Un éditeur de logiciels de paie de Trois-Rivières, 18 employés, répond à l'appel d'offres d'une grande coopérative. Une ligne du devis l'arrête : « Le soumissionnaire doit démontrer l'application de pratiques de cybersécurité reconnues. » ISO 27001 ? Trop lourd pour l'échéance. SOC 2 ? Pensé pour le marché américain. Reste une option canadienne, conçue pour les PME : la certification CyberSécuritaire Canada.
Le programme existe depuis 2019, mais beaucoup de dirigeants n'en ont jamais entendu parler, et ceux qui le connaissent se demandent s'il est encore actif. Il l'est, mais il a changé de mains.
Alors, est-ce que ça vaut l'investissement en temps et en argent ? Ça dépend de qui vous le demande. Voici de quoi trancher.
En bref
- CyberSécuritaire Canada est une certification volontaire pour les organisations de moins de 500 employés, fondée sur la norme nationale CAN/DGSI 104.
- Depuis le 31 mars 2023, ISDE n'est plus l'autorité du programme : le Conseil canadien des normes (CCN) en assure le relais et accrédite les organismes de certification.
- La certification passe par un audit d'un organisme accrédité, pas par une simple autoévaluation.
- Elle vaut la peine si vos clients canadiens la reconnaissent; sinon, appliquez la norme sans forcément payer pour le certificat.
CyberSécuritaire Canada en deux minutes
Le programme a été lancé en 2019 par Innovation, Sciences et Développement économique Canada (ISDE) pour donner aux PME une certification à leur mesure, avec une marque qu'elles peuvent afficher. Il s'appuyait au départ sur les 13 contrôles de cybersécurité de base publiés par le Centre canadien pour la cybersécurité.
Deux changements importants depuis :
- La gouvernance. Depuis le 31 mars 2023, ISDE n'est plus l'autorité du programme. Le CCN est désormais la source d'information officielle et continue d'accréditer les organismes qui certifient les entreprises.
- La norme. Les contrôles de base ont été transformés en norme nationale, aujourd'hui la CAN/DGSI 104:2021, révision 1 de 2024, tenue à jour par l'Institut des normes de gouvernance numérique. Cette révision précise ce qui relève du niveau 1 (organisations qui débutent) et du niveau 2 (organisations plus matures). Une nouvelle révision est en préparation : demandez à l'organisme de certification quelle version s'applique à votre audit.
La norme vise les organisations de moins de 500 employés. Elle précise elle-même ses limites : les organisations qui traitent des renseignements personnels ou financiers sensibles, ou qui fournissent des secteurs à haut risque, pourraient avoir besoin de contrôles supplémentaires. La sécurité physique est hors de sa portée.
Ce que la norme vous demande, concrètement
La CAN/DGSI 104 ajoute des exigences organisationnelles (leadership, responsabilités) aux 13 contrôles de base du Centre canadien pour la cybersécurité. Ces 13 contrôles restent le cœur de la démarche :
| Contrôle de base | Dans une PME de 20 personnes, ça veut dire… |
|---|---|
| Plan de réponse aux incidents | Un document court : qui appeler, quoi couper, comment communiquer |
| Correctifs automatiques | Mises à jour automatiques des postes, des serveurs et des logiciels |
| Logiciels de sécurité | Antivirus ou EDR actif et surveillé sur chaque appareil |
| Configuration sécuritaire des appareils | Mots de passe par défaut changés, services inutiles désactivés |
| Authentification forte | MFA sur le courriel, les accès à distance et les comptes administrateurs |
| Sensibilisation des employés | Formation régulière, notamment sur l'hameçonnage |
| Sauvegarde et chiffrement | Sauvegardes testées, dont une copie hors ligne; portables chiffrés |
| Mobilité sécuritaire | Gestion des cellulaires qui accèdent au courriel de l'entreprise |
| Défenses de périmètre | Pare-feu configuré, filtrage du courriel et du Web |
| Services infonuagiques et TI impartie | Exigences de sécurité écrites dans vos contrats de fournisseurs |
| Sites Web sécurisés | HTTPS, mises à jour du gestionnaire de contenu, comptes d'administration protégés |
| Contrôle d'accès | Chacun accède seulement à ce dont il a besoin |
| Supports amovibles | Clés USB encadrées, chiffrées ou interdites |
Rien d'exotique : c'est l'hygiène de base que n'importe quel assureur ou client exigeant s'attend à trouver.
Comment se déroule la certification
- Autodiagnostic. Procurez-vous la norme et comparez-la honnêtement à votre situation, contrôle par contrôle.
- Correctifs. Comblez les écarts. C'est souvent l'étape la plus longue, surtout pour la MFA, les sauvegardes hors ligne et la documentation.
- Choix de l'organisme. Sélectionnez un organisme de certification accrédité par le CCN. Chacun fixe ses propres frais : demandez plusieurs soumissions.
