 une entreprise d&rsquo;ici ?<\/a><\/li><li class=\"\"><a href=\"#ou-en-est-le-programme-cmmc-aujourd-hui\">O\u00f9 en est le programme CMMC aujourd&rsquo;hui ?<\/a><\/li><li class=\"\"><a href=\"#ma-preparation-pccc-compte-t-elle-pour-le-cmmc\">Ma pr\u00e9paration PCCC compte-t-elle pour le CMMC ?<\/a><\/li><li class=\"\"><a href=\"#qui-peut-m-evaluer-ou-m-accompagner-pour-le-cmmc-depuis-le-canada\">Qui peut m&rsquo;\u00e9valuer ou m&rsquo;accompagner pour le CMMC, depuis le Canada ?<\/a><\/li><li class=\"\"><a href=\"#comment-batir-un-seul-programme-de-conformite-pour-les-deux-pays\">Comment b\u00e2tir un seul programme de conformit\u00e9 pour les deux pays ?<\/a><\/li><li class=\"\"><a href=\"#le-cui-et-l-itar-quels-pieges-quand-vous-hebergez-des-donnees-americaines\">Le CUI et l&rsquo;ITAR : quels pi\u00e8ges quand vous h\u00e9bergez des donn\u00e9es am\u00e9ricaines ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"cmmc-canada-est-ce-que-ca-s-applique-a-une-entreprise-d-ici\" class=\"wp-block-heading\">CMMC Canada : est-ce que \u00e7a s&rsquo;applique \u00e0 une entreprise d&rsquo;ici ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Oui, et le m\u00e9canisme n&rsquo;a rien de myst\u00e9rieux.<\/strong> Le CMMC n&rsquo;est pas une loi am\u00e9ricaine qui s&rsquo;imposerait au Canada. C&rsquo;est une exigence contractuelle que le d\u00e9partement de la D\u00e9fense am\u00e9ricain attache \u00e0 ses march\u00e9s, et qui se transmet vers le bas de la cha\u00eene : votre client vous impose ce qu&rsquo;on lui impose \u00e0 lui. Dans l&rsquo;univers du CPCSC (le programme canadien de certification en cybers\u00e9curit\u00e9, aussi d\u00e9sign\u00e9 PCCC), on appelle ce m\u00e9canisme le \u00ab flow-down \u00bb : l&rsquo;exigence descend contrat par contrat, jusqu&rsquo;au dernier sous-traitant.<\/p>\n\n<p class=\"wp-block-paragraph\">Concr\u00e8tement, si votre entreprise fournit un produit, un service ou du personnel \u00e0 un maillon de la cha\u00eene d&rsquo;approvisionnement du d\u00e9partement de la D\u00e9fense, m\u00eame \u00e0 titre de sous-traitant de troisi\u00e8me ou quatri\u00e8me niveau, votre contrat va probablement porter une clause exigeant un palier CMMC pr\u00e9cis. Le niveau exig\u00e9 d\u00e9pend du type d&rsquo;information que vous manipulez : simple information contractuelle f\u00e9d\u00e9rale, ou une cat\u00e9gorie plus sensible que nous d\u00e9taillons plus loin dans ce guide. Plus l&rsquo;information est sensible, plus le palier CMMC exig\u00e9 est \u00e9lev\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Le CMMC Canada ne fait pas d&rsquo;exception pour votre nationalit\u00e9 : rien ne vous exempte. Il complique m\u00eame la donne, parce que vous devez composer avec deux appareils r\u00e9glementaires en m\u00eame temps, celui de votre client am\u00e9ricain et le v\u00f4tre, celui du PCCC qui s&rsquo;installe au Canada.<\/p>\n\n<p class=\"wp-block-paragraph\">Si vous partez de z\u00e9ro, notre <a href=\"https:\/\/factero.ca\/blog\/cpcsc-pccc-guide-complet\/\">guide complet de la certification CPCSC\/PCCC<\/a> explique toute la m\u00e9canique canadienne avant d&rsquo;aborder la couche am\u00e9ricaine.