Accompagnement à la certification PCCC (Programme canadien de certification en cybersécurité)
Pour soumissionner sur les contrats de la Défense, la cybersécurité doit être prouvée. On vous y prépare.
Niveau 1 (autoévaluation) ou Niveau 2 (certification par tiers accrédité) — on vous aide à choisir, puis on vous mène à la conformité ITSP.10.171.
Un accompagnement à la certification PCCC (Programme canadien de certification en cybersécurité, en anglais CPCSC) est un mandat structuré qui prépare votre organisation à répondre aux exigences cyber imposées par Services publics et Approvisionnement Canada (SPAC) sur les contrats de défense. Le programme a été annoncé le 12 mars 2025 par SPAC, et son document technique de référence ITSP.10.171 (Protection de l'information désignée dans les organisations et systèmes ne relevant pas du gouvernement du Canada) a été publié par le Centre canadien pour la cybersécurité avec entrée en vigueur le 2 avril 2025. Le programme prévoit trois niveaux de certification : Niveau 1 (autoévaluation, 13 exigences de sécurité fondamentales), Niveau 2 (évaluation par tiers, 97 contrôles complets), et Niveau 3 (conduit par le gouvernement canadien, réservé aux scénarios à très haut risque). Factero pilote la démarche : choix du niveau, analyse d'écart contre la norme ITSP.10.171, implémentation des contrôles manquants, documentation, autoévaluation (Niveau 1) ou préparation à la certification (Niveau 2) par un organisme accrédité par le Conseil canadien des normes (SCC/CCN). Nous préparons — nous ne certifions pas. La certification de Niveau 2 est délivrée par un organisme d'évaluation tiers, accrédité selon ISO/IEC 17020. Démarche conduite par un associé principal certifié CISA, avec ITSP.10.171 comme cible et NIST SP 800-171 Rev. 3 en référence directe (à distinguer du CMMC américain qui est basé sur Rev. 2 — voir la FAQ dédiée). Factero est lui-même certifié PCCC niveau 1 selon ITSP.10.171 (attestation valide du 2026-05-19 au 2027-05-19) — nous appliquons à notre organisation le même référentiel fédéral de cybersécurité que celui vers lequel nous accompagnons nos clients, selon la même logique que pour notre propre certification d'entreprise CyberSécuritaire Canada (CAN/DGSI 104:2021 / Rev 1: 2024). Preuves disponibles sur demande via notre Trust Center.
Pour qui ?
Fournisseurs canadiens qui soumissionnent ou prévoient soumissionner sur des contrats de la Défense nationale où le PCCC est devenu — ou deviendra — une condition d'admissibilité.
Sous-traitants de premier rang qui traitent ou hébergent des renseignements non classifiés sur les contrats fédéraux (CUI/RNC) et qui doivent démontrer la protection de ces données dans leurs propres systèmes.
Entreprises canadiennes déjà engagées dans la chaîne d'approvisionnement de la Défense américaine (CMMC, NIST SP 800-171) qui veulent capitaliser sur ce travail pour le PCCC — les deux référentiels sont alignés.
Fournisseurs de technologies, d'ingénierie, de services professionnels et de fabrication qui découvrent que leur prochain contrat avec le MDN, SPAC ou un grand intégrateur de défense exigera une certification PCCC.
Entreprises qui ont reçu une demande d'autoévaluation Niveau 1 dans le cadre du programme pilote SPAC et qui veulent la remplir correctement plutôt que dans l'urgence.
PME canadiennes qui visent à élargir leur marché vers les contrats de défense canadiens ou alliés et qui veulent commencer par bâtir la fondation cyber.
Quand est-ce utile ?
Si vous vous reconnaissez dans l'une de ces situations, ce service est conçu pour vous.
- Un appel d'offres récent de la Défense ou de SPAC mentionne le PCCC comme condition d'admissibilité — et vous n'êtes pas certifiés.
- Vous êtes sous-traitant d'un grand intégrateur de défense qui vous a transmis ses propres exigences ITSP.10.171, et vous ne savez pas par où commencer.
- Vous hésitez entre Niveau 1 (autoévaluation, plus rapide, suffisant pour certains contrats) et Niveau 2 (certification par tiers, requise pour les contrats sensibles) — et vous voulez un regard externe pour trancher avant d'investir.
