Le nouveau guide établit la correspondance entre CAN/DGSI 104 et le niveau 1 du PCCSC, afin d’aider les organisations à tirer parti de leurs investissements existants en cybersécurité et à se préparer aux exigences des chaînes d’approvisionnement de la défense

OTTAWA — Alors que la cybersécurité devient une exigence de plus en plus importante pour participer aux chaînes d’approvisionnement de la défense et des infrastructures essentielles, le Conseil de gouvernance numérique (CGN) a publié aujourd’hui un nouveau Guide pratique pour l’utilisation de CAN/DGSI 104 à l’appui de la préparation au niveau 1 du PCCSC. Ce guide vise à aider les entreprises canadiennes à comprendre les liens entre les différentes exigences de cybersécurité et à se préparer aux occasions offertes par les chaînes d’approvisionnement de la défense.

Le guide présente une analyse de correspondance complète entre CAN/DGSI 104, une Norme nationale du Canada portant sur les contrôles de cybersécurité de base, et le niveau 1 du Programme canadien de certification en cybersécurité (PCCSC). Il indique aux organisations dans quels cas leurs contrôles existants peuvent répondre aux exigences du niveau 1 du PCCSC, où des précisions ou des preuves supplémentaires peuvent être nécessaires et quelles exigences additionnelles doivent être prises en compte.

Le PCCSC est le programme de certification en cybersécurité du gouvernement du Canada destiné aux fournisseurs du secteur de la défense. Le programme est administré par Services publics et Approvisionnement Canada (SPAC) et dirigé en collaboration avec la Défense nationale. Le Conseil canadien des normes (CCN) agit comme organisme d’accréditation et le Centre canadien pour la cybersécurité fournit l’expertise technique en cybersécurité. Le niveau 1 du PCCSC est offert depuis avril 2026 et a été intégré à certains contrats de défense au cours de l’été 2026.

« La cybersécurité est de plus en plus une condition de participation aux chaînes d’approvisionnement stratégiques, […] Pour les entreprises canadiennes, en particulier les PME, l’occasion consiste à tirer parti du travail déjà accompli en matière de cybersécurité. Ce guide donne aux organisations une vision plus claire de ce qui est peut-être déjà en place, de ce qui pourrait devoir être renforcé et de ce qu’il reste à faire. » – a déclaré Keith Jansa, chef de la direction du Conseil de gouvernance numérique.

Le guide paraît alors que les fournisseurs canadiens exercent de plus en plus leurs activités sur les marchés nationaux et internationaux, où les attentes en matière de cybersécurité diffèrent. Le PCCSC, CAN/DGSI 104 et le programme américain Cybersecurity Maturity Model Certification (CMMC) diffèrent dans leur structure et leur objectif, mais visent tous à améliorer l’hygiène cybernétique, à gérer les cyberrisques et à protéger les renseignements sensibles.

L’analyse de correspondance examine 17 domaines de contrôle, notamment l’authentification, le contrôle de l’accès, la gestion des correctifs, la protection contre les logiciels malveillants, la sécurité des réseaux, les systèmes externes, les supports portatifs, la journalisation, la gestion des risques et la sécurité physique. En établissant cette correspondance, les organisations peuvent déterminer quels contrôles et éléments de preuve existants en matière de cybersécurité peuvent être réutilisés et dans quels cas des mesures supplémentaires peuvent être requises. Dans de nombreux domaines, les organisations qui mettent en œuvre CAN/DGSI 104 peuvent déjà disposer de pratiques fondamentales pertinentes pour le niveau 1 du PCCSC.

Relier les normes, la certification et la préparation

CAN/DGSI 104 fournit une base commune pour la cybersécurité de base en établissant des exigences pratiques pour les petites et moyennes organisations dans des domaines tels que la gouvernance, la gestion des risques, le contrôle de l’accès, la gestion des correctifs, l’intervention en cas d’incident et la configuration sécurisée.

Cette base soutient différentes formes d’assurance. CyberSécuritaire Canada est un programme d’évaluation de la conformité du CCN dans le cadre duquel le CCN accrédite des organismes d’évaluation de la conformité afin de certifier les organisations selon CAN/DGSI 104. Par comparaison, CyberReady du CGN est un programme de validation et de vérification axé sur la mise en œuvre et la préparation. Il fournit une évaluation indépendante de la façon dont les exigences de cybersécurité ont été mises en pratique et des domaines qui peuvent nécessiter une attention accrue.

Pour les organisations qui se préparent à participer aux chaînes d’approvisionnement de la défense, le programme de validation et de vérification CyberDefence Ready du CGN applique cette approche de préparation spécifiquement au niveau 1 du PCCSC. Les organisations participantes reçoivent un examen indépendant de leurs pratiques de cybersécurité par rapport aux exigences du niveau 1 du PCCSC, ainsi qu’une déclaration de vérification pouvant appuyer la préparation interne, la diligence raisonnable dans la chaîne d’approvisionnement, les discussions avec les partenaires et la préparation des éléments de preuve aux fins de certification ou d’approvisionnement.

« Les différentes normes et les différents programmes d’assurance servent des objectifs distincts, a ajouté M. Jansa. La certification offre une reconnaissance officielle de la conformité à des exigences définies. La vérification fournit des preuves indépendantes de mise en œuvre et de préparation. Clarifier ces relations peut aider les entreprises canadiennes à démontrer une cybersécurité digne de confiance auprès de leurs clients, sur les marchés et dans les chaînes d’approvisionnement. »

Le guide n’établit pas d’équivalence entre CAN/DGSI 104 et le niveau 1 du PCCSC. La vérification CyberReady ou CyberDefence Ready ne remplace pas l’autoévaluation, la certification, les soumissions contractuelles ni les exigences d’acceptation du gouvernement du Canada liées au PCCSC.

Téléchargez auprès du CGN le Guide pratique pour l’utilisation de CAN/DGSI 104 à l’appui de la préparation au niveau 1 du PCCSC et utilisez l’analyse de correspondance complète pour déterminer dans quels cas votre programme de cybersécurité actuel répond aux exigences du niveau 1 du PCCSC et où des mesures supplémentaires peuvent être requises.