<\/p>\n\n<h2 id=\"ou-en-est-le-programme-cmmc-aujourd-hui\" class=\"wp-block-heading\">O\u00f9 en est le programme CMMC aujourd&rsquo;hui ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le CMMC Canada suit le m\u00eame calendrier que le programme am\u00e9ricain, et ce calendrier a chang\u00e9 plusieurs fois depuis son lancement. \u00c0 l&rsquo;\u00e9t\u00e9 2026, une pause dans la mise en \u0153uvre a modifi\u00e9 les attentes envers les fournisseurs, y compris les fournisseurs canadiens. Nous avons suivi cet \u00e9pisode en d\u00e9tail dans <a href=\"https:\/\/factero.ca\/blog\/cmmc-en-pause-impact-fournisseurs-canadiens\/\">CMMC en pause : quel impact pour les fournisseurs canadiens ?<\/a>, et nous ajustons nos recommandations \u00e0 mesure que le calendrier du d\u00e9partement de la D\u00e9fense se pr\u00e9cise.<\/p>\n\n<p class=\"wp-block-paragraph\">Ne calez pas votre \u00e9ch\u00e9ancier sur une date affich\u00e9e quelque part en ligne si vous pr\u00e9parez votre dossier maintenant. Le calendrier qui compte pour vous se confirme directement dans le texte de votre contrat, ou aupr\u00e8s de votre client, pas sur une page qui peut dater de plusieurs mois. Un programme dont le calendrier bouge n&rsquo;est pas un programme optionnel : c&rsquo;est un programme dont la date exacte se revalide \u00e0 chaque nouvelle n\u00e9gociation, pas une seule fois au d\u00e9but.<\/p>\n\n<h2 id=\"ma-preparation-pccc-compte-t-elle-pour-le-cmmc\" class=\"wp-block-heading\">Ma pr\u00e9paration PCCC compte-t-elle pour le CMMC ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>En bonne partie, oui, et c&rsquo;est la meilleure nouvelle de ce guide.<\/strong> Le PCCC s&rsquo;appuie sur ITSP.10.171, la norme technique du Centre canadien pour la cybers\u00e9curit\u00e9 qui d\u00e9termine les contr\u00f4les exig\u00e9s. Cette norme est elle-m\u00eame calqu\u00e9e sur NIST SP 800-171, la norme am\u00e9ricaine du National Institute of Standards and Technology. Le CMMC s&rsquo;appuie sur cette m\u00eame norme NIST SP 800-171 pour ses paliers interm\u00e9diaires et avanc\u00e9s.<\/p>\n\n<p class=\"wp-block-paragraph\">Les deux r\u00e9gimes descendent donc du m\u00eame arbre g\u00e9n\u00e9alogique, ce qui est une bonne nouvelle pour qui pr\u00e9pare son dossier CMMC Canada. Nous d\u00e9taillons cette parent\u00e9 dans <a href=\"https:\/\/factero.ca\/blog\/cpcsc-vs-cmmc\/\">CPCSC vs CMMC : comprendre les deux programmes de cybers\u00e9curit\u00e9<\/a>, et voici l&rsquo;essentiel.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>\u00c9l\u00e9ment<\/th><th>PCCC (Canada)<\/th><th>CMMC (\u00c9tats-Unis)<\/th><\/tr><\/thead><tbody><tr><td>Norme technique sous-jacente<\/td><td>ITSP.10.171, calqu\u00e9e sur NIST SP 800-171<\/td><td>NIST SP 800-171 (paliers interm\u00e9diaire et avanc\u00e9)<\/td><\/tr><tr><td>Autorit\u00e9<\/td><td>Gouvernement du Canada, programme f\u00e9d\u00e9ral<\/td><td>D\u00e9partement de la D\u00e9fense am\u00e9ricain<\/td><\/tr><tr><td>Palier de base<\/td><td>Niveau 1 : auto-attestation<\/td><td>Palier de base : auto-\u00e9valuation<\/td><\/tr><tr><td>Palier avanc\u00e9<\/td><td>Niveau 2 : certifi\u00e9 par un organisme accr\u00e9dit\u00e9<\/td><td>Paliers sup\u00e9rieurs : \u00e9valuation par un C3PAO (voir plus bas)<\/td><\/tr><tr><td>Port\u00e9e<\/td><td>Fournisseurs du gouvernement du Canada et de sa cha\u00eene de d\u00e9fense<\/td><td>Fournisseurs et sous-traitants du d\u00e9partement de la D\u00e9fense, o\u00f9 qu&rsquo;ils soient situ\u00e9s<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Un contr\u00f4le d&rsquo;acc\u00e8s, une politique de gestion des incidents ou un m\u00e9canisme de journalisation que vous avez d\u00e9j\u00e0 document\u00e9 pour votre auto-\u00e9valuation PCCC niveau 1, ou votre pr\u00e9paration au niveau 2, a de bonnes chances de r\u00e9pondre, en tout ou en partie, \u00e0 un contr\u00f4le \u00e9quivalent du c\u00f4t\u00e9 am\u00e9ricain.