PÉRIODE DES QUESTIONS — Les services publics et l'approvisionnement
Le Programme de certification en cybersécurité du Canada
23 septembre 2025
Honorables sénateurs, c’est un plaisir d’être de retour ici et de revoir tout le monde. Sénateur Moreau, je vous félicite de votre nouvelle nomination.
Le gouvernement du Canada met graduellement en œuvre le Programme canadien de certification en cybersécurité, ou PCCC, qui sera obligatoire pour toutes les organisations obtenant des contrats de défense à partir de 2026. Le délai nécessaire pour que les PME canadiennes se conforment à cette norme importante est de 9 à 12 mois, et les coûts dépassent les 200 000 $. À la lumière de l’augmentation massive des dépenses de défense et en l’absence de mécanismes ciblés pour soutenir la conformité des PME, il y a un risque important de renforcer davantage les solutions conçues aux États-Unis au lieu de soutenir l’innovation nationale, la technologie à double usage et la capacité indépendante. Quels plans le gouvernement a-t-il pour combler le manque de ressources afin de permettre aux PME canadiennes de respecter les normes du PCCC, protégeant ainsi l’innovation, la création d’emplois et les avantages économiques intégrés au Canada?
Merci pour la question, sénateur. Le gouvernement utilise un modèle à plusieurs niveaux pour vérifier les exigences de conformité en ce qui concerne les risques associés aux contrats. On vérifie notamment s’ils contiennent de l’information délicate pour s’assurer que les obligations auxquelles les petites et moyennes entreprises sont assujetties sont proportionnelles aux données traitées. Cela dit, le gouvernement développe des mesures de soutien pour la préparation en matière de cybersécurité, notamment les niveaux du Programme canadien de certification en cybersécurité, des outils d’autoévaluation précis et des guides d’orientation technique ainsi que la modernisation générale de la sécurité pour aider les petites et moyennes entreprises à respecter les normes. Le gouvernement a toujours défendu les intérêts des petites entreprises canadiennes et il va continuer de le faire.
Merci, sénateur Moreau. Un défi similaire existe aux États-Unis en raison de la Certification du modèle de maturité de la cybersécurité, car près de la moitié de nos fournisseurs dans le secteur de la défense sont intégrés dans la chaîne d’approvisionnement américaine. Ce qui m’inquiète, c’est le risque de passer à côté de possibilités si nous ne mettons pas en place un modèle solide — et je sais que la volonté va dans ce sens. Une piste de solution pourrait être de recourir aux avantages de la technologie industrielle, qui sont souvent inutilisés, souvent au risque de mener à une non-conformité. Est-ce que cette option est envisagée?
Je vais sans faute faire part de cet aspect au ministre et au gouvernement dans l’ensemble. Je vous remercie de me donner l’occasion de soulever la question auprès du gouvernement.
