{"id":1,"date":"2026-05-28T07:36:10","date_gmt":"2026-05-28T11:36:10","guid":{"rendered":"https:\/\/saog-cyber.kaamupdates.net\/?p=1"},"modified":"2026-06-08T13:45:27","modified_gmt":"2026-06-08T17:45:27","slug":"naviguer-entre-le-cmmc-2-0-et-le-pccc","status":"publish","type":"post","link":"https:\/\/saogcyber.ca\/fr\/naviguer-entre-le-cmmc-2-0-et-le-pccc\/","title":{"rendered":"Naviguer entre le CMMC 2.0 et le PCCC : le guide strat\u00e9gique pour les PME de d\u00e9fense"},"content":{"rendered":"\n<!--more-->\n\n\n\n<p class=\"wp-block-paragraph\">Pour les petites et moyennes entreprises de la base industrielle de d\u00e9fense, la cybers\u00e9curit\u00e9 contractuelle devient un crit\u00e8re d\u2019acc\u00e8s aux march\u00e9s. Les fournisseurs qui traitent des informations sensibles doivent d\u00e9montrer qu\u2019ils prot\u00e8gent ces informations de fa\u00e7on structur\u00e9e, document\u00e9e et v\u00e9rifiable.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Deux cadres sont particuli\u00e8rement importants pour les fournisseurs canadiens actifs dans les cha\u00eenes d\u2019approvisionnement nord-am\u00e9ricaines : le CMMC 2.0 (Cybersecurity Maturity Model Certification) aux \u00c9tats-Unis et le PCCC (Programme canadien de certification en cybers\u00e9curit\u00e9) au Canada. Ils sont techniquement align\u00e9s sur les pratiques du NIST, mais ils demeurent des programmes distincts avec leurs propres exigences, preuves et processus contractuels.<\/p>\n\n\n\n<figure class=\"wp-block-image alignwide size-full\"><img fetchpriority=\"high\" decoding=\"async\" width=\"800\" height=\"436\" src=\"https:\/\/saogcyber.ca\/wp-content\/uploads\/2026\/02\/CMMC-2.0-et-PCCC.png\" alt=\"\" class=\"wp-image-379\" srcset=\"https:\/\/saogcyber.ca\/wp-content\/uploads\/2026\/02\/CMMC-2.0-et-PCCC.png 800w, https:\/\/saogcyber.ca\/wp-content\/uploads\/2026\/02\/CMMC-2.0-et-PCCC-300x164.png 300w, https:\/\/saogcyber.ca\/wp-content\/uploads\/2026\/02\/CMMC-2.0-et-PCCC-768x419.png 768w\" sizes=\"(max-width: 800px) 100vw, 800px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>1. Comprendre les deux programmes<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Avant d&rsquo;analyser la synergie, il est crucial de d\u00e9finir ce que chaque programme exige :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CMMC 2.0 (\u00c9tats-Unis) : programme du Department of Defense visant \u00e0 prot\u00e9ger les Federal Contract Information (FCI) et les Controlled Unclassified Information (CUI). Le niveau requis d\u00e9pend du contrat et du type d\u2019information trait\u00e9e.<\/li>\n\n\n\n<li>PCCC (Canada) : programme canadien applicable \u00e0 certains contrats de d\u00e9fense, lorsque l\u2019\u00e9valuation des risques exige une cyberassurance et que le fournisseur traite des informations d\u00e9sign\u00e9es dans des syst\u00e8mes non gouvernementaux.<\/li>\n\n\n\n<li>Le niveau PCCC applicable est d\u00e9termin\u00e9 selon la sensibilit\u00e9 de l\u2019information, les risques op\u00e9rationnels, l\u2019assurance de mission et les risques li\u00e9s \u00e0 la cha\u00eene d\u2019approvisionnement.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>2. Un alignement technique, mais pas une reconnaissance automatique<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Le CMMC et le PCCC reposent sur des contr\u00f4les de cybers\u00e9curit\u00e9 similaires, inspir\u00e9s du NIST SP 800-171. Cet alignement peut aider les fournisseurs \u00e0 r\u00e9duire les doublons dans leurs investissements de s\u00e9curit\u00e9. Il ne signifie toutefois pas qu\u2019une certification dans un programme remplace automatiquement l\u2019autre.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il n\u2019existe pas de reconnaissance mutuelle automatique entre le CMMC et le PCCC. Une certification CMMC valide et les preuves associ\u00e9es peuvent \u00eatre examin\u00e9es dans le contexte du PCCC afin d\u2019identifier les \u00e9carts applicables, au cas par cas.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><td><strong>\u00c9l\u00e9ments<\/strong><\/td><td><strong>CMMC 2.0<\/strong><\/td><td><strong>PCCC&nbsp;<\/strong><\/td><td><strong>Point d\u2019attention<\/strong><\/td><\/tr><tr><td><strong>Objet<\/strong><\/td><td>Protection des FCI et CUI pour les contrats du DoD.<\/td><td>Protection des informations sp\u00e9cifi\u00e9es et des informations contr\u00f4l\u00e9es dans les contrats de d\u00e9fense canadiens.<\/td><td>Identifier d\u2019abord les types d\u2019information trait\u00e9s.<\/td><\/tr><tr><td><strong>R\u00e9f\u00e9rentiel<\/strong><\/td><td>NIST SP 800-171.<\/td><td>ITSP.10.171, align\u00e9 sur NIST SP 800-171.<\/td><td>Une base commune facilite la pr\u00e9paration.<\/td><\/tr><tr><td><strong>\u00c9valuation<\/strong><\/td><td>Niveau 1 : auto-\u00e9valuation.<br>Niveau 2 : auto-\u00e9valuation ou \u00e9valuation externe.<br>Niveau 3 : \u00e9valuation DIBAC.<\/td><td>Niveau 1 : auto-\u00e9valuation.<br>Niveau 2 : \u00e9valuation externe.<br>Niveau 3 : \u00e9valuation Gouv.<\/td><td>Conserver des preuves v\u00e9rifiables.<\/td><\/tr><tr><td><strong>Reconnaissance<\/strong><\/td><td>Programme am\u00e9ricain distinct.<\/td><td>Programme canadien distinct.<\/td><td>Pas de r\u00e9ciprocit\u00e9.