# Projet de loi C-8 et LPCCE : l'impact sur les PME fournisseurs

Source : https://cybercaribou.com/blogue/projet-loi-c-8-lpcce-fournisseurs · Cyber Caribou

> Projet de loi C-8 : ce que la LPCCE exigera des télécoms, banques et transporteurs, et pourquoi leurs PME fournisseurs doivent se préparer dès maintenant.

Un fournisseur de services gérés de Sherbrooke reçoit un courriel inhabituel de son plus gros client, un câblodistributeur régional : un questionnaire de sécurité de plusieurs pages, un projet d'avenant au contrat et une demande de rencontre « avant la fin du trimestre ». Le mot qui revient partout ? C-8.

Le projet de loi C-8 a reçu la sanction royale le 15 juin 2026. Sa partie 2 crée la Loi sur la protection des cybersystèmes essentiels (LPCCE), qui imposera des obligations lourdes aux grands exploitants des télécommunications, de la finance, de l'énergie et du transport. Votre PME n'est probablement pas visée directement. Mais si vous vendez des services, des logiciels ou de l'entretien à l'une de ces organisations, vous sentirez la pression par ricochet.

Bonne nouvelle : la LPCCE n'est pas encore en vigueur. Vous avez une fenêtre pour vous préparer calmement, plutôt que de remplir un questionnaire à la dernière minute.

- C-8 est une loi depuis le 15 juin 2026; la LPCCE (partie 2) entrera en vigueur par phases, par décret, et ne l'était pas encore au début d'octobre 2026.
- Elle vise des exploitants désignés (télécoms, banques, énergie, transport de compétence fédérale), pas les PME en général.
- Ces exploitants devront gérer les risques de leur chaîne d'approvisionnement : attendez-vous à des questionnaires, à de nouvelles clauses et à des délais de notification serrés.
- Les PME qui documentent dès maintenant leur MFA, leurs journaux, leurs sauvegardes et leur plan de réponse aux incidents seront en meilleure position pour garder leurs contrats.

## Ce que contient C-8, et ce qui est réellement en vigueur

C-8 comporte deux volets. La **partie 1** modifie la Loi sur les télécommunications pour faire de la sécurité un objectif explicite et permettre au gouvernement d'ordonner des mesures aux entreprises de télécommunication. Elle est en vigueur depuis la sanction royale.

La **partie 2**, la LPCCE, entrera en vigueur à des dates fixées par décret, selon une approche par phases annoncée par le gouvernement. Au début d'octobre 2026, aucun décret d'entrée en vigueur, aucun règlement et aucune catégorie d'exploitants désignés n'avaient été publiés.

Le mécanisme repose sur deux annexes. L'annexe 1 énumère les services et systèmes critiques :

- services de télécommunication;
- réseaux de pipelines et de lignes électriques interprovinciaux ou internationaux;
- systèmes d'énergie nucléaire;
- systèmes de transport relevant de la compétence fédérale;
- systèmes bancaires;
- systèmes de compensation et de règlement.

L'annexe 2, encore vide, nommera les catégories d'exploitants visés et leur organisme de réglementation : ministre de l'Industrie, ministre des Transports, surintendant des institutions financières, Banque du Canada, Régie de l'énergie du Canada ou Commission canadienne de sûreté nucléaire.

## Les obligations des exploitants désignés, et leur écho chez vous

Une fois désigné, un exploitant aura des obligations précises. Chacune risque de se traduire par une demande adressée à ses fournisseurs.

