Renseignements et soutien supplémentaires en matière de cybersécurité à l’intention des fournisseurs
L'exigence relative au Programme canadien de certification en cybersécurité (PCCC) sera mise en œuvre par étapes, en commençant par l'inclusion des exigences de niveau 1 dans certains contrats de la Défense nationale. Cette approche progressive est conçue pour donner à l'industrie canadienne de la défense le temps nécessaire pour s'adapter à l'évolution des normes de cybersécurité.
L'information contenue dans cette section s'applique aux niveaux 1, 2 et 3 et comprend des conseils, des ressources et du soutien pour aider les fournisseurs à se préparer à la certification.
Comment satisfaire aux exigences de certification en cybersécurité de niveau 1
Sur cette page
- Ressources pour soutenir la préparation à la certification
- Conseils supplémentaires pour les fournisseurs
- Jalons de mise en œuvre pour les niveaux 2 et 3
- Évaluations des risques liés à la cybersécurité
- Clauses contractuelles
- Évaluateurs externes accrédités
- Conformité et surveillance
- Rôles et avantages des entrepreneurs et des sous-traitants
- Aide aux fournisseurs
- Liens connexes
Ressources pour soutenir la préparation à la certification
Ces ressources sont disponibles pour vous aider à vous préparer à toutes les exigences de certification du PCCC.
Les documents d'orientation technique ne sont pas destinés à remplacer les obligations contractuelles, les clauses de sécurité ou l'orientation officielle du programme. Les fournisseurs qui souhaitent obtenir la certification PCCC doivent toujours se référer aux exigences décrites dans leurs contrats ou documents d'appel d'offres.
Commande recommandée
Il est recommandé d'utiliser les documents d'orientation suivants du PCCC dans l'ordre suivant :
- Procédure – pour mieux comprendre comment commencer à mettre en œuvre le PCCC
- Code de définition de la portée – pertinent pour le niveau de certification.
- Plan de sécurité du système (PSS) – Conseils pour créer votre propre plan
Bientôt disponible! Guide de mise en œuvre de la chaîne d'approvisionnement des entrepreneurs qui explique comment les exigences en matière de cybersécurité s'appliquent à votre propre chaîne d'approvisionnement et à vos sous-traitants.
Sources disponibles
1. Règles procédurales
La protection des informations spécifiques dans les systèmes et les organisations éducatives donne un aperçu complet du cycle de vie du PCCC aux niveaux 1, 2 et 3.
À qui s'adresse-t-il :
- fournisseurs du gouvernement du Canada
- évaluateurs indépendants de la cybersécurité
- pouvoirs d'approvisionnement
- Ministères clients
Comment cela peut aider :
Lorsqu'un fournisseur ou un vendeur est en possession de ce qui est considéré comme des renseignements spécifiés, ce document l'aide à comprendre :
- activités de préparation du PCCC
- documentation des preuves et attentes
- le processus de décision sur la portée
- autres exigences en matière de surveillance continue
Où le trouver : Communiquez avec l'Équipe du service à la clientèle du PCCC.
2. Guide d'orientation
Le guide d'orientation de la cybercertification de niveau 1 aide les organisations à déterminer ce qu'elles doivent inclure dans leur auto-évaluation de niveau 1 du PCCC.
À qui s'adresse-t-il : Les fournisseurs qui préparent ou tiennent à jour de la documentation au niveau du système en vue de la certification ou comme preuve de conformité aux exigences en matière de cybersécurité.
Comment cela peut aider : Il détermine les biens, les systèmes, les dispositifs, le personnel et les installations qui devraient être inclus dans la portée de l'évaluation des exigences en matière de cybersécurité.
Où le trouver : Accédez au Guide d'orientation de la cybercertification de niveau 1. Des documents d'orientation soutenant les activités de préparation à l'obtention d'une certification de niveau supérieur seront disponibles ultérieurement.
3. Plan de sécurité du système (PSS)
Le protocole de PNS soutient l'élaboration d'un plan de sécurité du système associé à l'accès aux renseignements spécifiés et aux exigences du PCCC.
À qui s'adresse-t-il : Les fournisseurs qui préparent ou tiennent à jour de la documentation au niveau du système en vue de la certification ou comme preuve de conformité aux exigences en matière de cybersécurité.
Comment cela peut aider : Ce document aide à faire le lien entre les exigences en matière de cybersécurité et les contrôles qui aident à protéger les renseignements spécifiés conformément à l'environnement des systèmes visés.