- Vous opérez déjà sous NIST SP 800-171 pour des contrats américains et vous voulez savoir ce que le PCCC ajoute (la réponse : la structure est très proche, mais l'écosystème d'accréditation canadien est distinct).
- Vous êtes déjà certifiés CMMC Niveau 2 côté américain et vous voulez utiliser ce travail pour obtenir le PCCC Niveau 2 — c'est techniquement possible et significativement plus rapide.
- Vous lisez ITSP.10.171 (97 contrôles répartis en 17 familles) et vous réalisez que l'écart entre votre dispositif actuel et la norme demande une démarche structurée, pas une liste de cases à cocher.
- Vous confondez PCCC avec CAN/DGSI 104 (CyberSécuritaire Canada) — ce sont deux programmes canadiens distincts avec des audiences et des exigences différentes.
- Votre conseil d'administration ou votre direction commerciale veut savoir combien coûte, en argent et en temps, l'accès au marché de la défense.
Qu'est-ce que vous obtenez ?
Une recommandation claire Niveau 1 ou Niveau 2, justifiée par les contrats que vous visez réellement, le type d'information traitée, et les exigences contractuelles imposées par vos clients de défense — pas par une préférence commerciale.
Une analyse d'écart complète entre votre posture actuelle et les 97 contrôles d'ITSP.10.171 répartis en 17 familles (contrôle des accès, sensibilisation et formation, audit et responsabilisation, gestion des configurations, identification et authentification, réponse aux incidents, maintenance, protection des médias, sécurité du personnel, protection physique, planification, évaluation des risques, évaluation de la sécurité, protection des systèmes et des communications, intégrité des systèmes et de l'information, acquisition des systèmes et services, gestion des risques de la chaîne d'approvisionnement).
Une estimation réaliste du délai, du coût total (honoraires Factero + honoraires de l'organisme d'évaluation pour le Niveau 2 + investissements techniques) et de la charge sur vos équipes internes.
Les politiques, procédures et enregistrements requis par la norme, rédigés et adaptés à votre réalité — pas un lot de gabarits NIST génériques traduits à la va-vite.
L'implémentation des contrôles techniques manquants en collaboration avec vos équipes TI ou votre MSP : MFA conforme aux exigences, chiffrement FIPS-validé pour les contrôles applicables, journalisation, gestion des accès privilégiés, gestion des configurations, etc.
Le System Security Plan (SSP) — document central de la conformité ITSP.10.171, équivalent du SSP CMMC — décrivant le périmètre, les contrôles en place, les responsabilités.
Le Plan of Action and Milestones (POA&M) documentant les écarts résiduels acceptables et leur calendrier de remédiation.
Pour le Niveau 1 : un dossier d'autoévaluation prêt à soumettre à SPAC, accompagné des preuves nécessaires.
Pour le Niveau 2 : un accompagnement complet pendant la certification par l'organisme d'évaluation accrédité SCC/CCN : préparation des équipes, traduction des questions, gestion des non-conformités éventuelles.
Un plan de maintien sur la durée de validité de la certification : surveillance des évolutions du programme, préparation de la recertification, ajustements si votre périmètre évolue.
Pas un bon fit ?
- Le PCCC est un engagement exigeant — la norme ITSP.10.171 compte 97 contrôles techniques dont plusieurs nécessitent des investissements significatifs (chiffrement FIPS, gestion des configurations, surveillance, gestion des accès privilégiés). Il requiert un propriétaire interne (souvent le CTO, le responsable sécurité, ou un responsable conformité dédié) avec le mandat de mobiliser les équipes TI et opérationnelles. Sans ce point d'ancrage, même le meilleur accompagnement externe ne tient pas la distance.
- Si vous n'avez pas de contrat de défense actif ou prévu, le PCCC est probablement prématuré. CAN/DGSI 104 (CyberSécuritaire Canada) est une certification cybersécurité générale pour les PME canadiennes, avec un effort proportionné et un coût significativement inférieur — souvent un meilleur point de départ.
