En 2018, Ottawa annonçait CyberSécuritaire Canada avec 28,4 millions de dollars et un objectif de 5 000 PME certifiées d’ici 2025. En août 2023, 41 entreprises l’étaient, dont deux seulement depuis le début de l’année (CIGI, 2023).
Ce chiffre ne dit pas que la norme est mauvaise. J’ai lu la révision publiée en juillet 2026 et elle contient des exigences sérieuses. Il dit surtout que la plupart des PME ne savent pas à quoi sert cette certification ni quand elle suffit.
Je dois être transparent dès le départ. Je suis auditeur ISO 27001. Vous vous attendez probablement à ce que je vous dise qu’ISO 27001 est toujours la meilleure réponse. Ce n’est pas le cas. Je vais aussi vous dire quand c’est trop.
Pour rappel
CyberSécuritaire Canada (CyberSecure Canada en anglais) est une certification pour les petites et moyennes organisations, soit généralement moins de 500 employés. Elle repose sur la norme nationale CAN/DGSI 104, qui définit des contrôles de cybersécurité de base inspirés de ceux du Centre canadien pour la cybersécurité.
Le programme a changé de mains. Depuis mars 2023, Innovation, Sciences et Développement économique Canada (ISDE) n’en est plus le propriétaire. C’est l’Institut des normes de gouvernance numérique qui tient la norme à jour et le Conseil canadien des normes (CCN) accrédite toujours les organismes qui font les audits.
Attention : plusieurs pages en ligne, incluant la fiche du gouvernement fédéral, parlent encore de « 13 contrôles ». C’était la version de départ. La version en vigueur, CAN/DGSI 104:2021 / Rév. 2:2026, compte 18 exigences réparties en trois blocs :
- 4 contrôles organisationnels : l’engagement de la gestion, les responsabilités, la formation et l’évaluation des risques
- 8 contrôles de base, comme le plan de réponse aux incidents, les correctifs automatiques, la double authentification et les sauvegardes
- 6 contrôles selon votre environnement, comme les appareils mobiles, les services infonuagiques, les sites web, les terminaux de paiement et la gestion des journaux
Chaque exigence comporte un niveau 1 pour les organisations qui débutent et un niveau 2 pour celles qui veulent aller plus loin.
Trois options, pas deux
Une PME québécoise qui veut démontrer à ses clients qu’elle prend la sécurité au sérieux a aujourd’hui trois portes devant elle.
La première est la validation CyberReady, lancée en février 2025 par le Conseil de la gouvernance numérique. Elle vérifie vos pratiques contre la même norme CAN/DGSI 104, soit à partir de vos propres déclarations, soit par un audit plus poussé. Par contre, ce n’est pas une certification. Vous obtenez une attestation de validation et un sceau de confiance. Ne la présentez jamais à un client comme une certification.
La deuxième est la certification CyberSécuritaire Canada. Un organisme accrédité vient vérifier que les exigences de la norme sont en place. Le certificat est valide deux ans. Selon le CIGI, la certification elle-même coûtait entre 2 000 $ et 5 000 $ en 2023, sans compter le travail pour mettre les contrôles en place.
La troisième est la certification ISO 27001, la norme internationale de gestion de la sécurité de l’information. Un organisme accrédité audite votre système de gestion en deux étapes, puis revient chaque année pour un audit de surveillance, sur un cycle de trois ans. Pour une PME de 25 à 50 employés, j’estimais en 2022 le coût total entre 35 000 $ et 100 000 $, en incluant l’accompagnement, le temps de vos employés, la formation et l’audit de certification (le détail ici).
Les deux chiffres ne mesurent pas la même chose. Par contre, l’écart donne l’ordre de grandeur.
| Validation CyberReady | CyberSécuritaire Canada | ISO 27001 | |
|---|---|---|---|
| Ce que vous obtenez | Une attestation, pas une certification | Une certification valide deux ans | Une certification sur un cycle de trois ans |
| Qui choisit les contrôles | La norme | La norme | Vous, à partir de vos risques |
| Qui vérifie | Conseil de la gouvernance numérique | Organisme accrédité par le CCN | Organisme accrédité |
| Reconnue | Au Canada | Au Canada | Partout |
La vraie différence : qui choisit les contrôles
On pourrait croire que la norme canadienne est une simple liste à cocher. Ce n’est pas le cas. Elle exige que la gestion s’engage, qu’un membre de l’équipe de gestion soit nommé responsable de la cybersécurité et qu’une évaluation des risques soit faite.
