Aperçu du programme

Le Programme canadien de certification en cybersécurité (PCCC) est une certification officielle en matière de cybersécurité au Canada pour les fournisseurs du secteur de la défense. Géré par Services publics et Approvisionnement Canada, le programme est composé d’organismes accrédités, d’évaluateurs certifiés et d’une surveillance gouvernementale. Il est conforme aux normes et aux pratiques exemplaires internationales et soutient les priorités liées à la sécurité nationale.

Au-delà de cette conformité, le programme renforce la base industrielle de défense du Canada et permet l’interopérabilité avec les principaux alliés, y compris les partenaires de la communauté du Groupe des cinq.

Sur cette page

• À propos du Programme canadien de certification en cybersécurité
• Document sur les critères de niveau 1
• Les 3 niveaux de certification
• Avantages pour le Canada et les fournisseurs
• Contrôles en matière de cybersécurité
• Aperçu des 13 contrôles pour la certification de niveau 1
• Ministères et organismes participant au Programme canadien de certification en cybersécurité

À propos du Programme canadien de certification en cybersécurité

La certification comprendra les principales caractéristiques suivantes :

• contrôles en matière de cybersécurité
• évaluations des risques liés à la cybersécurité
• clauses contractuelles
• évaluateurs externes accrédités

Une fois pleinement mise en œuvre, elle permettra :

• de protéger les renseignements de nature délicate non classifiés sur les contrats fédéraux
• de maintenir l’accès des entreprises canadiennes aux occasions de marché internationales
• de relever le niveau de cybersécurité de base du secteur canadien de la défense
• de faire en sorte que les systèmes des fournisseurs demeurent solides et fiables par rapport aux capacités et à l’état de préparation des Forces armées canadiennes
• d’accroître la participation des entreprises canadiennes au programme de certification en cybersécurité

Apprenez-en plus sur la norme canadienne sur la sécurité industrielle (ITSP.10.171) et obtenez-en un exemplaire.

Le PCCC est conçu pour suivre l’évolution des cybermenaces. Pour s’assurer que le programme demeure efficace, crédible et viable à long terme, le gouvernement du Canada adoptera une approche adaptative et fondée sur les risques pour gérer et mettre à jour les exigences.

Cette approche comprend ce qui suit :

• appliquer les exigences en matière de cybersécurité de la même façon dans tous les contrats de défense et les rendre claires dans le cadre des processus d’approvisionnement
• s’assurer que les organismes de certification accrédités disposent de la capacité et de l’expertise dont ils ont besoin
• mettre en place une gouvernance et une coordination solides avec le Conseil canadien des normes
• demeurer en phase avec les normes internationales et les pratiques de nos alliés

Nous examinerons et mettrons à jour régulièrement les normes, les directives et les processus afin de suivre le rythme des nouvelles cybermenaces et donner suite aux leçons apprises au fur et à mesure du déploiement du programme.

Document sur les critères de niveau 1

Accéder à la version canadienne de la publication NIST SP 800-171A Rev. 3 Assessing Security Requirements for Controlled Unclassified Information. Programme canadien de certification en cybersécurité : Critères de niveau 1

Les 3 niveaux de certification

Les exigences obligatoires de certification en cybersécurité du programme sont organisées en 3 niveaux différents, :

• niveau 1 : nécessite une autoévaluation annuelle de la cybersécurité (13 contrôles). Le niveau 1 sera disponible en avril 2026.
• niveau 2 : nécessite des évaluations externes de la cybersécurité menées par un organisme de certification accrédité, ainsi qu’une confirmation annuelle (98 contrôles)
• niveau 3 : nécessite des évaluations de la cybersécurité réalisées par la Défense nationale, ainsi qu’une confirmation annuelle (200 contrôles)

Avantages pour le Canada et les fournisseurs

Le PCCC renforce la capacité du Canada à protéger les renseignements contractuels de nature délicate et améliore l’état de la cybersécurité de la chaîne d’approvisionnement de la défense. En introduisant des exigences claires et fondées sur les risques, le programme assure  le respect du Plan d’action national en matière de cybersécurité et de la Stratégie nationale de cybersécurité, en soutenant les priorités en matière de sécurité nationale et l’interopérabilité avec les partenaires internationaux.

Le PCCC renforce la Stratégie industrielle de défense (SID) du Canada en veillant à ce que tous les fournisseurs du secteur de la défense répondent à de rigoureuses exigences normalisées en matière de cybersécurité, assurant ainsi une chaîne d’approvisionnement nationale de la défense sûre, résiliente et robuste. Dans le cadre de la SID, la cyberassurance est maintenant une exigence nationale fondamentale, garantissant la sécurité des systèmes, la fiabilité des fournisseurs et la préparation à l’égard des marchés mondiaux.

Le PCCC aide les fournisseurs à renforcer leur résilience en matière de cybersécurité en leur fournissant un cadre clair pour déterminer, évaluer et gérer les risques. Ce cadre permet non seulement de protéger la chaîne d’approvisionnement du Canada, mais aussi de positionner les fournisseurs comme des partenaires de confiance dans l’approvisionnement en matière de défense.

