Sagentix Cybersécurité et IA
« Êtes-vous conformes ? »
Conformes à quoi, au juste ?
Un acheteur fédéral ou un entrepreneur principal qui pose cette question vise l’un de plusieurs programmes — administrés par des autorités différentes, fondés sur des textes différents, répondant à des questions différentes. Ils sont complémentaires, non interchangeables.
Établir lequel il vise, avant que quiconque ne mette une réponse par écrit, voilà le travail. Se tromper coûte un programme bâti contre une obligation qui ne vous lie pas — et fait manquer celle qui vous lie.
Quatre programmes, quatre questions
Situation en date d’août 2026. Dans ce domaine, un résumé sans date vaut moins que pas de résumé du tout — les règles ont toutes bougé au cours des dix-huit derniers mois.
PMC
Programme des marchandises contrôlées
« Qui peut accéder aux marchandises contrôlées de défense et à leurs données techniques, et comment sont-elles protégées ? »
- Administré par
- Services publics et Approvisionnement Canada — Direction des marchandises contrôlées
- Fondé sur
- Loi sur la production de défense, partie 2, et Règlement sur les marchandises contrôlées
- Ce que c’est
- Filtrage du personnel ainsi que protection physique et des données. Ce n’est pas un programme de cybersécurité.
- Comment s’y conformer
- S'inscrire, nommer un administrateur désigné, faire évaluer sur le plan de la sécurité les personnes qui auront accès, et tenir à jour un plan de sécurité approuvé.
PCCCS
Programme canadien pour la certification en cybersécurité
« Quelle est la maturité cyber des systèmes du fournisseur qui traitent des renseignements précisés fédéraux ? »
- Administré par
- SPAC, avec la Défense nationale, le Centre pour la cybersécurité et le Conseil canadien des normes
- Fondé sur
- ITSP.10.171 — l’adaptation canadienne de la famille NIST SP 800-171
- Ce que c’est
- Un programme de certification à trois niveaux. L’ITSP.10.171 est la norme de contrôles ; le PCCCS est le programme qui certifie — une distinction régulièrement confondue.
- Comment s’y conformer
- Le niveau 1 est une autoévaluation de 13 contrôles répartis en six regroupements, attestée annuellement dans le profil de fournisseur AchatsCanada. Les niveaux 2 et 3 sont évalués par d'autres.
PBMM
Infonuagique Moyen du CCC
« Le service infonuagique lui-même est-il assez fiable pour héberger des données du gouvernement du Canada à Protégé B ? »
- Administré par
- Le Centre canadien pour la cybersécurité
- Fondé sur
- ITSG-33 et l’adaptation canadienne du NIST SP 800-53
- Ce que c’est
- Une évaluation de sécurité infonuagique produisant une autorisation de risque réutilisable dont un ministère se sert.
- Comment s’y conformer
- Évaluation indépendante par une tierce partie, puis examen du Centre pour la cybersécurité. Traité en profondeur sur sa propre page.
CMMC
CMMC (États-Unis)
« Un fournisseur du département de la Défense américain satisfait-il au NIST SP 800-171 ? »
- Administré par
- Le département de la Défense des États-Unis
- Fondé sur
- NIST SP 800-171 révision 2 — et non la révision 3, dont la règle n’est pas publiée
- Ce que c’est
- Un programme américain distinct. Pertinent au Canada surtout parce que le niveau 1 du PCCCS peut reconnaître une certification CMMC valide.
- Comment s’y conformer
- La porte d'évaluation par tierce partie est actuellement suspendue ; l'obligation sous-jacente et l'attestation, elles, ne le sont pas.
Quatre choses qu’on vous a probablement dites et qui ne sont plus vraies
Chacune est largement publiée, largement répétée, et fausse en date d’août 2026. Si un conseiller vous en cite une, il lit le résumé de l’an dernier.
