# Certification CPCSC : guide pour les fournisseurs de la Défense

Source : https://cybercaribou.com/blogue/cpcsc-certification-cybersecurite-fournisseurs-defense · Cyber Caribou

> Certification CPCSC : les 3 niveaux, les 13 contrôles du niveau 1 et un plan concret pour les PME de la chaîne aérospatiale montréalaise qui visent la Défense.

Un atelier d'usinage de Mirabel, 40 employés, fabrique des supports et des pièces de structure pour un équipementier de Saint-Laurent. Cet équipementier vient de décrocher un contrat lié à la Défense nationale. Le message envoyé à tous ses sous-traitants est court : « Êtes-vous prêts pour le CPCSC ? »

Le Programme canadien de certification en cybersécurité (PCCC, souvent désigné par son acronyme anglais CPCSC) est la réponse du Canada au CMMC américain. Depuis le 1er avril 2026, son niveau 1 est disponible, et il commence à apparaître dans certains contrats de défense dès l'été 2026.

Pour la grappe aérospatiale du Grand Montréal, avec son réseau dense de PME d'usinage, de traitement de surface, de composites et d'ingénierie, ce n'est plus un sujet théorique. Voici comment s'y retrouver.

- Le CPCSC compte trois niveaux : autoévaluation annuelle (niveau 1), évaluation externe aux trois ans (niveau 2) et évaluation par la Défense nationale (niveau 3).
- Il repose sur la norme ITSP.10.171 du Centre canadien pour la cybersécurité, adaptation canadienne de la NIST SP 800-171 et des mêmes contrôles que le CMMC.
- Le niveau 1 tient en 13 contrôles de cyberhygiène, réalistes pour une PME, mais qui demandent des preuves.
- Le niveau 2 arrive dans certains contrats dès le printemps 2027 : c'est maintenant qu'il faut délimiter la portée et combler les écarts.

## Le CPCSC en clair : un programme, trois niveaux

Le programme, officiellement lancé le 12 mars 2025, est piloté par Services publics et Approvisionnement Canada (SPAC) et la Défense nationale. Son objectif : protéger l'« information désignée », c'est-à-dire l'information gouvernementale de nature délicate mais non classifiée confiée aux fournisseurs. On parle par exemple de détails de contrat non publics, d'information sur des marchandises contrôlées ou d'information protégée.

La norme de référence est l'ITSP.10.171 du Centre canadien pour la cybersécurité. Elle reprend la NIST SP 800-171 (révision 3) sans changement technique important et organise ses exigences en 17 familles. Le CPCSC utilise les mêmes contrôles techniques sous-jacents que le CMMC américain.

| Niveau | Qui évalue | Fréquence | Calendrier annoncé |
|---|---|---|---|
| 1 | Le fournisseur lui-même (13 contrôles) | Autoévaluation annuelle | Disponible depuis le 1er avril 2026; dans certains contrats dès l'été 2026 |
| 2 | Organisme de certification accrédité par le Conseil canadien des normes | Aux trois ans, avec affirmation annuelle | Dans certains contrats dès le printemps 2027 |
| 3 | Défense nationale | Aux trois ans, avec affirmation annuelle | Réservé aux scénarios à risque le plus élevé; date non annoncée |

## Pourquoi la grappe aérospatiale montréalaise est aux premières loges

Dans l'aérospatiale, l'information circule en cascade : du maître d'œuvre vers l'équipementier, puis vers les PME de deuxième et troisième rang. Les dessins techniques, les spécifications et les données de marchandises contrôlées voyagent jusqu'à l'atelier qui usine la pièce.

Les modalités de transmission des exigences aux sous-traitants dépendront des clauses de chaque contrat. Mais un donneur d'ordre qui doit protéger l'information désignée voudra logiquement s'assurer que ceux à qui il transmet ses dessins la protègent aussi.

Beaucoup de PME québécoises de l'aérospatiale subissent en plus une double pression : elles vendent aussi à des donneurs d'ordre américains soumis au CMMC. Comme les deux programmes partagent les mêmes contrôles, un seul effort bien structuré peut servir des deux côtés de la frontière.

