Visitez notre kiosque à CANSEC les 27-28 mai
Depuis le 12 mars 2025, le Canada a mis en vigueur le Programme canadien de certification en cybersécurité (PCCC) pour renforcer la sécurité de la chaîne d'approvisionnement de la défense nationale. Cette certification est inspirée du CMMC américain et repose sur les standards NIST 800-171 Rev3 et NIST 800-172.
PCCC : une certification obligatoire pour les fournisseurs de la défense canadienne
Toutes les entreprises souhaitant collaborer avec le Département de la Défense nationale (DND), qu'elles soient canadiennes ou étrangères, devront obtenir la certification PCCC.
L'obligation s'applique au contractant principal et à ses sous-traitants, suivant un modèle de transmission des exigences similaire à celui du CMMC (flow-down).
CI : la terminologie canadienne pour les données sensibles
Contrairement au CMMC, qui utilise les termes CUI (Controlled Unclassified Information) et FCI (Federal Contract Information), le PCCC adopte la notion de Controlled Information (CI). Cela inclut :
Trois niveaux de certification PCCC
Comme son homologue américain, PCCC comporte trois niveaux :
Différence entre CMMC et PCCC : les standards utilisés
Le Canada a adopté la version la plus récente du NIST 800-171, alors que les États-Unis utilisent encore une version antérieure.
NIST 800-171 Rev2 vs Rev3 : quelles différences ?
Si vous êtes déjà conformes à CMMC, vous devrez intégrer ces trois nouveaux domaines pour être conformes à PCCC. (Pour en savoir plus, consultez cet article.)
ITSP.10.171 : le standard canadien basé sur NIST 800-171 Rev3
Le Canada a développé son propre référentiel de cybersécurité, ITSP.10.171, qui sera officiellement publié prochainement. Vous pouvez demander une copie PDF à : partnerships-partenariats@cyber.gc.ca.
Phase 1 : la priorité est d'obtenir PCCC Niveau 1
Lors de la première phase de mise en œuvre, la Défense nationale exige que tous ses fournisseurs commencent par le PCCC Niveau 1, avant de progresser si nécessaire.
Une certification adaptée à l'évaluation des risques
Contrairement à CMMC, qui se base sur le type de données accédées, le Canada adopte une approche basée sur les risques. Votre niveau de certification sera déterminé par une évaluation du risque associé à votre activité. Cette méthodologie est encore en cours de définition.
Auto-évaluation ou certification tierce : comment se faire certifier ?
Pas d'équivalence automatique entre CMMC et PCCC
Si vous êtes fournisseur à la fois du DoD (Département de la Défense américaine) et du DND (Défense nationale canadienne), vous devrez obtenir les deux certifications.
Cependant, une reconnaissance de CMMC par le Canada est à l'étude sous certaines conditions :
Nous vous tiendrons informés des avancées sur cette équivalence potentielle.
Quelle certification choisir ?
Votre choix doit être motivé par vos objectifs commerciaux :
Comment StreamScan peut vous aider ?
StreamScan, expert en cybersécurité de la Défense, accompagne les entreprises dans leur mise en conformité aux normes NIST 800-171, CMMC et PCCC. En tant que Registered Provider Organization (RPO) CMMC, nous sommes autorisés à guider les organisations dans leur démarche.
Contactez-nous pour discuter de votre stratégie de certification :
