Le chiffrement n'est pas une défense : le critère canadien des marchandises contrôlées porte sur qui peut atteindre vos données, non sur l'endroit où elles résident

La Direction des marchandises contrôlées du Canada publie une phrase qui devrait changer la façon dont chaque fournisseur infonuagique ou SaaS répond à un client potentiel du secteur de la défense. Un fournisseur qui permet le stockage et le traitement de données de marchandises contrôlées est considéré comme étant en « possession de fait ou de droit » de ces données — et il est tenu d'obtenir et de maintenir une inscription valide (Public Services and Procurement Canada, 2024a).

Relisez : possession, et non accès. Les lignes directrices sont explicites : même si le fournisseur n'examine jamais les octets stockés, le contrôle de ces données lui a été transféré, et le fournisseur comme le client partagent l'obligation de sauvegarde. Le chiffrement réduit votre exposition. Il ne vous en exempte pas.

Alors quand un client potentiel demande si votre plateforme est autorisée pour les marchandises contrôlées, la carte de résidence des données que la plupart des fournisseurs dégainent répond à une question que personne n'a posée. La résidence indique où résident les octets. Le critère canadien porte sur qui peut les atteindre.

La possession sans la compréhension

Le Programme des marchandises contrôlées (PMC) est un régime de filtrage du personnel et de sauvegarde, et non un programme de cybersécurité. Son fondement juridique est la partie 2 de la Loi sur la production de défense et le Règlement sur les marchandises contrôlées, DORS/2001-32 (Controlled Goods Regulations, 2001; Defence Production Act, 1985). Quiconque au Canada examine, détient ou transfère des marchandises contrôlées doit s'inscrire, sauf exclusion ou exemption.

Le mot qui fait trébucher les fournisseurs infonuagiques n'est pas marchandises. L'annexe de la Loi sur la production de défense vise les données techniques — plans, dessins, spécifications, manuels et logiciels, sous forme papier ou électronique. Un dessin contrôlé téléversé dans un stockage d'objets devient une donnée technique de marchandise contrôlée dès son arrivée.

Les obligations qui en découlent sont opérationnelles, non administratives. L'inscription elle-même est sans frais et valide pour une période maximale de cinq ans, mais elle vous engage à nommer un représentant désigné qui est citoyen canadien ou résident permanent résidant habituellement au Canada, à soumettre à une évaluation de sécurité chaque personne ayant accès aux marchandises, à tenir un plan de sécurité pour chaque lieu d'affaires et à signaler toute atteinte réelle ou potentielle à la sécurité dans les trois jours (Controlled Goods Regulations, 2001).

Et la sanction n'est pas symbolique. La contravention aux dispositions sur les marchandises contrôlées entraîne, sur déclaration de culpabilité par mise en accusation, une amende maximale de 2 millions de dollars canadiens ou un emprisonnement maximal de 10 ans, ou les deux (Defence Production Act, 1985).

Remarquez ce que rien de tout cela ne mesure. Aucune disposition ne porte sur l'emplacement des serveurs. Le régime filtre des personnes et régit l'accès.

Le marché a déjà répondu à cette question

Les plus grands fournisseurs infonuagiques de ce marché n'ont pas contesté la question de la possession. Ils se sont inscrits.

La position publiée de Microsoft est que, dans le cadre de l'exploitation de services en ligne, l'entreprise « n'est pas en possession de droit de données de marchandises contrôlées » — et Microsoft Canada s'est tout de même inscrite, a déposé un plan de sécurité des marchandises contrôlées approuvé couvrant les services infonuagiques, et indique à ses clients qu'ils demeurent ultimement responsables de leur propre conformité (Microsoft, 2026). SAP Canada s'est inscrite le 18 novembre 2025 (SAP Canada, 2025). Green House Data, une entreprise américaine établie au Wyoming, s'est inscrite en février 2020 précisément pour servir des clients manipulant des données contrôlées sur le marché canadien (Green House Data, 2020). Amazon Web Services publie un guide de responsabilité partagée à l'intention des clients du secteur de la défense (Amazon Web Services, 2024).

Deux conclusions en découlent, et les deux sont commercialement utiles.

