Pour les petites et moyennes entreprises de la base industrielle de défense, la cybersécurité contractuelle devient un critère d’accès aux marchés. Les fournisseurs qui traitent des informations sensibles doivent démontrer qu’ils protègent ces informations de façon structurée, documentée et vérifiable.
Deux cadres sont particulièrement importants pour les fournisseurs canadiens actifs dans les chaînes d’approvisionnement nord-américaines : le CMMC 2.0 (Cybersecurity Maturity Model Certification) aux États-Unis et le PCCC (Programme canadien de certification en cybersécurité) au Canada. Ils sont techniquement alignés sur les pratiques du NIST, mais ils demeurent des programmes distincts avec leurs propres exigences, preuves et processus contractuels.
1. Comprendre les deux programmes
Avant d’analyser la synergie, il est crucial de définir ce que chaque programme exige :
- CMMC 2.0 (États-Unis) : programme du Department of Defense visant à protéger les Federal Contract Information (FCI) et les Controlled Unclassified Information (CUI). Le niveau requis dépend du contrat et du type d’information traitée.
- PCCC (Canada) : programme canadien applicable à certains contrats de défense, lorsque l’évaluation des risques exige une cyberassurance et que le fournisseur traite des informations désignées dans des systèmes non gouvernementaux.
- Le niveau PCCC applicable est déterminé selon la sensibilité de l’information, les risques opérationnels, l’assurance de mission et les risques liés à la chaîne d’approvisionnement.
2. Un alignement technique, mais pas une reconnaissance automatique
Le CMMC et le PCCC reposent sur des contrôles de cybersécurité similaires, inspirés du NIST SP 800-171. Cet alignement peut aider les fournisseurs à réduire les doublons dans leurs investissements de sécurité. Il ne signifie toutefois pas qu’une certification dans un programme remplace automatiquement l’autre.
Il n’existe pas de reconnaissance mutuelle automatique entre le CMMC et le PCCC. Une certification CMMC valide et les preuves associées peuvent être examinées dans le contexte du PCCC afin d’identifier les écarts applicables, au cas par cas.
| Éléments | CMMC 2.0 | PCCC | Point d’attention |
| Objet | Protection des FCI et CUI pour les contrats du DoD. | Protection des informations spécifiées et des informations contrôlées dans les contrats de défense canadiens. | Identifier d’abord les types d’information traités. |
| Référentiel | NIST SP 800-171. | ITSP.10.171, aligné sur NIST SP 800-171. | Une base commune facilite la préparation. |
| Évaluation | Niveau 1 : auto-évaluation. Niveau 2 : auto-évaluation ou évaluation externe. Niveau 3 : évaluation DIBAC. | Niveau 1 : auto-évaluation. Niveau 2 : évaluation externe. Niveau 3 : évaluation Gouv. | Conserver des preuves vérifiables. |
| Reconnaissance | Programme américain distinct. | Programme canadien distinct. | Pas de réciprocité. |
3. Ce qui change pour les PME de défense
Le passage à ces modèles représente un changement de paradigme :
- Preuves de conformité : les fournisseurs doivent préparer des politiques, procédures, inventaires, configurations, journaux et autres preuves pouvant être examinés.
- Accès aux marchés : l’absence de préparation peut limiter la capacité à soumissionner ou à exécuter certains contrats de défense au Canada ou aux États-Unis.
- Responsabilité dans la chaîne d’approvisionnement : les exigences peuvent être transférées aux sous-traitants selon l’information qu’ils traitent. Les sous-traitants n’héritent pas automatiquement du niveau du donneur d’ordre; le niveau doit correspondre à la sensibilité de l’information.
- Avantage opérationnel : une posture cyber documentée et maintenue facilite les discussions avec les donneurs d’ordres, les partenaires et les autorités contractantes.
4. Par où commencer
Pour ne pas s’éparpiller, les PME doivent adopter une approche méthodique :
- Déterminer la portée : localiser les CUI, FCI, informations spécifiées, ou informations contrôlées ; identifier les systèmes, utilisateurs, processus, fournisseurs et sous-traitants concernés.
- Choisir une approche de portée : portée d’entreprise ou enclave dédiée, selon les coûts, les risques et la capacité à isoler les environnements.
- Réaliser une analyse d’écart : comparer les pratiques actuelles aux exigences applicables du CMMC ou du PCCC.
- Prioriser les correctifs : traiter d’abord les contrôles essentiels comme la gestion des comptes, l’authentification multifacteur, la protection des systèmes, la correction des failles, la protection physique et la formation.
- Constituer les preuves : documenter les politiques, procédures, configurations, résultats d’évaluation et plans d’action. Les plans d’action doivent être suivis, datés et réalistes.
- Mettre à jour les engagements contractuels : vérifier les clauses applicables, les exigences de soumission et les obligations envers les sous-traitants.
5. Message clé pour les dirigeants
La conformité CMMC ou PCCC ne devrait pas être abordée comme un exercice administratif. Elle exige des décisions d’affaires sur la portée, les investissements, les responsabilités internes et la gestion des fournisseurs.
Pour les PME canadiennes de la défense, l’approche la plus efficace consiste à construire une base de cybersécurité commune qui répond aux exigences canadiennes et américaines, tout en conservant des preuves distinctes pour chaque programme et chaque contrat.
Conclusion
Le CMMC 2.0 et le PCCC poursuivent le même objectif : renforcer la confiance dans les chaînes d’approvisionnement de défense. Leur alignement technique est une opportunité pour les PME canadiennes, à condition de ne pas confondre alignement et reconnaissance automatique.
Se préparer dès maintenant permet de réduire les risques, d’améliorer la maturité opérationnelle et de maintenir l’accès aux marchés de défense au Canada et aux États-Unis.