PCCC niveau 1 : le guide de préparation pour les fournisseurs de la défense au Canada

Le Programme canadien de certification en cybersécurité (PCCC, ou CPCSC en anglais) est désormais une exigence en vigueur. Le niveau 1 est offert aux fournisseurs depuis le 1er avril 2026 et figure dans plusieurs appels d'offres de la Défense nationale depuis l'été. La prochaine étape approche : le niveau 2, qui comporte une évaluation par un tiers, sera exigé dans certains contrats à compter du printemps 2027.

Ce guide explique ce que le niveau 1 exige concrètement : les 13 contrôles, le processus d'attestation, le traitement des certifications CMMC existantes et un plan de 90 jours qui prépare aussi au niveau 2. Les renseignements proviennent des lignes directrices de Services publics et Approvisionnement Canada (SPAC), mises à jour le 29 septembre 2026, et du Centre canadien pour la cybersécurité.

Où en est le programme en octobre 2026

Le niveau 1 est en vigueur. La Défense nationale l'intègre à certains contrats. L'exigence est déterminée contrat par contrat, selon le niveau de risque : tous les contrats de défense ne sont pas visés. Les contrats commerciaux disponibles sur le marché, par exemple, peuvent en être exemptés.

Le niveau 2 suit. Il s'appliquera à certains contrats à compter du printemps 2027 et exigera, aux trois ans, une évaluation par un organisme de certification accrédité par le Conseil canadien des normes (CCN). Une affirmation annuelle entre les évaluations est prévue. Les détails seront confirmés à la publication des lignes directrices de SPAC sur le niveau 2.

Le périmètre s'élargit. SPAC indique que des contrats sensibles hors défense adopteront aussi cette norme, selon le risque propre à chaque contrat.

Lorsque le niveau 1 s'applique, SPAC l'exige légalement à l'attribution du contrat, et non au dépôt de la soumission. Les fournisseurs doivent toutefois consigner leur attestation et sa date d'expiration dans leur profil AchatsCanada et la fournir lorsqu'ils soumissionnent sur un contrat qui exige le niveau 1. Un fournisseur qui attend l'attribution pour commencer devra implanter les contrôles pendant que la décision est en jeu. L'approche la plus sûre consiste à compléter l'attestation avant la parution de l'appel d'offres.

Qui est visé

Le PCCC protège l'information désignée : des renseignements gouvernementaux de nature délicate, non classifiés, qu'un contrat identifie comme devant être protégés lorsqu'ils se trouvent dans les systèmes d'un fournisseur. Trois catégories reviennent :

les détails contractuels non destinés à la diffusion publique, comme les énoncés des travaux, les prix, les échéanciers et les dessins techniques;
l'information liée aux marchandises contrôlées;
les renseignements protégés.

Si vos systèmes stockent, traitent ou transmettent ce type d'information dans le cadre d'un contrat de défense, votre entreprise est visée. Les sous-traitants qui manipulent de l'information désignée le sont aussi : l'exigence suit l'information, et non le rang contractuel. C'est pourquoi les entrepreneurs principaux voudront vérifier votre état de préparation.

Les trois niveaux du PCCC

Niveau 1 — Hygiène de base

Exigences : 13 exigences tirées de l'ITSP.10.171
Évaluation : autoévaluation annuelle, sans évaluateur externe
Échéance : dans certains contrats depuis l'été 2026

Niveau 2 — Contrôles avancés

Exigences : l'ITSP.10.171 complète, soit environ 98 exigences réparties en 17 familles
Évaluation : organisme de certification accrédité par le CCN, aux trois ans (affirmation annuelle prévue)
Échéance : dans certains contrats dès le printemps 2027

Niveau 3 — Programmes critiques

Exigences : exigences renforcées au-delà du niveau 2
Évaluation : menée par la Défense nationale
Échéance : déploiement progressif, après le niveau 2

Les niveaux s'emboîtent : les 13 contrôles du niveau 1 font partie du niveau 2. Le travail accompli maintenant reste acquis si un contrat futur exige le niveau 2.

Le programme repose sur l'ITSP.10.171, la norme technique du Centre canadien pour la cybersécurité. Elle s'appuie sur la même base que la NIST SP 800-171, qui fonde aussi le programme américain CMMC. Ce point compte pour les fournisseurs actifs des deux côtés de la frontière.