- Si vous opérez uniquement aux États-Unis pour des contrats de défense américains, c'est le CMMC (Cybersecurity Maturity Model Certification) qui s'applique, pas le PCCC. Les deux référentiels sont très proches techniquement, mais les écosystèmes d'accréditation et les autorités diffèrent.
- Si votre exposition réelle aux renseignements contrôlés (CUI/RNC) est très limitée — par exemple un fournisseur de services non techniques sans accès aux données du contrat — le PCCC peut être disproportionné. On clarifie à l'appel découverte si la certification est réellement requise pour votre cas.
- Si votre maturité cyber actuelle est très faible (pas de MFA déployé, pas de gestion des configurations, pas de journalisation centralisée), viser une certification PCCC Niveau 2 dans les 12 prochains mois va créer plus de stress que de valeur. On vous proposera un plan en étapes : fondations d'abord, certification ensuite.
Comment fonctionne le processus ?
Une approche rigoureuse et transparente, étape par étape.
Cadrage et choix du niveau
On commence par déterminer quel niveau vise juste pour votre situation. Le Niveau 1 est une autoévaluation que vous remplissez vous-mêmes (avec notre aide) et soumettez à SPAC — utilisable pour les contrats de niveau 1, moins sensibles. Le Niveau 2 exige une certification par un organisme d'évaluation indépendant accrédité par le SCC/CCN — requis pour les contrats traitant des renseignements contrôlés (CUI/RNC). Le choix dépend de vos contrats actuels et visés, du type d'information traitée, et des exigences spécifiques imposées par vos clients de défense. Parfois la bonne réponse est de viser Niveau 1 maintenant pour soumissionner rapidement, puis Niveau 2 dans 12-18 mois.
Analyse d'écart contre ITSP.10.171
On cartographie votre posture actuelle contre les 97 contrôles d'ITSP.10.171 répartis en 17 familles. La structure est alignée avec NIST SP 800-171 Rev. 3 — si vous avez déjà du travail sur le NIST 800-171 (typique des fournisseurs de la chaîne CMMC), une grande partie est réutilisable. Sinon, on identifie ce qui est en place et documentable, ce qui doit être ajusté, et ce qui demande un chantier réel. Livrable : rapport d'écart priorisé par criticité et effort, estimation du chemin à parcourir.
Contrôles et documentation
On implémente les contrôles manquants avec vos équipes : MFA conforme, chiffrement FIPS pour les contrôles applicables (essentiel pour ITSP.10.171), journalisation et surveillance, gestion des configurations, gestion des accès privilégiés, sensibilisation et formation. En parallèle, on rédige le System Security Plan (SSP) — document central de votre conformité — et le Plan of Action and Milestones (POA&M) documentant les écarts résiduels avec calendrier de remédiation.
Autoévaluation ou audit interne
Pour le Niveau 1, on prépare avec vous l'autoévaluation à soumettre à SPAC : réponses justifiées, preuves attachées, format attendu. Pour le Niveau 2, on conduit un audit interne formel avant la certification par l'organisme d'évaluation — un regard externe indépendant qui identifie les non-conformités potentielles pendant qu'il est encore temps de les corriger. Cette étape distingue les démarches qui passent du premier coup de celles qui doivent recommencer.
Accompagnement évaluation (Niveau 2)
On vous accompagne pendant l'évaluation conduite par l'organisme accrédité SCC/CCN que vous aurez choisi. Notre rôle : traduire les demandes de l'évaluateur en actions concrètes pour vos équipes, préparer les entrevues et les démonstrations techniques, gérer les non-conformités éventuelles et les plans de correction dans les délais impartis. Le choix de l'organisme d'évaluation reste le vôtre — nous pouvons vous présenter les options accréditées par le SCC, sans aucun lien commercial avec elles.
Maintien et recertification
Le PCCC est un programme jeune (première phase lancée en mars 2025, déploiement complet en cours) et les exigences peuvent évoluer. On reste disponible pour suivre les évolutions du programme, ajuster votre dispositif si votre périmètre change (nouveaux contrats, nouveaux types de données traitées), et préparer la recertification — sans contrat récurrent imposé.
Foire aux questions
Les réponses aux questions que nos clients posent avant de nous contacter.
Quelle est la différence entre PCCC et CAN/DGSI 104 (CyberSécuritaire Canada) ?