Contrôles en matière de cybersécurité

Les contrôles en matière de cybersécurité décriront les exigences applicables aux contrats fédéraux en fonction d’une nouvelle norme canadienne sur la cybersécurité. La norme :

• est inspirée étroitement des publications spéciales suivantes du National Institute of Standards and Technology du département du Commerce des États-Unis :
  • 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations ITSP.10.171
  • 800-172, Enhanced Security Requirements for Protecting Controlled Unclassified Information
• établit des contrôles de cybersécurité pour protéger les renseignements gouvernementaux de nature délicate dans des systèmes non gouvernementaux
• a été élaborée par le Centre canadien pour la cybersécurité
• reflète l’engagement du Canada à adopter des pratiques de sécurité rigoureuses tout en se conformant aux pratiques exemplaires internationales
• fournit des conseils aux fournisseurs du secteur de la défense sur la mise en œuvre de mesures de protection qui répondent aux exigences de la défense nationale du Canada en matière de confidentialité, d’intégrité et de disponibilité des données de nature délicate, aidant ainsi les entreprises à demeurer des partenaires sûrs et fiables dans la chaîne d’approvisionnement de la défense et de la sécurité du Canada

Aperçu des 13 contrôles pour la certification de niveau 1

Un total de 13 contrôles prévus dans le cadre de la norme ITSP.10.17 constituent le niveau 1 du PCCC.

Les contrôles peuvent être regroupés en 6 pratiques exemplaires principales vous aidant à maintenir une bonne cyberhygiène et à assurer la sécurité de vos renseignements. Il s’agit de :

• gérer qui peut accéder aux systèmes informatiques
• contrôler la façon dont les systèmes informatiques et les données sont utilisés
• vérifier les utilisateurs et les appareils
• protéger les données et l’équipement
• protéger les systèmes informatiques contre les cybermenaces

Le tableau suivant dresse la liste des 13 contrôles et fournit de plus amples renseignements sur les pratiques exemplaires importantes. Sélectionnez chaque pratique exemplaire pour savoir comment la mettre en application au sein dans votre entreprise.

Les niveaux 2 et 3 sont en cours d’élaboration.

Ministères et organismes participant au Programme canadien de certification en cybersécurité

Le PCCC est une initiative du gouvernement du Canada dirigée et soutenue par plusieurs ministères et organismes fédéraux qui jouent chacun un rôle distinct dans le renforcement de la posture de la chaîne d’approvisionnement de la défense du Canada en matière de cybersécurité.

Services publics et Approvisionnement Canada

Services publics et Approvisionnement Canada (SPAC) est le responsable fédéral du PCCC, chargé de la coordination des programmes à l’échelle du gouvernement, de l’élaboration des processus de certification et de la mise en œuvre globale. 

Ministère de la Défense nationale

Le Ministère de la Défense nationale MDN effectue le plus haut niveau d’évaluation de la cybersécurité (niveau 3) et collabore avec SPAC pour s’assurer que les exigences en matière de cybersécurité tiennent compte des besoins de la communauté de la défense.

Conseil canadien des normes

Le Conseil canadien des normes (CCN) accrédite les organismes de certification qui effectuent des évaluations externes (niveau 2) et appuie l’établissement d’un écosystème de certification solide et crédible.

Centre de la sécurité des télécommunications et Centre canadien pour la cybersécurité

Le Centre canadien pour la cybersécurité, qui relève du Centre de la sécurité des télécommunications (CSTC), a élaboré la norme canadienne sur la cybersécurité (ITSP.10.171) qui constitue le fondement des contrôles prévus dans le cadre du PCCC. Il fournit des conseils techniques spécialisés pour s’assurer que la norme reflète les pratiques exemplaires internationales.

Secrétariat du Conseil du Trésor du Canada

Le Secrétariat du Conseil du Trésor (SCT) contribue à la gouvernance et au cadre stratégique qui sous-tendent la mise en œuvre du PCCC, en assurant l’harmonisation avec les politiques générales du gouvernement du Canada en matière de cybersécurité.

Innovation, Sciences et Développement économique Canada

Innovation, Sciences et Développement économique Canada (ISDE) soutient le PCCC dans des domaines liés à l’état de préparation de l’industrie, aux retombées économiques et à l’harmonisation avec les priorités canadiennes en matière d’innovation.

Affaires mondiales Canada

Affaires mondiales Canada (AMC) soutient l’objectif du PCCC de maintenir et d’élargir l’accès des fournisseurs canadiens aux marchés internationaux, en particulier en ce qui concerne les administrations où les nations alliées exigent une certification de cybersécurité.

Sécurité publique Canada

Sécurité publique Canada contribue au PCCC en mettant l’accent sur la cybersécurité nationale et la résilience de la chaîne d’approvisionnement, soutenant la conformité du PCCC à la Stratégie nationale de cybersécurité.