Les 13 contrôles du niveau 1, en langage clair

SPAC regroupe les 13 exigences en six pratiques d'hygiène informatique. Utilisez cette liste comme autovérification : tout contrôle que vous ne pouvez pas documenter aujourd'hui est un écart à combler avant votre prochaine soumission.

Contrôle de l'accès : qui peut accéder à vos systèmes

Gérer les comptes utilisateurs. Tenez un inventaire complet des comptes et de leurs accès. Créez les comptes à l'embauche, désactivez-les au départ ou au changement de rôle et révisez la liste au moins chaque trimestre. Les comptes partagés ou génériques sont à proscrire.
Accorder uniquement les accès nécessaires. Attribuez les accès par groupe de rôles, réservez les droits d'administrateur aux personnes qui en ont réellement besoin et révisez régulièrement les permissions des dossiers partagés.
N'utiliser que des systèmes et appareils approuvés. Tenez une liste d'une page des systèmes approuvés pour l'information désignée. Le courriel personnel, le stockage infonuagique personnel et les appareils personnels sont exclus du travail gouvernemental. Demandez à vos fournisseurs infonuagiques où les données sont hébergées et quelles juridictions étrangères peuvent y accéder. Si votre contrat comporte des renseignements Protégé B, attendez-vous à ce que les clauses de sécurité exigent leur stockage au Canada.
Tenir l'information sensible hors des canaux publics. Une personne désignée révise les mises à jour du site web, les communiqués et les publications sur les réseaux sociaux avant leur diffusion, afin de s'assurer qu'ils ne contiennent ni information désignée, ni noms de clients, ni détails techniques confidentiels.

Identification et authentification : qui utilise vos systèmes

Comptes individuels et mots de passe robustes. Chaque utilisateur possède ses propres identifiants, les mots de passe respectent des règles de robustesse et les écrans se verrouillent après une période d'inactivité (SPAC recommande 15 minutes sur les ordinateurs portables et 5 minutes sur les téléphones).
Approuver les appareils avant leur connexion. Tenez un inventaire des appareils approuvés (propriétaire, modèle, date d'approbation) et bloquez tous les autres, y compris sur le Wi-Fi de l'entreprise et les ports USB.
Activer l'authentification multifacteur. Le niveau 1 l'exige pour les comptes privilégiés et les systèmes qui stockent de l'information désignée. Une application d'authentification est la méthode à privilégier, avec une procédure de récupération prévue en cas de perte d'appareil.

Protection des supports : retirer les supports de stockage correctement

Effacer ou détruire les anciens appareils. Disques, imprimantes, clés USB et téléphones sont effacés au moyen d'un logiciel qui rend la récupération impossible, ou détruits physiquement. Un registre d'élimination consigne quoi, quand, comment et où.

Protection physique : locaux et équipement

Savoir qui peut entrer dans les zones sécurisées. Tenez la liste des personnes qui détiennent des clés, des cartes ou des codes donnant accès aux zones où se trouve l'information désignée. Les accès sont retirés au départ ou au changement de rôle; les accès temporaires portent une date d'expiration.
Contrôler l'entrée physique. Utilisez serrures, cartes d'accès, registre des visiteurs et escorte partout où se trouve l'information désignée. Les documents imprimés sont rangés sous clé plutôt que laissés dans le bac de l'imprimante.

Protection des systèmes et des communications : les réseaux

Protections réseau de base. Un pare-feu contrôle le trafic, les connexions entrantes non sollicitées sont bloquées et les systèmes accessibles au public sont séparés des systèmes internes. Les modifications sont consignées.

Intégrité des systèmes et de l'information : les menaces

Appliquer les mises à jour de sécurité. Activez les mises à jour automatiques, appliquez rapidement les correctifs critiques et consignez les mises à jour majeures des systèmes clés.
Utiliser un antivirus et un anti-maliciel. Une protection en temps réel, avec des définitions à jour, fonctionne sur les postes de travail et les serveurs. Tenez un registre des incidents et de leur résolution.