<\/p>\n\n<p class=\"wp-block-paragraph\">\u00ab De bonnes chances \u00bb n&rsquo;est pas \u00ab automatiquement \u00bb. Les deux programmes divergent sur le vocabulaire, sur la port\u00e9e exacte de certains contr\u00f4les et sur les exigences documentaires. Traiter les deux r\u00e9f\u00e9rentiels comme identiques est une erreur aussi co\u00fbteuse que de les traiter comme compl\u00e8tement \u00e9trangers l&rsquo;un \u00e0 l&rsquo;autre. La bonne m\u00e9thode consiste \u00e0 documenter, contr\u00f4le par contr\u00f4le, o\u00f9 les deux r\u00e9f\u00e9rentiels se recoupent, o\u00f9 ils divergent, et o\u00f9 l&rsquo;un exige quelque chose que l&rsquo;autre ignore. C&rsquo;est la m\u00eame logique que nous appliquons dans notre cartographie de la certification TGV en sant\u00e9 num\u00e9rique, dont la version en donn\u00e9es ouvertes a \u00e9t\u00e9 d\u00e9pos\u00e9e publiquement en ao\u00fbt 2026 : documenter chaque correspondance plut\u00f4t qu&rsquo;affirmer une \u00e9quivalence g\u00e9n\u00e9rale d&rsquo;un coup d&rsquo;\u0153il.<\/p>\n\n<p class=\"wp-block-paragraph\">Le r\u00e9sultat pratique : votre dossier PCCC n&rsquo;est jamais du travail perdu pour le CMMC, et l&rsquo;inverse est vrai aussi. Mais aucun des deux ne remplace l&rsquo;autre. Vous ferez la d\u00e9marche une fois, avec deux livrables \u00e0 la sortie, si vous vous organisez correctement d\u00e8s le d\u00e9part.<\/p>\n\n<h2 id=\"qui-peut-m-evaluer-ou-m-accompagner-pour-le-cmmc-depuis-le-canada\" class=\"wp-block-heading\">Qui peut m&rsquo;\u00e9valuer ou m&rsquo;accompagner pour le CMMC, depuis le Canada ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Deux r\u00f4les \u00e0 ne pas confondre pour b\u00e2tir votre dossier CMMC Canada, et la confusion co\u00fbte cher.<\/p>\n\n<p class=\"wp-block-paragraph\">Le C3PAO, l&rsquo;organisme d&rsquo;\u00e9valuation tiers accr\u00e9dit\u00e9 par le programme CMMC, est celui qui m\u00e8ne l&rsquo;\u00e9valuation officielle pour les paliers qui l&rsquo;exigent et qui rend la d\u00e9cision de certification. Cette accr\u00e9ditation rel\u00e8ve d&rsquo;un processus am\u00e9ricain : elle ne s&rsquo;obtient pas au Canada par d\u00e9faut, m\u00eame pour un cabinet \u00e9tabli ici.<\/p>\n\n<p class=\"wp-block-paragraph\">Le r\u00f4le du conseil, celui que joue Factero pour le CPCSC, est diff\u00e9rent et compl\u00e9mentaire. Nous ne d\u00e9livrons aucune certification, ni PCCC ni CMMC : nous cartographions l&rsquo;\u00e9cart entre votre posture actuelle et les deux r\u00e9f\u00e9rentiels, nous pr\u00e9parons la documentation, nous coordonnons les tests requis, et nous vous amenons devant l&rsquo;organisme \u00e9valuateur avec un dossier qui tient la route. La d\u00e9cision finale, dans les deux r\u00e9gimes, appartient toujours \u00e0 l&rsquo;organisme d&rsquo;\u00e9valuation accr\u00e9dit\u00e9, jamais au consultant. Quiconque vous promet une certification garantie vous dit quelque chose sur son s\u00e9rieux, pas sur vos chances r\u00e9elles.