| Obligation de l'exploitant (LPCCE) | Ce que dit la loi | Ce que votre PME risque de recevoir |
|---|---|---|
| Programme de cybersécurité (art. 9 et 10) | L'établir et le transmettre au régulateur dans les 90 jours suivant la désignation | Questionnaire de sécurité, demande de politiques écrites |
| Chaîne d'approvisionnement et tiers (art. 9 et 15) | Identifier, puis atténuer les risques liés aux fournisseurs et aux produits ou services de tiers | Évaluation de fournisseur, droit d'audit, exigences minimales |
| Déclaration des incidents (art. 17 et 18) | Déclarer au Centre de la sécurité des télécommunications (CST) dans un délai réglementaire d'au plus 72 heures, puis aviser le régulateur | Clause de notification en quelques heures, contact d'urgence |
| Changements importants (art. 14) | Aviser le régulateur de changements importants, notamment dans l'utilisation de tiers | Obligation de prévenir avant de changer d'hébergeur ou de sous-traitant |
| Révision annuelle (art. 13) | Réviser le programme chaque année | Réévaluation annuelle et mise à jour des preuves |

Les enjeux sont élevés : selon l'analyse du cabinet BLG, les sanctions administratives pécuniaires pourront atteindre 15 M$ par violation, par jour, pour une organisation. Les exploitants chercheront donc à transférer une partie de ce risque vers leurs fournisseurs, par contrat.

## Pourquoi votre PME est touchée par ricochet

Pour démontrer au régulateur qu'il gère les risques de sa chaîne d'approvisionnement, l'outil le plus simple pour un exploitant est le contrat. Trois profils de PME québécoises seront particulièrement sollicités :

- **Le fournisseur de services gérés** de Sherbrooke qui détient un accès administrateur à distance au réseau d'un télécom. C'est le profil le plus scruté : comptes privilégiés, MFA, journalisation, poste de travail des techniciens.
- **L'éditeur de logiciels** de Québec qui héberge une plateforme utilisée par une banque. On lui demandera où sont les données, comment le code est développé et testé, et un rapport de test d'intrusion récent.
- **La firme d'entretien industriel** de Longueuil qui intervient sur les systèmes d'un transporteur ferroviaire. Les accès à distance et les ordinateurs portables qui se branchent aux équipements seront au cœur des questions.

Le point commun : le risque perçu dépend moins de votre taille que de l'**accès** que vous détenez. Un fournisseur de pièces physiques sera moins scruté qu'une PME de cinq personnes qui a un VPN ouvert vers le cœur du réseau de son client.

## Les clauses contractuelles à lire deux fois

Quand l'avenant arrivera, ces clauses mériteront toute votre attention :

- **Délai de notification d'incident.** Si votre client dispose d'au plus 72 heures pour déclarer un incident au CST, il vous demandera probablement de l'aviser en 24 heures, voire moins. Encore faut-il le détecter : un [plan de réponse aux incidents](https://cybercaribou.com/blogue/plan-reponse-incidents-pme-modele) testé devient indispensable.
- **Droit d'audit.** Le client pourra vérifier vos contrôles, lui-même ou par un tiers. Négociez le préavis et le partage des coûts.
- **Exigences techniques minimales.** Chiffrement, journaux conservés pendant une durée précise, et surtout une [authentification multifacteur](https://cybercaribou.com/blogue/authentification-multifacteur-choisir-mfa) résistante à l'hameçonnage pour tous les accès à distance.
- **Sous-traitance en cascade.** Les obligations s'appliqueront souvent à vos propres sous-traitants. Savez-vous qui, chez vous, a accès aux systèmes du client ?
- **Responsabilité et indemnisation.** Certaines clauses peuvent vous rendre responsable de pertes sans plafond. C'est là que se joue la viabilité du contrat.

Ces clauses engagent votre entreprise : validez-les avec votre conseiller juridique avant de signer, et vérifiez auprès de votre courtier si votre assurance couvre les engagements demandés.

## Checklist : se préparer avant l'entrée en vigueur

Inutile d'attendre les règlements : ces mesures seront demandées quoi qu'il arrive.

- [ ] Dresser la liste de vos clients susceptibles d'être désignés (télécoms, banques, énergie, transport fédéral).
- [ ] Inventorier tous les accès que vous détenez chez eux : comptes, VPN, intégrations, clés d'API.
- [ ] Activer la MFA sur tous les accès à distance et séparer les comptes d'administration des comptes courants.
- [ ] Centraliser les journaux de connexion et décider combien de temps vous les conservez.
- [ ] Tester votre plan de réponse aux incidents, avec un contact joignable en tout temps, y compris la fin de semaine.
- [ ] Vérifier que vos sauvegardes sont isolées et que la restauration a été testée récemment.
- [ ] Préparer un dossier de preuves : politiques, rapport de test d'intrusion, résultats d'audit, liste de vos sous-traitants.
- [ ] Relire vos contrats actuels pour repérer les clauses de sécurité déjà présentes.

