Votre carte de résidence des données ne répond qu'à la moitié de la question des marchandises contrôlées — et c'est la moitié facile

La Direction des marchandises contrôlées du Canada publie des lignes directrices infonuagiques comportant deux sections qui déterminent si un fournisseur peut servir un client du secteur de la défense. L'une est intitulée Résidence des données. L'autre, Accès restreint. Lues ensemble, elles changent la nature de la conversation sur la conformité.

Sur la résidence : « Program registrants should take note of any data residency options to ensure that their controlled goods data is stored on servers located in Canada » — et pour les données stockées sur des serveurs à l'extérieur du Canada, « Global Affairs Canada must be consulted » au sujet des licences d'exportation (Public Services and Procurement Canada, 2025).

Sur l'accès : « Program registrants must employ a principle of least privilege by monitoring and restricting access to their cloud stored controlled goods data. Access may only be granted to employees who have been security assessed », conformément à l'article 15 du Règlement (Public Services and Procurement Canada, 2025).

Remarquez les verbes. La résidence relève du devrait. L'accès relève du doit et du seulement.

Ce que le programme régit réellement

Le Programme des marchandises contrôlées (PMC) est un régime de filtrage du personnel et de sauvegarde, et non une certification en cybersécurité. Son fondement juridique est la partie 2 de la Loi sur la production de défense et le Règlement sur les marchandises contrôlées, DORS/2001-32 (Controlled Goods Regulations, 2001; Defence Production Act, 1985). Quiconque au Canada examine, détient ou transfère des marchandises contrôlées doit s'inscrire, sauf exclusion ou exemption.

Le mot qui piège les fournisseurs infonuagiques n'est pas marchandises. Les marchandises contrôlées englobent les données techniques — et un dessin contrôlé téléversé dans un stockage d'objets devient une donnée technique de marchandise contrôlée dès son arrivée.

Les obligations sont opérationnelles plutôt qu'administratives. L'inscription est sans frais (Public Services and Procurement Canada, n.d.), et une inscription est « valid for a period not exceeding five years from the date of approval by the Minister » (Controlled Goods Regulations, 2001). En contrepartie, vous nommez un représentant désigné, soumettez à une évaluation de sécurité chaque personne ayant accès, tenez un plan de sécurité pour chaque lieu d'affaires et signalez au ministre toute atteinte réelle ou potentielle à la sécurité « within three days after the day on which they discover the breach » (Controlled Goods Regulations, 2001).

La sanction n'est pas symbolique. La contravention entraîne, sur mise en accusation, « a fine not exceeding $2,000,000 or to imprisonment for a term not exceeding 10 years, or to both » (Defence Production Act, 1985).

La règle s'est assouplie en 2025 — et presque personne ne l'a remarqué

Voici l'élément que je n'ai vu documenté nulle part, et il change votre façon de répondre à un client potentiel.

La version des lignes directrices infonuagiques de la DMC qui circulait en 2024 énonçait une règle nette : « If a cloud service provider permits the storage and/or processing of controlled goods technical data using its solutions… this provider is considered to be in actual and/or constructive possession of controlled goods technical data. As such, these cloud service providers are required to obtain and maintain a valid registration » (Public Services and Procurement Canada, 2024). Le seul stockage déclenchait l'inscription.

Ce libellé a disparu. Les lignes directrices publiées aujourd'hui énoncent le contraire d'une règle nette : « Cloud service providers typically do not examine, possess, or control their users' content stored in the cloud, but they may provide services to registrants that require them to examine or possess the controlled data… which then requires the cloud service provider to be registered. » Les fournisseurs non inscrits « may be at risk of contravening the Act » lorsque le soutien ou l'entretien « involves examining the controlled data of its user » — l'exemple donné étant la consultation des données contrôlées d'un utilisateur sous forme déchiffrée. L'inscription y est décrite comme un choix des fournisseurs (Public Services and Procurement Canada, 2025).

Le déclencheur est passé du stockage à l'examen. Si vous avez bâti une position de conformité sur l'ancienne règle, elle est aujourd'hui plus stricte que ce que le Canada publie. Si vous l'avez bâtie sur nous ne regardons jamais les données des clients, vous avez plus de marge que vous ne le croyez — mais seulement si vous pouvez le prouver, ce qui vous ramène directement au contrôle d'accès.

Pourquoi le marché s'est tout de même inscrit

Les plus grands fournisseurs n'ont pas attendu l'assouplissement, et leur comportement est le signal le plus utile.

