Depuis l’été 2026, certains contrats de la Défense nationale exigent une attestation de cybersécurité. Si votre entreprise est certifiée ISO 27001, la première question est simple : est-ce que ça compte?
Non, pas automatiquement. Par contre, vous partez avec une bonne longueur d’avance, à condition de savoir où sont les écarts.
Rappel rapide
Le CPCSC (Programme canadien de certification en cybersécurité, ou PCCC en français) est la certification exigée dans certains contrats de défense canadiens. Services publics et Approvisionnement Canada (SPAC) l’administre. J’ai rassemblé le cadre et les références sur la page CPCSC.
Le CMMC (Cybersecurity Maturity Model Certification) est l’équivalent américain. Le département de la Défense des États-Unis l’exige jusque chez les sous-traitants.
ISO 27001 certifie votre système de gestion de la sécurité de l’information (SGSI). Elle est volontaire.
Si vous recevez des plans ou des données techniques militaires, une autre obligation s’ajoute : le Programme des marchandises contrôlées. Ce n’est pas une certification. J’y consacre un article à part.
Le CPCSC en trois niveaux
Le niveau 1 est offert depuis le 1er avril 2026 et exigé dans certains contrats depuis l’été. C’est une autoévaluation annuelle de 13 mesures de base. L’outil est en ligne et le résultat va dans votre profil AchatsCanada. Vous conservez vos preuves au moins un an.
Le niveau 2 exige une évaluation aux trois ans par un organisme accrédité par le Conseil canadien des normes. Il arrive dans certains contrats au printemps 2027. Il repose sur la norme ITSP.10.171 du Centre canadien pour la cybersécurité, l’équivalent des 110 exigences de NIST SP 800-171.
Le niveau 3 est évalué par la Défense nationale. Il vise les travaux les plus sensibles.
Attention : passer de 13 à 110 exigences, ce n’est pas une mise à niveau. C’est un autre projet.
Le CMMC, en suspens mais pas disparu
Le CMMC vous concerne si vous êtes sous-traitant, même indirect, d’un fournisseur du Pentagone et que vous recevez de l’information contrôlée non classifiée (CUI).
La phase 1, en vigueur depuis le 10 novembre 2025, exige des autoévaluations. La phase 2 devait imposer des évaluations par un tiers le 10 novembre 2026. Elle a été suspendue le 13 juillet 2026, le temps qu’un groupe de travail revoie le programme. Les obligations de base restent en vigueur, dont la clause DFARS 252.204-7012 et NIST SP 800-171.
Le Canada peut accepter une certification CMMC valide à la place du CPCSC, au cas par cas. Ce n’est pas automatique.
Pourquoi ISO 27001 ne suffit pas
La différence est dans la logique. ISO 27001 vous demande d’apprécier vos risques et de choisir vos mesures. Vous justifiez vos exclusions dans la déclaration d’applicabilité. Le CPCSC et le CMMC font l’inverse. La liste est imposée et rien ne s’exclut.
Deuxième écart, le périmètre. Votre certificat ISO couvre un périmètre précis, écrit dessus. Si l’usine ou le bureau d’ingénierie qui va recevoir les données de défense n’en fait pas partie, votre certificat ne dit rien sur eux.
Troisième écart, l’évaluateur. Pour le niveau 2, l’organisme doit être accrédité pour le CPCSC. Tous les organismes de certification ISO ne le sont pas.
Ce que votre SGSI couvre déjà
Pour le niveau 1, la correspondance est assez directe. Voici comment je relie les 13 mesures aux mesures de l’annexe A d’ISO 27001:2022.
| Mesure du niveau 1 | Annexe A d’ISO 27001 |
|---|---|
| 1. Gérer les comptes d’utilisateurs | 5.16 Gestion des identités, 5.18 Droits d’accès |
| 2. Donner seulement l’accès nécessaire | 5.15 Contrôle d’accès, 8.2 Droits d’accès privilégiés |
| 3. Utiliser seulement des systèmes et appareils approuvés | 5.10 Utilisation correcte de l’information, 8.1 Terminaux des utilisateurs |
| 4. Empêcher la divulgation publique d’information sensible | 5.10 Utilisation correcte de l’information, 5.14 Transfert de l’information |
| 5. Comptes individuels et mots de passe robustes | 5.16 Gestion des identités, 5.17 Informations d’authentification |
| 6. Approuver les appareils avant leur connexion | 8.1 Terminaux des utilisateurs, 8.20 Sécurité des réseaux |
| 7. Activer la double authentification | 8.5 Authentification sécurisée |
| 8. Effacer ou détruire les vieux appareils | 7.10 Supports de stockage, 7.14 Mise au rebut sécurisée du matériel |
| 9. Tenir la liste des personnes autorisées dans les zones sécurisées | 7.2 Entrées physiques |
| 10. Contrôler l’entrée dans les locaux | 7.1 Périmètres de sécurité physique, 7.2 Entrées physiques |
| 11. Protections réseau de base | 8.20 Sécurité des réseaux, 8.22 Cloisonnement des réseaux |
| 12. Appliquer les mises à jour de sécurité | 8.8 Gestion des vulnérabilités techniques |
| 13. Antivirus et anti-programmes malveillants | 8.7 Protection contre les programmes malveillants |
Si votre déclaration d’applicabilité inclut ces mesures et que vos preuves sont à jour, l’autoévaluation du niveau 1 devrait être rapide.
Le niveau 2 est une autre histoire. NIST SP 800-171 est beaucoup plus prescriptif. Un exemple : le chiffrement qui protège l’information doit utiliser des modules cryptographiques validés FIPS. ISO 27001 vous demande une politique de cryptographie, pas un module validé. C’est ce genre d’écart que l’analyse doit trouver, exigence par exigence.
En pratique
Minimalement, voici ce que je ferais.
- Vérifiez le périmètre de votre certificat ISO 27001. Les systèmes et les lieux qui vont recevoir l’information de défense doivent y être.
- Faites l’autoévaluation du niveau 1 dès maintenant, même sans contrat. Elle est gratuite.
- Regroupez vos preuves pour les 13 mesures dans un seul dossier, mis à jour au moins une fois par année.
- Demandez à vos clients américains s’ils vous transmettent de l’information CUI. Si oui, le CMMC vous concerne, suspendu ou pas.
- Si vous visez le niveau 2, faites une analyse d’écart avec ITSP.10.171 avant le printemps 2027. Pas après avoir gagné le contrat.
- Intégrez les exigences du CPCSC à votre SGSI. Ne bâtissez pas un deuxième système à côté. L’ennemi de la sécurité est la complexité.
Bref, ISO 27001 ne vous donne pas le CPCSC. Elle vous donne la discipline de gestion que le CPCSC suppose. Votre certificat couvre-t-il les lieux qui vont recevoir les données de défense?
Vous êtes certifié ISO 27001 et vous visez des contrats de défense? Parlons-en.
Références
- Gouvernement du Canada, lancement du niveau 1 du CPCSC (avril 2026)
- SPAC, exigences de certification de niveau 1 (CPCSC)
- Mondaq, le CPCSC devient obligatoire (avril 2026)
- WilmerHale, suspension de la phase 2 du CMMC (juillet 2026)
- Secureframe, chronologie du CMMC en 2026
- Plurilock, CPCSC et ISO 27001