Les points faibles que l'on rencontre souvent dans ces entreprises sont très concrets :

- un compte « atelier » partagé sur les postes du plancher de production;
- des ordinateurs de programmation de machines à commande numérique qui tournent sur une vieille version de Windows;
- des dessins échangés par courriel personnel ou par clé USB;
- un progiciel de gestion (ERP) accessible de la maison sans authentification multifacteur.

Premier geste utile : demandez par écrit à votre donneur d'ordre quel niveau du CPCSC son contrat exige, quelle information il vous transmettra et par quel canal. Les réponses définissent votre portée, votre échéancier et la suffisance d'une autoévaluation. Elles montrent aussi que vous prenez l'exigence au sérieux, ce qui compte au moment où il choisit les sous-traitants qu'il garde.

## Les 13 contrôles du niveau 1, en gestes concrets

SPAC regroupe les 13 contrôles du niveau 1 en six pratiques de cyberhygiène. Traduits pour un atelier de 40 personnes, ils donnent la checklist suivante :

- [ ] Gérer les comptes utilisateurs : créer, modifier et fermer les comptes, notamment le jour du départ d'un employé.
- [ ] Donner seulement les accès nécessaires : le machiniste n'a pas besoin du dossier des soumissions.
- [ ] Utiliser uniquement des systèmes et des appareils approuvés.
- [ ] Empêcher la diffusion publique d'information sensible (site Web, réseaux sociaux, partage infonuagique ouvert).
- [ ] Utiliser des comptes individuels et des mots de passe robustes.
- [ ] Approuver les appareils avant qu'ils se branchent au réseau.
- [ ] Activer l'[authentification multifacteur](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa).
- [ ] Effacer ou détruire de façon sécuritaire les vieux appareils.
- [ ] Tenir la liste des personnes autorisées dans les zones sécurisées.
- [ ] Contrôler l'entrée physique dans les locaux.
- [ ] Mettre en place des protections réseau de base, comme un pare-feu correctement configuré.
- [ ] Appliquer les mises à jour de sécurité, idéalement selon une [politique de gestion des correctifs](https://cybercaribou.com/blogue/politique-gestion-correctifs-pme) écrite.
- [ ] Utiliser un antivirus ou un logiciel anti-maliciel à jour.

L'autoévaluation se fait au moyen d'un outil en ligne du gouvernement. La preuve et sa date d'expiration doivent ensuite être inscrites dans votre profil AchatsCanada. Conservez vos preuves pendant tout le cycle d'attestation, ou au moins un an.

## Délimiter la portée : où circule l'information désignée ?

SPAC demande aux fournisseurs de savoir où l'information du gouvernement est stockée, quels systèmes et quelles personnes y ont accès, et quels services infonuagiques la traitent. C'est l'étape la plus sous-estimée.

Reprenons l'atelier de Mirabel. Les dessins arrivent par courriel à trois personnes, sont enregistrés sur un serveur de fichiers, copiés sur le poste de programmation, puis parfois transférés à la machine par clé USB. Chaque étape fait partie de la portée.

La stratégie gagnante pour une PME consiste souvent à créer une **enclave** : un nombre limité de comptes, de postes et de dossiers où l'information désignée a le droit de vivre. Plus l'enclave est petite, plus la conformité est simple, notamment pour tenir le plancher de production à l'écart. Les particularités de l'informatique industrielle sont détaillées dans notre article sur la [cybersécurité des manufacturiers et de l'OT](https://cybercaribou.com/blogue/cybersecurite-manufacturiers-ot).

## Une attestation, ce n'est pas un formulaire comme les autres

L'autoévaluation du niveau 1 est une déclaration formelle faite au gouvernement du Canada. Répondre « oui » à un contrôle appliqué à moitié peut avoir des conséquences contractuelles. Validez avec votre conseiller juridique la portée de vos engagements avant de signer.

