Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Le gouvernement fédéral veut protéger les entreprises contre les cyberattaques

Loi et règlement Par Eric Rousseau · 18 février 2023 · Mis à jour le 31 octobre 2026 · 8 min de lecture
Bâtiment en pierre de la colline du Parlement à Ottawa, avec une haute tour, sous un ciel nuageux d'hiver
En bref

Trois leviers fédéraux : guides du Centre canadien pour la cybersécurité, certification CyberSécuritaire Canada et une loi sur les cybersystèmes essentiels adoptée en 2026.

Oui, le gouvernement fédéral cherche activement à mieux protéger les entreprises contre les cyberattaques, et il le fait par trois grands moyens : des guides et outils gratuits publiés par le Centre canadien pour la cybersécurité, un programme de certification volontaire pour les PME, CyberSécuritaire Canada, et une loi qui encadre désormais la cybersécurité des secteurs essentiels, issue du projet de loi C-8 sanctionné le 15 juin 2026. Un CPE ou une garderie n’est pas visé par cette loi, mais les trois leviers le touchent de près.

Édifice de l'Ouest du Parlement du Canada à Ottawa sous un ciel gris d'hiver

Le Parlement à Ottawa : les guides, la certification et la loi sur les cybersystèmes essentiels viennent tous de là.

Des outils fédéraux déjà en place

Depuis 2018, le Centre canadien pour la cybersécurité est l’autorité technique du pays en la matière. Sa publication la plus utile pour un petit milieu est la liste des 13 contrôles de cybersécurité de base, écrite pour les organisations de moins de 500 employés. Elle repose sur une règle 80/20 : obtenir 80 % des bienfaits avec 20 % des efforts. On y trouve, dans l’ordre, un plan d’intervention en cas d’incident, les correctifs automatiques, les logiciels de sécurité, la configuration sécuritaire des appareils, l’authentification forte, la formation des employés, la sauvegarde et le chiffrement, la sécurité des appareils mobiles, un périmètre de défense de base, l’infonuagique et les services externalisés, les sites Web, les contrôles d’accès et les supports amovibles. La publication suggère d’y consacrer de 4 à 7 % du budget de TI. La campagne Pensez cybersécurité complète le tout pour le public : elle rappelle par exemple que 41 % des Canadiens réutilisent le même mot de passe sur plusieurs comptes.

Le fédéral a aussi lancé en 2019 CyberSécuritaire Canada, une certification volontaire pour les PME. Depuis le 31 mars 2023, le programme n’est plus administré par Innovation, Sciences et Développement économique Canada ; c’est le Conseil canadien des normes qui accrédite les organismes de certification, sur la base de la norme CAN/DGSI 104. Le principe n’a pas changé : une organisation qui démontre à un organisme accrédité qu’elle applique les contrôles de base obtient le droit d’afficher la marque du programme, un signal de confiance pour ses clients et partenaires.

Une loi pour les secteurs essentiels, maintenant adoptée

Côté législatif, Ottawa avait déposé en juin 2022 le projet de loi C-26, mort au feuilleton au début de 2025. Son successeur, le projet de loi C-8, a été déposé le 18 juin 2025, adopté par la Chambre des communes le 26 mars 2026 et par le Sénat le 4 juin 2026, puis sanctionné le 15 juin 2026 (Lois du Canada 2026, chapitre 9). Sa partie 2 crée la Loi sur la protection des cybersystèmes essentiels.

Les services visés par l’annexe 1 sont les télécommunications, les pipelines et lignes électriques interprovinciaux ou internationaux, l’énergie nucléaire, les transports de compétence fédérale, les banques et les systèmes de compensation et de règlement. Un exploitant désigné doit établir un programme de cybersécurité dans les 90 jours (article 9) et le revoir chaque année (article 13), atténuer les risques de sa chaîne d’approvisionnement (article 15) et déclarer tout incident au Centre de la sécurité des télécommunications dans un délai réglementaire qui ne peut dépasser 72 heures (article 17). Les pénalités administratives peuvent atteindre 500 000 $ pour une personne physique et 15 millions de dollars dans les autres cas, par violation et par jour (articles 91 et 94), et les dirigeants qui ont autorisé le manquement peuvent en répondre personnellement (article 93). Pour les infrastructures dont tout le monde dépend, la cybersécurité est désormais une obligation légale.

Le contexte qui justifie tout ça

L’Évaluation des cybermenaces nationales 2025-2026 du Centre canadien pour la cybersécurité constate une hausse moyenne de 26 % par année des incidents de rançongiciel au Canada depuis 2021, une rançon moyenne estimée à 1,13 million de dollars canadiens en 2023, en hausse d’environ 150 % en deux ans, et des pertes attribuables à la fraude passées de 383 millions de dollars en 2021 à 567 millions en 2023. Statistique Canada ajoute que 16 % des entreprises canadiennes ont subi un incident en 2023 et que leurs dépenses de rétablissement ont doublé en deux ans, à 1,2 milliard de dollars. Le réseau scolaire québécois en sait quelque chose : le Centre de services scolaire des Appalaches a été frappé deux fois par un rançongiciel.