Où le trouver : Communiquez avec l'Équipe du service à la clientèle du PCCC.
4. (À venir bientôt) Guide de mise en œuvre de la chaîne d'approvisionnement pour l'industrie
Ce document explique comment les exigences du PCCC s'appliquent à l'ensemble de votre propre chaîne d'approvisionnement.
À qui s'adresse-t-il :Fournisseurs et vendeurs, y compris :
- entrepreneurs principaux
- gestionnaires de sous-traitance
- personnel chargé de la conformité
Comment cela peut aider : Explique comment les exigences du PCCC s'appliquent à l'ensemble de la chaîne d'approvisionnement, y compris lorsqu'il s'agit de travailler avec des sous-traitants, des tiers (également appelés fournisseurs de services externes) et lorsque les renseignements spécifiés sont partagés entre plusieurs niveaux de fournisseurs.
Où le trouver : Bientôt disponible.
Conseils supplémentaires pour les fournisseurs
Les ressources suivantes fournissent des conseils, du soutien et de l'information pour aider les organisations à améliorer leurs pratiques de cybersécurité et à protéger leurs opérations, tout en soutenant les personnes intéressées à saisir les occasions d'approvisionnement du gouvernement du Canada.
- Soutien en approvisionnement Canada: fournit un soutien en matière d'approvisionnement aux entreprises et les aide à apprendre à déterminer leurs responsabilités en tant que fournisseur pour répondre aux exigences de sécurité.
- Centre canadien pour la cybersécurité: conseille et guide les petites et moyennes entreprises en matière de cybersécurité
- Norme canadienne sur la sécurité industrielle (ITSP.10.171): décrit les contrôles de sécurité de base et les pratiques exemplaires pour protéger les renseignements de nature délicate pour les petits et moyens fournisseurs.
Jalons de mise en œuvre pour les niveaux 2 et 3
Les niveaux 2 et 3 sont en cours d'élaboration. Une fois qu'ils auront été établis, une évaluation normalisée des risques en matière de cybersécurité permettra d'évaluer chaque contrat de la Défense nationale et de déterminer le niveau de certification requis. Le niveau de certification requis pour les fournisseurs du secteur de la défense sera établi contrat par contrat et sera clairement communiqué dans les demandes de propositions (DP) et les clauses contractuelles.
Ce processus aidera les équipes d'approvisionnement à appliquer le niveau approprié du PCCC afin de garantir des attentes cohérentes et transparentes en matière de sécurité pour les fournisseurs.
Les exigences en matière de cybersécurité peuvent s'appliquer à de nombreux contrats en dehors du domaine de la défense. Par conséquent, tous les fournisseurs du gouvernement du Canada sont encouragés à continuer d'évaluer de manière proactive leur état de préparation actuel en matière de cybersécurité. Les fournisseurs du secteur de la défense doivent examiner la norme ITSP.10.171 du PCCC et communiquer avec le PCCC s'ils sont certifiés en vertu du Cybersecurity Maturity Model Certification des États-Unis.
Une fois les certifications de niveaux 2 et 3 disponibles :
- le niveau 2 comprendra 98 contrôles et nécessitera des évaluations externes quadrimestrielles de la cybersécurité dirigées par un organisme de certification accrédité, ainsi qu'une confirmation annuelle
- le niveau 3 nécessitera 130+ contrôles et nécessitera des évaluations quadrimestrielles de la cybersécurité menées par le gouvernement du Canada, ainsi qu'une confirmation annuelle
Les niveaux 1, 2 et 3 seront mis en œuvre de manière progressive.
