CPCSC : la nouvelle certification canadienne en cybersécurité pour les fournisseurs de la défense

Le Canada dispose désormais de sa propre certification en cybersécurité pour les fournisseurs de la défense. Le Programme canadien de certification en cybersécurité (PCCC) a débuté avec le niveau 1 en avril 2026, et ses exigences seront intégrées à certains contrats de défense à partir de l’été 2026 (SPAC). Des entreprises comme BDO Canada ont lancé des programmes de préparation à ce sujet (BDO Canada). Avec la hausse des dépenses de défense, un nombre croissant d’entreprises canadiennes, y compris de nombreuses PME de la chaîne d’approvisionnement, y seront confrontées pour la première fois.

À qui s’applique le programme

Le programme cible les entrepreneurs et sous-traitants de la défense qui traitent des informations de défense contrôlées ou effectuent des travaux sensibles sur le plan cybernétique dans le cadre de contrats de défense fédéraux (SPAC). Les exigences se transmettent par le biais des contrats, de sorte qu’un entrepreneur principal les répercutera sur ses fournisseurs.

La norme sous-jacente

Le PCCC repose sur la norme canadienne de cybersécurité industrielle ITSP.10.171 du Centre canadien pour la cybersécurité, qui s’aligne sur les contrôles NIST SP 800-171 et 800-172 des États-Unis (SPAC). Le Canada peut accepter, au cas par cas, le statut CMMC valide d’un entrepreneur américain, après avoir confirmé que l’évaluation couvre la portée requise.

Trois niveaux

• Niveau 1 : une autoévaluation annuelle dans laquelle les fournisseurs indiquent l’état de mise en œuvre de 13 exigences et contrôles de sécurité (SPAC).
• Niveau 2 : 98 contrôles, évalués par un organisme de certification tiers accrédité tous les trois ans, avec une attestation annuelle (SPAC).
• Niveau 3 : 200 contrôles, évalués par le gouvernement du Canada, pour les travaux à risque le plus élevé.

Calendrier

• D’avril 2026 à mars 2027 : introduction de l’outil d’autoévaluation de niveau 1 ; les exigences commencent à apparaître dans certains contrats.
• D’avril 2027 à mars 2028 : la certification de niveau 2 ou 3 devient progressivement obligatoire dans certains contrats de défense (SPAC).

Le Conseil canadien des normes est l’organisme d’accréditation des organismes de certification qui évalueront le niveau 2. Consultez la page du programme pour obtenir des informations à jour.

Comment se préparer

1. Identifiez vos contrats. Recensez les travaux de défense actuels et à venir, et déterminez si vous traitez des informations contrôlées.
2. Définissez votre périmètre. Isolez les systèmes et les personnes qui traitent des informations contrôlées. Un périmètre plus restreint et bien segmenté coûte moins cher à sécuriser et à évaluer.
3. Réalisez le niveau 1 avec rigueur. L’autoévaluation est une déclaration sur laquelle vos clients s’appuient. Conservez les preuves pour chaque contrôle.
4. Réalisez dès maintenant une analyse des écarts par rapport au niveau 2. Les 98 contrôles demandent du temps à mettre en œuvre, et les évaluateurs accrédités seront très demandés lorsque la mise en œuvre progressive de 2027 débutera.
5. Réutilisez l’existant. Les programmes ISO 27001, SOC 2 et PCI DSS couvrent de nombreux contrôles identiques : contrôle d’accès, journalisation, réponse aux incidents, gestion de la configuration et des vulnérabilités.

Accel GRC associe un même ensemble de contrôles à plusieurs référentiels, et KW Consulting accompagne les analyses des écarts et les actions correctives. Voir également comment répondre aux questionnaires de sécurité sans repartir de zéro. Contactez-nous.

Sources

• Services publics et Approvisionnement Canada : Programme canadien de certification en cybersécurité, niveau 1 (14-04-2026)
• SPAC : informations complémentaires et soutien relatifs au PCCC
• SPAC : certification en cybersécurité pour les fournisseurs de la défense au Canada
• BDO Canada : accélérateur de préparation à la cybersécurité pour la défense (10-06-2026)