NERC CIP au Canada : une norme, cinq calendriers

Sur le site de NERC, une norme CIP a une version et une date. Au Canada, la même norme en a jusqu'à six, une par province. Qui exploite des actifs dans plusieurs provinces, ou des deux côtés de la frontière, doit savoir laquelle s'applique à chaque actif. Cet article rassemble les dates telles que les autorités provinciales les publient.

Ce que disent les textes

Aux États-Unis, l'approbation de la FERC rend une norme obligatoire. Au Canada, rien ne se passe tant qu'une autorité provinciale ne l'adopte pas, chacune à son rythme et selon sa propre loi. NPCC, dont la région est à environ 57 % canadienne en énergie nette pour la charge selon sa page « About », surveille la conformité au Nouveau-Brunswick, en Nouvelle-Écosse, en Ontario et au Québec, selon la structure réglementaire et les ententes de chaque province (page « Canadian Compliance »).

Québec. La Régie de l'énergie n'adopte que les normes déposées par le Coordonnateur de la fiabilité (Hydro-Québec), en vertu de l'article 85.5 de la Loi sur la Régie de l'énergie. Selon la page d'Hydro-Québec sur la surveillance de la conformité, le programme QCMEP, issu d'une entente de 2014, est en vigueur depuis le 1er avril 2015 et la sanction pécuniaire peut atteindre 500 000 $ par jour. La page « Normes de fiabilité en vigueur » de la Régie liste CIP-003-8 (1er octobre 2021), CIP-012-1 (1er juillet 2024) et CIP-004-7 et CIP-011-3 (1er janvier 2025) ; CIP-003-9, CIP-012-2 et CIP-015-1 n'y figurent pas.

Ontario. La conformité est rendue obligatoire par les Market Rules de l'IESO (chapitre 5, sections 1.2.6 et 1.2.7) ; l'IESO publie la norme dans les sept jours suivant son approbation. La feuille de route de l'IESO au 10 juillet 2026 fixe CIP-003-9 au 1er juillet 2026, CIP-012-2 au 1er octobre 2026, CIP-015-1 au 1er octobre 2028, les normes de virtualisation au 1er juillet 2028 et CIP-003-11 au 1er juillet 2029. Aux États-Unis, le plan CMEP 2026 de NERC donne le 1er avril 2026 pour CIP-003-9 et le 1er juillet 2026 pour CIP-012-2.

Alberta. L'AESO recommande des Alberta Reliability Standards fondées sur celles de NERC, que l'Alberta Utilities Commission approuve. CIP-PLAN-AB-3, effectif le 2 mai 2024, met CIP-003-AB-8, CIP-005-AB-7, CIP-010-AB-4 et CIP-013-AB-2 en vigueur le 1er octobre 2024, la R2 de CIP-003-AB-8 par paliers jusqu'à 100 % des actifs le 1er octobre 2027, et CIP-004-AB-7 et CIP-011-AB-3 le 1er avril 2026. Aucune version de CIP-015 n'y figure.

Colombie-Britannique. L'article 125.2 de l'Utilities Commission Act (2009) confie l'adoption à la BCUC après évaluation par BC Hydro. L'annexe A de l'ordonnance R-5-26 donne CIP-005-7, CIP-010-4 et CIP-013-2 au 1er juillet 2024, CIP-004-7 et CIP-011-3 au 1er octobre 2025, et CIP-003-9 et CIP-012-2 au 1er octobre 2027, soit 18 et 15 mois après les dates américaines.

Nouveau-Brunswick. En vertu de l'article 119 de la Loi sur l'électricité et du Règlement sur les normes de fiabilité, la NBEUB approuve les normes déposées par Énergie NB. Sa page « Reliability Standards » datée du 1er septembre 2026 fixe CIP-003-9 et CIP-012-2 au 1er octobre 2026, les normes de virtualisation au 1er octobre 2028 et CIP-015-1 au 1er janvier 2029.

Nouvelle-Écosse. Un protocole d'entente lie NERC et la NSUARB depuis le 22 décembre 2006. Le dépôt trimestriel de NERC du 6 février 2023 rappelle que la NSUARB ne traite les demandes qu'après approbation ou renvoi par la FERC, ce qui institutionnalise le décalage.

Pourquoi ça compte

Prenez CIP-004-7. Un même programme de personnel et de formation devient obligatoire en Ontario le 1er avril 2024 (IESO), au Québec le 1er janvier 2025 (Régie), en Colombie-Britannique le 1er octobre 2025 (BCUC) et en Alberta le 1er avril 2026 (AESO). Pendant deux ans, une entité présente dans ces quatre provinces vit avec deux versions de la même norme.

L'erreur classique n'est pas d'ignorer une exigence : c'est de prouver la bonne exigence sous la mauvaise version. Un plan de sécurité pour actifs à faible impact rédigé selon CIP-003-9 est en avance au Québec, à jour en Ontario et prématuré en Colombie-Britannique.

Ce que nous en pensons chez Sentrix

Une norme, plusieurs calendriers : la réponse est un système, pas un tableur de plus.

1. Un registre des exigences par juridiction. Chaque actif porte sa province ; chaque exigence porte sa version et sa date telles que l'autorité provinciale les publie, pas telles que le site NERC les affiche.
2. Une preuve collectée une fois, mappée par version. La même liste d'accès d'un centre de contrôle sert à CIP-004-7 en Ontario et à CIP-004-AB-7 en Alberta : Sentrix la collecte une fois et la mappe à chaque référentiel et à chaque version.
3. Un calendrier d'échéances tenu à jour. Trois dates pour CIP-003-9 entre juillet 2026 et octobre 2027, une R2 albertaine par paliers : les publications provinciales bougent.
4. Ce qui reste ouvert entre deux audits. Le module CTEM de Sentrix suit l'exposition en continu, pour que l'écart repéré en janvier ne réapparaisse pas dans le rapport d'octobre.

Pour les entités visées par la Régie, un détail compte : Sentrix héberge les données au Canada par défaut (exécution aux États-Unis ou dans une autre région sur demande). Notre évaluation de la posture de cybersécurité part de ce registre par juridiction.

La prochaine étape

Listez vos actifs BES par province, puis écrivez à côté de chacun la version CIP en vigueur et la date de la prochaine. Les cases que vous ne pouvez pas remplir sont votre plan de travail. Pour le construire avec nous, contactez-nous.