Gouvernance, risque et conformité

Programme canadien de certification en cybersécurité (PCCC) ITSP.10.171 oct. 2025; niveau 1 avr. 2026

Programme canadien de certification en cybersécurité, géré par Services publics et Approvisionnement Canada (SPAC) pour les fournisseurs du secteur de la défense.

Un contrat de défense précise le niveau exigé du fournisseur, et la certification doit être en place à l’attribution du contrat, et non au moment de la soumission. Niveau 1 : une autoévaluation annuelle de 13 contrôles au moyen de l’outil en ligne du Centre pour la cybersécurité, avec la preuve d’autoattestation et sa date d’expiration dans le profil AchatsCanada du fournisseur; dans certains contrats de défense à partir de l’été 2026.

Niveau 2 : une évaluation externe tous les trois ans par un organisme de certification accrédité par le Conseil canadien des normes, accompagnée d’une affirmation annuelle, par rapport aux 98 exigences attribuées de l’ITSP. 10.

171 (deuxième version, octobre 2025); dans certains contrats à partir du printemps 2027. Niveau 3 : une évaluation par la Défense nationale par rapport à un ensemble de contrôles plus vaste, encore en cours d’élaboration.

L’ITSP. 10.

171 est l’adaptation, par le Centre pour la cybersécurité, de la publication NIST SP 800-171 Rev 3 : même numérotation, « specified information » au lieu de CUI, exigences retirées conservées comme « non attribuées » et un seul ajout, 03. 14.

09, poste de travail d’administration dédié. Les exigences sont mises en correspondance avec la bibliothèque de contrôles partagée, de sorte qu’une réponse qui satisfait au PCCC compte aussi pour SOC 2, NIST SP 800-171 et CMMC partout où ces cadres partagent le contrôle.

Niveaux d’évaluation pris en charge par Lavawall

Lavawall évalue ce cadre à chacun des niveaux ci-dessous, pour que vous puissiez commencer là où vous en êtes et progresser à mesure que votre programme mûrit.

Programme canadien de certification en cybersécurité (PCCC) : comment Lavawall® vous aide à atteindre la conformité

Ce cadre se résume surtout à des contrôles techniques que vous devez appliquer et prouver : maintenir les systèmes à jour, renforcer la configuration, détecter les intrusions tôt, sauvegarder ce qui compte, contrôler les accès et conserver la preuve que tout cela a bien été fait. Lavawall® applique ces contrôles sur Windows, macOS, Linux et Microsoft 365 / Google Workspace depuis une seule console, les associe aux exigences de ce cadre et suit votre posture en continu plutôt qu’une fois par année au moment de l’audit.

• Évaluez votre situation actuelle par rapport à ce cadre dans le module GRC de Lavawall, avec le questionnaire et l’ensemble de contrôles intégrés.
• Corrigez les écarts avec la même plateforme (correctifs automatisés, corrections de configuration, sauvegardes et revue des accès) plutôt que dans un projet distinct.
• Prouvez le tout avec des registres horodatés et exportables qu’acceptent les auditeurs, les assureurs et les clients.

Ressources connexes

Lavawall® prend en charge ce cadre dans son catalogue intégré de cadres de conformité. Les exigences sont résumées à des fins de planification; confirmez toujours le texte officiel en vigueur avant toute certification.