<\/p>\n\n<p class=\"wp-block-paragraph\">Un point structurel m\u00e9rite d&rsquo;\u00eatre r\u00e9p\u00e9t\u00e9 ici, parce qu&rsquo;il fait toute la diff\u00e9rence dans le choix d&rsquo;un partenaire. Un cabinet qui vous vend aussi un logiciel de conformit\u00e9 ou de l&rsquo;infog\u00e9rance a un int\u00e9r\u00eat commercial dans la fa\u00e7on dont il \u00e9value votre \u00e9cart. Un cabinet ind\u00e9pendant, sans produit \u00e0 vendre \u00e0 c\u00f4t\u00e9 du mandat, n&rsquo;a que son \u00e9valuation \u00e0 d\u00e9fendre. C&rsquo;est aussi pourquoi nous avons compl\u00e9t\u00e9 notre propre auto-attestation PCCC niveau 1 : le cordonnier bien chauss\u00e9 a plus de poids dans ce genre de discussion.<\/p>\n\n<h2 id=\"comment-batir-un-seul-programme-de-conformite-pour-les-deux-pays\" class=\"wp-block-heading\">Comment b\u00e2tir un seul programme de conformit\u00e9 pour les deux pays ?<\/h2>\n\n<p class=\"wp-block-paragraph\">La tentation, pour une entreprise qui jongle avec le CMMC Canada et sa d\u00e9marche PCCC, est de traiter les deux dossiers en parall\u00e8le, avec deux \u00e9quipes, deux calendriers et deux budgets qui ne se parlent pas. C&rsquo;est rarement la bonne r\u00e9ponse pour une PME.<\/p>\n\n<p class=\"wp-block-paragraph\">Trois gestes structurent une approche plus \u00e9conomique.<\/p>\n\n<ol class=\"wp-block-list\"><li>B\u00e2tissez un seul registre de contr\u00f4les, avec une colonne PCCC\/ITSP.10.171 et une colonne CMMC\/NIST SP 800-171 en vis-\u00e0-vis, plut\u00f4t que deux dossiers qui s&rsquo;entretiennent chacun de leur c\u00f4t\u00e9.<\/li><li>Concevez vos politiques et vos contr\u00f4les techniques au niveau le plus exigeant des deux r\u00e9gimes, puis d\u00e9montrez la conformit\u00e9 \u00e0 chaque r\u00e9f\u00e9rentiel s\u00e9par\u00e9ment \u00e0 partir de cette m\u00eame base commune.<\/li><li>Suivez les deux calendriers s\u00e9par\u00e9ment. Le PCCC et le CMMC n&rsquo;avancent pas au m\u00eame rythme, et une pause d&rsquo;un c\u00f4t\u00e9 ne dit rien du calendrier de l&rsquo;autre.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est le genre de travail que nous faisons pour des fournisseurs pris entre les deux r\u00e9gimes : un <a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement CPCSC<\/a> qui tient compte, d\u00e8s le d\u00e9part, de l&rsquo;exigence am\u00e9ricaine pos\u00e9e sur la table par votre client, plut\u00f4t que deux mandats qui se chevauchent sans se coordonner. Nous sommes membres de la CADSI, l&rsquo;Association des industries canadiennes de d\u00e9fense et de s\u00e9curit\u00e9, sans logiciel ni infog\u00e9rance \u00e0 vendre \u00e0 c\u00f4t\u00e9 du mandat.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<h2 id=\"le-cui-et-l-itar-quels-pieges-quand-vous-hebergez-des-donnees-americaines\" class=\"wp-block-heading\">Le CUI et l&rsquo;ITAR : quels pi\u00e8ges quand vous h\u00e9bergez des donn\u00e9es am\u00e9ricaines ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un dernier pi\u00e8ge, plus juridique que technique, revient souvent dans nos \u00e9changes avec des fournisseurs qui pr\u00e9parent leur dossier CMMC Canada : celui du CUI, l&rsquo;information contr\u00f4l\u00e9e non classifi\u00e9e, l&rsquo;\u00e9quivalent am\u00e9ricain de ce que le PCCC appelle l&rsquo;information sp\u00e9cifi\u00e9e, et celui de l&rsquo;ITAR, le r\u00e9gime am\u00e9ricain de contr\u00f4le des exportations de mat\u00e9riel de d\u00e9fense.