Deux programmes canadiens distincts qu'on confond souvent — et la différence change tout. CyberSécuritaire Canada (basé sur CAN/DGSI 104) est une certification cybersécurité générale pour les PME canadiennes, administrée par le Conseil canadien des normes, avec deux niveaux (Niveau 1 et Niveau 2). Le PCCC (Programme canadien de certification en cybersécurité, en anglais CPCSC) est spécifique aux fournisseurs de la Défense nationale, basé sur la norme ITSP.10.171 (97 contrôles, alignée sur NIST SP 800-171 Rev. 3), avec trois niveaux (Niveau 1 autoévaluation, Niveau 2 par tiers accrédité, Niveau 3 conduit par le gouvernement pour les scénarios à très haut risque). Les autorités, les normes sous-jacentes et les audiences sont différentes. Si un appel d'offres de la Défense mentionne une « certification cyber », il s'agit presque certainement du PCCC — pas de CyberSécuritaire Canada. Factero clarifie ça à l'appel découverte : il serait coûteux et frustrant d'obtenir la mauvaise certification. (Source : Services publics et Approvisionnement Canada, mars 2025 ; Centre canadien pour la cybersécurité, avril 2025.)
Quelle est la différence entre PCCC et CMMC ?
Le PCCC est l'équivalent canadien du CMMC américain — proche techniquement, distinct administrativement. Les deux programmes visent à protéger les renseignements non classifiés contrôlés (CUI aux États-Unis, RNC au Canada) dans la chaîne d'approvisionnement de la Défense. Les deux s'appuient sur la même base technique : NIST SP 800-171 (ITSP.10.171 au Canada est essentiellement la version canadienne de la même norme). Mais l'écosystème d'accréditation est différent : aux États-Unis, le DoD via le Cyber AB ; au Canada, le SCC/CCN accrédite les organismes d'évaluation selon ISO/IEC 17020. Une entreprise canadienne déjà certifiée CMMC Niveau 2 peut probablement réutiliser une grande partie du travail pour obtenir le PCCC Niveau 2 — la documentation, les contrôles techniques, le SSP, le POA&M sont largement transposables. Factero structure la démarche pour maximiser la réutilisation entre les deux programmes quand c'est pertinent.
Quand le PCCC devient-il obligatoire ?
Le PCCC est en déploiement progressif depuis mars 2025. La première phase, lancée le 12 mars 2025 par le gouvernement du Canada, comprend la nouvelle norme de sécurité industrielle canadienne, le lancement de l'écosystème d'accréditation et un programme pilote testant l'autoévaluation pour certains contrats de défense. Le déploiement à grande échelle se poursuit progressivement. Les fournisseurs qui visent les contrats de défense doivent suivre les avis publiés par SPAC pour savoir quels contrats spécifiques exigent désormais la certification. Une fois pleinement mis en œuvre, le PCCC sera requis pour soumissionner sur les contrats de défense traitant des renseignements contrôlés. Factero suit activement les annonces de SPAC et du SCC pour ajuster les démarches en cours selon les évolutions. (Source : canada.ca, Services publics et Approvisionnement Canada, programme PCCC.)
Combien de temps ça prend ?
Pour le Niveau 1 (autoévaluation), comptez 3 à 6 mois selon votre point de départ. Pour le Niveau 2 (certification par tiers), 9 à 18 mois est réaliste. Le délai dépend principalement de votre maturité initiale : si vous travaillez déjà sur NIST 800-171 ou CMMC, la majorité du travail est réutilisable et les délais raccourcissent significativement. Si vous partez d'une fondation cyber faible (peu de MFA, peu de journalisation, peu de gestion des configurations), même le Niveau 1 peut prendre 6 mois. Factero donne une estimation réaliste dès l'analyse d'écart — pas une fourchette marketing reprise d'une brochure.
Combien ça coûte — et qu'est-ce qui n'est pas inclus ?
