Le Canada accélère : C-8, PCCC, C-36, la fin du volontariat en cybersécurité

Le 15 juin 2026, deux événements se sont produits le même jour à Ottawa. Le projet de loi C-8 recevait la sanction royale, dotant le Canada de sa première loi sur la protection des cybersystèmes essentiels. Et le gouvernement déposait le projet de loi C-36, qui remplacera la LPRPDE, la loi fédérale sur la vie privée dans le secteur privé, avec des amendes pouvant atteindre 25 millions de dollars ou 5 % du chiffre d'affaires mondial.

Deux mois plus tôt, en avril, le Programme canadien de certification en cybersécurité (PCCC) était officiellement lancé, et ses exigences apparaissent dans les contrats de la Défense depuis l'été. Pendant des années, la cybersécurité canadienne a reposé sur des cadres volontaires et des recommandations. Cette époque se termine, et elle se termine vite. Voici la carte de ce qui change, et ce qu'un dirigeant devrait en conclure.

Trois régimes en trois mois

L'accélération n'est pas une impression, c'est un calendrier.

• La loi C-8, sanctionnée le 15 juin. Elle crée la Loi sur la protection des cybersystèmes essentiels : programme de cybersécurité obligatoire, signalement des incidents au Centre canadien pour la cybersécurité, gestion imposée des risques de la chaîne d'approvisionnement, sanctions jusqu'à 15 millions de dollars par violation, chaque jour comptant séparément, et responsabilité personnelle des administrateurs. Elle vise d'abord quatre secteurs fédéraux (finances, télécommunications, énergie, transports), mais ses effets se propageront par contrat à tous leurs fournisseurs. Nous avons détaillé ce qu'elle change pour les infrastructures critiques.
• Le PCCC, en vigueur dans les appels d'offres. Lancé en avril 2026, il conditionne l'accès aux contrats de la Défense à une certification de cybersécurité fondée sur l'ITSP.10.171, l'équivalent canadien du NIST SP 800-171. Sans auto-attestation de Niveau 1, l'admissibilité disparaît, pour les fournisseurs directs comme pour leurs sous-traitants. Notre guide du Niveau 1 en détaille les 13 exigences.
• Le projet de loi C-36, déposé le 15 juin. Il propose de remplacer la LPRPDE par un régime moderne, doté d'un nouveau régulateur et de sanctions au niveau des standards internationaux : jusqu'à 25 millions de dollars ou 5 % du chiffre d'affaires mondial. Il n'est pas encore adopté, mais sa direction est claire et le Québec a montré le chemin : la Loi 25, pleinement en vigueur, impose déjà des obligations comparables à toute organisation traitant des renseignements personnels de Québécois.

Et ce mouvement a des fondations plus anciennes : la ligne directrice B-13 du BSIF encadre depuis 2024 la gestion des risques technologiques et cyber des institutions financières fédérales, et la Stratégie nationale de cybersécurité de 2025 annonçait explicitement le passage à une posture plus contraignante.

Pourquoi maintenant

Trois forces convergent. D'abord la menace, documentée et attribuée : l'avis conjoint de juillet co-signé par le Centre canadien pour la cybersécurité désigne nommément les secteurs critiques canadiens comme cibles d'acteurs étatiques. Ensuite l'alignement avec les alliés : le PCCC est le miroir du CMMC américain, condition d'accès aux contrats du Pentagone ; C-8 rejoint la logique de la directive européenne NIS2 ; B-13 fait écho au règlement DORA. Un fournisseur canadien qui veut vendre à Washington ou à Bruxelles devra de toute façon démontrer ces contrôles ; Ottawa aligne son marché intérieur sur cette réalité. Enfin l'économie : les incidents contre les infrastructures et les chaînes d'approvisionnement coûtent désormais assez cher pour que l'incitation volontaire ait fait la preuve de son insuffisance.

Pour un dirigeant, la conclusion est structurelle : la conformité cyber cesse d'être un sujet de spécialistes pour devenir une condition d'accès au marché, au financement et à l'assurance.

Le piège : traiter chaque régime comme un projet séparé

La réaction instinctive devant cette vague est de lancer un chantier par règlement : un projet C-8, un projet PCCC, un projet Loi 25, chacun avec son consultant et son classeur. C'est la garantie de payer trois fois pour les mêmes contrôles.

Car sous les sigles, les exigences se recoupent massivement : inventaire des actifs, gestion des accès et authentification multifacteur, détection des incidents, plan de réponse et de continuité, gestion des risques des tiers, gouvernance documentée avec un responsable identifié. Ce que chaque régime ajoute, ce sont des seuils, des délais de signalement et des preuves spécifiques, pas une sécurité différente.

L'approche rationnelle inverse la logique : bâtir un socle unique de contrôles, cartographié une fois vers chaque référentiel, avec un écart mesuré par exigence. Le même contrôle d'authentification sert alors l'auto-attestation PCCC, le programme C-8 et la défense Loi 25, et chaque nouveau règlement devient une colonne de plus dans la matrice plutôt qu'un projet de plus dans le portefeuille.

Ce qu'un conseil devrait demander ce trimestre

• Notre exposition réglementaire est-elle cartographiée ? Quels régimes s'appliquent à nous aujourd'hui, lesquels s'appliqueront dans 18 mois, directement ou par cascade contractuelle depuis nos clients ?
• Avons-nous un socle ou des silos ? Combien de fois payons-nous pour démontrer le même contrôle ?
• Saurions-nous signaler un incident dans les délais ? Les fenêtres se comptent désormais en heures. Un processus de signalement qui n'a jamais été exercé n'existe pas.
• Qui porte la responsabilité ? C-8 introduit la responsabilité personnelle des administrateurs. Le registre des risques doit nommer des responsables, pas des comités.

La fenêtre actuelle est une chance : les règlements d'application de C-8 ne sont pas publiés, C-36 est encore au Parlement, et le PCCC monte en puissance progressivement. Les organisations qui construisent leur socle maintenant aborderont chaque échéance en position de preuve ; les autres découvriront l'addition en même temps que les délais.

Où FortaRisks intervient

C'est précisément le problème que FortaRisks, plateforme canadienne, résout : le module Conformité cartographie vos contrôles une seule fois vers plus de 30 référentiels, dont l'ITSP.10.171 du PCCC, la Loi 25, NIS2 et DORA, et transforme chaque régime en écarts priorisés et documentés plutôt qu'en projet séparé. Pour situer votre point de départ gratuitement, nos diagnostics PCCC Niveau 1 et Loi 25 prennent une dizaine de minutes chacun.