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>3. Ce qui change pour les PME de d\u00e9fense<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Le passage \u00e0 ces mod\u00e8les repr\u00e9sente un changement de paradigme :<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Preuves de conformit\u00e9<\/strong> : les fournisseurs doivent pr\u00e9parer des politiques, proc\u00e9dures, inventaires, configurations, journaux et autres preuves pouvant \u00eatre examin\u00e9s.<\/li>\n\n\n\n<li><strong>Acc\u00e8s aux march\u00e9s<\/strong> : l\u2019absence de pr\u00e9paration peut limiter la capacit\u00e9 \u00e0 soumissionner ou \u00e0 ex\u00e9cuter certains contrats de d\u00e9fense au Canada ou aux \u00c9tats-Unis.<\/li>\n\n\n\n<li><strong>Responsabilit\u00e9 dans la cha\u00eene d\u2019approvisionnement<\/strong> : les exigences peuvent \u00eatre transf\u00e9r\u00e9es aux sous-traitants selon l\u2019information qu\u2019ils traitent. Les sous-traitants n\u2019h\u00e9ritent pas automatiquement du niveau du donneur d\u2019ordre; le niveau doit correspondre \u00e0 la sensibilit\u00e9 de l\u2019information.<\/li>\n\n\n\n<li><strong>Avantage op\u00e9rationnel<\/strong> : une posture cyber document\u00e9e et maintenue facilite les discussions avec les donneurs d\u2019ordres, les partenaires et les autorit\u00e9s&nbsp;contractantes.<\/li>\n<\/ol>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>4. Par o\u00f9 commencer<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Pour ne pas s&rsquo;\u00e9parpiller, les PME doivent adopter une approche m\u00e9thodique :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>D\u00e9terminer la port\u00e9e<\/strong> : localiser les CUI, FCI,&nbsp;informations sp\u00e9cifi\u00e9es, ou informations contr\u00f4l\u00e9es ; identifier les syst\u00e8mes, utilisateurs, processus, fournisseurs et sous-traitants concern\u00e9s.<\/li>\n\n\n\n<li><strong>Choisir une approche de port\u00e9e<\/strong> : port\u00e9e d\u2019entreprise ou enclave d\u00e9di\u00e9e, selon les co\u00fbts, les risques et la capacit\u00e9 \u00e0 isoler les environnements.<\/li>\n\n\n\n<li><strong>R\u00e9aliser une analyse d\u2019\u00e9cart <\/strong>: comparer les pratiques actuelles aux exigences applicables du CMMC ou du PCCC.<\/li>\n\n\n\n<li><strong>Prioriser les correctifs<\/strong> : traiter d\u2019abord les contr\u00f4les essentiels comme la gestion des comptes, l\u2019authentification multifacteur, la protection des syst\u00e8mes, la correction des failles, la protection physique et la formation.<\/li>\n\n\n\n<li><strong>Constituer les preuves<\/strong> : documenter les politiques, proc\u00e9dures, configurations, r\u00e9sultats d\u2019\u00e9valuation et plans d\u2019action. Les plans d\u2019action doivent \u00eatre suivis, dat\u00e9s et r\u00e9alistes.<\/li>\n\n\n\n<li><strong>Mettre \u00e0 jour les engagements contractuels<\/strong> : v\u00e9rifier les clauses applicables, les exigences de soumission et les obligations envers les sous-traitants.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>5. Message cl\u00e9 pour les dirigeants<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La conformit\u00e9 CMMC ou PCCC ne devrait pas \u00eatre abord\u00e9e comme un exercice administratif. Elle exige des d\u00e9cisions d\u2019affaires sur la port\u00e9e, les investissements, les responsabilit\u00e9s internes et la gestion des fournisseurs.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pour les PME canadiennes de la d\u00e9fense, l\u2019approche la plus efficace consiste \u00e0 construire une base de cybers\u00e9curit\u00e9 commune qui r\u00e9pond aux exigences canadiennes et am\u00e9ricaines, tout en conservant des preuves distinctes pour chaque programme et chaque contrat.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Conclusion<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Le CMMC 2.0 et le PCCC poursuivent le m\u00eame objectif : renforcer la confiance dans les cha\u00eenes d\u2019approvisionnement de d\u00e9fense. Leur alignement technique est une opportunit\u00e9 pour les PME canadiennes, \u00e0 condition de ne pas confondre alignement et reconnaissance automatique.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Se pr\u00e9parer d\u00e8s maintenant permet de r\u00e9duire les risques, d\u2019am\u00e9liorer la maturit\u00e9 op\u00e9rationnelle et de maintenir l\u2019acc\u00e8s aux march\u00e9s de d\u00e9fense au Canada et aux \u00c9tats-Unis.<\/p>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":2,"featured_media":378,"comment_status":"open","ping_status":"closed","sticky":false,"template":"elementor_theme","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[10,11],"class_list":["post-1","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-cmcc-2-0","tag-pccc"],"_links":{"self":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/1","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/comments?post=1"}],"version-history":[{"count":16,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/1\/revisions"}],"predecessor-version":[{"id":608,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/1\/revisions\/608"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media\/378"}],"wp:attachment":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media?parent=1"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/categories?post=1"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/tags?post=1"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}