L'accompagnement Factero couvre la préparation complète — cadrage, analyse d'écart, implémentation des contrôles, rédaction du SSP et du POA&M, autoévaluation (Niveau 1) ou accompagnement pendant la certification (Niveau 2), maintien. Les coûts non inclus et payés directement par vous : pour le Niveau 2, les honoraires de l'organisme d'évaluation accrédité (l'évaluation elle-même et la délivrance du certificat) ; les investissements techniques identifiés pendant la démarche (MFA conforme, chiffrement FIPS, outils de journalisation, solutions de gestion des accès privilégiés, etc.) — les exigences ITSP.10.171 peuvent demander des investissements significatifs selon votre point de départ ; et le temps de vos équipes internes — toujours l'investissement le plus important. On vous remet une estimation complète des trois postes dès l'analyse d'écart.
On a déjà NIST 800-171 ou CMMC. Est-ce que ça accélère le PCCC ?
Oui, significativement — mais avec une nuance technique importante. ITSP.10.171 est la version canadienne de NIST SP 800-171 Rev. 3, alors que le CMMC américain est basé sur NIST SP 800-171 Rev. 2. Concrètement, Rev. 3 contient 97 contrôles dans 17 familles (vs 110 contrôles dans 14 familles pour Rev. 2), et a ajouté trois nouvelles familles : Planification (PL), Acquisition des systèmes et services (SA), et Gestion des risques de la chaîne d'approvisionnement (SR). Donc si vous avez un SSP, un POA&M, des contrôles techniques implémentés et de la documentation pour le CMMC ou pour un contrat américain sous DFARS 252.204-7012, la majeure partie est réutilisable, mais il faudra ajouter les contrôles des trois nouvelles familles et adapter la documentation au contexte canadien (références à SPAC plutôt qu'au DoD, terminologie « information désignée » plutôt que CUI), passer par l'écosystème d'accréditation canadien (SCC/CCN plutôt que Cyber AB), et valider que votre organisme d'évaluation est bien accrédité au Canada. L'analyse d'écart identifie précisément ce qui est transposable tel quel, ce qui demande une adaptation, et ce qui reste à construire.
Notre MSP gère déjà notre infrastructure. Peut-il aussi piloter notre certification PCCC ?
Votre MSP est un acteur clé de la mise en œuvre technique — mais piloter la démarche est un rôle distinct, et l'organisme d'évaluation y sera attentif. Le PCCC Niveau 2 est évalué par un organisme indépendant accrédité ISO/IEC 17020 ; cette accréditation impose des exigences strictes sur l'indépendance entre les acteurs qui implémentent les contrôles et ceux qui les valident. Si votre MSP gère votre infrastructure et rédige votre SSP et prépare votre POA&M, l'organisme d'évaluation posera des questions difficiles sur la séparation des responsabilités. Factero n'a aucun lien commercial avec votre MSP : nous structurons la démarche, documentons la réalité, et laissons votre MSP faire ce qu'il fait bien — l'opération. On travaille avec lui, pas à sa place, exactement comme pour un audit indépendant.
Quelle méthodologie utilisez-vous ?
Factero s'appuie sur ITSP.10.171 comme norme cible (publiée par le Centre canadien pour la cybersécurité), avec NIST SP 800-171 Rev. 3 en référence directe (les deux normes sont alignées). Le NIST Cybersecurity Framework (NIST-CSF) structure l'évaluation des risques et la priorisation des recommandations. Le principal associé détient la certification CISA (Certified Information Systems Auditor) délivrée par l'ISACA — la référence internationale en audit des systèmes d'information. Pour les organisations qui visent à la fois CMMC et PCCC, on structure la démarche pour maximiser la réutilisation entre les deux référentiels. La démarche est adaptée à la taille et au profil de chaque organisation — on ne construit pas le même dispositif pour une PME de 30 employés et un sous-traitant industriel de 200 employés.
Le programme est encore jeune. Y a-t-il un risque qu'il change ?
Oui, et c'est une réalité à intégrer dans votre stratégie. Le PCCC en est à sa première phase de déploiement (lancée en mars 2025) — les exigences précises, les contrats concernés et le calendrier complet de déploiement continuent de se préciser. Cela dit, la fondation technique (norme ITSP.10.171, accréditation SCC, deux niveaux) est posée et stable. Les évolutions à venir porteront probablement sur le périmètre d'application (quels contrats), le calendrier (échéances par type de fournisseur) et l'écosystème d'évaluation (nombre d'organismes accrédités disponibles). Factero suit activement les annonces de SPAC et du SCC — si votre démarche est en cours quand une mise à jour est publiée, on ajuste sans repartir à zéro. L'investissement dans la conformité ITSP.10.171 reste rentable même si certains détails du programme évoluent.
