Qu’est-ce que le projet de loi C-8
Qu’est-ce que le projet de loi C-8 (Loi sur la protection des cybersystèmes essentiels)?
Le projet de loi C-8 est la Loi fédérale canadienne sur la protection des cybersystèmes essentiels (CCSPA), qui fait partie de la législation plus large du gouvernement du Canada en matière de cybersécurité, présentée pour obliger les exploitants désignés de systèmes et de services critiques dans les secteurs sous réglementation fédérale (télécommunications, finance, énergie et transport) à protéger leurs cybersystèmes essentiels. Il s’agit de la loi fédérale de cybersécurité proposée par le Canada pour les exploitants désignés d’infrastructures essentielles.
Cartographiez vos contrôles du projet de loi C-8 Voir les composantes principales
CCSPA · exploitants désignés · signalement des incidents au CST · gestion des risques de la chaîne d’approvisionnement
Définition
Le projet de loi C-8 est la Loi fédérale canadienne sur la protection des cybersystèmes essentiels (CCSPA), la loi fédérale de cybersécurité proposée par le Canada pour les exploitants désignés d’infrastructures essentielles.
Le projet de loi C-8 fait suite à des versions antérieures (le projet de loi C-26 lors de la législature précédente). La loi s’applique aux exploitants désignés des industries sous réglementation fédérale qui possèdent des systèmes essentiels : les fournisseurs de services de télécommunications, les banques, les réseaux de transport sous réglementation fédérale et les exploitants énergétiques sous réglementation fédérale, y compris les pipelines interprovinciaux et les installations nucléaires.
Les exploitants désignés doivent établir un programme de cybersécurité couvrant l’identification, l’évaluation et la gestion des cyberrisques; mettre en œuvre des mesures de cybersécurité appropriées; signaler les incidents de cybersécurité au Centre de la sécurité des télécommunications (CST); et se conformer aux instructions en matière de cybersécurité données par le ministre responsable.
Les sanctions en cas de non-conformité comprennent des sanctions administratives pécuniaires et, dans les cas graves, une responsabilité pénale. La loi crée aussi des obligations de gestion des risques liés à la chaîne d’approvisionnement pour les entités réglementées, ce qui touche les fournisseurs et les prestataires de services (y compris les FSG) qui les desservent.
Composantes principales
Exploitants désignés
Exploitants de systèmes essentiels dans des secteurs sous réglementation fédérale, expressément désignés par règlement.
Cybersystèmes essentiels
Cybersystèmes dont la compromission pourrait nuire à la prestation continue de services ou d’opérations critiques.
Programme de cybersécurité
Programme obligatoire couvrant l’identification, l’évaluation et la gestion des risques de cybersécurité.
Signalement des incidents
Signalement obligatoire des incidents de cybersécurité au CST dans les délais prescrits.
Instructions en matière de cybersécurité
Le ministre responsable peut donner aux exploitants désignés des instructions contraignantes en matière de cybersécurité.
Gestion des risques de la chaîne d’approvisionnement
Les exploitants désignés doivent gérer les risques de cybersécurité provenant de leur chaîne d’approvisionnement, ce qui touche leurs fournisseurs et leurs prestataires de services.
Pourquoi c’est important
Pour les organisations canadiennes des secteurs des télécommunications, de la finance, du transport et de l’énergie, le projet de loi C-8 fait passer la cybersécurité d’une bonne pratique volontaire à une obligation réglementée assortie de réels moyens d’application.
Pour les FSG et les prestataires de services qui desservent des exploitants désignés, l’exigence de gestion des risques de la chaîne d’approvisionnement fait de la posture de cybersécurité du FSG une composante du dossier de conformité de l’exploitant désigné. Les exploitants désignés exigeront de plus en plus de leurs fournisseurs qu’ils démontrent des capacités de cybersécurité précises.
Pour les FSG canadiens du secteur pétrolier et gazier en particulier, les exploitants énergétiques sous réglementation fédérale (y compris les pipelines interprovinciaux) sont assujettis à la loi. Les prestataires de services de ces exploitants, y compris les FSG, devraient s’attendre à une répercussion en cascade des exigences de conformité.
Comment Lavawall® vous aide avec le projet de loi C-8
Lavawall® fournit les preuves continues sur les postes de travail et dans le nuage dont les exploitants désignés canadiens et leurs prestataires de services ont besoin pour démontrer la mise en œuvre de leur programme de cybersécurité : identification (inventaire des actifs, bases de référence de configuration), évaluation des risques (preuves de vulnérabilités et de configuration), gestion des risques (application des correctifs, élévation des privilèges d’administrateur, prévention de l’exécution des outils à haut risque et application de l’AMF), réponse aux incidents (preuves tirées des journaux, détection des intrusions) et gestion des risques de la chaîne d’approvisionnement (visibilité sur les fournisseurs et les applications SaaS).
La conception multilocataire de Lavawall® convient aux FSG qui desservent plusieurs clients exploitants désignés ou proches des exploitants désignés. Son hébergement de données au Canada (AWS Montréal par défaut, avec passage à un hébergeur canadien établi à Vancouver au quatrième trimestre de 2026) répond aux attentes de résidence des données des exploitants canadiens réglementés.
ThreeShield, la firme d’audit qui a conçu Lavawall®, est établie à Calgary et connaît bien la cybersécurité des infrastructures essentielles canadiennes. Pour les FSG et les exploitants qui se préparent à la conformité au projet de loi C-8, ThreeShield offre le renfort de niveau 3 et des travaux de préparation clés en main.
Commencez la cartographie de vos contrôles du projet de loi C-8 →
Questions fréquentes
- Le projet de loi C-8 s’applique-t-il à mon organisation?
- Seulement si vous êtes un exploitant désigné ou si vous en fournissez un. Le projet de loi C-8 s’applique aux exploitants expressément désignés dans des secteurs sous réglementation fédérale. Le gouvernement fédéral désigne les exploitants par règlement. Les fournisseurs et les FSG qui desservent des exploitants désignés sont touchés par la gestion des risques liés à la chaîne d’approvisionnement.
- Le projet de loi C-8 est-il la même chose que le PCCSC?
- Non. Le PCCSC est le Programme canadien de certification en cybersécurité destiné aux entrepreneurs du gouvernement du Canada, harmonisé avec la CMMC 2.0 des États-Unis. Le projet de loi C-8 (CCSPA) réglemente la cybersécurité des exploitants désignés de systèmes essentiels dans les secteurs sous réglementation fédérale.
- Quel est l’échéancier d’application du projet de loi C-8?
- Les échéanciers d’application dépendent des règlements et du calendrier de désignation des exploitants. Les exploitants et les participants à la chaîne d’approvisionnement devraient prévoir une application active de la loi et préparer leurs programmes dès maintenant.