Premièrement, la propriété étrangère n'est pas un obstacle. Le programme inscrit une entité canadienne et filtre les personnes qui touchent aux marchandises contrôlées — non la société mère étrangère. Un fournisseur dont le siège social est aux États-Unis peut détenir une inscription par l'entremise d'une entité canadienne. Green House Data en est la preuve la plus nette.

Deuxièmement, la position juridique d'un fournisseur n'est pas votre refuge. L'argument de non-possession de Microsoft porte sur l'exposition de Microsoft. Le citer à un client potentiel de la Défense nationale comme preuve que votre plateforme est exemptée est une erreur de catégorie — et un agent d'approvisionnement accompagné de son conseiller juridique la relèvera.

Le deuxième critère que personne ne vérifie

Même si vous réglez la question de la possession, une autre loi vous attend — et c'est celle qui mord réellement une plateforme répartie à l'échelle mondiale.

Le 5 novembre 2025, Affaires mondiales Canada a publié l'Avis aux exportateurs n° 1159, portant sur le déplacement et le stockage de technologie contrôlée dans l'infonuagique. Selon cet avis, divulguer une technologie contrôlée depuis un lieu au Canada vers un lieu à l'extérieur du Canada d'une manière qui crée une « possibilité raisonnable » d'examen à l'étranger constitue un transfert exigeant une licence d'exportation (Global Affairs Canada, 2025).

Ce seuil est bien plus bas que ce que présument la plupart des équipes d'ingénierie. Il ne s'agit pas de savoir si un ressortissant étranger a lu le fichier. Il s'agit de savoir s'il aurait pu. Un ingénieur de fiabilité de site à l'étranger disposant d'un accès permanent à la production, ou un service de gestion de clés exploité hors du Canada, suffit à satisfaire ce critère sans que personne n'ouvre quoi que ce soit.

L'avis énonce aussi la voie de sortie, et elle se lit comme une spécification d'architecture plutôt que comme un exercice de paperasse : un chiffrement fort conforme aux normes de l'industrie; des clés de chiffrement gérées de manière à ce qu'il n'existe qu'une possibilité éloignée d'examen à l'extérieur du Canada; et, lorsque le déchiffrement est inévitable, un déchiffrement par intervention non humaine dans un système fermé, toutes les copies non chiffrées étant détruites. Le respect des directives infonuagiques du Centre canadien pour la cybersécurité élimine généralement l'exigence de licence (Global Affairs Canada, 2025). Les conseillers juridiques canadiens qui ont lu l'avis parviennent à la même conclusion — l'exception du système fermé automatisé est le véritable refuge pour l'inspection en transit (Blake, Cassels & Graydon LLP, 2025; McCarthy Tétrault LLP, 2026).

Pourquoi votre carte de résidence est le mauvais artefact

Les deux critères pointent vers la même chose, et la littérature scientifique lui donne un nom.

Une revue de 2025 évaluée par les pairs définit la souveraineté numérique comme la capacité d'une nation ou d'une institution à contrôler et à superviser son infrastructure numérique, ses données et sa technologie sans dépendance excessive envers des biens externes ou des forces étrangères — le contrôle souverain s'étendant au-delà du stockage jusqu'aux algorithmes, modèles et artefacts bâtis sur ces données (Misra et al., 2025). Dans ce cadre, la souveraineté est une propriété du contrôle, non de la géographie. Les stratégies proposées par les auteurs portent sur la gouvernance et la maîtrise de l'infrastructure, non sur l'emplacement d'un centre de données.

Les deux critères canadiens sont ce principe inscrit dans un droit exécutoire. Le PMC demande qui peut examiner et détenir. L'Avis 1159 demande qui pourrait atteindre. Ni l'un ni l'autre ne se satisfait d'une carte.

Ce qui signifie que l'artefact qui répond à un client potentiel de la défense n'est pas votre page de résidence des données. C'est votre graphe de contrôle d'accès et votre modèle de garde des clés : qui peut déchiffrer, depuis où, sous quel filtrage, et ce qu'il advient du texte en clair à la fin du traitement. C'est une réponse produit et ingénierie avant d'être une réponse de conformité — et c'est une réponse que la plupart des fournisseurs n'ont jamais assemblée sous une forme lisible par un acheteur.