Du printemps 2026 au printemps 2027
- Les exigences de certification de niveau 2 seront graduellement intégrées à certains contrats de défense
- Le gouvernement du Canada met en place un outil d'autoévaluation de niveau 1 et des documents pour aider les fournisseurs à se préparer à la certification de niveau 1
- Les contrats de la Défense nationale seront évalués au moyen d'un nouveau contrat : « Évaluation des risques liés à la cybersécurité »
- Des exigences de certification de niveaux 1 à 3 pourraient être définies dans certains contrats de défense dès l'été 2026; la conformité ne sera exigée qu'à une date ultérieure
- Des directives liées aux niveaux 2 et 3 seront communiquées à l'avance afin de donner aux
fournisseurs suffisamment de temps pour :
- comprendre les exigences
- préparer la mise en œuvre
- travailler en vue de la certification
Du printemps 2027 au printemps 2028
- L'exigence d'avoir une certification niveau 2 ou 3 seront graduellement intégrées à certains contrats de défense
- Les exigences de niveau 3 et les activités de conformité relatives aux certifications seront menées par les responsables du gouvernement du Canada
- Les exigences relatives aux niveaux 1 et 2 pourraient être appliquées à tous les contrats de défense du gouvernement du Canada, selon les commentaires de l’industrie
Évaluations des risques liés à la cybersécurité
Le processus permettra de cerner les contrats de défense comportant des exigences obligatoires et de déterminer le niveau de certification nécessaire en :
- permettant aux équipes chargées de l’approvisionnement d’évaluer de manière uniforme les exigences du PCCC pour chaque contrat
- servant d’addenda à la Liste de vérification des exigences relatives à la sécurité pour documenter les exigences du PCCC dans le contrat
- fournissant des définitions claires des différents types de renseignements de nature délicate
- favorisant la transparence et l’uniformité dans l’application des normes de cybersécurité dans l’ensemble des activités d’approvisionnement
Clauses contractuelles
Ces sections ou dispositions obligatoires des documents d’approvisionnement de la Défense nationale, comme les demandes de propositions (DP), appliqueront les exigences du PCCC suivantes :
- préciser le niveau de certification du PCCC requis pour les fournisseurs
- décrire les obligations en matière de protection des renseignements de nature délicate tout au long du cycle de vie du contrat
- fournir des définitions et des attentes claires en matière de conformité, afin d’aider les fournisseurs à comprendre et à respecter les normes de sécurité
Évaluateurs externes accrédités
Pour obtenir la certification de niveau 2 lorsque celle-ci sera en place, les fournisseurs devront se soumettre à une évaluation quadrimestrielle par un tiers accrédité.
Les évaluateurs externes :
- seront accrédités par le Conseil canadien des normes, en tant qu’organisme d’accréditation désigné du PCCC
- assureront l’évaluation et la certification pour les exigences de certification en cybersécurité de niveau 2 (modérées) applicables aux fournisseurs
Si vous souhaitez devenir un évaluateur externe pour le PCCC, veuillez communiquer avec accreditation@scc.ca.
Conformité et surveillance
Le niveau 1 du PCCC est basé sur l'auto-évaluation du fournisseur. Un fournisseur doit définir les systèmes, les biens, les installations, le personnel et les activités inclus dans la portée de son évaluation et confirmer qu'il a mis en œuvre les 13 exigences de cybersécurité de niveau 1.
Il incombe aux fournisseurs de conserver les dossiers et les preuves à l'appui de leur autoévaluation. Ils doivent maintenir les exigences applicables pendant toute la période couverte par leur déclaration. Ils ne doivent pas continuer à répondre à ces exigences chaque fois qu'ils accèdent à des renseignements précis, les traitent, les transmettent ou les stockent dans le cadre d'un contrat de défense déterminé.
Autoévaluation et déclaration de niveau 1
Avant d'attribuer un contrat qui exige le niveau 1 du PCCC, SPAC confirmera que le fournisseur a enregistré une déclaration d'auto-évaluation de niveau 1 à jour dans son profil de fournisseur AchatsCanada.
Il s'agit d'une confirmation administrative du statut du fournisseur au PCCC et ne constitue pas une évaluation technique indépendante ou une certification des systèmes, des contrôles de sécurité ou des preuves à l'appui du fournisseur.
Il incombe aux fournisseurs de s'assurer que leur déclaration demeure exacte et à jour. Il doit être renouvelé conformément aux exigences du PCCC et révisé chaque fois qu'un changement important touche :
- les systèmes
- actifs
- personnel
- installations
- activités comprises dans la portée
Examens de la surveillance du programme
SPAC peut effectuer des examens de surveillance du programme fondés sur les risques afin de soutenir l'administration cohérente et crédible de la certification de niveau 1.