La position publiée de Microsoft est que « in the context of operating Online Services, Microsoft isn't in constructive possession of controlled goods data » — et Microsoft Canada est inscrite au PMC « for both traditional purposes, including consulting services, and online cloud services », avec un plan de sécurité approuvé. L'entreprise indique aussi clairement à ses clients : « you bear ultimate responsibility for complying with controlled goods regulatory obligations » (Microsoft, 2026). SAP Canada s'est inscrite le 18 novembre 2025 (SAP Canada, 2025). Green House Data, une entreprise américaine établie au Wyoming, s'est inscrite en février 2020 pour servir le marché canadien (Green House Data, 2020). Et Amazon l'affirme directement dans son propre guide destiné aux clients de la défense : « Amazon Web Services Canada, Inc. is a registrant with the CGP, and our registration is listed in the CGP registration directory » (Amazon Web Services, 2024).

Deux conclusions, toutes deux commercialement utiles. La propriété étrangère n'est pas un obstacle — le programme inscrit une entité canadienne et filtre les personnes qui touchent aux marchandises contrôlées, non la société mère étrangère. Et la position juridique d'un fournisseur n'est pas votre refuge — l'argument de non-possession de Microsoft porte sur l'exposition de Microsoft, non sur la vôtre, et un agent d'approvisionnement accompagné de son conseiller juridique le relèvera.

Le deuxième critère, là où l'emplacement mord réellement

La résidence est souple à l'intérieur du PMC. Elle ne l'est pas en matière de contrôles à l'exportation.

Le 5 novembre 2025, Affaires mondiales Canada a publié l'Avis aux exportateurs n° 1159 sur le déplacement et le stockage de technologie contrôlée dans l'infonuagique. Divulguer une technologie contrôlée depuis le Canada vers l'extérieur du Canada d'une manière qui crée une « reasonable possibility » d'examen à l'étranger constitue un transfert exigeant une licence d'exportation. Le seuil est « more than a mere possibility, but less than the standard of more likely than not » (Global Affairs Canada, 2025).

C'est bien en deçà de ce que présument la plupart des équipes d'ingénierie. La question n'est pas de savoir si un ressortissant étranger a lu le fichier, mais s'il aurait pu le faire. Un ingénieur de fiabilité de site à l'étranger disposant d'un accès permanent à la production, ou un service de gestion de clés exploité hors du Canada, satisfait ce critère sans que personne n'ouvre quoi que ce soit.

L'avis énonce aussi la voie de sortie, et elle se lit comme une spécification d'architecture : un chiffrement fort conforme aux normes de l'industrie; des clés de chiffrement gérées de manière à ce qu'il n'existe qu'une possibilité éloignée d'examen à l'extérieur du Canada; et, lorsque le déchiffrement est inévitable, un déchiffrement « through non-human intervention » dans un système fermé où toutes les copies non chiffrées sont détruites. Le respect des directives infonuagiques du Centre canadien pour la cybersécurité élimine généralement l'exigence de licence (Global Affairs Canada, 2025). Les conseillers juridiques canadiens qui ont lu l'avis parviennent à la même conclusion (Blake, Cassels & Graydon LLP, 2025; McCarthy Tétrault LLP, 2026).

L'emplacement compte donc bel et bien — par le régime des licences d'exportation plutôt que par une règle de résidence du PMC. La posture pratique est la même dans les deux cas : gardez les données contrôlées et leurs clés au Canada, ou soyez prêt à expliquer à Affaires mondiales Canada pourquoi vous ne l'avez pas fait.

Les deux questions n'en forment qu'une

La littérature scientifique offre un cadre utile. Une revue de 2025 évaluée par les pairs définit la souveraineté numérique comme la capacité d'une nation ou d'une institution à contrôler et à superviser son infrastructure numérique, ses données et sa technologie sans dépendance excessive envers des forces étrangères, le contrôle souverain s'étendant au-delà du stockage jusqu'aux algorithmes et modèles bâtis sur ces données (Misra et al., 2025).

Le Canada a inscrit cette idée dans deux instruments qui vérifient la même chose sous des angles différents. Le PMC demande qui peut examiner et détenir. L'Avis 1159 demande qui pourrait y accéder depuis l'étranger. La résidence est le moyen de rendre les deux réponses faciles — non parce qu'une règle exige des serveurs canadiens, mais parce que garder les données et les clés au Canada réduit l'ensemble des personnes qui peuvent les atteindre.