- Audit. L'organisme vérifie vos preuves. Une affirmation sur l'honneur ne suffit pas.
- Certification et marque. Une fois certifiée, votre organisation peut afficher la marque CyberSécuritaire Canada selon les exigences d'affichage.
- Maintien. La certification a une durée limitée : planifiez la recertification dès le départ.
Que voudra voir l'auditeur ? Attendez-vous à des demandes comme un export de l'état de la MFA pour chaque utilisateur, le journal d'une restauration de sauvegarde récente, un rapport de correctifs, la liste de présence aux formations et votre plan de réponse aux incidents daté de sa dernière révision. Rangez ces preuves dans un seul dossier partagé et rafraîchissez-les chaque trimestre : la recertification devient une formalité, et le prochain questionnaire de sécurité d'un client se règle en peu de temps.
Les avantages réels, et les limites
Ce que la certification apporte :
- Une preuve indépendante, à l'échelle d'une PME, à joindre à une soumission.
- Un cadre structuré qui évite de tout réinventer.
- Des réponses toutes prêtes pour les questionnaires de sécurité des clients et pour le questionnaire de votre assureur cyber.
- Une marque canadienne, comprise par les acheteurs qui la connaissent.
Ce qu'elle n'apporte pas :
- La notoriété d'ISO 27001 ou de SOC 2, surtout hors du Canada.
- Une garantie contre les incidents : un audit est une photo à un moment précis.
- La conformité à toutes vos obligations légales, à commencer par la Loi 25.
- Le remplacement d'un test d'intrusion : la norme vérifie la présence de contrôles, pas leur résistance à un attaquant.
Pour qui ça vaut la peine ?
Oui, probablement. L'éditeur de paie de Trois-Rivières, ou un fournisseur de services TI de Drummondville qui répond régulièrement à des appels d'offres de grandes organisations canadiennes. Si vos clients reconnaissent la marque, le rapport effort-bénéfice est bon.
Plutôt autre chose. Une jeune entreprise SaaS de Montréal qui vend surtout aux États-Unis : ses clients demanderont un rapport SOC 2, comme nous l'expliquons dans notre comparatif ISO 27001 ou SOC 2. Un atelier de la Beauce qui fournit la chaîne de la Défense : sa priorité est la certification CPCSC.
Pas maintenant. Une clinique de physiothérapie de Rimouski de six employés que personne n'interroge sur sa cybersécurité. Pour elle, la norme est une excellente liste de vérification gratuite; le certificat, un luxe. Ses priorités : MFA, sauvegardes et obligations de la Loi 25.
Notre conseil : viser la norme, décider ensuite du certificat
Les contrôles de la CAN/DGSI 104 valent la peine d'être appliqués, avec ou sans certificat. Ils couvrent l'essentiel de ce qui fait échouer une PME face à un rançongiciel ou à une fraude par courriel.
La décision de payer pour l'audit de certification, elle, est d'affaires : combien de contrats ou de clients le logo peut-il vous rapporter ? Posez la question directement à vos trois plus gros clients. Leur réponse vaut toutes les analyses.
Dans les deux cas, la première étape est la même : mesurer l'écart entre vos pratiques et la norme, puis corriger. C'est exactement l'objet de notre service de remédiation et de durcissement, qui transforme une liste d'écarts en correctifs appliqués et documentés.
Questions fréquentes
La certification CyberSécuritaire Canada est-elle obligatoire ?+
Non, c'est une démarche volontaire. Aucune loi ne l'impose aux PME. En revanche, un client, un donneur d'ordre ou un appel d'offres peut l'exiger ou lui accorder des points.
Combien de temps la certification CyberSécuritaire Canada est-elle valide ?+
Au lancement du programme, les certifications étaient valides deux ans, après quoi il fallait demander une recertification. Comme la gouvernance du programme a changé en 2023, confirmez la durée et les conditions de maintien auprès de l'organisme de certification que vous choisirez.
Peut-on afficher le logo CyberSécuritaire Canada sur notre site Web ?+
Oui, une fois certifiée, l'organisation peut utiliser la marque de certification en respectant les exigences d'affichage et les conditions d'utilisation publiées. Le logo ne doit jamais être affiché avant l'obtention du certificat ni après son expiration.
La certification CyberSécuritaire Canada prouve-t-elle la conformité à la Loi 25 ?+
Non. Elle démontre l'adoption de contrôles de sécurité de base, ce qui aide à justifier des mesures de sécurité raisonnables. La Loi 25 impose toutefois des obligations propres : responsable de la protection des renseignements personnels, registre des incidents, EFVP, politiques publiées. Validez votre situation avec votre conseiller juridique.
Sources
- 1.ISDE : CyberSécuritaire Canada (changement d'autorité du programme)
- 2.Conseil canadien des normes : CAN/DGSI 104:2021 / Rev 1: 2024
- 3.Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations
- 4.BLG (2019) : Ready, Set, Certify – Canada's New CyberSecure Canada Certification Program