Par contre, regardez comment cette évaluation fonctionne. Au niveau 1, c’est un questionnaire de 21 questions auxquelles on répond par oui ou par non. La norme précise elle-même qu’il ne sert pas à produire un score de risque. Même au niveau 2, l’exigence 4.4.3.8 est claire : peu importe le résultat de l’évaluation, vous devez appliquer les contrôles de base ou les remplacer par des contrôles compensatoires.
Autrement dit, la norme canadienne choisit les contrôles pour vous. Votre évaluation des risques sert à en ajouter, pas à décider.
ISO 27001 fonctionne à l’inverse. Vous identifiez vos risques, puis vous choisissez parmi les 93 mesures de l’annexe A celles qui y répondent. Vous justifiez vos choix dans une déclaration d’applicabilité, incluant les mesures que vous excluez. Ensuite viennent les audits internes, la revue annuelle par la gestion, des objectifs mesurés et la correction des écarts.
Pour une PME sans expertise interne, l’approche canadienne a un vrai avantage : elle évite de bâtir une analyse de risques à partir de rien. Pour une entreprise dont les risques sortent de l’ordinaire, c’est une limite.
En pratique, CyberSécuritaire Canada prouve que des contrôles reconnus sont en place. ISO 27001 prouve que votre entreprise sait décider quoi protéger et ajuster ses décisions quand les choses changent, comme un nouveau fournisseur MSP, le départ de votre responsable TI ou l’arrivée d’un nouveau logiciel infonuagique.
C’est aussi pour ça que la conformité doit appartenir à l’entreprise. Un consultant peut vous aider à mettre des contrôles en place. Il ne peut pas prendre vos décisions de risque à votre place.
La norme canadienne dit elle-même quand elle ne suffit pas
Le passage le plus utile de CAN/DGSI 104 est une note dans sa portée. Elle précise que les organisations, peu importe leur taille, qui traitent des renseignements personnels, financiers ou sensibles, qui ont de fortes exigences de disponibilité ou qui fournissent des secteurs à risque élevé peuvent avoir besoin de contrôles au-delà de la norme. Elle les renvoie vers les cadres du NIST et de l’ISO/IEC.
La norme va plus loin au niveau 2. Une PME qui confie ses TI à l’externe doit exiger de ses fournisseurs une certification ou une attestation indépendante, comme ISO 27001 ou SOC 2, ou documenter pourquoi elle ne le fait pas. Si vous êtes un fournisseur MSP ou un éditeur de logiciel infonuagique, c’est vous qui allez recevoir cette demande.
Quand ISO 27001 est trop
Je le dis comme auditeur. Une PME de 15 employés, avec des clients surtout québécois et aucune exigence contractuelle précise, n’a probablement pas besoin d’ISO 27001 aujourd’hui.
Le coût n’est pas seulement l’audit. C’est le temps d’une personne à l’interne pour garder le système vivant : le registre des risques, les audits internes, la revue annuelle, le suivi des actions. Si personne n’a ce temps, vous risquez d’obtenir votre certificat la première année et une non-conformité majeure à l’audit de surveillance suivant.
Dans ce cas, CyberSécuritaire Canada ou même la validation CyberReady est un meilleur point de départ. Les contrôles de base visent directement ce qu’on retrouve le plus souvent dans les PME, comme des comptes sans double authentification, des correctifs en retard et des sauvegardes jamais testées.
Le dilemme est réel. Vous payez moins aujourd’hui, mais vous allez peut-être devoir recommencer dans deux ans si un client exige ISO 27001. Par contre, le travail n’est pas perdu. Vos sauvegardes, vos correctifs et votre double authentification se retrouvent directement dans l’annexe A d’ISO 27001 (mesures 8.13, 8.8 et 8.5). Ce qui va manquer, c’est la couche de gestion.
