CMMC et PCCC : ce qui se ressemble, ce qui diffère
Un socle technique commun, deux régimes administratifs distincts. Voici ce que cela change pour votre démarche.
Le constat de départ
Une entreprise qui vise les deux marchés ne mène pas deux chantiers. Elle mène un chantier, puis traite deux formalités.
L’essentiel de ce que vous mettrez en place servira des deux côtés de la frontière. Ce qui diffère relève surtout de la procédure, du vocabulaire et du calendrier, c’est-à-dire de ce qui se traite à la fin, pas de ce qui se construit au début.
Comparaison détaillée
| CMMC | PCCC | |
|---|---|---|
| Autorité responsable | Department of War | Services publics et Approvisionnement Canada, avec le ministère de la Défense nationale |
| Norme technique | NIST SP 800-171, révision 2 | ITSP.10.171, fondé sur NIST SP 800-171, révision 3 |
| Information visée | FCI et CUI | Information désignée |
| Vocabulaire | Pratiques | Contrôles |
| Niveau d’entrée | 15 exigences | 13 contrôles |
| Niveau intermédiaire | 110 exigences | 98 contrôles |
| Niveau supérieur | 110 + 24 exigences | 200 contrôles |
| Accréditation des évaluateurs | Cyber AB | Conseil canadien des normes |
| Dépôt du résultat | SPRS | Profil de fournisseur CanadaBuys |
| Quand le résultat est exigé | Selon les clauses du contrat | À l’attribution du contrat, pas au dépôt de la soumission |
| Reconnaissance de l’autre cadre | Non prévue | Possible au cas par cas, après vérification de la portée |
| Statut | Auto-évaluations en vigueur ; certification par tierce partie suspendue depuis juillet 2026 | Niveau 1 disponible ; niveaux 2 et 3 en développement |
Ce que vous ne ferez qu’une fois
Ces travaux servent aux deux cadres. Ils représentent la plus grande part de l’effort.
Cadrage et gouvernance
- L’inventaire de vos actifs et la définition de votre périmètre
- Votre plan de sécurité du système
- Vos politiques de sécurité et l’attribution des rôles
- La formation et la sensibilisation de votre personnel
Mise en œuvre et preuve
- L’authentification multifacteur et la gestion des accès
- La journalisation et la surveillance
- La gestion des correctifs et la protection contre les maliciels
- La gestion des incidents
- La constitution de votre dossier de preuves
Ce qui diffère réellement
La révision de la norme. Révision 2 pour le CMMC, révision 3 pour ITSP.10.171. Quelques exigences sont formulées différemment ou regroupées autrement.
Le vocabulaire. « Pratiques » et CUI d’un côté, « contrôles » et information désignée de l’autre. Sans conséquence technique, mais source de confusion dans les échanges.
Les systèmes de dépôt. SPRS aux États-Unis, profil de fournisseur CanadaBuys au Canada. Deux inscriptions distinctes, deux calendriers de renouvellement.
Les évaluateurs. Organismes accrédités par le Cyber AB d’un côté, par le Conseil canadien des normes de l’autre. Aucune passerelle entre les deux.
Les calendriers, aujourd’hui désynchronisés. Le programme canadien avance, le programme américain est en révision.
La reconnaissance mutuelle. Possible au cas par cas dans le sens américain vers canadien, non prévue dans l’autre sens.
Quelle stratégie adopter
- Vous visez d’abord le marché canadien
- Commencez par l’auto-évaluation de niveau 1 du PCCC : elle est disponible, gratuite, et vous donne immédiatement une position défendable. Bâtissez ensuite vers le niveau 2, dont l’échéance se profile au printemps 2027.
- Vous visez d’abord le marché américain
- Construisez vers NIST SP 800-171 et déposez votre auto-évaluation dans SPRS. N’engagez pas la dépense d’une évaluation externe tant que la revue du programme n’a pas conclu : elle n’est pas exigible actuellement et ses modalités pourraient changer.
- Vous visez les deux
- Construisez le socle commun, puis traitez les écarts en fin de parcours. Mener deux démarches en parallèle double la charge administrative sans rien accélérer.
Dans les trois cas, la première étape est la même : cadrer votre périmètre et identifier l’information visée.
L’accès est ouvert à toute entreprise immatriculée au Québec
Le diagnostic, dans la conversation avec l'agent IA, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.