L'artefact qui remporte une conversation avec la défense n'est donc pas la page de résidence de votre site web. C'est cette carte jumelée à un registre de contrôle d'accès : qui peut déchiffrer, depuis où, sous quel filtrage, et ce qu'il advient du texte en clair à la fin du traitement. La plupart des fournisseurs ont le premier et pas le second.

Où se concentre l'exposition

Classée selon ce qui arrive réellement au contenu du client, une plateforme se répartit en trois paliers.

Où se situe réellement le déclencheur d’inscription

Ce que répondent les fournisseurs

Ce que demande la Direction

• Nos données sont stockées au CanadaLa résidence est la plus douce des deux questions
• Nous sommes infonuagiques, donc hors portéeL’examen est le déclencheur, non le stockage
• Nous détenons les clés de chiffrementL’accès en clair est ce qui compte

Palier 1 — stockage persistant. Stockage d'objets, magasins clé-valeur, bases de données gérées, état durable, chaînes de traitement multimédias, journaux conservés, actifs hébergés. Des données techniques contrôlées qui y aboutissent vous placent dans la conversation sur la possession.

Palier 2 — déchiffrer, inspecter, écarter. Les produits qui terminent le TLS, inspectent en mémoire, rechiffrent et réacheminent sans rien conserver. Sous les lignes directrices actuelles, ce palier dépend de la question de savoir si quelqu'un examine les données — une inspection automatisée sans accès humain est une position défendable, et c'est la position que vous devez pouvoir étayer.

Palier 3 — transit au niveau des paquets. Aucun déchiffrement, aucune conservation, en-têtes seulement. Propre.

Puis le piège de configuration, la ligne la plus dangereuse de cette analyse : l'activation de la journalisation détaillée ou de débogage sur un produit de palier 2 fait passer du texte en clair en conservation et place une copie lisible là où le personnel peut l'atteindre. Un changement de journalisation est un changement de portée. Traitez-le comme tel.

Ce que cela ouvre

L'industrie canadienne de la défense a généré 17,3 milliards de dollars canadiens en revenus, contribué plus de 11,1 milliards de dollars canadiens au PIB et soutenu 81 800 emplois en 2024, les petites et moyennes entreprises représentant plus de 90 % des firmes (Innovation, Science and Economic Development Canada, 2026). L'inscription est gratuite à déposer; l'investissement, c'est un représentant désigné, des évaluations de sécurité par personne, un plan de sécurité par site, des registres, le signalement des atteintes et la préparation aux inspections.

Ce que fait Sagentix — et ce qu'elle ne fait pas

Portée : Sagentix prépare les organisations à une évaluation indépendante; elle n'est pas un organisme d'évaluation tiers (3PAO) et ne réalise pas l'évaluation indépendante, ne délivre pas de certification, n'effectue pas de tests d'intrusion et n'exploite pas de centre des opérations de sécurité. Sagentix n'effectue pas non plus d'inscriptions au Programme des marchandises contrôlées et ne tient pas lieu de conseillère juridique en contrôles à l'exportation. Ce qu'elle fait, c'est préparer les organisations à l'évaluation et conseiller les fournisseurs en stratégie de mise en marché — positionnement, tarification, processus de vente, parcours d'achat — afin qu'ils puissent vendre sur des marchés où la conformité est le déclencheur d'achat. Le titre CISSP sous-tend les deux. La décision d'inscription et la position relative à l'Avis 1159 relèvent de votre équipe de gouvernance et de vos conseillers juridiques canadiens.

À quoi cela ressemble en pratique

Une validation de principe Sagentix (phase 1) pour un fournisseur vendant dans les secteurs adjacents à la défense canadienne produit Sagentix Phase 01 Market Intelligence, 2026 :

• Une matrice de positionnement concurrentiel sur des dimensions de conformité — options de garde des clés, localité du traitement, exhaustivité des preuves d'accès — plutôt que sur la parité fonctionnelle
• Une carte du parcours d'achat ancrée sur les véritables portes d'approvisionnement, y compris le moment où la question des marchandises contrôlées surgit et qui la pose
• Un TAM/SAM/SOM ascendant filtré par codes SCIAN pour les entrepreneurs principaux de la défense, les fournisseurs de rangs inférieurs et les secteurs réglementés adjacents
• Un étalonnage tarifaire par rapport au coût interne de main-d'œuvre en conformité de l'acheteur, afin que la plateforme se lise comme un poste de rendement du capital investi plutôt que comme une dépense de sécurité

Le livrable est un document de 60 à 90+ pages à traçabilité probante comportant une médiane de 38 citations en style APA 7e édition, soumis à une contrôle qualité en 18 vérifications.

