Faut-il être certifié pour vendre au gouvernement fédéral ?
Réponse courte : de plus en plus, oui. Le Programme canadien de certification en cybersécurité impose depuis avril 2026 un niveau 1 aux fournisseurs concernés : une auto-évaluation annuelle documentant l'état de mise en œuvre de treize exigences de sécurité. Le niveau 2 va plus loin avec une évaluation externe par un organisme de certification accrédité, renouvelée tous les trois ans.
Pour une PME technologique québécoise, c'est une bascule commerciale autant que technique. Un appel d'offres fédéral peut désormais exiger la certification comme condition d'admissibilité : et non plus comme critère de pondération. Sans elle, l'offre n'est pas évaluée.
La bonne nouvelle : le niveau 1 est conçu pour être atteignable par une petite organisation. Les treize exigences correspondent à des contrôles de base que la plupart des entreprises appliquent partiellement : le travail consiste souvent davantage à documenter et à formaliser qu'à acheter des outils.
Les treize exigences, regroupées par thème
Le référentiel du niveau 1 couvre les contrôles fondamentaux attendus de toute organisation manipulant de l'information gouvernementale non classifiée :
Gouvernance : désigner un responsable de la sécurité, tenir un inventaire des actifs, appliquer une politique documentée
Protection des accès : authentification forte, gestion des comptes à privilèges, révocation des accès au départ des employés
Protection des systèmes : application des correctifs, configuration sécurisée, protection des postes et des serveurs
Protection des données : chiffrement, sauvegardes et vérification de leur restauration
Détection et réponse : journalisation, procédure de réponse aux incidents et sensibilisation du personnel
Chaque exigence appelle une réponse en trois temps : ce que vous faites, avec quoi vous le faites, et comment vous le prouvez. C'est ce troisième volet qui bloque le plus souvent les organisations, parce qu'il suppose des traces datées plutôt que des affirmations.
PCCC et CyberSécuritaire Canada : quelle différence ?
CyberSécuritaire Canada est un programme de certification volontaire destiné aux petites et moyennes organisations, avec un ensemble de contrôles de base, une marque de certification affichable et un cycle de recertification. Il vise la confiance du marché en général.
Le Programme canadien de certification en cybersécurité, lui, est orienté approvisionnement fédéral : il conditionne l'admissibilité à certains marchés publics et s'appuie sur des organismes d'évaluation accrédités pour ses niveaux supérieurs.
En pratique, les deux se renforcent. Le travail de mise en conformité (inventaire, politiques, preuves, procédure d'incident) est largement commun. Une PME qui vise le fédéral a intérêt à structurer une fois son dossier de preuves et à le décliner ensuite selon le référentiel demandé.
Un plan de préparation en huit semaines
Cadrage (semaines 1-2) : périmètre visé, désignation du responsable, inventaire des actifs et des accès, identification des données gouvernementales manipulées
Analyse d'écart (semaines 3-4) : évaluer chaque exigence selon quatre états (mise en œuvre, partielle, prévue, non applicable) et documenter la justification
Correctifs rapides (semaines 5-6) : MFA complet, révocation des comptes dormants, cycle de correctifs, chiffrement des postes, test de restauration chronométré
Documentation (semaine 7) : politique de sécurité, procédure de réponse aux incidents, registre des accès tiers, preuves datées de chaque contrôle
Auto-évaluation et revue (semaine 8) : compléter la déclaration, faire relire par un tiers, planifier la revue annuelle
L'erreur la plus fréquente consiste à surdéclarer. Une exigence marquée « partielle » avec un plan daté est parfaitement acceptable ; une exigence déclarée conforme mais non démontrable devient un problème contractuel, et potentiellement un problème d'assurance en cas de sinistre.
L'effet de ruissellement au-delà du fédéral
Ce mouvement dépasse largement l'approvisionnement gouvernemental. Les opérateurs d'infrastructure essentielle visés par la nouvelle Loi sur la protection des cybersystèmes essentiels devront gérer le risque de leur chaîne d'approvisionnement, et répercuteront ces exigences sur leurs fournisseurs. Les grands donneurs d'ordre privés suivent le même chemin dans leurs questionnaires fournisseurs.
Autrement dit, le dossier de preuves que vous constituez pour le niveau 1 servira aussi à répondre aux évaluations de vos clients privés, à votre questionnaire d'assurance cyber et à vos obligations Loi 25. C'est un investissement à usages multiples.
Conclusion
La certification n'est plus un argument différenciant : elle devient un droit d'entrée. Les organisations qui s'y prennent maintenant le font au rythme de leurs cycles normaux ; celles qui attendront l'appel d'offres découvriront qu'on ne fabrique pas rétroactivement douze mois de preuves. ITCS Group accompagne les PME canadiennes sur l'analyse d'écart, la remédiation technique et la constitution du dossier de preuves. Contactez-nous pour un diagnostic de votre niveau actuel.
Sources
Programme canadien de certification en cybersécurité, niveau 1 : Services publics et Approvisionnement Canada, avril 2026
CyberSécuritaire Canada : Innovation, Sciences et Développement économique Canada
Conseil canadien des normes : accréditation des organismes de certification