Ces contrôles n'exigent ni programme de sécurité formel ni acquisition majeure. SPAC le précise : quelques pages de règles écrites, communiquées au personnel et appuyées par des preuves, suffisent pour le niveau 1.

Comment attester

Délimiter le périmètre. Recensez où se trouve l'information du gouvernement du Canada, quels systèmes, appareils et personnes y accèdent et dans quels services infonuagiques elle se trouve. Le guide de délimitation du périmètre de niveau 1 de SPAC accompagne cette étape pas à pas.
Réaliser l'autoévaluation. L'outil d'autoévaluation en ligne du Centre canadien pour la cybersécurité indique votre situation pour chacun des 13 contrôles. SPAC estime qu'une organisation préparée le complète en moins d'une heure. L'outil est recommandé, mais pas obligatoire. Il produit une page de résultats avec une date d'expiration : conservez-la, car sa conservation vous incombe.
Consigner l'attestation dans AchatsCanada. Inscrivez l'attestation et sa date d'expiration dans le profil fournisseur de votre organisation, puis utilisez-la pour soumissionner sur les contrats qui exigent le niveau 1. L'exercice se répète chaque année.

Conserver les preuves. L'attestation repose sur la bonne foi et engage l'entreprise. SPAC demande de conserver les preuves pendant toute la durée du cycle d'attestation, ou pendant au moins un an : listes de comptes et d'appareils, notes de révision des accès, politiques, registres de formation, journaux de correctifs et d'élimination des supports, registres des visiteurs, configuration du pare-feu et captures d'écran de la configuration de l'authentification multifacteur. Le responsable technique du contrat ou votre entrepreneur principal peut demander à les consulter.

Vous détenez déjà une certification CMMC?

Le PCCC et le CMMC reposent sur les mêmes contrôles techniques, et SPAC indique que les fournisseurs ne devraient pas avoir à satisfaire deux normes distinctes. Une certification CMMC valide est une des voies pour satisfaire au niveau 1. Le Canada l'accepte au cas par cas, après avoir confirmé que l'évaluation couvre la portée exigée, et peut tout de même vérifier certains contrôles par l'intermédiaire du responsable technique du contrat. La preuve est transmise par courriel au Programme de cybersécurité de SPAC.

Trois situations courantes :

Vous vendez uniquement au MDN. Attestez le niveau 1 et évaluez votre écart par rapport au niveau 2 si vos contrats comportent un volume important d'information désignée.
Vous vendez au MDN et au département de la Défense des États-Unis. Menez les deux démarches comme un seul programme : la documentation se construit une fois et se présente deux fois.
Vous êtes déjà certifié CMMC. Soumettez votre certification à SPAC et confirmez la couverture de la portée avant de présumer l'équivalence.

Votre plan de 90 jours : d'octobre à janvier

Jours 1 à 30 (jusqu'à la mi-novembre) : cartographier. Repérez où l'information désignée entre, circule et est stockée dans vos systèmes, y compris chez vos fournisseurs infonuagiques. Dressez l'inventaire des comptes, des appareils et des accès physiques. Cotez chacun des 13 contrôles : conforme, partiel ou absent. Un périmètre mal défini place les contrôles au mauvais endroit.

Jours 31 à 60 (jusqu'à la mi-décembre) : combler les écarts. Traitez les écarts par ordre d'impact. L'authentification multifacteur sur les comptes privilégiés, la désactivation des comptes orphelins et le blocage des appareils non approuvés se règlent en quelques jours, pas en quelques mois. Rédigez les courtes politiques attendues au niveau 1 : mots de passe, systèmes approuvés, attribution des accès, approbation des appareils, destruction des supports.

Jours 61 à 90 (jusqu'à la mi-janvier) : prouver et attester. Constituez le dossier de preuves, complétez l'autoévaluation, conservez la page de résultats et consignez l'attestation dans AchatsCanada. Inscrivez au calendrier la révision trimestrielle des comptes et le renouvellement annuel.

Pour la suite : si vos contrats comportent beaucoup d'information désignée, profitez de la période qui précède le printemps 2027 pour mesurer votre écart par rapport à l'ensemble des exigences du niveau 2. Organiser dès maintenant les preuves du niveau 1 pour qu'elles servent au niveau 2 évite de refaire le travail.