Est-ce que c'est confidentiel ?
Oui, chaque mandat d'accompagnement mené par Factero est encadré par un engagement de confidentialité formel en faveur du client, signé avant le début des travaux. Aucune information — SSP, POA&M, résultats d'audit interne, documentation technique — n'est partagée avec un tiers, un fournisseur ou un partenaire sans votre autorisation écrite explicite, conformément à notre politique de protection des renseignements personnels et aux exigences de la Loi 25. Les éléments remis à l'organisme d'évaluation le sont sous votre contrôle et avec votre validation. Compte tenu de la sensibilité de l'environnement défense, nous appliquons un niveau de rigueur supérieur sur les engagements PCCC.
Est-ce qu'on s'engage dans un suivi récurrent ?
Non. L'accompagnement se termine naturellement à l'obtention de la certification (Niveau 2) ou à la soumission validée (Niveau 1). Pour le maintien et la préparation de la recertification, certaines organisations préfèrent nous garder sur une cadence légère, particulièrement compte tenu de l'évolution attendue du programme. D'autres internalisent après le premier cycle. Notre charte d'indépendance interdit la création de dépendance artificielle. Si votre équipe peut reprendre le relais, c'est un bon résultat.
Pourquoi Factero pour ce mandat — qu'est-ce qui vous différencie ?
Avant de signer avec un cabinet d'accompagnement, vérifiez quelques éléments fondamentaux. Un cabinet sérieux les démontre sans hésitation et par écrit.
Cabinet lui-même certifié — Factero détient la certification CyberSécuritaire Canada (CAN/DGSI 104:2021 / Rev 1:2024), vérifiable publiquement au registre IAF CertSearch et via notre Trust Center. Nous appliquons à notre propre organisation les standards que nous accompagnons chez nos clients. Un cabinet qui vous accompagne vers une certification reconnue devrait, par cohérence, en détenir une lui-même.
Entreprise incorporée et établie depuis 2022 — Factero Service Conseil est dûment incorporée au Registre des entreprises du Québec (REQ) depuis 2022, sans procédure d'insolvabilité ni de faillite. Le statut juridique de tout cabinet candidat se vérifie gratuitement au REQ ; les procédures d'insolvabilité et de faillite figurent au registre du Bureau du surintendant des faillites Canada (osb-bsf.ic.gc.ca).
Équipe complète et continuité opérationnelle — Factero s'appuie sur une équipe interdisciplinaire couvrant les technologies de l'information, les ressources humaines et la comptabilité — les trois dimensions qui se croisent dans la plupart des mandats de gouvernance. Un mandat de certification s'étend sur 6 à 18 mois ; le cabinet qui vous accompagne doit avoir la profondeur d'équipe pour tenir la distance, pas seulement la disponibilité d'une seule personne.
Assurance responsabilité professionnelle et cyberassurance — Factero détient une couverture responsabilité professionnelle (E&O) et une cyberassurance actives, adaptées à ses activités de conseil en gouvernance TI et en cybersécurité. Un cabinet qui vous recommande une cyberassurance devrait, par cohérence, en détenir une lui-même. Demandez l'attestation avant de signer.
Indépendance écrite et publique — Nos engagements sont encadrés par une Charte d'Indépendance publique qui interdit commissions, rétrocessions et arrangements commerciaux avec les fournisseurs, courtiers et marchés.
Inscription aux marchés publics — Factero est inscrit au SEAO (Québec) et au Ontario Tenders Portal — démarche qui implique vérifications réglementaires et attestations fiscales à jour.
Ces critères ne sont pas des arguments commerciaux. Ce sont les conditions minimales à demander à tout cabinet candidat. L'absence de réponse claire à l'une de ces questions est, en soi, une réponse.
Services complémentaires
Audit informatique Accompagnement ISO 27001 Accompagnement CAN/DGSI 104 Voir plusBesoin d'avancer sur ce sujet ?
Discutons de votre situation spécifique. Sans engagement, juste des conseils d'expert.