Mise à jour du 17/06/2026 : Le projet de loi C-8 a reçu la sanction royale le 15/06/2026. Consultez Le projet de loi C-8 est adopté : ce qui change maintenant.
Le 18/06/2025, le gouvernement fédéral a déposé le projet de loi C-8, Loi concernant la cybersécurité, modifiant la Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois (LEGISinfo). Il relance le cadre de cybersécurité des infrastructures essentielles initialement proposé dans le projet de loi C-26, qui était mort au Feuilleton lors de la prorogation du Parlement en janvier 2025.
Si votre organisation exerce ses activités dans les secteurs de la banque, des télécommunications, de l’énergie ou des transports sous réglementation fédérale, ce projet de loi vous vise. Si vous vendez des technologies ou des services à ces organisations, il vous atteindra par l’entremise de vos contrats.
Deux parties
Partie 1 : Loi sur les télécommunications
La partie 1 ajoute la sécurité du système de télécommunications canadien comme objectif politique et donne au gouvernement le pouvoir d’ordonner aux fournisseurs de services de télécommunications de cesser d’utiliser les produits ou services de fournisseurs spécifiés, ou de prendre d’autres mesures pour sécuriser leurs réseaux (BLG).
Partie 2 : Loi sur la protection des systèmes cybernétiques essentiels
La partie 2 édicte la Loi sur la protection des systèmes cybernétiques essentiels (LPSCE). Elle s’applique aux « exploitants désignés » des secteurs qui fournissent des services et des systèmes vitaux relevant de la compétence fédérale, notamment les télécommunications, les pipelines et les lignes électriques interprovinciaux et internationaux, l’énergie nucléaire, les transports sous réglementation fédérale, les banques, ainsi que les systèmes de compensation et de règlement (texte du projet de loi).
Ce que les exploitants désignés devront faire
- Établir un programme de cybersécurité couvrant la manière dont ils identifient et gèrent les risques, protègent leurs systèmes cybernétiques essentiels, détectent les incidents et minimisent leur impact.
- Gérer les risques liés à la chaîne d’approvisionnement et aux tiers, y compris les risques provenant des produits et services qu’ils achètent.
- Signaler les incidents de cybersécurité au Centre de la sécurité des télécommunications (par l’entremise du Centre canadien pour la cybersécurité) dans un délai de 72 heures (BLG).
- Se conformer aux directives de cybersécurité émises par le gouvernement, lesquelles peuvent être confidentielles.
- Tenir des registres concernant leur programme, les incidents et les mesures prises, et informer leur organisme de réglementation des changements importants tels que la propriété, le contrôle ou les principaux fournisseurs.
Les organismes de réglementation sectoriels, tels que le Surintendant des institutions financières et la Banque du Canada, superviseraient la conformité. Les sanctions proposées dans le projet de loi atteignent jusqu’à 15 millions de dollars par violation pour les organisations et 500 000 $ pour les particuliers, par jour de violation continue, et les administrateurs et dirigeants peuvent être tenus personnellement responsables (BLG).
Pourquoi les fournisseurs doivent être attentifs
Les exploitants ne peuvent pas remplir une obligation de risque lié aux tiers sans demander des preuves à leurs fournisseurs. En pratique, cela signifie davantage de questionnaires de sécurité, de clauses contractuelles sur la notification des incidents et les audits, et des demandes de rapports indépendants tels que SOC 2 ou ISO 27001. Les institutions financières sous réglementation fédérale font déjà face à des attentes similaires en vertu des lignes directrices B-10 et B-13 du BSIF.
Ce qu’il faut faire maintenant
- Déterminez si votre organisation, ou vos clients les plus importants, pourraient être désignés.
- Vérifiez si vous seriez en mesure de détecter, d’évaluer et de signaler un incident important dans un délai de 72 heures.
- Constituez un dossier de preuves réutilisable : politiques, évaluation des risques, plan d’intervention en cas d’incident et rapport indépendant. Voir répondre aux questionnaires de sécurité sans repartir de zéro.
Le projet de loi doit encore être adopté par les deux Chambres. Accel GRC aide les organisations à structurer le programme et les preuves que les organismes de réglementation et les clients demanderont. Contactez-nous.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite