Depuis avril 2026, le niveau 1 du Programme canadien de certification en cybersécurité est officiellement accessible. Pour certaines PME qui souhaitent travailler sur des contrats de défense, la cybersécurité n’est donc plus simplement une bonne pratique : elle commence à faire partie directement des exigences contractuelles.
Mais quelle est la différence entre le niveau 1 et le niveau 2? Et surtout, que doit préparer une entreprise aujourd’hui?
Niveau 1 : établir une base solide
Le gouvernement du Canada décrit le niveau 1 comme un niveau de base en matière de cyberhygiène. Il comprend 13 contrôles et repose sur une autoévaluation annuelle.
Pour certains contrats de défense, ces exigences ont commencé à être introduites progressivement à partir de l’été 2026. Le niveau exigé dépend cependant du contrat : toutes les occasions d’affaires dans le secteur de la défense ne nécessitent pas automatiquement la même certification.
L’important est de ne pas confondre autoévaluation et simple questionnaire administratif. L’entreprise doit réellement examiner l’état de ses mesures de sécurité et être capable de documenter ses pratiques. Parmi les thèmes essentiels figurent notamment la gestion des accès, l’authentification, la protection des systèmes et le suivi des activités.
Niveau 2 : une évaluation externe beaucoup plus approfondie
Le niveau 2 change d’échelle. Selon le programme actuellement publié par le gouvernement, il comprend 98 contrôles et doit faire l’objet d’une évaluation externe par un organisme accrédité, généralement tous les trois ans, accompagnée d’une affirmation annuelle.
Les exigences de niveau 2 doivent être intégrées progressivement à certains contrats nécessitant la manipulation de renseignements contrôlés de la Défense ou de travaux plus sensibles. Cela signifie qu’une PME ne doit pas uniquement être capable d’affirmer que ses mesures existent. Elle doit se préparer à ce qu’un évaluateur examine les documents, interroge les personnes responsables et teste les mécanismes en place.
Le Centre canadien pour la cybersécurité décrit d’ailleurs trois méthodes principales d’évaluation dans l’ITSP.10.171-01 : examiner, interviewer et tester.
Une politique écrite affirmant que les accès sont révisés ne suffit donc pas nécessairement. L’organisation peut devoir présenter les listes d’utilisateurs, les autorisations, les journaux, les procédures de révision et des preuves démontrant que cette révision a réellement eu lieu.
Commencer par connaître le contrat visé
Avant d’acheter des logiciels ou de modifier l’ensemble du réseau, il faut déterminer ce que l’entreprise cherche précisément à accomplir. Quel type de contrat souhaitez-vous obtenir? Quels renseignements allez-vous traiter? Quels employés en auront besoin? Quels systèmes seront utilisés? Quel niveau PCCC est susceptible d’être demandé?
Cette analyse permet d’éviter deux erreurs opposées : sous-estimer les exigences ou surinvestir dans une infrastructure beaucoup plus vaste que nécessaire.
La documentation doit commencer tôt
L’un des pièges classiques consiste à attendre quelques semaines avant une évaluation pour commencer à rassembler les preuves. Or la conformité repose souvent sur des activités qui s’inscrivent dans la durée.
Révision des accès, traitement des alertes, gestion des changements, formation des employés, sauvegardes, incidents : ces actions produisent progressivement une histoire de l’environnement. C’est cette histoire qu’un évaluateur doit pouvoir comprendre.
Le travail effectué par TechNuCom pour sa propre démarche SOC 2 Type 2 illustre bien cette logique. Comme nous l’expliquions dans notre article sur l’importance de SOC 2 Type 2, une démarche sérieuse de conformité ne repose pas sur un document créé à la dernière minute, mais sur des processus appliqués et démontrables dans le temps.
Niveau 1 aujourd’hui, niveau 2 demain?
Toutes les PME ne passeront pas nécessairement d’un niveau à l’autre. Le niveau applicable dépendra des contrats et des risques associés aux renseignements traités. Mais une organisation qui vise à développer durablement ses activités dans la défense a intérêt à construire ses fondations avec la suite en tête.
Des comptes individuels correctement gérés, une bonne séparation des rôles, une authentification solide, des journaux exploitables et une documentation structurée sont utiles dès le niveau 1 et deviennent encore plus importants lorsqu’une évaluation externe entre en jeu.
L’objectif n’est donc pas seulement de « passer » une évaluation. Il s’agit de bâtir un environnement dont le fonctionnement quotidien génère naturellement les contrôles et les preuves nécessaires. Vous souhaitez déterminer où se situe actuellement votre organisation par rapport aux exigences du PCCC? TechNuCom et ses partenaires peuvent vous aider à analyser votre niveau de préparation et à structurer les prochaines étapes : Contactez-nous pour en parler.