La carte d'exposition

La bonne nouvelle, c'est que l'exposition se concentre. Classée selon ce qui arrive réellement au contenu du client, une plateforme se répartit en trois paliers.

Palier 1 — stockage persistant. Stockage d'objets, magasins clé-valeur, bases de données gérées, état durable, chaînes de traitement multimédias, journaux conservés, actifs hébergés. Si des données techniques contrôlées y aboutissent, vous êtes dans la conversation sur la possession. C'est la courte liste qui compte.

Palier 2 — déchiffrer, inspecter, écarter. Les produits qui terminent le TLS et inspectent le contenu en mémoire, puis le rechiffrent et le réacheminent sans rien conserver. Ce palier est véritablement contesté : une inspection automatisée, exclusivement machine, n'est défendablement pas une personne qui « examine », mais le libellé du régulateur sur le « traitement » est large. La posture la moins risquée est celle qu'ont réellement adoptée Microsoft, SAP Canada et Green House Data — s'inscrire et déposer un plan de sécurité.

Palier 3 — transit au niveau des paquets. Aucun déchiffrement, aucune conservation, en-têtes seulement. Propre.

Reste le piège de configuration, et c'est la ligne la plus dangereuse de toute cette analyse : l'activation de la journalisation détaillée ou de débogage sur un produit de palier 2 fait silencieusement passer du texte en clair en conservation et transforme un produit contesté en produit de stockage. Un changement de journalisation est un changement de portée. Traitez-le comme tel.

Ce que cela coûte réellement

L'inscription est gratuite à déposer. Le véritable investissement, c'est un représentant désigné, des évaluations de sécurité par personne, un plan de sécurité par site, des registres, le processus de signalement d'atteinte en trois jours et la préparation aux inspections (Controlled Goods Regulations, 2001). Pour un fournisseur qui exploite déjà un cadre de contrôle mature, il s'agit de travail de gouvernance plutôt que d'une refonte technique — mais c'est un travail continu, non un dépôt unique.

Le marché que cela ouvre n'est pas petit. L'industrie canadienne de la défense a généré 17,3 milliards de dollars canadiens en revenus, contribué plus de 11,1 milliards de dollars canadiens au PIB et soutenu 81 800 emplois en 2024, les petites et moyennes entreprises représentant plus de 90 % des firmes (Innovation, Science and Economic Development Canada, 2026). La plupart de ces entreprises n'ont aucune capacité interne en contrôles à l'exportation. Le fournisseur capable de leur remettre une réponse claire vend quelque chose de rare.

Ce que fait Sagentix — et ce qu'elle ne fait pas

Sagentix Advisors n'offre pas d'évaluations de préparation SOC 2. Nous ne faisons pas de tests d'intrusion, nous ne certifions pas de produits, et nous n'effectuons pas d'inscriptions au Programme des marchandises contrôlées ni ne tenons lieu de conseillers juridiques en contrôles à l'exportation. Nous conseillons les fournisseurs en stratégie de mise en marché — positionnement, tarification, processus de vente, parcours d'achat — afin qu'ils puissent vendre sur des marchés où la conformité est le déclencheur d'achat. Mon titre CISSP donne à ce travail une maîtrise du domaine; c'est une qualification, non une gamme de services. La décision d'inscription et la position relative à l'Avis 1159 relèvent de votre équipe de gouvernance et de vos conseillers juridiques canadiens.

À quoi cela ressemble en pratique

Une validation de principe Sagentix (phase 1) pour un fournisseur vendant dans les secteurs adjacents à la défense canadienne produit Sagentix Phase 01 Market Intelligence, 2026 :

• Une matrice de positionnement concurrentiel bâtie sur des dimensions de conformité — options de garde des clés, localité du traitement, exhaustivité du dossier de preuves — plutôt que sur la parité fonctionnelle
• Une carte du parcours d'achat ancrée sur les véritables portes d'approvisionnement, y compris le moment où la question des marchandises contrôlées surgit et qui la pose
• Un TAM/SAM/SOM ascendant filtré par codes SCIAN pour les entrepreneurs principaux de la défense, les fournisseurs de rangs inférieurs et les secteurs réglementés adjacents
• Un étalonnage tarifaire par rapport au coût interne de main-d'œuvre en conformité de l'acheteur, afin que la plateforme se lise comme un poste de rendement du capital investi plutôt que comme une dépense de sécurité

Le livrable est un document de 60 à 90+ pages à traçabilité probante comportant plus de 50 citations en style APA 7e édition, soumis à une porte de qualité en 16 points.

