Le projet de loi C-8 est adopté : ce que change la Loi sur la protection des systèmes cybernétiques critiques, et quand

Mise à jour du 22/09/2026 : À la reprise des travaux du Parlement, la Loi attendait toujours son décret d’entrée en vigueur et ses désignations. Découvrez où en sont les projets de loi C-36 et C-8 cet automne.

Le 15/06/2026, le projet de loi C-8 a reçu la sanction royale (Digital Policy Alert). Le Canada dispose désormais d’une loi fédérale, la Loi sur la protection des systèmes cybernétiques critiques (LPSCC), qui imposera des obligations de cybersécurité aux exploitants de services et de systèmes vitaux, ainsi que de nouveaux pouvoirs de sécurité sur le secteur des télécommunications. Nous avons traité ce projet de loi lors de son introduction dans Projet de loi C-8 : le Canada relance sa loi sur la cybersécurité des infrastructures critiques.

L’adoption d’une loi n’est pas synonyme d’entrée en vigueur

La sanction royale achève le processus législatif, mais la majeure partie de la LPSCC ne s’applique pas dès le premier jour. Trois étapes doivent encore être franchies :

• Entrée en vigueur. Le gouvernement fixe la date par décret.
• Désignation. Les exploitants ne sont assujettis à la Loi qu’une fois qu’ils font partie d’une catégorie d’exploitants désignés pour un service ou un système vital. L’annexe des catégories désignées est actuellement vide.
• Règlements. De nombreux détails, y compris la forme et le contenu des rapports d’incidents et des programmes, seront fixés par règlement (BLG).

Ce que devront les exploitants désignés

• Un programme de cybersécurité documenté, établi dans les 90 jours suivant la désignation en tant qu’exploitant (texte de la Loi).
• Une atténuation active des risques liés à la chaîne d’approvisionnement et aux tiers.
• Des rapports d’incidents de cybersécurité au Centre de la sécurité des télécommunications dans un délai de 72 heures.
• La conformité aux directives confidentielles sur la cybersécurité.
• La tenue de registres au Canada et la notification au régulateur de tout changement de propriété, de contrôle ou de tiers clés.

Les sanctions administratives peuvent atteindre 15 millions de dollars par violation et par jour pour les organisations et 500 000 $ pour les particuliers ; les administrateurs et dirigeants peuvent être tenus personnellement responsables (BLG).

Qui est concerné

Les services et systèmes vitaux énumérés dans la Loi sont les télécommunications, les pipelines et lignes de transport d’énergie interprovinciaux et internationaux, l’énergie nucléaire, les transports sous réglementation fédérale, les services bancaires ainsi que les systèmes de compensation et de règlement. Les régulateurs comprennent le surintendant des institutions financières, la Banque du Canada, la Régie de l’énergie du Canada, la Commission canadienne de sûreté nucléaire et les ministres responsables (BLG).

L’effet d’entraînement sur les fournisseurs

La plupart des organisations ne seront jamais désignées. Pourtant, beaucoup ressentiront les effets de la Loi, car les exploitants désignés doivent gérer les risques créés par leurs fournisseurs. Attendez-vous à ce que les banques, les télécoms, les réseaux de paiement et les entreprises du secteur de l’énergie durcissent leurs contrats, exigent des notifications d’incidents en quelques heures plutôt qu’en quelques jours, et demandent des assurances indépendantes telles que ISO 27001 ou SOC 2. Les fournisseurs des institutions financières sous réglementation fédérale constatent déjà cela sous la ligne directrice B-10 du BSIF.

Ce qu’il faut faire avant l’entrée en vigueur de la Loi

1. Identifiez lesquels de vos clients pourraient être désignés et lesquels de vos services soutiennent leurs systèmes critiques.
2. Testez votre réponse aux incidents par rapport à un délai de signalement de 72 heures, y compris la manière dont vous informeriez un client à temps pour qu’il puisse faire son rapport.
3. Préparez un dossier de preuves sur lequel vos clients peuvent s’appuyer : politiques, évaluation des risques, résultats de tests d’intrusion et rapport indépendant.
4. Passez en revue vos propres fournisseurs. Le risque lié aux tiers se répercute tout au long de la chaîne.

Accel GRC centralise le suivi du programme, des preuves et des examens des fournisseurs, tandis qu’Ubitrak fournit les tests et les évaluations indépendantes demandés par les clients. Contactez-nous.

Sources

• Digital Policy Alert : La Loi sur la protection des systèmes cybernétiques critiques (projet de loi C-8) a reçu la sanction royale
• BLG : Adoption du projet de loi C-8, Loi sur la protection des systèmes cybernétiques critiques
• Parlement du Canada, LEGISinfo : Projet de loi C-8 (45-1)
• Projet de loi C-8, texte de la première lecture