Quand ISO 27001 est le meilleur choix
La certification canadienne n’a pratiquement aucune reconnaissance hors du pays. Un client américain va vous demander SOC 2 ou ISO 27001. Un client européen va vous demander ISO 27001. Si vous vendez à l’extérieur du Canada, ou si vous visez à le faire, la question est réglée.
ISO 27001 devient aussi le meilleur choix dans ces situations :
- vos clients vous envoient des questionnaires de sécurité de plusieurs pages et vous y passez des semaines chaque année
- vous hébergez ou traitez les données de vos clients, comme un éditeur de logiciel infonuagique, un fournisseur MSP, un centre d’appels ou une firme comptable
- un donneur d’ordre important exige ISO 27001 dans ses appels d’offres
- vous grandissez vite et votre sécurité repose encore sur une ou deux personnes
- vous avez quelqu’un à l’interne capable de porter le système, avec l’appui réel de la gestion
À mon avis, le dernier point est celui que les PME sous-estiment le plus. Sans lui, les quatre autres ne suffisent pas.
La Loi 25 : un avantage pour ISO 27001
Voici une différence que peu de gens remarquent. La norme canadienne ne mentionne jamais la Loi 25. Son questionnaire d’évaluation des risques demande si vous connaissez vos responsabilités en vertu de la Loi sur la protection des renseignements personnels fédérale, une loi qui vise les institutions fédérales et non les entreprises privées.
ISO 27001 vous oblige à traiter la question. La mesure 5.34 de l’annexe A exige d’identifier et de respecter les exigences de protection de la vie privée et des renseignements personnels prévues par les lois et les contrats qui s’appliquent à vous. Pour une PME québécoise, c’est la Loi 25. Puisque toute entreprise détient minimalement les renseignements personnels de ses employés, exclure cette mesure de la déclaration d’applicabilité est difficile à justifier.
L’auditeur va donc vérifier que vous avez identifié la Loi 25 et que vous avez des mesures en place, comme un responsable de la protection des renseignements personnels, des évaluations des facteurs relatifs à la vie privée et un registre des incidents de confidentialité. Par contre, l’audit fonctionne par échantillonnage. Le certificat montre que vous gérez la question. Il ne remplace pas une analyse de conformité à la Loi 25 en bonne et due forme.
En pratique : cinq questions avant de choisir
Avant de demander une soumission à qui que ce soit, répondez à ces questions avec votre équipe de gestion.
- Un client, actuel ou visé, exige-t-il une certification précise? Laquelle, par écrit?
- Vos clients sont-ils seulement au Canada ou aussi aux États-Unis et en Europe?
- Hébergez-vous ou traitez-vous les données de vos clients, ou beaucoup de renseignements personnels?
- Qui, à l’interne, va consacrer du temps à la sécurité chaque mois, pendant des années et pas seulement pendant le projet de certification?
- Avez-vous minimalement les contrôles de base en place, comme la double authentification, les correctifs automatiques et des sauvegardes testées?
Si la réponse à la première question est le nom d’une certification, la décision est prise. Si vous répondez non aux questions 2 et 3, commencez par CyberSécuritaire Canada ou par la validation CyberReady. Si vous répondez oui à l’une d’elles et que vous avez un vrai nom à la question 4, visez ISO 27001. La norme canadienne vous y renvoie elle-même.
Si vous répondez non à la cinquième, peu importe le programme, commencez par là!
Donc?
Bref, CyberSécuritaire Canada n’a pas échoué parce que la norme est mauvaise. Selon Matt Malone du CIGI, le problème vient du fait que le programme est volontaire et que le gouvernement n’a jamais clarifié pourquoi les entreprises en auraient besoin. Une certification que personne n’exige est difficile à justifier pour une PME qui manque déjà de temps.
La révision de 2026 pourrait faire bouger les choses, puisqu’elle pousse les entreprises certifiées à exiger des preuves de leurs fournisseurs. Je ne sais pas encore si ça va suffire. Si vos clients commencent à vous demander CyberSécuritaire Canada, je suis curieux de le savoir.
Vous hésitez entre les deux pour votre PME? Parlons-en.