PCCC vs CMMC : différences pour les fournisseurs de défense

Le Programme canadien de certification en cybersécurité (PCCC) et le Cybersecurity Maturity Model Certification (CMMC) américain répondent au même besoin dans deux pays différents : vérifier, plutôt que simplement exiger, que les fournisseurs de la défense protègent adéquatement les renseignements sensibles. Les deux programmes reposent sur des contrôles techniques très proches, le PCCC via la norme canadienne ITSP.10.171, le CMMC via le NIST SP 800-171 et 800-172, mais ils restent deux processus de certification distincts, gérés par deux gouvernements différents, sans reconnaissance mutuelle automatique aujourd’hui.

Tableau comparatif

Dois-je obtenir PCCC, CMMC ou les deux ?

• Vous fournissez seulement la Défense nationale canadienne : le PCCC seul s’applique, au niveau déterminé par la sensibilité de vos contrats.
• Vous fournissez seulement le Department of Defense américain : le CMMC seul s’applique.
• Vous fournissez les deux marchés : vous devez généralement obtenir les deux certifications séparément. Le Canada peut, au cas par cas, reconnaître une certification CMMC valide si sa portée correspond aux exigences du PCCC, mais ce n’est pas automatique et doit être confirmé auprès de l’autorité canadienne pour votre contrat.

Quels contrôles se chevauchent ?

Comme le PCCC et le CMMC reposent tous les deux sur des familles de contrôles très proches (gestion des accès, authentification, protection des systèmes, réponse aux incidents, protection physique), une bonne partie du travail technique effectué pour l’un profite directement à l’autre. Nous n’avançons pas de pourcentage précis de chevauchement ici, il varie selon le niveau visé dans chaque programme, mais dans la pratique, la majorité des contrôles de base (gestion des comptes, authentification multifacteur, protection des frontières réseau) sont interchangeables d’un programme à l’autre.

Réutiliser les mêmes preuves

Concrètement, voici les catégories de preuves qui servent généralement aux deux programmes à la fois :

• configuration et journaux d’authentification multifacteur (MFA) ;
• export de la liste des comptes actifs et de leurs droits d’accès ;
• registre des correctifs (patching) et des mises à jour de sécurité ;
• règles de protection des frontières réseau (pare-feu, segmentation) ;
• politiques et procédures de sécurité documentées ;
• journaux d’activité et de surveillance des systèmes.

Préparer les deux programmes

Pour les fournisseurs qui vendent à la fois à la Défense nationale canadienne et au DoD américain, l’enjeu est de constituer un seul dossier de preuves qui serve aux deux programmes plutôt que deux dossiers parallèles. Notre accompagnement à la certification PCCC part de ce principe. Voyez aussi la fiche du référentiel PCCC, la fiche du référentiel CMMC et l’article Le PCCC expliqué.

Aller plus loin

• PCCC Niveau 1 : 13 contrôles et autoévaluation
• PCCC Niveau 2 : 98 contrôles et évaluation tierce
• Liste de vérification de l’autoévaluation PCCC

Discutons de votre couverture PCCC et CMMC

Une première discussion permet de cadrer vos obligations sur chaque marché et de repérer les preuves déjà réutilisables. Sans engagement. Nous contacter.