Trois voies à partir d'ici

Vous n'avez pas besoin de Sagentix pour agir sur tout cela.

1. Bâtissez le registre d'accès à placer à côté de la carte de résidence. Énumérez chaque rôle, compte de service et voie de soutien capable d'atteindre le texte en clair ou les clés, et indiquez lesquels se trouvent hors du Canada. Cet unique artefact répond à la moitié obligatoire des lignes directrices — à coût nul.
2. Corrigez l'architecture avant la paperasse. La garde des clés, la localité du traitement et les valeurs par défaut de journalisation déterminent les deux réponses. Ce travail revient au produit et à l'ingénierie, et il vaut la peine d'être fait que vous vous inscriviez ou non, car c'est aussi la réponse à l'Avis 1159.
3. Mettez le positionnement à l'épreuve avec un regard externe. Faites appel à quelqu'un capable de rattacher vos paliers de produits aux questions de conformité de l'acheteur et de tester si votre récit de mise en marché survit à une évaluation d'approvisionnement axée sur la conformité. C'est la validation de principe Sagentix de phase 1 — 1 412 artefacts organisés et une contrôle qualité en 18 vérifications, de 4 500 $ à 45 000 $ CA de bout en bout sur 6 à 8 semaines, la phase 1 étant assortie d'une garantie de remboursement (sous réserve des conditions) Sagentix GTM Methodology, 2026.

Si vous voulez vérifier si votre positionnement actuel survit à un examen d'approvisionnement en défense, réservez un diagnostic stratégique gratuit de 30 minutes ou écrivez à stephane@sagentix.ca.

Ce n'est que la moitié de ce que demande un client potentiel de la défense. L'autre moitié — le Programme canadien de certification en cybersécurité, qui repose sur une clause contractuelle plutôt que sur votre architecture — comporte son propre piège, et j'y reviens demain.

Voici ce que je continue de demander aux fournisseurs de ce marché : vous pouvez presque certainement me montrer où résident les données de votre client. Pouvez-vous me montrer, sur papier, chaque personne capable de les déchiffrer — et où chacune se trouve ?

References

• Amazon Web Services. (2024, June). AWS user guide to Canada's Controlled Goods Program (CGP). Amazon Web Services.
• Blake, Cassels & Graydon LLP. (2025, December 2). Global Affairs Canada issues guidance on controlled technology and cloud storage. Blake, Cassels & Graydon LLP.
• Controlled Goods Regulations, SOR/2001-32. (2001). Justice Laws Website. Department of Justice Canada.
• Defence Production Act, R.S.C. 1985, c. D-1. (1985). Justice Laws Website. Department of Justice Canada.
• Global Affairs Canada. (2025, November 5). Notice to exporters No. 1159: Movement to and storage of controlled technology in the cloud. Government of Canada.
• Green House Data. (2020, February 25). Green House Data continues to expand capabilities in the Canadian market with Canadian Controlled Goods Program registration [Press release]. BusinessWire.
• Innovation, Science and Economic Development Canada. (2026). State of Canada's defence industry 2026. Government of Canada.
• McCarthy Tétrault LLP. (2026, January 30). Navigating export controls in the clouds: Canada clarifies rules on cloud storage and transfers. McCarthy Tétrault LLP.
• Microsoft. (2026, June 2). Canada controlled goods. Microsoft Learn.
• Misra, S., Barik, K., & Kvalvik, P. (2025). Digital sovereignty in the era of Industry 5.0: Challenges and opportunities. Procedia Computer Science, 254, 108–117.
• Public Services and Procurement Canada. (2024). Guidance on cloud services for Controlled Goods Program registrants and registered cloud service providers [Superseded version, archived 10 February 2024]. Internet Archive capture.
• Public Services and Procurement Canada. (2025, May 8). Guidance on using or providing cloud solutions for controlled goods data. Government of Canada.
• Public Services and Procurement Canada. (n.d.). Register in the Controlled Goods Program. Government of Canada.
• SAP Canada. (2025, November 18). SAP Canada fortifies commitment to national security with Canadian Controlled Goods Program registration. SAP News Center.