Un audit de cybersécurité orienté « fournisseur » permet de répondre à ces questions avant votre client. C'est l'approche que notre équipe propose dans son [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite) : un état des lieux, des preuves classées et une liste de correctifs priorisés.

## C-8 ne remplace pas la Loi 25

La LPCCE protège des systèmes critiques; la Loi 25 protège des renseignements personnels. Les deux régimes peuvent s'appliquer au même incident.

Imaginons un rançongiciel chez l'éditeur de logiciels de Québec. Son client bancaire devra peut-être déclarer l'incident au CST en vertu de la LPCCE. De son côté, si des renseignements personnels sous sa responsabilité sont touchés et qu'il existe un risque de préjudice sérieux, l'éditeur pourrait devoir [déclarer l'incident à la Commission d'accès à l'information](https://cybercaribou.com/blogue/declarer-incident-confidentialite-cai-loi-25) et aviser les personnes concernées.

Prévoyez donc, dans votre plan de réponse, qui avise qui, et dans quel ordre. Ces obligations se croisent et évoluent : validez votre lecture avec votre conseiller juridique dès que les premiers règlements seront publiés.

## FAQ

**Le projet de loi C-8 est-il le même que l'ancien projet de loi C-26 ?**
En grande partie. Le projet de loi C-26, déposé en 2022, est mort au Feuilleton lors de la prorogation du Parlement en janvier 2025. Le gouvernement a déposé C-8 en juin 2025 avec un contenu semblable, et c'est cette version qui a reçu la sanction royale le 15 juin 2026.

**Un fournisseur peut-il recevoir une sanction en vertu de la LPCCE ?**
Les sanctions administratives pécuniaires visent d'abord les exploitants désignés, ainsi que les dirigeants et administrateurs qui auraient participé à une violation. Pour un fournisseur, le risque est surtout contractuel : résiliation, pénalités ou obligation d'indemniser le client. Validez la portée exacte de vos engagements avec votre conseiller juridique.

**Faut-il une certification précise pour rester fournisseur d'un exploitant désigné ?**
La LPCCE n'impose pas de certification aux fournisseurs. Chaque exploitant fixera ses propres exigences et pourra demander une certification ISO 27001, un rapport SOC 2, la certification CyberSécuritaire Canada ou simplement des preuves documentées. Les règlements à venir pourraient préciser certaines attentes.

**Où suivre l'entrée en vigueur de la LPCCE ?**
Les décrets d'entrée en vigueur et les règlements sont publiés dans la Partie II de la Gazette du Canada. LEGISinfo et le site Web de la législation (Justice) indiquent aussi quelles dispositions sont en vigueur. Votre conseiller juridique ou votre association sectorielle peut également vous alerter.

## Sources

- [Sécurité publique Canada : sanction royale du projet de loi C-8](https://www.canada.ca/fr/securite-publique-canada/nouvelles/2026/06/le-gouvernement-du-canada-renforce-la-cybersecurite-et-les-infrastructures-essentielles-grace-a-la-sanction-royale-du-projet-de-loi-c-8.html)
- [LEGISinfo : projet de loi C-8 (45e législature, 1re session)](https://www.parl.ca/LegisInfo/fr/projet-de-loi/45-1/c-8)
- [Loi sur la protection des cybersystèmes essentiels (L.C. 2026, ch. 9, art. 11)](https://laws-lois.justice.gc.ca/fra/lois/C-47.4/)
- [BLG : Bill C-8 revives Canadian cyber security reform](https://www.blg.com/en/insights/2025/07/bill-c8-revives-canadian-cyber-security-reform-what-critical-infrastructure-sectors-need-to-know)