<\/p>\n\n<p class=\"wp-block-paragraph\">Si votre contrat am\u00e9ricain touche \u00e0 du mat\u00e9riel ou \u00e0 des donn\u00e9es vis\u00e9es par l&rsquo;ITAR, la question n&rsquo;est plus seulement de s\u00e9curiser l&rsquo;information : c&rsquo;est de savoir qui, dans votre entreprise, a le droit d&rsquo;y acc\u00e9der. L&rsquo;ITAR restreint l&rsquo;acc\u00e8s \u00e0 certaines donn\u00e9es m\u00eame \u00e0 l&rsquo;int\u00e9rieur du Canada, selon la citoyennet\u00e9 des personnes qui les manipulent. Un employ\u00e9 qui n&rsquo;est pas citoyen am\u00e9ricain, ou qui n&rsquo;a pas la r\u00e9sidence permanente aux \u00c9tats-Unis, peut se voir refuser l&rsquo;acc\u00e8s \u00e0 de l&rsquo;information par ailleurs stock\u00e9e sur vos propres serveurs. C&rsquo;est une contrainte qui n&rsquo;a rien \u00e0 voir avec le CMMC lui-m\u00eame, elle vient d&rsquo;un r\u00e9gime distinct, et elle surprend les dirigeants qui ne l&rsquo;ont pas vue venir.<\/p>\n\n<p class=\"wp-block-paragraph\">Le CUI pose un probl\u00e8me diff\u00e9rent, celui de la localisation. O\u00f9 h\u00e9bergez-vous cette information ? Chez quel fournisseur infonuagique ? Dans quelle r\u00e9gion ? Ces questions se r\u00e9pondent avant de signer le contrat, pas apr\u00e8s un audit qui les d\u00e9couvre \u00e0 votre place.<\/p>\n\n<p class=\"wp-block-paragraph\">Vos obligations ne s&rsquo;arr\u00eatent pas \u00e0 la fronti\u00e8re du CMMC. Sur une m\u00eame infrastructure, une entreprise binationale peut se retrouver \u00e0 g\u00e9rer, en m\u00eame temps :<\/p>\n\n<ul class=\"wp-block-list\"><li>PCCC : la norme technique ITSP.10.171, celle de votre auto-attestation ou de votre certification canadienne.<\/li><li>CMMC : l&rsquo;exigence pos\u00e9e par votre client am\u00e9ricain, avec son propre calendrier.<\/li><li>ITAR : le contr\u00f4le d&rsquo;acc\u00e8s selon la citoyennet\u00e9, s&rsquo;il s&rsquo;applique \u00e0 votre contrat.<\/li><li>Loi 25 : vos obligations qu\u00e9b\u00e9coises pour tout renseignement personnel d\u00e9tenu par ailleurs.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Ce dossier ne se r\u00e8gle pas avec une seule case \u00e0 cocher.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-pccc\/\">accompagnement PCCC arrim\u00e9 au CMMC<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien co\u00fbte une mise en conformit\u00e9 CMMC pour une PME canadienne ?<\/summary><p class=\"wp-block-paragraph\">Aucun chiffre officiel g\u00e9n\u00e9ralisable n&rsquo;existe : le co\u00fbt d\u00e9pend du palier exig\u00e9, de l&rsquo;ampleur de l&rsquo;\u00e9cart entre votre posture actuelle et les contr\u00f4les requis, et du nombre de syst\u00e8mes touch\u00e9s. Une entreprise d\u00e9j\u00e0 avanc\u00e9e dans sa d\u00e9marche PCCC part avec une longueur d&rsquo;avance mesurable. M\u00e9fiez-vous de quiconque avance un prix fixe avant d&rsquo;avoir cartographi\u00e9 votre \u00e9cart r\u00e9el.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien de temps prend une certification CMMC ?<\/summary><p class=\"wp-block-paragraph\">Aucune dur\u00e9e fixe n&rsquo;est publi\u00e9e par le d\u00e9partement de la D\u00e9fense am\u00e9ricain : le d\u00e9lai d\u00e9pend du palier vis\u00e9, de la disponibilit\u00e9 d&rsquo;un C3PAO pour les paliers qui l&rsquo;exigent, et de l&rsquo;ampleur du travail de mise \u00e0 niveau avant l&rsquo;\u00e9valuation. Une entreprise qui a d\u00e9j\u00e0 structur\u00e9 sa d\u00e9marche PCCC r\u00e9duit ce d\u00e9lai. Pr\u00e9voyez des mois, pas des semaines.