Glossaire
Le jargon de ce domaine est le premier obstacle à l’action. Chaque entrée donne d’abord une définition en français courant, puis ce qu’elle implique concrètement pour votre entreprise.
- Analyse d’écarts
La comparaison entre vos pratiques actuelles et les exigences du niveau visé.
Ce que cela implique pour vous. C’est la deuxième étape de toute démarche, et celle qui révèle l’ampleur réelle du travail.
- Attestation
La déclaration formelle par laquelle un dirigeant confirme le résultat de l’évaluation.
Ce que cela implique pour vous. Elle engage la responsabilité de son signataire : elle se prépare avec sérieux.
- Authentification multifacteur
Une méthode de connexion exigeant au moins deux preuves d’identité distinctes.
Ce que cela implique pour vous. Elle figure parmi les 13 contrôles du niveau 1 du PCCC. C’est souvent le premier correctif à déployer.
- Auto-évaluation
Une évaluation réalisée par l’entreprise elle-même, sans intervention extérieure.
Ce que cela implique pour vous. C’est le mode en vigueur au niveau 1 du PCCC et, actuellement, aux niveaux 1 et 2 du CMMC.
- C3PAO
Organisme américain accrédité pour réaliser les évaluations de certification CMMC.
Ce que cela implique pour vous. Recourir à un C3PAO n’est pas exigé actuellement : cette obligation est suspendue depuis juillet 2026.
- CanadaBuys
La plateforme d’approvisionnement du gouvernement du Canada.
Ce que cela implique pour vous. C’est à votre profil de fournisseur CanadaBuys que s’inscrit le résultat de votre auto-évaluation PCCC.
- Centre canadien pour la cybersécurité
L’autorité fédérale en cybersécurité, autrice d’ITSP.10.171.
Ce que cela implique pour vous. Elle fournit l’outil gratuit d’auto-évaluation du niveau 1.
- CMMC
Le cadre de certification en cybersécurité imposé par le Department of War à ses fournisseurs.
Ce que cela implique pour vous. Si vous visez la chaîne d’approvisionnement de défense américaine, c’est le cadre qui vous concerne, quelle que soit votre nationalité.
- Conseil canadien des normes
L’organisme qui accrédite les organismes d’évaluation du niveau 2 du PCCC.
Ce que cela implique pour vous. C’est auprès de lui que se vérifie l’accréditation d’un évaluateur canadien.
- Contrôle
Une exigence de sécurité précise à mettre en œuvre et à documenter.
Ce que cela implique pour vous. C’est l’unité de mesure du programme canadien : 13 au niveau 1, 98 au niveau 2, 200 au niveau 3.
- CUI
Controlled Unclassified Information : de l’information américaine non classifiée mais dont la diffusion est encadrée. Il s’agit par exemple de spécifications techniques, de plans ou de données d’ingénierie.
Ce que cela implique pour vous. Si ce type d’information transite par vos systèmes, vous relevez au minimum du niveau 2 du CMMC. C’est le seuil qui change tout.
- Cyber AB
L’organisme qui accrédite l’écosystème d’évaluation du CMMC aux États-Unis.
Ce que cela implique pour vous. C’est auprès de lui que l’on vérifie qu’un évaluateur américain est réellement accrédité.
- Department of War
Le ministère de la Défense des États-Unis, anciennement Department of Defense.
Ce que cela implique pour vous. L’autorité qui définit et impose le CMMC.
- DFARS
Le règlement d’acquisition de la défense américaine, qui contient les clauses de cybersécurité imposées aux contrats.
Ce que cela implique pour vous. Ses obligations de protection de l’information s’appliquent indépendamment du CMMC et n’ont pas été suspendues.
- Dossier de preuves
L’ensemble des documents qui démontrent que vos mesures de sécurité sont réellement en place.
Ce que cela implique pour vous. C’est ce qui est examiné lors d’une évaluation. Une mesure appliquée mais non documentée ne compte pas.
- FCI
Federal Contract Information : de l’information fournie par le gouvernement américain ou produite pour lui, non destinée à être rendue publique.
Ce que cela implique pour vous. Sa seule présence dans vos systèmes vous place au niveau 1 du CMMC.
- Information désignée
La notion canadienne équivalant au CUI américain : renseignements contractuels non classifiés, information sur des marchandises contrôlées, information protégée.
Ce que cela implique pour vous. C’est elle qui détermine le niveau de PCCC exigé dans un contrat.
- ITSP.10.171
La norme technique canadienne de protection de l’information désignée, publiée par le Centre canadien pour la cybersécurité.
Ce que cela implique pour vous. C’est la version canadienne de NIST SP 800-171, sans changement technique substantiel. Le travail fait pour l’une sert largement pour l’autre.
- MDN
Le ministère de la Défense nationale.
Ce que cela implique pour vous. Copilote du PCCC, et évaluateur du niveau 3.
- NEQ
Le numéro d’entreprise du Québec, attribué lors de l’immatriculation au registre des entreprises.
Ce que cela implique pour vous. Il est demandé à l’inscription à la communauté.
- NIST SP 800-171
La norme américaine décrivant comment protéger de l’information gouvernementale sensible hébergée chez un fournisseur privé. 110 exigences.
Ce que cela implique pour vous. C’est le socle du niveau 2 du CMMC, et l’origine de la norme canadienne. Le cœur du travail à accomplir.
- NIST SP 800-172
Une norme complémentaire portant sur les protections avancées contre les menaces persistantes.
Ce que cela implique pour vous. Elle ajoute 24 exigences au niveau 3 du CMMC. Peu de PME sont concernées.
- PCCC
Le Programme canadien de certification en cybersécurité, piloté par Services publics et Approvisionnement Canada.
Ce que cela implique pour vous. En anglais : CPCSC. Le cadre qui vous concerne si vous visez les contrats de défense fédéraux canadiens.
- Périmètre
La délimitation des systèmes, lieux et personnes couverts par la démarche.
Ce que cela implique pour vous. Le cadrer correctement est l’étape la plus rentable : un périmètre trop large multiplie le coût sans rien ajouter à la conformité.
- Plan d’action correctif
Le document qui recense les écarts non encore résorbés, avec échéance et responsable.
Ce que cela implique pour vous. Toléré au niveau 2 du CMMC avec un délai de résorption de 180 jours ; jamais toléré au niveau 1.
- Plan de sécurité du système
Le document qui décrit votre environnement et la façon dont chaque exigence y est satisfaite.
Ce que cela implique pour vous. C’est le document central de tout dossier. Il est demandé dans les deux cadres.
- Pratique
Le terme employé par le CMMC pour désigner une exigence de sécurité.
Ce que cela implique pour vous. Équivalent américain de ce que le Canada appelle un « contrôle ». Deux mots, une même réalité.
- Répercussion en cascade
Le mécanisme par lequel les exigences d’un contrat s’imposent aux sous-traitants.
Ce que cela implique pour vous. C’est pourquoi un fournisseur de troisième rang peut être visé aussi lourdement qu’un fournisseur de premier rang.
- SPAC
Services publics et Approvisionnement Canada.
Ce que cela implique pour vous. Le ministère qui pilote le PCCC.
- SPRS
Le système américain où sont déposés les résultats d’auto-évaluation.
Ce que cela implique pour vous. Sans dépôt dans SPRS, votre auto-évaluation n’existe pas aux yeux du client américain.
L’accès est ouvert à toute entreprise immatriculée au Québec
Le diagnostic, dans la conversation avec l'agent IA, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.