Le niveau 1 du PCCC ne conditionne pas votre soumission. Il conditionne l'attribution du contrat.

Services publics et Approvisionnement Canada est explicite quant au moment où le Programme canadien de certification en cybersécurité (PCCC) devient contraignant : l'« Level 1 self-assessment will be required at contract award, and not during the bidding process » (Public Services and Procurement Canada, 2026b).

La plupart des fournisseurs lisent cette phrase comme un répit. C'est l'inverse.

Une exigence qui s'applique à la soumission est une exigence que vous pouvez planifier — vous la voyez dans la demande de soumissions, vous en chiffrez le travail, vous décidez de soumissionner ou non. Une exigence qui s'applique à l'attribution tombe après que vous avez déjà gagné, déjà engagé une date de livraison et déjà annoncé la conclusion à votre conseil. Le travail de conformité ne devient pas plus facile parce qu'il arrive plus tard. Vous avez simplement moins de marge pour l'accomplir.

Ce qu'est réellement le niveau 1

Le PCCC est un régime obligatoire de certification en cybersécurité destiné aux fournisseurs qui traitent de l'information sensible non classifiée pour le compte du gouvernement du Canada, dirigé par Services publics et Approvisionnement Canada. Il comporte trois niveaux : niveau 1 (autoévaluation annuelle, 13 mesures), niveau 2 (évaluations externes menées par un organisme de certification accrédité, plus une affirmation annuelle, 98 mesures) et niveau 3 (évaluations menées par la Défense nationale, plus une affirmation annuelle, 200 mesures). Le Conseil canadien des normes accrédite les organismes de certification qui réalisent les évaluations de niveau 2 (Public Services and Procurement Canada, 2026a).

Le niveau 1 est devenu accessible en avril 2026 (Public Services and Procurement Canada, 2026a, 2026c). La norme sous-jacente est l'ITSP.10.171, l'adaptation par le Centre canadien pour la cybersécurité de la famille de mesures NIST SP 800-171 (Canadian Centre for Cyber Security, 2025).

Les 13 mesures relèvent de six regroupements que SPAC nomme en langage clair plutôt qu'en jargon de familles de contrôles : contrôle d'accès, identification et authentification, protection des supports, protection physique, protection des systèmes et des communications, et intégrité des systèmes et de l'information. Concrètement : gérer les comptes d'utilisateurs; n'accorder que l'accès nécessaire; n'utiliser que des systèmes et appareils approuvés; empêcher la divulgation publique de renseignements sensibles; utiliser des comptes individuels et des mots de passe robustes; approuver les appareils avant leur connexion; activer l'authentification multifacteur; effacer ou détruire les vieux appareils; tenir une liste des personnes ayant accès aux zones sécurisées; contrôler l'entrée physique; utiliser des protections réseau de base; appliquer les mises à jour de sécurité; utiliser un antivirus et un antimaliciel (Public Services and Procurement Canada, 2026b).

Il n'y a ni certificat ni évaluateur tiers au niveau 1. La certification est une autodéclaration : vous complétez l'évaluation, recevez une page de résultats assortie d'une date d'expiration, et devez « provide proof of self-attestation and expiry date to your CanadaBuys profile ». SPAC précise qu'une fois les normes assimilées et les politiques revues, « the assessment can be completed in less than an hour » (Public Services and Procurement Canada, 2026b).

C'est de l'hygiène de cybersécurité de base, sans évaluateur à réserver ni file d'attente. Ce qui explique précisément pourquoi le piège du calendrier attrape ceux qui présument que le plus dur, ce sont les mesures.

La fenêtre de l'attribution

Déroulez la séquence. Une demande de soumissions comporte une clause de niveau 1. Vous soumissionnez sans l'attestation, parce que vous en avez le droit. Vous gagnez. La clause s'applique désormais, et entre l'attribution et l'exécution du contrat vous devez délimiter vos systèmes, traiter les 13 mesures, rassembler les preuves et consigner l'attestation et sa date d'expiration dans AchatsCanada (Public Services and Procurement Canada, 2026b).

Pour une organisation mature, c'est un travail de gouvernance bref et ciblé. Pour une organisation qui découvre l'exigence au moment de l'attribution, ce travail s'empile sur l'exécution du contrat, la dotation en ressources et un client qui a désormais une attente de livraison. Et chacun de ces jours est consacré à quelque chose qu'un concurrent aurait pu terminer le trimestre dernier.