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Mes propres sous-traitants sont-ils aussi vis\u00e9s par le CMMC ?<\/summary><p class=\"wp-block-paragraph\">Oui, si l&rsquo;information vis\u00e9e continue de circuler jusqu&rsquo;\u00e0 eux. Le CMMC descend par clause contractuelle d&rsquo;un maillon \u00e0 l&rsquo;autre de la cha\u00eene, quel que soit le pays : si votre propre sous-traitant touche \u00e0 la m\u00eame information que vous, votre contrat avec lui va probablement porter la m\u00eame exigence. V\u00e9rifiez vos contrats de sous-traitance avant que votre client am\u00e9ricain ne le fasse pour vous.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quel palier CMMC mon entreprise doit-elle viser ?<\/summary><p class=\"wp-block-paragraph\">Ce n&rsquo;est pas vous qui choisissez : c&rsquo;est votre client am\u00e9ricain qui l&rsquo;indique dans votre contrat, selon le type d&rsquo;information qu&rsquo;il vous confie. Une simple information contractuelle f\u00e9d\u00e9rale exige le palier de base, une information plus sensible en exige un sup\u00e9rieur. Si votre contrat ne pr\u00e9cise rien, demandez-le explicitement \u00e0 votre client avant de b\u00e2tir votre dossier au mauvais niveau.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le PCCC et le CMMC seront-ils un jour reconnus l&rsquo;un par l&rsquo;autre ?<\/summary><p class=\"wp-block-paragraph\">Aucune reconnaissance mutuelle officielle n&rsquo;existe \u00e0 ce jour entre les deux programmes, malgr\u00e9 leur base technique commune. Tant qu&rsquo;elle n&rsquo;est pas confirm\u00e9e par les deux gouvernements, une entreprise qui vend des deux c\u00f4t\u00e9s de la fronti\u00e8re doit pr\u00e9voir deux d\u00e9marches distinctes, arrim\u00e9es mais s\u00e9par\u00e9es, chacune avec son propre dossier.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/171\/r3\/final\" target=\"_blank\" rel=\"noopener nofollow\">NIST SP 800-171<\/a><\/li><li><a href=\"https:\/\/dodcio.defense.gov\/cmmc\/\" target=\"_blank\" rel=\"noopener nofollow\">Programme CMMC \u2014 U.S. Department of Defense<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/orientation\/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171\" target=\"_blank\" rel=\"noopener nofollow\">ITSP.10.171 \u2014 Centre canadien pour la cybers\u00e9curit\u00e9<\/a><\/li><li><a href=\"https:\/\/www.defenceandsecurity.ca\/\" target=\"_blank\" rel=\"noopener nofollow\">CADSI \u2014 Association des industries canadiennes de d\u00e9fense et de s\u00e9curit\u00e9<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Combien co\u00fbte une mise en conformit\u00e9 CMMC pour une PME canadienne ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Aucun chiffre officiel g\u00e9n\u00e9ralisable n\\u0027existe : le co\u00fbt d\u00e9pend du palier exig\u00e9, de l\\u0027ampleur de l\\u0027\u00e9cart entre votre posture actuelle et les contr\u00f4les requis, et du nombre de syst\u00e8mes touch\u00e9s. Une entreprise d\u00e9j\u00e0 avanc\u00e9e dans sa d\u00e9marche PCCC part avec une longueur d\\u0027avance mesurable. M\u00e9fiez-vous de quiconque avance un prix fixe avant d\\u0027avoir cartographi\u00e9 votre \u00e9cart r\u00e9el.