Fournisseurs du Québec : inutile de partir de zéro. Les entreprises immatriculées au Québec peuvent se joindre à la Communauté de pratique Défense, une initiative de Cybereco financée en partie par le ministère de l'Économie, de l'Innovation et de l'Énergie. Son diagnostic aide à déterminer si vous êtes visé (jours 1 à 30). Ses gabarits, conformes à la NIST SP 800-171 et à l'ITSP.10.171, permettent d'adapter vos politiques aux jours 31 à 60 plutôt que de les rédiger de zéro. Des forums et des ateliers mettent aussi en relation les entreprises qui travaillent sur les mêmes exigences. La Communauté fournit des outils et du soutien, mais n'évalue ni ne certifie : l'attestation reste sous votre responsabilité.

Une petite entreprise dont l'environnement est simple peut mener ce plan de 90 jours à l'interne. Un accompagnement externe est surtout utile lorsque l'environnement se complexifie : plusieurs sites, infonuagique hybride, sous-traitance en cascade, ou préparation au niveau 2.

Foire aux questions

Quelle est la différence entre le PCCC et le CMMC? Le PCCC est le programme canadien qui s'applique aux contrats du gouvernement du Canada; le CMMC est le programme américain qui s'applique aux contrats du département de la Défense des États-Unis. Les deux protègent l'information sensible non classifiée et reposent sur la NIST SP 800-171, que le Canada a adaptée sous le nom d'ITSP.10.171.

Tous les contrats du MDN exigent-ils le niveau 1? Non. Les exigences varient selon le niveau de risque de chaque contrat. Certains contrats, comme les contrats commerciaux disponibles sur le marché, peuvent n'exiger aucune certification.

Mon entreprise est sous-traitante. Est-elle visée? Oui, si elle manipule de l'information désignée dans le cadre d'un contrat de défense. L'obligation suit l'information, et non le rang contractuel.

Combien coûte le niveau 1? L'autoévaluation et l'outil en ligne sont gratuits. Le coût réel est celui des écarts à combler : pour la plupart des PME, il se mesure en heures de travail interne et en changements de configuration plutôt qu'en acquisitions.

L'attestation est-elle exigée pour soumissionner? Elle est exigée formellement à l'attribution du contrat, mais SPAC la demande aussi dans votre profil AchatsCanada et lorsque vous soumissionnez sur un contrat qui exige le niveau 1. Ayez-la en main avant la parution de l'appel d'offres.

Combien de temps faut-il conserver les preuves? Pendant toute la durée de votre cycle d'attestation, ou pendant au moins un an.

Que comprend le niveau 2? L'ensemble de la norme ITSP.10.171, soit environ 98 exigences réparties en 17 familles, évaluée aux trois ans par un organisme accrédité par le CCN, avec une affirmation annuelle prévue. Il s'appliquera à certains contrats dès le printemps 2027. Les 13 contrôles du niveau 1 en font partie.

De la lecture à l'attestation

Des appels d'offres exigeant le niveau 1 sont déjà publiés. Un fournisseur incapable de démontrer les 13 contrôles risque de ne pas être prêt lorsque se présentera un contrat qui exige l'attestation PCCC.

TEKAP accompagne les fournisseurs de la défense du Québec et de l'ensemble du Canada dans leur conformité PCCC et CMMC, en français et en anglais : délimitation de l'information désignée, analyse d'écart sur les 13 contrôles, mise en œuvre, dossier de preuves, attestation et évaluation de l'écart vers le niveau 2. L'analyse d'écart donne un portrait clair de votre situation et une liste priorisée des actions à mener. Détails de l'offre : accompagnement CMMC et PCCC.

Planifiez votre analyse d'écart PCCC →

Sources

SPAC, Comment satisfaire aux exigences de certification en cybersécurité de niveau 1, modifié le 29 septembre 2026
SPAC, guide de délimitation du périmètre pour la certification en cybersécurité de niveau 1
SPAC, communiqué et document d'information sur le niveau 1 du PCCC, 14 avril 2026
Centre canadien pour la cybersécurité, ITSP.10.171, deuxième version, 28 octobre 2025
Secrétariat du Conseil du Trésor, Orientation sur la résidence des données électroniques