Pour chaque contrôle, gardez une preuve simple et datée :

- une capture de la console montrant la MFA imposée à tous les comptes;
- la liste des comptes, revue et signée chaque trimestre;
- un rapport de correctifs généré par votre outil de gestion;
- le registre des visiteurs et la liste des badges actifs.

Une revue indépendante avant de signer évite les mauvaises surprises. C'est l'un des livrables de notre [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite) : chaque contrôle est vérifié, et chaque écart est accompagné d'une correction priorisée.

## Préparer le niveau 2 dès maintenant

Le niveau 2 couvre un ensemble beaucoup plus large d'exigences de l'ITSP.10.171 : journalisation et audit, gestion de la configuration, réponse aux incidents, formation, chiffrement, gestion des risques liés à la chaîne d'approvisionnement. L'évaluation sera menée par un organisme accrédité, sur preuves.

Quelques étapes à lancer dès cet automne :

1. Faire une analyse d'écarts complète par rapport à l'ITSP.10.171, et pas seulement aux 13 contrôles du niveau 1.
2. Rédiger une description du système dans la portée : réseau, postes, services infonuagiques, flux d'information.
3. Prioriser les écarts qui demandent du temps : journalisation centralisée, segmentation du réseau, remplacement des systèmes en fin de vie.
4. Choisir un organisme d'évaluation tôt : quand la demande augmentera, les calendriers risquent de se remplir.

Les PME qui traiteront le niveau 1 comme un point de départ, et non comme une ligne d'arrivée, seront celles qui garderont leur place dans la chaîne d'approvisionnement de la Défense.

## FAQ

**Une certification CMMC américaine est-elle reconnue pour le CPCSC ?**
Possiblement. Le gouvernement du Canada peut accepter une certification CMMC valide, au cas par cas, après avoir confirmé que l'évaluation couvre la portée exigée. Les deux programmes reposent sur les mêmes contrôles techniques, ce qui simplifie la vie des PME qui vendent aussi à des donneurs d'ordre américains.

**Le niveau 1 du CPCSC est-il exigé dès le dépôt d'une soumission ?**
Selon Services publics et Approvisionnement Canada, l'autoévaluation de niveau 1 est exigée à l'attribution du contrat, et non pendant l'appel d'offres. La preuve d'autoévaluation et sa date d'expiration doivent toutefois figurer dans votre profil AchatsCanada. Lisez attentivement les instructions de chaque appel d'offres.

**Tous les contrats de défense exigent-ils une certification CPCSC ?**
Non. Le gouvernement l'introduit dans certains contrats selon le niveau de risque, et les contrats de produits commerciaux standard peuvent en être exemptés. Le programme pourrait aussi s'étendre plus tard à d'autres contrats sensibles hors défense.

**Peut-on attester le niveau 1 sans utiliser l'outil en ligne du gouvernement ?**
Oui, l'attestation sans l'outil est permise, mais le gouvernement encourage fortement son utilisation. L'outil vous guide contrôle par contrôle et affiche à la fin une date d'expiration qu'il faut imprimer ou sauvegarder.

## Sources

- [SPAC : lancement du niveau 1 du Programme canadien de certification en cybersécurité](https://www.canada.ca/fr/services-publics-approvisionnement/nouvelles/2026/04/le-gouvernement-du-canada-lance-le-niveau-1-du-programme-canadien-de-certification-en-cybersecurite.html)
- [SPAC : document d'information sur le niveau 1](https://www.canada.ca/fr/services-publics-approvisionnement/nouvelles/2026/04/programme-canadien-de-certification-en-cybersecurite--niveau-1.html)
- [SPAC : comment satisfaire aux exigences de certification de niveau 1](https://www.canada.ca/fr/services-publics-approvisionnement/services/securite-industrielle/exigences-securite-contrats/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite/exigences-certification-niveau1.html)
- [Centre canadien pour la cybersécurité : ITSP.10.171](https://www.cyber.gc.ca/fr/orientation/protection-linformation-designee-organisations-systemes-ne-relevant-pas-gouvernement-canada-itsp10171)