Le remède est presque insultant de simplicité : attestez avant d'y être obligé, et gardez l'attestation à jour toute l'année. Il n'y a aucun évaluateur à mandater ni aucune évaluation externe à payer. La seule raison de ne pas détenir une attestation de niveau 1 à jour, c'est de ne pas y avoir pensé.

Il y a un effet de second ordre à nommer. Puisque la réponse honnête au moment de la soumission peut être « pas encore », un fournisseur qui peut répondre « niveau 1, attesté, à jour » offre spontanément une information que le processus n'arrache à personne. C'est un différenciateur précisément parce que les règles ne l'exigent pas.

La voie CMMC que presque personne n'emprunte

Voici l'élément qui contredit l'essentiel de ce qui s'écrit sur ce programme au Canada.

La page de niveau 1 de SPAC comporte une section intitulée « Recognition of Cybersecurity Maturity Model certification ». On y lit que le PCCC « aligns with United States (U.S.) Cybersecurity Maturity Model certification (CMMC) requirements, but does not duplicate the U.S. certification system. Both countries use the same technical controls, so suppliers don't need to meet two separate standards. » Le gouvernement du Canada « may accept a contractor's valid CMMC certification on a case-by-case basis, after confirming that the assessment covers the required scope », et se réserve le droit de vérifier la conformité à des mesures précises. La preuve de certification CMMC est transmise à SPAC par courriel aux fins de vérification et d'évaluation (Public Services and Procurement Canada, 2026b).

Lisez la voie de conformité telle qu'elle est écrite : vous pouvez satisfaire à l'exigence de niveau 1 soit en complétant l'autoévaluation annuelle, soit en détenant une certification CMMC valide existante (Public Services and Procurement Canada, 2026b).

Si vous êtes un fournisseur canadien déjà passé par la CMMC pour servir des clients de la défense américaine, vous pouvez peut-être déjà répondre à la question canadienne. C'est un actif commercial concret que la plupart des fournisseurs de ce marché ne revendiquent pas, parce que le récit dominant — y compris dans bon nombre de commentaires de fournisseurs — veut que les deux programmes soient sans lien.

Deux réserves préservent l'honnêteté du propos. L'acceptation se fait au cas par cas, non automatiquement, et elle est conditionnelle à ce que l'évaluation couvre la portée requise. La posture correcte en soumission est donc nous détenons la CMMC et l'avons soumise à SPAC aux fins de reconnaissance — jamais nous sommes certifiés PCCC.

Cela signifie aussi que la turbulence du programme américain n'est pas sans effet ici. Les États-Unis ont suspendu la phase 2 de la CMMC — leur élargissement de l'évaluation par un tiers — le 13 juillet 2026, en attendant un examen (WilmerHale, 2026). Cela ne change pas le calendrier canadien et n'affecte pas une certification que vous détenez déjà. Mais un fournisseur qui prévoyait d'obtenir la CMMC comme voie d'accès à la reconnaissance PCCC dispose désormais d'un chemin moins prévisible que celui qui s'autoévalue simplement sur les 13 mesures.

L'attestation porte sur votre entreprise, non sur votre produit

Voici l'erreur de portée que je vois le plus souvent, et c'est celle qui transforme un exercice de documentation en projet de correction.

Le niveau 1 couvre les systèmes que votre organisation utilise pour traiter les renseignements visés — votre parc informatique d'entreprise — et non le périmètre de service que couvre une autorisation infonuagique. Un fournisseur détenant FedRAMP ou une autorisation Protégé B a une forte présomption que les 13 mesures sont mises en œuvre quelque part dans l'organisation. Il n'en découle pas qu'elles sont mises en œuvre, documentées et étayées sur l'ensemble du parc qui touchera réellement à l'information de défense. Vérifiez contre l'ITSP.10.171 et l'outil d'autoévaluation gratuit du gouvernement du Canada plutôt que de présumer que votre autorisation infonuagique y répond (Canadian Centre for Cyber Security, 2025; Public Services and Procurement Canada, 2026b).

Conservez les preuves que SPAC demande réellement

Le niveau 1 ne transmet rien au gouvernement, mais vous devez conserver les preuves « for the duration of your attestation cycle, or at least one year ». Les exemples de SPAC : listes de comptes; listes d'appareils; notes de revue d'accès; copies des politiques de sécurité; dossiers de formation en sécurité, en TI et en gestion de l'information; journaux des mises à jour, des correctifs et du nettoyage; registres de visiteurs; paramètres ou captures d'écran de pare-feu; écrans de configuration de l'authentification multifacteur. La barre est explicitement pratique — « evidence of compliance does not need to be complex, it must exist and be consistent with your business practices » (Public Services and Procurement Canada, 2026b).