« Le niveau 2 du PCCCS arrive au printemps 2027. »
Retiré. SPAC indique désormais que les niveaux 2 et 3 sont en cours d'élaboration, sans y rattacher de date. Le chiffre du printemps 2027 — comme celui des « sollicitations de l'été 2026 » qui l'accompagne — provient de commentaires de fournisseurs et non d'une page du gouvernement du Canada. Planifiez le niveau 2 comme une capacité à bâtir, jamais comme une date à respecter.
« Les évaluations CMMC de niveau 2 se déploient, il nous faut donc un évaluateur accrédité. »
La porte d'évaluation par tierce partie est suspendue depuis juillet 2026, en attente d'un examen de réforme ; seuls les paliers d'autoévaluation peuvent être exigés à l'heure actuelle. Ce qui n'a pas été suspendu, c'est l'obligation elle-même — la clause DFARS et l'ensemble des 110 exigences du NIST SP 800-171 s'appliquent toujours, sur attestation, avec l'exposition à la False Claims Act derrière cette attestation. À noter également : un score inscrit au SPRS est un score d'évaluation de base, non une certification, et c'est en le décrivant comme telle que se situe le vrai risque.
« Nous stockons des données de marchandises contrôlées dans le nuage, donc notre fournisseur doit être inscrit au PMC. »
La règle a changé. Les orientations actuelles précisent que les fournisseurs infonuagiques n'examinent, ne possèdent ni ne contrôlent habituellement le contenu de leurs clients — mais que les services qui exigent d'eux qu'ils examinent ou possèdent des données contrôlées, eux, exigent l'inscription. Le déclencheur est l'examen, non le stockage. L'ancienne formulation catégorique demeure largement citée ; elle décrit désormais une règle qui a été révisée.
« Nous détenons le CMMC, donc le niveau 1 du PCCCS est couvert. »
Juste dans l'esprit, vrai sous conditions, et actuellement plus étroit qu'il n'y paraît. SPAC reconnaît effectivement une certification CMMC valide en remplacement de l'autoévaluation de niveau 1, au cas par cas. Mais une autoévaluation assortie d'un score SPRS n'est pas une certification — et, la voie américaine par tierce partie étant suspendue, une entreprise qui n'en détient pas déjà une ne peut actuellement pas en obtenir. Pour la plupart des fournisseurs canadiens, l'autoévaluation canadienne est donc la seule voie ouverte.
Ce que la plupart des fournisseurs manquent
Deux de ces programmes peuvent viser les mêmes données
Le PCCCS protège ce que le gouvernement du Canada appelle les renseignements précisés — son propre terme, qui tient lieu de ce que les États-Unis nomment controlled unclassified information, et défini comme l’information qu’une autorité fédérale désigne dans un contrat comme devant être protégée. Cette définition envisage expressément que les renseignements précisés peuvent inclure de l’information sur des marchandises contrôlées.
Un écart de certification cyber et un écart de marchandises contrôlées peuvent donc porter sur la même catégorie d’information dans le même contrat. Séquencés comme une seule décision, l’essentiel du travail sous-jacent — le contrôle d’accès, le filtrage de qui peut voir quoi, la frontière physique et logique — est commun. Menés en deux projets distincts par deux conseillers distincts, il est cadré, doté et payé deux fois.
Ce que couvre le mandat
Applicabilité et préparation. La certification, la décision d’inscription et l’interprétation juridique appartiennent toutes à quelqu’un d’autre.
De quel programme il s’agit réellement
Le premier livrable, et souvent le seul nécessaire. Une question d'acheteur, un questionnaire fournisseur d'un entrepreneur principal ou une clause de sollicitation est rattachée au programme qu'elle invoque réellement — avant que quiconque ne rédige une réponse.
Applicabilité produit par produit
Si chaque programme atteint votre service selon les faits de votre architecture : quelles données vous détenez, si quelqu'un les examine, où elles résident, et qui peut les voir en clair.