\"}},{\"@type\":\"Question\",\"name\":\"Combien de temps prend une certification CMMC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Aucune dur\u00e9e fixe n\\u0027est publi\u00e9e par le d\u00e9partement de la D\u00e9fense am\u00e9ricain : le d\u00e9lai d\u00e9pend du palier vis\u00e9, de la disponibilit\u00e9 d\\u0027un C3PAO pour les paliers qui l\\u0027exigent, et de l\\u0027ampleur du travail de mise \u00e0 niveau avant l\\u0027\u00e9valuation. Une entreprise qui a d\u00e9j\u00e0 structur\u00e9 sa d\u00e9marche PCCC r\u00e9duit ce d\u00e9lai. Pr\u00e9voyez des mois, pas des semaines.\"}},{\"@type\":\"Question\",\"name\":\"Mes propres sous-traitants sont-ils aussi vis\u00e9s par le CMMC ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, si l\\u0027information vis\u00e9e continue de circuler jusqu\\u0027\u00e0 eux. Le CMMC descend par clause contractuelle d\\u0027un maillon \u00e0 l\\u0027autre de la cha\u00eene, quel que soit le pays : si votre propre sous-traitant touche \u00e0 la m\u00eame information que vous, votre contrat avec lui va probablement porter la m\u00eame exigence. V\u00e9rifiez vos contrats de sous-traitance avant que votre client am\u00e9ricain ne le fasse pour vous.\"}},{\"@type\":\"Question\",\"name\":\"Quel palier CMMC mon entreprise doit-elle viser ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Ce n\\u0027est pas vous qui choisissez : c\\u0027est votre client am\u00e9ricain qui l\\u0027indique dans votre contrat, selon le type d\\u0027information qu\\u0027il vous confie. Une simple information contractuelle f\u00e9d\u00e9rale exige le palier de base, une information plus sensible en exige un sup\u00e9rieur. Si votre contrat ne pr\u00e9cise rien, demandez-le explicitement \u00e0 votre client avant de b\u00e2tir votre dossier au mauvais niveau.\"}},{\"@type\":\"Question\",\"name\":\"Le PCCC et le CMMC seront-ils un jour reconnus l\\u0027un par l\\u0027autre ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Aucune reconnaissance mutuelle officielle n\\u0027existe \u00e0 ce jour entre les deux programmes, malgr\u00e9 leur base technique commune. Tant qu\\u0027elle n\\u0027est pas confirm\u00e9e par les deux gouvernements, une entreprise qui vend des deux c\u00f4t\u00e9s de la fronti\u00e8re doit pr\u00e9voir deux d\u00e9marches distinctes, arrim\u00e9es mais s\u00e9par\u00e9es, chacune avec son propre dossier.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>CMMC Canada : un client am\u00e9ricain l&rsquo;exige ? Voici ce que \u00e7a change, la m\u00e9canique du flow-down, et comment l&rsquo;arrimer \u00e0 votre d\u00e9marche PCCC.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[1398,1392,1404,1396,1394,1400,82,1402],"class_list":["post-902","post","type-post","status-publish","format-standard","hentry","category-pccc","tag-client-americain-exige-cmmc","tag-cmmc-canada","tag-cmmc-certification-canada","tag-cmmc-entreprise-canadienne","tag-cmmc-quebec","tag-cmmc-vs-pccc-lequel","tag-cpcsc","tag-se-conformer-au-cmmc-depuis-le-canada"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/902","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=902"}],"version-history":[{"count":4,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/902\/revisions"}],"predecessor-version":[{"id":1395,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/902\/revisions\/1395"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=902"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=902"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=902"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}