Loi C-8 : ce que la nouvelle loi canadienne sur la cybersécurité change pour vous

Qu'est-ce que la Loi C-8 ?

Réponse courte : la Loi C-8, sanctionnée le 16 juin 2026, crée la Loi sur la protection des cybersystèmes essentiels. Elle obligera les opérateurs désignés des secteurs sous réglementation fédérale (télécommunications, énergie, finance, transport) à maintenir un programme de cybersécurité documenté, à déclarer les incidents significatifs et à gérer le risque de leur chaîne d'approvisionnement, sous peine de sanctions pécuniaires pouvant atteindre 15 millions de dollars par jour.

C'est le premier cadre fédéral canadien véritablement contraignant en matière de cybersécurité des infrastructures essentielles. Il rapproche le Canada de ses alliés : la directive NIS2 en Europe, les obligations de déclaration d'incidents aux États-Unis, le cadre britannique.

Point important, souvent mal compris : la sanction royale ne signifie pas l'application immédiate. L'essentiel des obligations de fond entrera en vigueur à des dates fixées par décret, et la liste des catégories d'opérateurs désignés reste à établir par règlement. Autrement dit, personne ne porte encore d'obligations formelles : mais le compte à rebours de préparation, lui, a commencé.

Qui sera visé ?

La loi cible les opérateurs de cybersystèmes essentiels dans les secteurs de compétence fédérale :

Si vous n'êtes pas dans cette liste, ne refermez pas le dossier trop vite. L'effet le plus immédiat de la loi passera par les contrats : un opérateur désigné devant gérer le risque de sa chaîne d'approvisionnement répercutera ses exigences sur ses fournisseurs, sous-traitants et prestataires infonuagiques. Une PME de services technologiques qui vend à un opérateur ferroviaire verra ces clauses arriver dans son prochain renouvellement.

Les quatre obligations structurantes

1. Établir un programme de cybersécurité documenté

L'opérateur devra établir, mettre en œuvre et maintenir un programme écrit couvrant l'identification des risques, la protection des systèmes, la détection des incidents, la réponse et la reprise. Le mot clé est « documenté » : en cas de contrôle, ce qui n'est pas écrit et daté n'existe pas.

2. Gérer le risque de la chaîne d'approvisionnement

L'opérateur doit identifier et atténuer les risques provenant de ses fournisseurs et de ses services tiers. Cela implique un inventaire des dépendances, des clauses contractuelles de sécurité, et une capacité à démontrer que ces risques sont suivis dans le temps.

3. Déclarer les incidents de cybersécurité significatifs

Les incidents devront être déclarés au Centre de la sécurité des télécommunications, avec information du régulateur sectoriel. Cette obligation s'ajoute (sans la remplacer) à celles de la Loi 25 au Québec et de la LPRPDE au fédéral. Une même intrusion peut ainsi déclencher trois notifications distinctes, à trois destinataires, dans trois délais différents.

4. Se conformer aux directives de cybersécurité

Le gouvernement pourra émettre des directives contraignantes, y compris confidentielles, imposant des mesures précises. L'opérateur devra s'y conformer dans les délais prescrits.

Les sanctions

Le régime prévoit des sanctions administratives pécuniaires substantielles, pouvant atteindre 15 millions de dollars par jour de manquement pour une personne morale, ainsi que des sanctions pénales. La responsabilité des dirigeants est explicitement engagée, ce qui déplace le sujet du service TI vers le conseil d'administration.

Ce qu'il faut faire dès maintenant

Loi C-8 et Loi 25 : deux logiques complémentaires

La Loi 25 protège le renseignement personnel : son déclencheur est le risque de préjudice pour les personnes. La Loi C-8 protège la continuité du service essentiel : son déclencheur est l'atteinte au système, même sans donnée personnelle touchée. Une attaque par rançongiciel sur un opérateur ferroviaire peut ainsi relever de C-8 sans qu'un seul dossier client ne soit exposé.

En pratique, les organisations qui s'en sortent le mieux ne bâtissent pas deux programmes parallèles : elles construisent un socle unique (inventaire, journaux, plan de réponse, registre d'incidents, gestion des tiers) et y branchent les obligations de déclaration propres à chaque loi.

Conclusion

La Loi C-8 est entrée dans le droit canadien, mais ses obligations opérationnelles arriveront par règlement dans les prochains mois. C'est précisément la fenêtre à exploiter : bâtir le programme au rythme normal plutôt que dans l'urgence d'une mise en demeure. ITCS Group accompagne les opérateurs et leurs fournisseurs : cartographie des systèmes essentiels, rédaction du programme, exercices de déclaration d'incident et réponse 24/7. Contactez-nous pour évaluer votre écart de conformité.

Sources