Un agent du PCCC peut demander des renseignements ou des dossiers démontrant que :
- le fournisseur a clairement défini la portée de son auto-évaluation de niveau 1;
- le fournisseur a rempli une déclaration de niveau 1 à jour;
- le fournisseur conserve des documents à l'appui de sa déclaration;
- le fournisseur dispose de processus pour mettre en œuvre et maintenir les 13 exigences de niveau 1;
- les changements importants touchant la portée déclarée ont été déterminés et traités
- les renseignements fournis dans le cadre du processus de niveau 1 sont complets et cohérents à l'interne
La surveillance de niveau 1 vise à confirmer l'intégrité du processus d'auto-évaluation et de déclaration. Elle ne remplace pas la responsabilité d'un fournisseur d'évaluer, de mettre en œuvre et de maintenir ses propres exigences en matière de cybersécurité.
Lorsqu'un examen de surveillance révèle des renseignements manquants, périmés ou incohérents, SPAC peut exiger du fournisseur qu'il
- clarifie ou mette à jour sa déclaration
- fournisse les documents justificatifs pertinents
- prenne des mesures correctives conformément aux exigences applicables du contrat et du PCCC
Rôles et avantages des entrepreneurs et des sous-traitants
Avant de permettre à un sous-traitant d'accéder à des renseignements précisés, de les traiter, de les transmettre ou de les stocker, l'entrepreneur doit déterminer :
- si le contrat de sous-traitance exige l'accès aux renseignements précisés
- déterminer les exigences applicables du PCCC
Il incombe à l'entrepreneur d'intégrer les exigences applicables du PCCC dans le contrat de sous-traitance et de confirmer qu'il détient une déclaration ou une certification du PCCC à jour et dont la portée est appropriée avant que l'accès aux renseignements spécifiés ne soit accordé.
Le sous-traitant est responsable de ce qui suit :
- définir les systèmes, les biens, le personnel, les installations et les activités dans le cadre de son évaluation
- mettre en œuvre et maintenir les exigences applicables du PCCC
- effectuer l'auto-évaluation requise ou l'évaluation par un tiers
- conserver les dossiers et les preuves à l'appui de son statut de PCCC
- renouveler sa déclaration ou son attestation avant son expiration
Les entrepreneurs doivent documenter le fondement de leurs décisions d'applicabilité des sous-traitants. Dans les cas où un sous-traitant n'a pas accès aux renseignements précisés, les entrepreneurs doivent conserver un dossier à l'appui de cette décision.
Les entrepreneurs doivent conserver la preuve que chaque sous-traitant concerné détient un statut actuel du PCCC et mettre cette information à la disposition du Canada lorsque le contrat l'exige ou le demande dans le cadre d'une activité de surveillance de programme autorisée.
Les entrepreneurs doivent confirmer le statut du PCCC d'un sous-traitant :
- avant que le sous-traitant ne reçoive pour la première fois l'accès aux renseignements précisés
- avant l'expiration de la déclaration ou de la certification du sous-traitant
- lorsqu'un changement important a une incidence sur la portée ou les responsabilités du sous-traitant en matière de sécurité
- périodiquement aussi longtemps que le sous-traitant continue d'accéder aux renseignements précisés
Si la déclaration ou la certification d'un sous-traitant expire, est suspendue ou ne s'applique plus aux travaux effectués, l'entrepreneur doit prendre les mesures requises par le contrat. Ces mesures peuvent comprendre :
- suspendre l'accès du sous-traitant aux renseignements précisés
- aviser l'autorité contractante ou l'autorité de programme appropriée
- mettre en œuvre des mesures correctives
Une défaillance du statut du PCCC ou un défaut de maintenir une exigence applicable est distinct d'un incident de cybersécurité soupçonné ou confirmé impliquant des renseignements précis.
Les incidents de cybersécurité soupçonnés ou confirmés doivent être signalés conformément :
- aux autorisations
- aux procédures
- aux échéanciers établis dans le contrat et aux directives applicables du Programme de sécurité des contrats
Aide aux fournisseurs
- Soutien en approvisionnement Canada : offre une aide aux entreprises en ce qui a trait à l’approvisionnement et leur apprend à déterminer leurs responsabilités en tant que fournisseurs pour répondre aux exigences de sécurité
- Centre canadien pour la cybersécurité : conseille et guide les petites et moyennes entreprises en ce qui a trait à la cybersécurité
- Information pour les petites et moyennes entreprises : fournit des conseils et des avis en matière de cybersécurité à l’intention des petites et moyennes entreprises
- Norme canadienne sur la sécurité industrielle (ITSP.10.171) : décrit les contrôles de sécurité de base et les pratiques exemplaires afin de protéger les renseignements de nature délicate pour les petits et moyens fournisseurs