Trois voies à partir d'ici

Vous n'avez pas besoin de Sagentix pour agir sur tout cela.

1. Dressez le graphe d'accès plutôt que la carte de résidence. Énumérez chaque rôle, compte de service et voie de soutien capable d'atteindre le texte en clair ou les clés, et indiquez lesquels se trouvent à l'extérieur du Canada. Cet unique artefact répond aux deux critères mieux que n'importe quel schéma de centre de données — à coût nul.
2. Corrigez l'architecture avant la paperasse. La garde des clés, la localité du traitement et les valeurs par défaut de journalisation déterminent la réponse en matière de conformité. Ce travail revient au produit et à l'ingénierie, et il vaut la peine d'être fait que vous vous inscriviez ou non, car c'est aussi la réponse à l'Avis 1159.
3. Mettez le positionnement à l'épreuve avec un regard externe. Faites appel à quelqu'un capable de rattacher vos paliers de produits aux questions de conformité de l'acheteur et de tester si votre récit de mise en marché survit à une évaluation d'approvisionnement axée sur la conformité. C'est la validation de principe Sagentix de phase 1 — plus de 727 artefacts organisés et une porte de qualité en 16 points, de 4 000 $ à 50 000 $ CA de bout en bout sur 6 à 8 semaines, la phase 1 étant assortie d'une garantie de remboursement (sous réserve des conditions) Sagentix GTM Methodology, 2026.

Si vous voulez vérifier si votre positionnement actuel survit à un examen d'approvisionnement en défense, réservez un diagnostic stratégique gratuit de 30 minutes ou écrivez à stephane@sagentix.ca.

Ce billet ne couvre que la moitié de la question que pose réellement un client potentiel de la défense. L'autre moitié — le Programme canadien de certification en cybersécurité, qui repose sur une clause contractuelle plutôt que sur votre architecture — est un régime distinct assorti d'un piège distinct, et j'y reviendrai jeudi.

Voici ce que je continue de demander aux fournisseurs de ce marché : si un client potentiel vous demandait aujourd'hui qui, dans votre entreprise, peut déchiffrer ses données et depuis quel pays, pourriez-vous répondre par un document — ou seulement par une promesse ?

References

• Amazon Web Services. (2024, June). AWS user guide to Canada's Controlled Goods Program (CGP). Amazon Web Services.
• Blake, Cassels & Graydon LLP. (2025, December). Global Affairs Canada issues guidance on controlled technology and cloud storage. Blake, Cassels & Graydon LLP.
• Controlled Goods Regulations, SOR/2001-32. (2001). Justice Laws Website. Department of Justice Canada.
• Defence Production Act, R.S.C. 1985, c. D-1. (1985). Justice Laws Website. Department of Justice Canada.
• Global Affairs Canada. (2025, November 5). Notice to exporters No. 1159: Movement to and storage of controlled technology in the cloud. Government of Canada.
• Green House Data. (2020, February 25). Green House Data continues to expand capabilities in the Canadian market with Canadian Controlled Goods Program registration [Press release]. BusinessWire.
• Innovation, Science and Economic Development Canada. (2026). State of Canada's defence industry 2026. Government of Canada.
• McCarthy Tétrault LLP. (2026). Navigating export controls in the clouds: Canada clarifies rules on cloud storage and transfers. McCarthy Tétrault LLP.
• Microsoft. (2026, June 2). Canada controlled goods. Microsoft Learn.
• Misra, S., Barik, K., & Kvalvik, P. (2025). Digital sovereignty in the era of Industry 5.0: Challenges and opportunities. Procedia Computer Science, 254, 108–117.
• Public Services and Procurement Canada. (2024a, May 16). Guidance on using or providing cloud solutions for controlled goods data. Government of Canada.
• SAP Canada. (2025, November 18). SAP Canada fortifies commitment to national security with Canadian Controlled Goods Program registration. SAP News Center.