Un exemple concret dans un bureau coordonnateur

Imaginons un bureau coordonnateur des Laurentides qui suit 250 responsables de services de garde en milieu familial. La directrice lit que la loi ne la vise pas et range le dossier. Puis elle y repense : sa banque et son fournisseur de télécommunications, eux, sont visés, mais pas l’éditeur de son logiciel de gestion, qui détient pourtant les dossiers de 1 500 enfants. Elle imprime les 13 contrôles de base, les passe en revue en deux heures avec son technicien, et constate que l’authentification multifacteur et la formation manquent. Elle demande ensuite par écrit à l’éditeur s’il est certifié CyberSécuritaire Canada ou quels contrôles il applique, et inscrit la réponse au dossier de renouvellement du contrat. Six mois plus tard, une vague de courriels d’hameçonnage imitant le ministère frappe les bureaux coordonnateurs de la région ; chez elle, les comptes protégés par un deuxième facteur et une équipe avertie tiennent le coup. Les contrôles n’ont rien coûté ; la certification, si elle la vise un jour, se chiffre en général à quelques milliers de dollars selon la taille du milieu, à confirmer auprès des organismes accrédités.

Ce que ça change pour votre service de garde

  1. Téléchargez les 13 contrôles de base et cochez-les. Deux heures avec votre technicien, la liste en main : fait, à faire, qui s’en charge, pour quand. C’est le plan de cybersécurité le moins cher au pays, et il est conçu pour vous.
  2. Commencez par les trois contrôles qui rapportent le plus. Authentification multifacteur sur le courriel, le logiciel de gestion et la banque (dix minutes par compte), correctifs automatiques sur chaque poste (cinq minutes), sauvegarde chiffrée testée chaque mois (une heure). Inclus dans vos abonnements.
  3. Ajoutez CyberSécuritaire Canada à vos critères de fournisseur. Demandez par écrit à chaque éditeur ou fournisseur TI s’il est certifié ou quels contrôles il applique, dans le cadre des 12 questions à poser avant de lui confier les données des enfants. Une heure.
  4. Demandez à vos fournisseurs visés par la loi comment ils vous aviseront. Banque, télécommunications : une question à votre représentant sur la façon dont un incident chez eux vous serait communiqué. Trente minutes.
  5. Adoptez le réflexe des 72 heures chez vous. La loi fédérale l’impose aux grands exploitants ; la Loi 25 vous impose déjà un registre des incidents et un avis à la Commission d’accès à l’information en cas de risque de préjudice sérieux. Un plan d’intervention d’une page (contrôle numéro 1) avec qui appeler et quoi noter. Une demi-journée.
  6. Formez l’équipe avec les ressources gratuites. Trente minutes par année en réunion d’équipe avec le matériel de Pensez cybersécurité : hameçonnage, mots de passe, photos d’enfants. Sans frais.
  7. Évaluez la certification si votre milieu grossit. Pour un CPE de plusieurs installations ou un bureau coordonnateur, viser CyberSécuritaire Canada dans deux ou trois ans donne un objectif clair au technicien et un argument concret devant les parents. Organismes de certification dans le répertoire du Conseil canadien des normes ; quelques milliers de dollars selon la taille.

Sources

Foire aux questions

Qu’est-ce que CyberSécuritaire Canada?

Un programme de certification volontaire pour les PME, lancé en 2019 et confié depuis 2023 au Conseil canadien des normes. Une organisation qui démontre à un organisme de certification accrédité qu’elle applique les contrôles de cybersécurité de base peut afficher la marque du programme.

Qu’est-ce que la loi sur les cybersystèmes essentiels?

Issue du projet de loi C-26 (2022), mort au feuilleton, puis du projet de loi C-8, sanctionné le 15 juin 2026, elle impose aux exploitants des télécommunications, de l’énergie, des transports et du secteur bancaire un programme de cybersécurité, la déclaration des incidents en 72 heures ou moins et des pénalités pouvant atteindre 15 millions de dollars.

Les services de garde sont-ils visés par cette loi?

Non, elle vise les exploitants sous réglementation fédérale. Mais votre banque et votre fournisseur de télécommunications le sont, les contrôles de cybersécurité de base s’adressent aux organisations de moins de 500 employés, et la Loi 25 impose déjà vos propres obligations au Québec.

À lire aussi

Étiqueté , ,