Le PCCSC est-il la même chose que la CMMC 2.0?

Non. Ils sont harmonisés, mais distincts. Le PCCSC est administré par le gouvernement canadien et s’applique à l’approvisionnement du gouvernement du Canada. La CMMC 2.0 est administrée par le département de la Défense des États-Unis. Les deux s’appuient sur le NIST SP 800-171, ce qui permet aux organisations de réutiliser leurs preuves d’un programme à l’autre.

Ai-je besoin du PCCSC si j’ai déjà la CMMC 2.0?

Peut-être. Ce sont des certifications distinctes de gouvernements différents, et une organisation qui sert les deux gouvernements peut avoir besoin des deux. Les preuves sous-jacentes des contrôles du NIST SP 800-171 sont en grande partie identiques, mais les artéfacts de certification diffèrent.

Quand le PCCSC est-il exécutoire?

Dès qu’un appel d’offres le prévoit. Le PCCSC est déployé progressivement dans l’approvisionnement du gouvernement canadien; considérez donc ses exigences comme exécutoires dès qu’elles apparaissent, et attendez-vous à les voir dans une part croissante des contrats du ministère de la Défense nationale et, plus largement, du gouvernement du Canada pendant le déploiement.

Comment le PCCSC interagit-il avec la LPRPDE, la PIPA de la C.-B., la PIPA de l’Alberta et la Loi 25 du Québec?

Le PCCSC régit les contrôles de cybersécurité qui protègent les renseignements du gouvernement, tandis que les cadres canadiens de protection de la vie privée régissent le traitement des renseignements personnels. Ils se recoupent à certains endroits, comme le contrôle d’accès et la notification des atteintes, mais ce sont des régimes de conformité distincts.

Glossaire de conformité

Qu’est-ce que le PCCSC?

Le PCCSC (Programme canadien de certification en cybersécurité) est le programme de certification de cybersécurité des entrepreneurs, en émergence, du gouvernement fédéral canadien, conçu en harmonie avec la CMMC 2.0 des États-Unis.

Cartographiez vos contrôles du PCCSC Voir les composantes

En une phrase : le PCCSC est la réponse du Canada à la CMMC 2.0, un programme de certification progressif qui vérifie la cybersécurité d’un fournisseur avant qu’il puisse obtenir des contrats du gouvernement du Canada comportant des renseignements sensibles mais non classifiés.

Définition

Le PCCSC a été élaboré conjointement par Services publics et Approvisionnement Canada (SPAC) et le Centre de la sécurité des télécommunications (CST), en harmonie avec les normes de la CMMC 2.0 des États-Unis. Il établit des niveaux de certification progressifs en cybersécurité pour les entrepreneurs canadiens de la base industrielle de défense et pour les fournisseurs plus larges du gouvernement du Canada qui traitent des renseignements sensibles mais non classifiés.

Le cadre de contrôles reprend le NIST SP 800-171; les organisations qui visent à la fois le PCCSC et la CMMC 2.0 peuvent donc réutiliser en grande partie un seul ensemble de preuves. La mise en œuvre est progressive et commence par les contrats du ministère de la Défense nationale. Les organisations qui n’obtiennent pas le niveau de certification exigé deviennent inadmissibles aux marchés visés.

Composantes principales

Harmonisation avec la CMMC 2.0. Les deux cadres utilisent le NIST SP 800-171 comme ensemble de contrôles de base pour favoriser l’interopérabilité entre le Canada et les États-Unis.
Niveaux de certification progressifs. Plusieurs paliers de certification correspondent à la sensibilité des renseignements, à l’image de la structure de la CMMC 2.0.
Ensemble de contrôles du NIST SP 800-171. 110 contrôles couvrant le contrôle d’accès, la formation, les fonctions d’audit, la gestion de la configuration, l’authentification, la réponse aux incidents, la maintenance, la protection des supports, la sécurité du personnel, la protection physique, l’évaluation des risques, l’évaluation de la sécurité, la protection des systèmes et l’intégrité de l’information.
Évaluation par un tiers. Les niveaux supérieurs exigent une évaluation indépendante, comparable au modèle C3PAO de la CMMC 2.0.
Intégration à l’approvisionnement. Les appels d’offres du gouvernement du Canada intègrent les exigences du PCCSC et disqualifient les entrepreneurs non conformes.

Pourquoi c’est important

Les entrepreneurs canadiens de la défense font face à des exigences de sélection à l’approvisionnement semblables aux obligations de la CMMC 2.0 aux États-Unis. Là où ils se fiaient auparavant à l’auto-attestation, les entrepreneurs ont de plus en plus besoin d’une certification officielle correspondant aux spécifications du contrat.

Les FSG qui desservent des entrepreneurs du gouvernement du Canada doivent faire en sorte que leur propre posture de sécurité réponde aux exigences de leurs clients, car ils font partie de la limite du système du client.

Les organisations transfrontalières en profitent le plus. Un seul ensemble de preuves bâti autour des contrôles du NIST SP 800-171 appuie les deux certifications, ce qui réduit le fardeau de conformité en double.

Comment Lavawall® vous aide avec le PCCSC

Lavawall® intègre le PCCSC comme cible de conformité de première classe, au même titre que la CMMC 2.0 et les autres cadres qu’il couvre (plus de 75 au total). La collecte continue de preuves appuie les deux certifications à la fois, sans duplication.

La plateforme a été développée à Calgary par ThreeShield Information Security Corporation et reflète donc les contextes réglementaires canadiens. À partir d’une console unifiée, elle prend en charge plus de 75 cadres, dont le PCCSC, la CMMC 2.0, le NIST CSF, le NIST SP 800-171, les CIS Controls, SOC 2, ISO 27001, HIPAA, PCI DSS, les cadres provinciaux en santé, NERC CIP, l’OCRI (CIRO) et l’Essential Eight australien.

Commencez la cartographie des preuves du PCCSC →

Questions fréquentes

Le PCCSC est-il la même chose que la CMMC 2.0?: Non. Ils sont harmonisés, mais distincts. Le PCCSC est administré par le gouvernement canadien et s’applique à l’approvisionnement du gouvernement du Canada. La CMMC 2.0 est administrée par le département de la Défense des États-Unis. Les deux s’appuient sur le NIST SP 800-171, ce qui permet aux organisations de réutiliser leurs preuves d’un programme à l’autre.
Ai-je besoin du PCCSC si j’ai déjà la CMMC 2.0?: Peut-être. Ce sont des certifications distinctes de gouvernements différents, et une organisation qui sert les deux gouvernements peut avoir besoin des deux. Les preuves sous-jacentes des contrôles du NIST SP 800-171 sont en grande partie identiques, mais les artéfacts de certification diffèrent.
Quand le PCCSC est-il exécutoire?: Dès qu’un appel d’offres le prévoit. Le PCCSC est déployé progressivement dans l’approvisionnement du gouvernement canadien; considérez donc ses exigences comme exécutoires dès qu’elles apparaissent, et attendez-vous à les voir dans une part croissante des contrats du ministère de la Défense nationale et, plus largement, du gouvernement du Canada pendant le déploiement.
Comment le PCCSC interagit-il avec la LPRPDE, la PIPA de la C.-B., la PIPA de l’Alberta et la Loi 25 du Québec?: Le PCCSC régit les contrôles de cybersécurité qui protègent les renseignements du gouvernement, tandis que les cadres canadiens de protection de la vie privée régissent le traitement des renseignements personnels. Ils se recoupent à certains endroits, comme le contrôle d’accès et la notification des atteintes, mais ce sont des régimes de conformité distincts.