Visitez notre kiosque Ă CANSEC les 27-28 mai
 et ce que la loi vous oblige désormais à faire
Imaginez la scène : il est 6 h 45 un lundi matin. Votre contremaître est déjà sur la route depuis 40 minutes. Votre chargé de projet révise des plans autour d’un café.
Et quelque part en Europe de l’Est, un hacker vient tout juste de chiffrer l’ensemble des fichiers de votre serveur d’entreprise : vos soumissions, vos contrats, vos ententes de sous-traitance, vos maquettes BIM. Il attend simplement que vous ouvriez votre ordinateur et lisiez la demande de rançon.
Ce n’est pas un scénario Netflix. C’est la réalité du secteur de la construction au Canada. Et cela se produit avec une fréquence, une précision et un impact financier croissants.
Â
secteur le plus touché mondialement par les rançongiciels
d’augmentation annuelle moyenne des incidents de rançongiciel au Canada
en coûts de récupération liés à la cybercriminalité pour les entreprises canadiennes en 2023
Le secteur de la construction a vécu une transformation numérique majeure :
Mais très peu de ces outils ont été implantés avec la cybersécurité comme priorité.
Réfléchissez à tout ce que votre entreprise conserve actuellement en format numérique :
Le rapport 2023 sur les rançongiciels et les fuites de données eCrime a confirmé que le secteur de la construction était le plus touché au monde. Une grande entreprise canadienne de construction a été victime d’une attaque médiatisée dès 2020, exposant des données confidentielles de soumission et révélant à quel point le secteur était mal préparé.
Deux erreurs fatales sont fréquentes chez les dirigeants : « Nous sommes trop petits pour intéresser les hackers. » ou « Nous ne sommes ni une banque ni un hôpital, les lois ne s’appliquent pas à nous. »
Ces deux affirmations sont dangereusement fausses. Le cadre juridique canadien en matière de protection des renseignements personnels et de cybersécurité s’applique directement aux entreprises de construction. Les pénalités sont sévères, publiques et croissantes.
Toute organisation du secteur privé doit mettre en place des mesures de sécurité raisonnables pour protéger les renseignements personnels. Tout incident présentant un « risque réel de préjudice grave » doit être signalé : au Commissariat à la protection de la vie privée du Canada et aux personnes concernées. Le non-respect peut entraîner des enquêtes et ordonnances judiciaires.
Â
Â
Bien qu’il ne soit pas encore adopté, ce cadre influence déjà les attentes réglementaires. Il vise notamment : les télécommunications, la finance, l'énergie et le transport. Or, leurs chaînes d’approvisionnement incluent des entreprises de construction. Les exigences en matière de gestion des risques et de déclaration d’incident deviennent progressivement des standards attendus.
Â
L’utilisation non autorisée d’un système informatique constitue une infraction criminelle. Une entreprise qui néglige la sécurité peut faire face à une responsabilité civile si une faille permet une attaque affectant un client.
Â
En vigueur complète depuis le 22 septembre 2024.
Exige :
Amendes :
jusqu’à 25 millions $ CAD ou 4 % du chiffre d’affaires mondial.
C’est un niveau d’application comparable au RGPD européen.
Â
Exige des mesures documentées et proactives. Déclaration obligatoire des incidents au Commissariat provincial.
Â
Obligation de mesures de sécurité raisonnables. Des organisations ont déjà été publiquement sanctionnées.
Â
Les entreprises travaillant avec : les hôpitaux, les municipalités et les commissions scolaires, sont soumises à des obligations supplémentaires en matière de protection des renseignements personnels.
Â
Coût moyen de remédiation d’une attaque par rançongiciel au Canada
Coût moyen d’une violation de données
Temps moyen pour détecter une brèche
Mais le véritable impact va bien au-delà :
En mars 2024, la Ville de Hamilton a été paralysée par un rançongiciel. En 2023, la Nouvelle-Écosse a vu les données de 100 000 employés exposées.
Si des gouvernements équipés de départements TI complets sont touchés, qu’en est-il de votre entreprise fonctionnant avec des logiciels désuets et un consultant TI à temps partiel ?
Un technicien TI maintient vos systèmes opérationnels. Alors qu'une firme de cybersécurité empêche les criminels d’entrer et vous maintient conforme lorsque tout dérape.
Elle fournit :
« Mesures de sécurité raisonnables » est le standard légal sous la LPRPDE. En 2026, cela signifie plus qu’un pare-feu.
You don't need a multi-million security operations center. You need a proportionate, documented, and legally defensible approach. Here's where to start:
Vous ne construiriez pas sans ingénieur certifié. Vous ne couleriez pas du béton sans plan de sécurité. Vous ne feriez pas opérer de machinerie lourde sans licence. La cybersécurité n’est pas différente. La structure que vous protégez, c’est votre entreprise entière.
Â
Engagez une firme de cybersĂ©curitĂ©. Pas après la brèche. Maintenant !Â
Votre casque protège votre tête. Votre cybersécurité protège tout le reste.
Sources & Références légales
• LPRPDE, LC 2000, ch 5
• Loi 25 (Québec), en vigueur complète depuis le 22 septembre 2024
• PIPA Alberta
• PIPA Colombie-Britannique
• Évaluation nationale des cybermenaces 2025-2026
• Statistique Canada, 2023
• Rapport eCrime 2023
• IBM, Cost of a Data Breach 2021
• Welch LLP, 2024