Ce que le marché prévoyait payer

SPAC a mené une demande de renseignements sur la préparation au PCCC en mai 2024, recueillant les réponses complètes de 91 organisations, et en a publié le sommaire en novembre 2024 (Public Services and Procurement Canada, 2024).

Deux chiffres, et les dénominateurs comptent. Chez les entrepreneurs principaux, « 29% of Primes expect to invest over $250,000 » dans leur préparation au PCCC. Parmi l'ensemble des répondants ayant répondu à la question sur l'investissement (72 des 91), la distribution va dans l'autre sens : 34,72 % prévoyaient dépenser moins de 25 000 $ et seulement 13,89 % prévoyaient 250 000 $ ou plus (Public Services and Procurement Canada, 2024).

Cet écart n'est pas un énoncé sur le programme. C'est un énoncé sur la posture de départ — les entrepreneurs principaux portent une portée plus large et davantage de transmission en cascade aux sous-traitants qu'un petit fournisseur qui atteste 13 mesures sur ses propres systèmes. Si vous budgétez à partir du chiffre en manchette plutôt qu'à partir de votre propre inventaire de contrôles, vous budgétez pour l'entreprise de quelqu'un d'autre.

Le marché que ces chiffres gardent est considérable. L'industrie canadienne de la défense a généré 17,3 milliards de dollars canadiens en revenus, contribué plus de 11,1 milliards de dollars canadiens au PIB et soutenu 81 800 emplois en 2024, les petites et moyennes entreprises représentant plus de 90 % des firmes (Innovation, Science and Economic Development Canada, 2026).

Quand l'évaluateur disparaît, la vérification se déplace dans le contrat

L'instinct est de voir dans un régime autoattesté un régime plus souple. La recherche en approvisionnement indique le contraire.

Une étude de 2025 portant sur l'évaluation de la fiabilité en cybersécurité des fournisseurs dans les chaînes d'approvisionnement numériques applique le principe de la vérification systématique — une partie est traitée comme non fiable jusqu'à preuve de fiabilité — et soulève un point que la plupart des fournisseurs manquent : les évaluations de fiabilité ne peuvent reposer sur la seule information publiquement accessible, de sorte que le contrat d'approvisionnement lui-même doit contenir des clauses rendant la vérification possible : portée de l'audit, accès, méthodologie, rapports, délais de correction, transmission en cascade aux sous-traitants et droits de résiliation (Latsiou et al., 2025). Les auteurs bâtissent leur méthode sur des familles de mesures issues de l'architecture CMMC — la même lignée qui produit l'ITSP.10.171.

Traduisez cela dans un contrat de défense canadien. Retirer l'évaluateur ne retire pas la vérification; cela la déplace. L'acheteur cesse de demander « détenez-vous un certificat ? » et commence à demander « que nous laisserez-vous auditer, et quelles preuves pouvez-vous produire sur demande ? ».

Cela recadre l'objet de la préparation. L'attestation est le billet d'entrée. C'est le dossier de preuves qui la sous-tend qui survit à la clause contractuelle, à la transmission en cascade d'un entrepreneur principal, et au jour où quelqu'un vous demandera de le prouver.

Ce que fait Sagentix — et ce qu'elle ne fait pas

Portée : Sagentix prépare les organisations à une évaluation indépendante; elle n'est pas un organisme d'évaluation tiers (3PAO) et ne réalise pas l'évaluation indépendante, ne délivre pas de certification, n'effectue pas de tests d'intrusion et n'exploite pas de centre des opérations de sécurité. Sagentix n'effectue pas non plus d'évaluations PCCC et ne signe pas d'autoattestations pour le compte d'un client. Ce qu'elle fait, c'est préparer les organisations à l'évaluation et conseiller les fournisseurs en stratégie de mise en marché — positionnement, tarification, processus de vente, parcours d'achat — afin qu'ils puissent vendre sur des marchés où la conformité est le déclencheur d'achat. Le titre CISSP sous-tend les deux. La correspondance des mesures, la signature et l'attestation dans AchatsCanada relèvent de votre équipe de gouvernance.