Préparation au niveau 1 du PCCCS
Les treize contrôles, l'ensemble de preuves à conserver à leur égard, et l'attestation elle-même — assortis d'une lecture honnête de la possibilité d'offrir plutôt une certification CMMC valide.
Préparation à l’inscription au PMC
Le rôle d'administrateur désigné, le plan de sécurité, le processus d'évaluation de sécurité des personnes ayant accès, et les positions sur le moindre privilège et la résidence des données qu'attendent les orientations.
Les séquencer comme une seule décision
Les renseignements précisés peuvent inclure de l'information sur des marchandises contrôlées : un écart PCCCS et un écart PMC peuvent donc porter sur les mêmes données. Séquencés ensemble, l'essentiel du travail est commun ; menés en deux projets distincts, il est payé deux fois.
Positions pour les soumissions et questionnaires
La réponse écrite défendable — et, tout aussi souvent, celle qu'il faut retenir jusqu'à confirmation d'un fait. Une déclaration de conformité est facile à faire et difficile à retirer.
Livré
Produit pour un fournisseur mondial d’infrastructure et de sécurité sur un dossier fédéral actif — y compris l’analyse du traitement des données qui tranche si un service qui ne stocke jamais de données au repos est visé ou non, et les positions écrites soutenant un questionnaire fournisseur en défense. Aucun client n’est nommé ; les mandats sont décrits au niveau de la méthode, des références nommées étant disponibles sur demande, sous réserve du consentement du client.
Ce pour quoi vous voudrez quelqu’un d’autre
- Certifier, évaluer ou auditer au regard de l’un de ces programmes
- Agir comme organisme de certification accrédité ou évaluateur tiers
- Fournir des conseils juridiques ou un avis en contrôle des exportations
- Faire une déclaration de conformité en votre nom
- Interpréter la Loi sur la production de défense ou le droit du contrôle des exportations — c’est le travail d’un conseiller juridique
Une frontière compte ici plus que les autres. Avant toute déclaration écrite de conformité du côté des marchandises contrôlées, le flux de données précis devrait être confirmé et un conseiller juridique canadien en contrôle des exportations devrait l’approuver. Stocker des données techniques contrôlées à l’extérieur du Canada peut soulever une question distincte d’exportation, et il s’agit d’une qualification juridique — non d’une question d’architecture.
Apportez-nous la question qu’on vous a posée.
Trente minutes. Envoyez la clause, le questionnaire ou le courriel, et nous établirons quel programme il invoque réellement, s’il atteint votre produit selon les faits, et à quoi ressemble une réponse défendable — y compris ce qu’il vaut mieux retenir jusqu’à confirmation.
Sources
- Services publics et Approvisionnement Canada — Programme canadien pour la certification en cybersécurité : aperçu du programme, critères du niveau 1 et comment satisfaire au niveau 1. canada.ca.
- Centre canadien pour la cybersécurité — Protection des renseignements précisés dans les systèmes et les organisations autres que ceux du gouvernement du Canada (ITSP.10.171). cyber.gc.ca.
- Services publics et Approvisionnement Canada — orientations du Programme des marchandises contrôlées, y compris les orientations sur les services infonuagiques et la résidence des données. canada.ca.
- Gouvernement du Canada — Loi sur la production de défense, partie 2, et Règlement sur les marchandises contrôlées. laws-lois.justice.gc.ca.
- Affaires mondiales Canada — Avis aux exportateurs no 1159 (5 novembre 2025), sur l’accès étranger aux données techniques contrôlées.
- Département de la Défense des États-Unis — 32 CFR partie 170 et DFARS 252.204-7012 ; suspension de la phase II annoncée le 13 juillet 2026.
Situation en date d’août 2026. Chacun de ces programmes a changé au cours des dix-huit derniers mois et au moins deux sont en cours d’élaboration : confirmez la position courante avant de contracter. Cette page constitue de l’information générale et non un avis juridique — et les questions de marchandises contrôlées et de contrôle des exportations relèvent d’un conseiller juridique canadien qualifié.