À quoi cela ressemble en pratique

Une validation de principe Sagentix (phase 1) pour un fournisseur vendant dans les secteurs adjacents à la défense canadienne produit Sagentix Phase 01 Market Intelligence, 2026 :

• Une matrice de positionnement concurrentiel sur des dimensions de conformité — actualité de l'attestation, exhaustivité du dossier de preuves, préparation à la transmission en cascade — plutôt que sur la parité fonctionnelle
• Une carte du parcours d'achat ancrée sur les véritables portes d'approvisionnement, y compris le moment où la clause surgit et quel intervenant la soulève
• Un TAM/SAM/SOM ascendant filtré par codes SCIAN pour les entrepreneurs principaux de la défense, les fournisseurs de rangs inférieurs et les secteurs réglementés adjacents
• Un étalonnage tarifaire par rapport au coût interne de main-d'œuvre en conformité de l'acheteur, afin que la plateforme se lise comme un poste de rendement du capital investi plutôt que comme une dépense de sécurité

Le livrable est un document de 60 à 90+ pages à traçabilité probante comportant une médiane de 38 citations en style APA 7e édition, soumis à une contrôle qualité en 18 vérifications.

Trois voies à partir d'ici

Vous n'avez pas besoin de Sagentix pour agir sur tout cela.

1. Vérifiez si vous êtes déjà admissible, puis attestez. Si vous détenez une certification CMMC valide, transmettez-la à SPAC aux fins de reconnaissance au cas par cas. Sinon, délimitez vos systèmes, traitez les 13 mesures, obtenez la signature et consignez l'attestation dans AchatsCanada — aucun évaluateur, aucune file d'attente, et le risque de la fenêtre d'attribution disparaît.
2. Bâtissez le dossier de preuves, pas seulement la déclaration. Rassemblez les listes de comptes, les notes de revue d'accès, les journaux de correctifs, les paramètres de pare-feu et les écrans d'authentification multifacteur en un ensemble remettable sur demande. C'est ce qui survit à une clause d'audit et à la transmission en cascade d'un entrepreneur principal.
3. Mettez à l'épreuve la façon dont vous le dites. Faites appel à quelqu'un capable de transformer « niveau 1, attesté, à jour » en actif de positionnement plutôt qu'en case cochée, et de tester si votre récit survit à une évaluation d'approvisionnement axée sur la conformité. C'est la validation de principe Sagentix de phase 1 — 1 412 artefacts organisés et une contrôle qualité en 18 vérifications, de 4 500 $ à 45 000 $ CA de bout en bout sur 6 à 8 semaines, la phase 1 étant assortie d'une garantie de remboursement (sous réserve des conditions) Sagentix GTM Methodology, 2026.

Si vous voulez vérifier si votre positionnement actuel survit à un examen d'approvisionnement en défense, réservez un diagnostic stratégique gratuit de 30 minutes ou écrivez à stephane@sagentix.ca.

Le billet d'hier couvrait l'autre moitié de la question que posent réellement les clients potentiels de la défense — le Programme des marchandises contrôlées, qui repose sur ce que votre plateforme fait des données plutôt que sur ce que dit une clause contractuelle. Les deux régimes sont distincts, et détenir l'un ne dit rien de l'autre.

Voici donc ma question pour les fournisseurs déjà présents sur ce marché : si vous remportiez ce mois-ci un contrat assorti d'une clause, combien de jours vous faudrait-il pour attester — et quelqu'un dans votre entreprise sait-il si vos certifications existantes comptent déjà ?

References

• Canadian Centre for Cyber Security. (2025, April 2; rev. October 28, 2025). Protecting specified information in non-Government of Canada systems and organizations (ITSP.10.171). Communications Security Establishment.
• Innovation, Science and Economic Development Canada. (2026). State of Canada's defence industry 2026. Government of Canada.
• Latsiou, A. C., Nygård, A. R., Katsikas, S., & Lambrinoudakis, C. (2025). Never trust – always verify: Assessing the cybersecurity trustworthiness of suppliers in the digital supply chain. Procedia Computer Science, 254, 98–107.
• Public Services and Procurement Canada. (2024, November 18). Canadian Program for Cyber Security Certification Request for Information: Summary report. CanadaBuys.
• Public Services and Procurement Canada. (2026a). Canadian Program for Cyber Security Certification: Program overview. Government of Canada.
• Public Services and Procurement Canada. (2026b). How to meet Level 1 cyber security certification requirements. Government of Canada.
• Public Services and Procurement Canada. (2026c, April 14). Government of Canada introduces Level 1 of the Canadian Program for Cyber Security Certification [News release]. Government of Canada.
• WilmerHale. (2026, July 20). Pentagon suspends CMMC Phase 2 requirements and launches review of cybersecurity certification program. Wilmer Cutler Pickering Hale and Dorr LLP.